Перейти к содержимому
AD Academy
Ко всем событиям
4769Security (DC)Аутентификация и входWARNОбновлено:

Запрос сервисного билета (TGS) — база для Kerberoasting

Что это значит

Пользователь запросил билет к сервису. Много запросов с RC4 (0x17) от одного пользователя к разным сервисам — признак Kerberoasting.

Когда это норма, а когда подозрительно

Норма: сотни событий в день — каждый доступ к файловому серверу создаёт билет. Подозрительно: запросы RC4 к многим разным SPN с одного аккаунта за минуты (Kerberoasting).

Первые шаги

  1. 1Сделайте правило: один Account Name, больше 10 разных сервисов за 10 минут.
  2. 2Проверьте, какие сервисные учётки имеют SPN и какой у них пароль.
  3. 3Переведите сервисные учётки на gMSA — вектор закрывается.

Поля, на которые смотреть

ПолеНа что смотреть
Service NameЗапрошенный SPN. Много разных SPN за одну минуту — подозрение на Kerberoasting.
Ticket Encryption Type0x17 — RC4, поддаётся офлайн-подбору. 0x12 — AES, безопаснее.

Связанные события

Справочник — отправная точка расследования, а не замена политике безопасности вашей организации.