Ко всем рецептам
Уровень: ПродвинутыйОбновлено:
Сменить пароль krbtgt после подозрения на Golden Ticket
# Двойной сброс с паузой на полную репликацию (10+ часов)
Reset-ADServiceAccountPassword -Identity krbtgt # или официальный скрипт Microsoft
repadmin /syncall /AdePПочему так
krbtgt — ключ, которым подписан каждый билет Kerberos. Украли его — атакующий подделает любую личность.
Осторожно
Операция высокого риска. Сбрасывать нужно дважды с интервалом минимум 10 часов (полный цикл репликации). Слишком быстрый второй сброс кладёт аутентификацию во всём домене.
Обратите внимание
- Дважды с интервалом минимум 10 часов — иначе старые билеты ещё действительны.
- Два сброса подряд без паузы ломают аутентификацию в домене. Не спешите.