✔️ Сервисные пароли утекают без единого сбоя входа
Любой доменный пользователь запрашивает сервисный билет к учётке с SPN, а тот зашифрован хешем её пароля – атакующий уносит билет и ломает офлайн, без единого сбоя входа.
— В статье разбирается механика офлайн-крека TGS, классические и ML-правила детекта по 4769 и почему gMSA и пароли от 25 символов убирают класс атаки.
💬 https://habr.com/ru/articles/894216/
#Kerberoasting #ActiveDirectory #BlueTeam
Secure Sector.
Любой доменный пользователь запрашивает сервисный билет к учётке с SPN, а тот зашифрован хешем её пароля – атакующий уносит билет и ломает офлайн, без единого сбоя входа.
Событие 4769 тонет в легитимном шуме – детект строится на аномалиях: тикеты с RC4, всплеск запросов от одного юзера и honeypot-SPN, к которому не обращается никто.
— В статье разбирается механика офлайн-крека TGS, классические и ML-правила детекта по 4769 и почему gMSA и пароли от 25 символов убирают класс атаки.
💬 https://habr.com/ru/articles/894216/
#Kerberoasting #ActiveDirectory #BlueTeam
Secure Sector.