Kerberoasting攻撃とは【用語集詳細】

2017/09/12

用語集

Kerberoasting攻撃は、Windows Active Directoryで用いられているKerberos認証プロトコルに対する攻撃であり、オフライン環境を利用したKerberosサービスチケットに対するパスワードクラッキング攻撃です。

この攻撃は、標的のシステムに侵入した攻撃者が、さらにアクセス範囲を増大させる過程で用いられます。
パスワードクラッキングはActive Directoryとの通信を介さずオフラインで行われ、検知が困難である点が、攻撃者に多用されている理由です。

攻撃者は初めに、侵害したアカウントを通じてSPN（Service Principal Name、各サービスインスタンスの識別子）の一覧を入手します。

その後、攻撃者は、TGTを用いて、ドメインコントローラやWebサーバなどのSPNと紐づいたTGSサービスチケットを要求します。あるいは、ネットワークを盗聴することによりTGSサービスチケットを入手することもあります。

このTGSサービスチケット（暗号化されている）に対し、オフラインでのブルートフォース攻撃を行うことで、攻撃者は当該アカウントの平文パスワードを入手します。

入手した資格情報（パスワード）は、標的ネットワーク内の水平展開や特権昇格、持続性確保に用いられます。
Kerberoasting攻撃には、Rubeusなどの自動化ツールが既に存在します。TGSサービスチケット入手後のパスワード入手にはhashcat、JohnTheRipperなどのクラッキングツールが使われています。

この攻撃方法は2014年、Tim Medin氏によって発見されました。

サイバーセキュリティお役立ち情報

Kerberoasting攻撃とは【用語集詳細】

資料請求・導入に向けたお問い合わせ・ご相談はこちら