توضیحی بر مقاله ی فوق
و تمرین
✍️روزبه نوروزی
بررسی ابزار PerfMon برای کشف حمله کربروستینگ
فرای رویداد های 4768 و 4769
تکنیک Kerberoasting یکی از تکنیک‌های محبوب حمله در محیط‌های Active Directory (AD) است که مهاجمان از آن برای سرقت هش بلیط‌های سرویس (TGS) و کرک کردن رمزهای عبور حساب‌های سرویس استفاده می‌کنند. شناسایی این نوع حمله با ابزار Performance Monitor می‌تواند در کشف و جلوگیری از تهدیدات کمک کند.
1. مروری بر حمله Kerberoasting
مهاجم از یک حساب کاربری دامنه احراز هویت‌شده استفاده کرده و درخواست بلیط سرویس (TGS) را برای یک حساب سرویس که از رمز عبور ضعیف استفاده می‌کند، ارسال می‌کند. این بلیط سپس از حافظه استخراج و برای کرک شدن به ابزارهایی مانند Hashcat یا John the Ripper داده می‌شود.
2. چرا PerfMon برای شناسایی مفید است؟
این ابزار یک ابزار داخلی ویندوز است که داده‌های عملکردی سیستم را جمع‌آوری و نمایش می‌دهد. با استفاده از PerfMon می‌توان شاخص‌های غیرعادی مربوط به درخواست‌های TGS را نظارت کرده و فعالیت‌های مشکوک را شناسایی کرد.
3. پیکربندی PerfMon برای شناسایی Kerberoasting
3.1. اجرای Performance Monitor
3.2. ایجاد یک Data Collector Set سفارشی
در بخش Data Collector Sets، روی User Defined کلیک راست کرده و New > Data Collector Set را انتخاب کنید.
یک نام مانند Kerberoasting Detection وارد کنید و گزینه Create manually (Advanced) را انتخاب کنید.
روی Performance Counter کلیک کرده و گزینه Add را بزنید.
3.3. افزودن کانترهای مرتبط
افزودن کانترهای زیر به تشخیص رفتار مشکوک کمک می‌کند:
Security System-Wide Statistics > Ticket Granting Service Requests
Security System-Wide Statistics > Kerberos Authentications
3.4. تنظیم Alert برای فعالیت غیرعادی
در Performance Monitor، به Alerts بروید
مقدار آستانه را برای TGS Requests روی مقدار غیرمعمول بالا تنظیم کنید (مثلاً بیش از 100 در یک دقیقه).
یک Action تعریف کنید که در صورت عبور از این مقدار، هشدار ارسال شود.
4. تحلیل نتایج و تشخیص فعالیت‌های مشکوک
بعد از اجرای PerfMon، تیم امنیتی می‌تواند گزارش‌های ذخیره‌شده را تجزیه‌وتحلیل کند:
افزایش درخواست‌های TGS: اگر تعداد درخواست‌ها افزایش پیدا کند، ممکن است نشانه‌ای از حمله باشد.
درخواست‌های زیاد از یک حساب کاربری خاص: اگر یک حساب معمولی (نه حساب سرویس) تعداد زیادی درخواست TGS ارسال کند، احتمال حمله افزایش می‌یابد.
درخواست‌های متعدد برای بلیط‌های حساب‌های حساس: مهاجمان اغلب به دنبال حساب‌های سطح بالا یا سرویس‌های حیاتی هستند.
5. اقدامات اصلاحی در برابر این حمله
در صورت شناسایی رفتار مشکوک، مراحل زیر را انجام دهید:
بررسی لاگ‌های امنیتی در Event Viewer: به مسیر Windows Logs > Security رفته و Event ID 4769 را بررسی کنید.
فعال کردن حسابرسی Kerberos در Group Policy: مسیر Computer Configuration > Windows Settings > Security Settings > Advanced Audit Policy Configuration را باز کنید و گزینه Audit Kerberos Authentication Service را فعال کنید.
استفاده از رمزهای عبور قوی برای سرویسها: از حساب‌های مدیریت‌شده (gMSA) استفاده کنید تا رمزهای عبور به‌طور خودکار تغییر کنند.
محدود کردن استفاده از حساب‌های دارای SPN: آنها که نیازی به SPN ندارند را بررسی کرده و حذف کنید.
نصب ابزارهای امنیتی مکمل: SIEM و EDR
#من_آموزش_میدهم
#آکادمی_روزبه
و تمرین
✍️روزبه نوروزی
بررسی ابزار PerfMon برای کشف حمله کربروستینگ
فرای رویداد های 4768 و 4769
تکنیک Kerberoasting یکی از تکنیک‌های محبوب حمله در محیط‌های Active Directory (AD) است که مهاجمان از آن برای سرقت هش بلیط‌های سرویس (TGS) و کرک کردن رمزهای عبور حساب‌های سرویس استفاده می‌کنند. شناسایی این نوع حمله با ابزار Performance Monitor می‌تواند در کشف و جلوگیری از تهدیدات کمک کند.
1. مروری بر حمله Kerberoasting
مهاجم از یک حساب کاربری دامنه احراز هویت‌شده استفاده کرده و درخواست بلیط سرویس (TGS) را برای یک حساب سرویس که از رمز عبور ضعیف استفاده می‌کند، ارسال می‌کند. این بلیط سپس از حافظه استخراج و برای کرک شدن به ابزارهایی مانند Hashcat یا John the Ripper داده می‌شود.
2. چرا PerfMon برای شناسایی مفید است؟
این ابزار یک ابزار داخلی ویندوز است که داده‌های عملکردی سیستم را جمع‌آوری و نمایش می‌دهد. با استفاده از PerfMon می‌توان شاخص‌های غیرعادی مربوط به درخواست‌های TGS را نظارت کرده و فعالیت‌های مشکوک را شناسایی کرد.
3. پیکربندی PerfMon برای شناسایی Kerberoasting
3.1. اجرای Performance Monitor
3.2. ایجاد یک Data Collector Set سفارشی
در بخش Data Collector Sets، روی User Defined کلیک راست کرده و New > Data Collector Set را انتخاب کنید.
یک نام مانند Kerberoasting Detection وارد کنید و گزینه Create manually (Advanced) را انتخاب کنید.
روی Performance Counter کلیک کرده و گزینه Add را بزنید.
3.3. افزودن کانترهای مرتبط
افزودن کانترهای زیر به تشخیص رفتار مشکوک کمک می‌کند:
Security System-Wide Statistics > Ticket Granting Service Requests
Security System-Wide Statistics > Kerberos Authentications
3.4. تنظیم Alert برای فعالیت غیرعادی
در Performance Monitor، به Alerts بروید
مقدار آستانه را برای TGS Requests روی مقدار غیرمعمول بالا تنظیم کنید (مثلاً بیش از 100 در یک دقیقه).
یک Action تعریف کنید که در صورت عبور از این مقدار، هشدار ارسال شود.
4. تحلیل نتایج و تشخیص فعالیت‌های مشکوک
بعد از اجرای PerfMon، تیم امنیتی می‌تواند گزارش‌های ذخیره‌شده را تجزیه‌وتحلیل کند:
افزایش درخواست‌های TGS: اگر تعداد درخواست‌ها افزایش پیدا کند، ممکن است نشانه‌ای از حمله باشد.
درخواست‌های زیاد از یک حساب کاربری خاص: اگر یک حساب معمولی (نه حساب سرویس) تعداد زیادی درخواست TGS ارسال کند، احتمال حمله افزایش می‌یابد.
درخواست‌های متعدد برای بلیط‌های حساب‌های حساس: مهاجمان اغلب به دنبال حساب‌های سطح بالا یا سرویس‌های حیاتی هستند.
5. اقدامات اصلاحی در برابر این حمله
در صورت شناسایی رفتار مشکوک، مراحل زیر را انجام دهید:
بررسی لاگ‌های امنیتی در Event Viewer: به مسیر Windows Logs > Security رفته و Event ID 4769 را بررسی کنید.
فعال کردن حسابرسی Kerberos در Group Policy: مسیر Computer Configuration > Windows Settings > Security Settings > Advanced Audit Policy Configuration را باز کنید و گزینه Audit Kerberos Authentication Service را فعال کنید.
استفاده از رمزهای عبور قوی برای سرویسها: از حساب‌های مدیریت‌شده (gMSA) استفاده کنید تا رمزهای عبور به‌طور خودکار تغییر کنند.
محدود کردن استفاده از حساب‌های دارای SPN: آنها که نیازی به SPN ندارند را بررسی کرده و حذف کنید.
نصب ابزارهای امنیتی مکمل: SIEM و EDR
#من_آموزش_میدهم
#آکادمی_روزبه
Comments
Be the first to add a comment
Log in to comment