تعویض رمز عبور حساب krbtgt؛ یکی از حیاتی‌ترین اقدامات مقاوم سازی Active Directory
در میان تمام اقدامات امنیتی Active Directory، چرخش رمز عبور حساب krbtgt جزو کارهایی است که معمولاً به تعویق می‌افتد؛ نه به‌خاطر بی‌اهمیت بودن، بلکه به‌دلیل حساسیت و ریسک عملیاتی آن. در حالی که همین اقدام مستقیماً یکی از خطرناک‌ترین سناریوهای Kerberos، یعنی Golden Ticket، را خنثی می‌کند.
چرا krbtgt این‌قدر مهم است؟
حساب krbtgt کلید امضای بلیت‌های Kerberos در دامنه است. اگر مهاجمی به هش این حساب دسترسی پیدا کند، می‌تواند بلیت‌های جعلی Kerberos بسازد که عملاً تاریخ انقضا ندارند و برای همیشه معتبر می‌مانند. این یعنی پایداری کامل در دامنه بدون نیاز به اجرای مجدد اکسپلویت‌ها.
تنها راه بی‌اثرکردن این بلیت‌ها، تعویض رمز عبور krbtgt است؛ زیرا با تغییر کلید امضا، تمام بلیت‌های قبلی نامعتبر می‌شوند.
روش صحیح تعویض krbtgt
فرآیند چرخش krbtgt ساده به نظر می‌رسد، اما ترتیب و دقت در اجرا حیاتی است:
- یک‌بار رمز عبور krbtgt را ریست کنید (از طریق ADUC یا اسکریپت).
- صبر کنید تا Replication بین تمام Domain Controllerها کامل و بدون خطا انجام شود (معمولاً 24 ساعت).
- سلامت Replication و لاگ‌ها را بررسی کنید.
- اطمینان حاصل کنید تمام DCها نسخهٔ جدید krbtgt را دارند.
- بار دوم، مجدداً رمز عبور krbtgt را ریست کنید.
چرا ریست دوم مهم است؟
ریست اول یک کلید جدید ایجاد می‌کند، اما بلیت‌هایی که با کلید قبلی صادر شده‌اند ممکن است همچنان معتبر بمانند.
ریست دوم تضمین می‌کند هیچ بلیتی با کلید قدیمی در دامنه قابل استفاده نیست. این مرحله عملاً Golden Ticket را از ریشه قطع می‌کند.
چک‌لیست عملیاتی پیشنهادی
- قبل از هر کاری، Replication را کاملاً بررسی کنید.
- ریست اول krbtgt.
- تأیید Replication بدون خطا و تأخیر.
- ریست دوم krbtgt.
- مانیتورینگ لاگ‌های Kerberos و احراز هویت پس از عملیات.
اگر Replication سالم باشد، این فرآیند نباید باعث اختلال غیرعادی در احراز هویت شود.
در میان تمام اقدامات امنیتی Active Directory، چرخش رمز عبور حساب krbtgt جزو کارهایی است که معمولاً به تعویق می‌افتد؛ نه به‌خاطر بی‌اهمیت بودن، بلکه به‌دلیل حساسیت و ریسک عملیاتی آن. در حالی که همین اقدام مستقیماً یکی از خطرناک‌ترین سناریوهای Kerberos، یعنی Golden Ticket، را خنثی می‌کند.
چرا krbtgt این‌قدر مهم است؟
حساب krbtgt کلید امضای بلیت‌های Kerberos در دامنه است. اگر مهاجمی به هش این حساب دسترسی پیدا کند، می‌تواند بلیت‌های جعلی Kerberos بسازد که عملاً تاریخ انقضا ندارند و برای همیشه معتبر می‌مانند. این یعنی پایداری کامل در دامنه بدون نیاز به اجرای مجدد اکسپلویت‌ها.
تنها راه بی‌اثرکردن این بلیت‌ها، تعویض رمز عبور krbtgt است؛ زیرا با تغییر کلید امضا، تمام بلیت‌های قبلی نامعتبر می‌شوند.
روش صحیح تعویض krbtgt
فرآیند چرخش krbtgt ساده به نظر می‌رسد، اما ترتیب و دقت در اجرا حیاتی است:
- یک‌بار رمز عبور krbtgt را ریست کنید (از طریق ADUC یا اسکریپت).
- صبر کنید تا Replication بین تمام Domain Controllerها کامل و بدون خطا انجام شود (معمولاً 24 ساعت).
- سلامت Replication و لاگ‌ها را بررسی کنید.
- اطمینان حاصل کنید تمام DCها نسخهٔ جدید krbtgt را دارند.
- بار دوم، مجدداً رمز عبور krbtgt را ریست کنید.
چرا ریست دوم مهم است؟
ریست اول یک کلید جدید ایجاد می‌کند، اما بلیت‌هایی که با کلید قبلی صادر شده‌اند ممکن است همچنان معتبر بمانند.
ریست دوم تضمین می‌کند هیچ بلیتی با کلید قدیمی در دامنه قابل استفاده نیست. این مرحله عملاً Golden Ticket را از ریشه قطع می‌کند.
چک‌لیست عملیاتی پیشنهادی
- قبل از هر کاری، Replication را کاملاً بررسی کنید.
- ریست اول krbtgt.
- تأیید Replication بدون خطا و تأخیر.
- ریست دوم krbtgt.
- مانیتورینگ لاگ‌های Kerberos و احراز هویت پس از عملیات.
اگر Replication سالم باشد، این فرآیند نباید باعث اختلال غیرعادی در احراز هویت شود.
Comments
Be the first to add a comment
Log in to comment