Attaque
Kerberoasting
Aussi appeléKerberoast
En résumé
Une technique d’attaque contre Active Directory où un utilisateur ordinaire du domaine demande des tickets de service Kerberos pour des comptes de service, puis tente de retrouver leur mot de passe hors ligne. Un mot de passe faible permet de prendre le contrôle d’un compte souvent très privilégié.
Kerberoasting, en détail
Dans Active Directory, Kerberos est le protocole d’authentification. Pour accéder à un service, un utilisateur demande un ticket de service (TGS), chiffré avec une clé dérivée du mot de passe du compte qui exécute ce service. Tout utilisateur authentifié du domaine peut demander un ticket pour n’importe quel service enregistré avec un SPN (Service Principal Name). L’attaquant récupère ces tickets et les soumet à un cassage de mot de passe sur sa propre machine, sans générer de tentatives de connexion échouées sur le réseau.
Le risque dépend de la qualité des mots de passe des comptes de service. Ces comptes ont souvent été créés des années plus tôt, avec des mots de passe choisis par des humains, qui n’expirent jamais, et des droits étendus laissés par commodité, parfois jusqu’à l’administration du domaine. Un mot de passe long et aléatoire rend le cassage impraticable ; un mot de passe de type mot du dictionnaire suivi d’un chiffre tombe rapidement. Les mesures sont connues : utiliser des comptes de service gérés (gMSA), dont le mot de passe long est renouvelé automatiquement, imposer des mots de passe aléatoires d’au moins une vingtaine de caractères aux autres comptes, désactiver le chiffrement RC4 quand c’est possible, retirer les droits inutiles, et surveiller les demandes massives de tickets, signal typique de cette technique.
Qu’est-ce que cela change pour vous ?
Kerberoasting transforme n’importe quel compte du domaine, même le plus anodin, en tremplin vers des comptes de service parfois très privilégiés. C’est l’un des premiers contrôles réalisés lors d’un audit interne, car la correction est peu coûteuse.
Exemple illustratif (fictif)
Supposons une entreprise industrielle dont un compte de service de sauvegarde, créé il y a plusieurs années avec un mot de passe court, est membre d’un groupe d’administration. Son mot de passe pourrait être retrouvé en quelques heures à partir d’un simple ticket de service.
La confusion fréquente
Croire que l’attaque est détectable par des alertes de connexions échouées. Le cassage se déroule hors ligne : le réseau ne voit qu’une demande de ticket, parfaitement normale prise isolément.
Comment le détecter chez vous ?
- Audit Active Directory : la prestationSavoir qui peut devenir administrateur du domaine, et par quel chemin.
- Durcissement : la prestationAprès le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
Aller plus loin
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ComparatifTest d’intrusion interne ou externe : lequel choisir ?Un test d’intrusion externe part d’Internet, un test interne part d’un poste ou d’un compte déjà dans le réseau. Ce que chacun révèle, son prix d’entrée et dans quel ordre les mener.
Termes liés
- AttaqueChemin d’attaque Active Directory : définitionUne suite de relations de confiance, de droits et de configurations dans Active Directory qui permet de passer d’un compte ou d’une machine compromise à un compte administrateur du domaine.
- AttaqueÉlévation de privilèges : définitionL’obtention de droits supérieurs à ceux accordés au départ, soit en accédant à un rôle plus puissant (élévation verticale), soit en accédant aux ressources d’un autre utilisateur de même niveau (élévation horizontale).
- DéfenseMoindre privilège : définitionLe principe selon lequel chaque utilisateur, application ou service ne dispose que des droits strictement nécessaires à sa tâche, pour la durée nécessaire.
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début