Privilege

escalation
Attaques
Kerberoasting
GOUFI HADIL
 Tableau de contenu

01 Introduction 02 Qu’est-ce que

Kerberos ?

Qu’est-ce que Comment se

protéger contre
03 le
kerberoasting
04 les attaques par
? Kerberoasting ?

05 Conclusion
01 Introduction :
Présentation de l'élévation des
privilèges (Privilege escalation)
L'élévation de privilèges est le processus d'exploitation des
vulnérabilités d'un système pour obtenir des niveaux
d'accès plus élevés que prévu initialement. Il s'agit d'un
problème critique en matière de sécurité informatique car il
permet aux attaquants de prendre le contrôle
d'informations, de systèmes et de réseaux sensibles. Il
existe différentes méthodes que les attaquants peuvent
utiliser pour élever les privilèges, telles que l'exploitation de
vulnérabilités logicielles, d'autorisations mal configurées ou
de mots de passe faibles, et parmi ces méthodes, nous
verrons l'attaque Kerberoasting, qui est la plus dangereuse.
Un compte d'administrateur de
domaine est le Cœur des comptes
privilégiés et le plus haute autorité
dans un environnement Microsoft
Active Directory. Si un attaquant
parvient à mettre la main sur un
compte d'administrateur de domaine
dans le domaine, il aura accès à
pratiquement tout. Kerberoasting est
une technique que les attaquants
peuvent utiliser pour élever les
privilèges au sein d'Active Directory.
 Qu’est-ce
02 que
Kerberos
?
Le nom "Kerberos" est
inspiré de la mythologie
grecque, en particulier du
chien de garde à trois têtes
connu sous le nom de
"Kerberos" en anglais
Après la dernière version de
Kerberos Kerberos V5,
n'importe quel système peut
gérer Kerberos, même Mac
et Linux.
développé par le
Massachusetts Institute of
Technology (MIT).
au cours des années 1980.
Kerberos a été utilisé par
Microsoft au début de
Server 2000.
Pour comprendre le kerberoasting, nous devons
d'abord comprendre Kerberos lui-même.
Kerberos est le protocole d'authentification
utilisé dans Active Directory de Microsoft.
Il est utilisé pour vérifier l'identité d'un utilisateur
ou d'un ordinateur demandant l'accès aux
ressources. Les clients reçoivent un jeton
spécial appelé ticket à l'aide du centre de
distribution de clés Kerberos (KDC) d'Active
Directory.
Le Ticket Granting Ticket (TGT) d'Active
Directory est le mécanisme qui accorde les
autorisations nécessaires pour demander un
ticket Ticket Granting Service (TGS). Le ticket
TGS est ensuite utilisé pour accéder aux
ressources du domaine, telles que les serveurs
de fichiers.
 Trois chiens de Kerberos, chacun Représenter:

Key Distribution Authentication Ticket Granting

center (KDC) Service (AS) Service (TGS)
le KDC est un centre de l'AS est un serveur le TGS est un serveur de
distribution de clés qui d'authentification qui délivrance de tickets qui
gère le processus délivre des tickets Ticket- émet des tickets de
d'authentification et de Granting Ticket (TGT) de service aux utilisateurs
distribution des session aux utilisateurs( pour accéder à des
clés(Garantit l’identité de Vérifiez l’identité de services spécifiques (Elle
l’utilisateur.) l’utilisateur sur le réseau). vous donne le tickets , qui
à son tour vous donne la
permission d'accéder au
service de votre choix).
03 Qu’est-ce que le
kerberoasting ?
 Kerberoasting-
GetSPNUsers.py

Les attaquants utilisent des outils pour énumérer les

comptes de service et leurs SPN (noms principaux de
service) respectifs, demander un ticket de service
Kerberos pour les services, capturer les tickets TGS
(Ticket Granting Service) de la mémoire, extraire leurs
hachages et les enregistrer pour une utilisation
ultérieure dans un fichier. attaque par force brute
hors ligne.
Gravité : Élevée
Utilisateur Ahmed

1 (AS-REQ) - Request (TGT)

Kerberos
(AS-REP) - Receive (TGT)
2

(TGS-REQ) - Present TGT Request (TGS)

3

(TGS-REP) - Receive (TGS) SPN(Service Principle Name)

4

(AP-REQ) -- Present TGS for Access

5

(AP-REP) -- Refused
6
 Exemple:
Tout ce dont un pirate informatique a besoin pour accéder, c'est d'un agent non privilégié.

Tout ce dont nous avons

besoin serveur Windows
contient le rôle active
Directory
Un agent simple :
Username = test1
Password = Abc@123456
Nom de domaine: test.local
Adresse IP de domaine :
192.168.127.162
Nous avons besoin package: noPac
Pirate avec
succés

Nom de machine:
TEST_DC_01

Maintenant
l’expliote:
Ajouter user fake1
Nous augmentons progressivement les pouvoirs:
Désormais, le pirate informatique dispose de pouvoirs complets et les plus
élevés.
Authentification Autorisation

Kerberos Le service

Assurez-vous que Authentification plus

l’utilisateur dispose Les pouvoirs (
d'un nom d'utilisateur permisson) possédés
et d'un mot de passe par le utilisateur dans
corrects ce service
04 Comment se protéger contre
les attaques par Kerberoasting
information flat icons of people locks shields keys

?
Ces attaques peuvent être difficiles à détecter car
elles ne reposent pas sur des logiciels malveillants,
ce qui signifie qu'elles ne seront pas détectées par
un antivirus ou d'autres solutions traditionnelles.
Kerberoasting est difficile à détecter pour toute
solution de cybersécurité qui n'analyse pas le
comportement des utilisateurs approuvés. —
 Contre-mesures et techniques
d’atténuation:
-Réduire la surface d'attaque en limitant le nombre de comptes de service avec la pré-
authentification de Kerberos activée.

-Appliquer des politiques de mots de passe solides et mettre en place une authentification
à facteurs multiples pour prévenir les attaques de devinette de mots de passe.

-Specops Password Auditor un outil d'audit automatisé qui vérifie les mots de passe
des comptes d'utilisateurs Active Directory

-Surveiller les activités suspectes, telles que les tentatives répétées de pré-
authentification de Kerberos échouées ou les modèles de trafic réseau inhabituels.

-Mettre en œuvre la segmentation du réseau pour limiter l'impact d'une attaque réussie de
Kerberoasting.an working with a computer
05 Conclusion :
l'élévation des privilèges représente une menace sérieuse pour la
sécurité des systèmes informatiques. Comprendre les mécanismes et
les risques associés à ce phénomène est essentiel pour mettre en place
des mesures de prévention efficaces. En gardant à l'esprit les bonnes
pratiques de sécurité, en restant à jour sur les dernières vulnérabilités
et en mettant en œuvre des mesures de protection appropriées, nous
pouvons contribuer à renforcer la résilience de nos systèmes contre ce
type d'attaque.
Est-ce que vous avez
des question ?

CREDITS: This presentation template was created by

Slidesgo, including icons by Flaticon, infographics & images
by Freepik