Asosiy xulosa
Xizmat hisoblarini cheklang va boshqaring, NTLMni roʻyxatlang va imkon boʻlsa kamaytiring, imtiyozli kirish maʼlumotlarini himoyalang, Kerberos va Windows hodisalarini bogʻlang. Domen kontrolleri replikatsiyasini tasdiqlagach, KRBTGT kalitini insident rejasi orqali almashtiring.
Kerberos va NTLM vazifalarini tushuning
Windows Active Directoryda Kerberos asosiy protokoldir: mijoz KDCdan TGT, keyin xizmatga kirish uchun xizmat chiptasini oladi. NTLM (NT LAN Manager) — ayrim moslik holatlari uchun saqlangan eski chaqiriq-javob protokoli. NTLM parol xeshi ochiq parol emas, ammo mos autentifikatsiya oqimida ishlatilishi Pass-the-Hash xavfini yaratadi. Protokol va jurnal tahlilida bu farqlarni saqlang.
Hujum turlarini taqqoslang
Bu usullar turli kirish maʼlumotlari va Kerberos chipta bosqichlarini nishonga oladi. Buzilgan hisob yoki tizimni aniqlash javob koʻlami va ustuvorligini belgilashga yordam beradi.
| Usul | Nishon va dastlabki shart | Himoya yoʻnalishi |
|---|---|---|
| Kerberoasting | Xizmat SPNsi uchun soʻralgan Kerberos xizmat chiptasining shifrlangan qismi xizmat hisobi parolini oflayn topishga ishlatilishi mumkin. | Uzun noyob xizmat hisobi parollari, qoʻllansa guruh boshqaradigan xizmat hisoblari (gMSAs), eng kam imtiyoz va noodatiy xizmat chiptasi soʻrovlarini kuzatish. |
| Pass-the-Hash | Oʻgʻirlangan NTLM xeshi parolni tiklamasdan autentifikatsiya uchun qayta ishlatiladi. | Mahalliy administrator huquqini cheklang, imtiyozli seanslarni ajrating, Protected Users va Credential Guard kabi mos Windows nazoratlarini baholang va eski NTLM ishlatilishini kamaytiring. |
| Silver Ticket | Muayyan xizmat uchun Kerberos xizmat chiptasi shu xizmat hisobi kaliti bilan qalbakilashtiriladi va KDCga murojaatsiz taqdim etilishi mumkin. | Xizmat hisoblarini himoyalang, Kerberos imzo tekshiruvini yoqilgan saqlang va xizmat hamda domen kontrolleri telemetriyasini birga koʻrib chiqing. |
| Golden Ticket | KRBTGT kaliti olingach, soxta TGT yaratiladi; taʼsir butun domenni qamrashi mumkin. | Domen kontrollerlari va 0-darajali hisoblarni himoyalang; buzilishdan keyin ikki bosqichli KRBTGT tiklashi va replikatsiya tekshiruvlari uchun domenlar oʻrmonini tiklash tartibidan foydalaning. |
Indikatorlarni kontekstda tekshiring
Qisqa vaqtda koʻp SPNga TGS soʻrovlari oqimini, ayniqsa bitta foydalanuvchi yoki manbadan boʻlsa, koʻrib chiqing; eski shifrlash va kutilmagan xizmat hisobi faoliyatini hisobga oling. Domen kontrolleri va xizmat jurnallari boʻylab chipta vaqti, foydalanuvchi, manba qurilmasi va xizmatni bogʻlang. Muvaffaqiyatli autentifikatsiya imtiyozli guruh oʻzgarishi, noodatiy masofaviy kirish yoki xizmat sozlamasi oʻzgarishi bilan bir vaqtda kelsa tekshiring. Bitta hodisa IDsi hujumni tasdiqlamaydi.
Javob va tiklashni rejalashtiring
Insidentda gumonli foydalanuvchi va xizmat hisoblarini cheklang, tegishli parol va kalitlarni toza boshqaruv ish stansiyasidan almashtiring, seans va chipta muddatlarini hisobga oling, jurnallarni saqlang va domen kontrolleri holatini tekshiring. Ikki bosqichli KRBTGT tiklashi tegishli insident va tiklash tartibiga kiradi: Microsoft yoʻriqnomasi birinchi tiklashdan keyin sozlangan maksimal chipta muddatidan uzoqroq kutish va domen replikatsiyasini tekshirishni talab qiladi. Tiklashlarni tasdiqlangan reja asosida domen mutaxassisi bilan muvofiqlashtiring.