Kerberos PAC Nasıl Çalışır?

Ayrıcalıklı Özellik Sertifikası (PAC), kimliği doğrulanan kullanıcı ve ayrıcalıkları hakkında bilgi içeren Kerberos hizmet biletlerinin bir uzantısıdır. Bir etki alanı denetleyicisi, bir kullanıcı Active Directory (AD) etki alanında kimlik doğrulaması yaptığında PAC bilgilerini Kerberos biletlerine ekler. Kerberos bilet hizmetleri diğer sistemlerde kimlik doğrulaması yapmak için kullanıldığında, etki alanı denetleyicisini sorgulamaya gerek kalmadan ayrıcalık düzeylerini belirlemek için kullanıcının biletinden PAC'yi alabilir.

Bu kılavuz, Kerberos PAC'ı içeren çeşitli saldırıları, bunlara karşı savunma için PAC doğrulamasının sınırlamalarını ve Netwrix çözümlerinin nasıl yardımcı olabileceğini ayrıntılarıyla anlatır. Ayrıca Kerberos PAC hakkında sık sorulan sorulara da yanıt verir.

Kerberos PAC'ı kötüye kullanan saldırılar

PAC'ler çok değerli bilgiler içerdiğinden, birden çok Windows AD saldırı tekniğinin hedefidirler. İşte en iyilerden bazıları.

Ayrıcalık Yükseltme Saldırıları (CVE-2014-6324)

Windows Server sürüm 2012 R2 ve önceki sürümlerdeki PAC doğrulama algoritmasındaki bir güvenlik açığı 2014 yılında kamuya açıklandığında PAC, AD ayrıcalık yükseltme saldırılarının hedefi haline geldi. Bu güvenlik açığı, saldırganların ele geçirdikleri herhangi bir kullanıcı hesabı için etkili bir şekilde bir PAC oluşturmasına olanak tanır. bu kullanıcıyı Etki Alanı Yöneticisi yapın.

Windows siber güvenlik ekibi, MS14-068 güncellemesini yayınlayarak CVE-2014-6324 sorununu hızla çözdü.

Güvenlik açığı ve yama hakkında tam bilgi için Microsoft'un gönderisini okuyun. Bu saldırı ayrıca Black Hat 2015'te ve Adsecurity.org'da da ayrıntılı olarak ele alındı.

Bu güvenlik açığını test etmek için Python Kerberos Exploitation Kit (PyKEK) veya Kekeo'yu kullanabilirsiniz.

Altın ve Gümüş Biletler

Altın Biletler ve Gümüş Biletler ayrıca saldırganların bir Active Directory saldırısında sahte PAC'lerden yararlanmasına da olanak tanır.

Altın Bilet, çalıntı bir KDC anahtarı kullanılarak oluşturulan sahte bir Kerberos bilet verme biletidir (TGT). Saldırganların etki alanındaki herhangi bir kullanıcı için geçerli bir Kerberos TGT oluşturmasına ve ek ayrıcalıklar elde etmek için bu kullanıcının PAC'sini değiştirmesine olanak tanır. Altın Biletler, saldırganların ayrıcalıklı faaliyetler gerçekleştirmek için görünüşte zararsız hesapları kullanabilmesi nedeniyle tespit edilmekten kaçınmak için kullanışlıdır.

Benzer şekilde Gümüş Biletler, saldırganların bilet verme hizmeti (TGS) biletleri için Active Directory PAC'leri oluşturmasına olanak tanır. Ancak Altın Biletlerden farklı olarak Gümüş Biletler, saldırganlara belirli bir ana bilgisayardaki yalnızca belirli bir hizmete erişim hakkı verir. TGS biletleri, hizmetin şifre karmasıyla şifrelenir; böylece bir tehdit aktörü, bir hizmetin karmasını çalarsa, o hizmet için TGS biletleri oluşturabilir.

Bazen hizmet hesaplarının hakları sınırlıdır. Bunun iyi bir örneği, söz konusu SQL sunucusunda barındırılan veritabanları üzerinde sistem düzeyinde haklara sahip olmayan bir SQL hizmet hesabıdır. Ancak saldırganlar Gümüş Biletleri kullanarak PAC'ler oluşturup sınırlı haklara sahip bir hizmet hesabına ekstra ayrıcalıklar verip hedeflerini tamamen tehlikeye atabileceğinden bu hesaplar güvenli değildir.

Aşağıda görebileceğiniz gibi Altın ve Gümüş Biletler, kullanıcılara 512 (Domain Admins) ve 519 (Enterprise Admins) gibi RID'leri kullanan ayrıcalıklı gruplara üyelik sağlar.

PAC Doğrulaması

Sahte PAC'lerin çevresinde güvenliği nasıl uygulayabilirsiniz? PAC doğrulaması her derde deva olmasa da yardımcı olabilir.

PAC doğrulaması, HKLMSYSTEMCurrentControlSetControlLsaKerberosParameters adresinde bulunan ValidateKdcPacSignature kayıt defteri anahtarı tarafından kontrol edilir. Bu anahtarın 0'a ayarlanması PAC doğrulamasını kapatacaktır.

Bir Windows sisteminde PAC doğrulaması etkinleştirildiğinde, bu sistemde kimlik doğrulaması yapan kullanıcının PAC'si, geçerliliğinden emin olmak için Active Directory'ye göre kontrol edilecektir; ancak yalnızca belirli ölçütler karşılandığında.

Özellikle Microsoft'un açıkladığı gibi:

Windows işletim sistemi, hizmetin TCB ayrıcalığına sahip olmadığı ve Hizmet Denetim Yöneticisi (SCM) hizmeti olmadığı durumlarda PAC doğrulama mesajlarını DC'nin NetLogon hizmetine gönderir. Yerel Güvenlik Yetkilisi Alt Sistem Hizmeti (LSASS) işlemi, LSA istemcisi (uygulama sunucusu) yerel sistem, ağ hizmeti veya yerel hizmet bağlamında çalışmadığında DC'ye PAC doğrulama iletileri gönderecektir; veya SeTCBayrıcalığına sahip değildir (İşletim sisteminin bir parçası olarak hareket eder).

Başka bir deyişle, PAC doğrulaması, saldırganların Gümüş ve Altın Biletleri çalıştırmasını engellemez. PAC doğrulaması olsun veya olmasın, testlerimde, Gümüş ve Altın Biletleri bir hedef sisteme karşı kullanmayı başardım.

Kullanıcı PAC'ını Keşfetmek

Bir kullanıcı için PAC'ye bakmakla ilgileniyorsanız getPAC.py komut dosyasıyla birlikte gelen Impacket, başlamanın harika bir yoludur.

Bunu Windows'ta test etmek için CommandoVM'ye göz atmalısınız. Bu araç getPAC.py komut dosyasını (ve daha birçoklarını) yürütülebilir dosyalar olarak paketler, böylece Python bağımlılıkları konusunda endişelenmenize gerek kalmaz.

getPAC.py betiğiyle herhangi bir özel ayrıcalığa sahip olmayan herhangi bir kullanıcıyı hedefleyebilir ve PAC ayarlarını ve bilgilerini döndürebilirsiniz:

Gördüğünüz gibi script grup üyeliğinden çok daha fazlasını döndürüyor. Bu sonuçlar, bilgi grubu anahtarları ve Kerberos grup üyeliği hakkında daha fazla bilgi edinmek için Microsoft'un Ayrıcalık Öznitelik Sertifikası veri yapısına ilişkin belgelerine bakın.

Netwrix Nasıl Yardımcı Olabilir?

PAC istemci doğrulaması ve getPAC.py gibi komut dosyaları, kullanıcılarınızı ve verilerinizi yetkisiz erişime karşı koruyabilir. Ne yazık ki, özellikle tehdit aktörleri PAC saldırıları düzenlemek için Altın ve Gümüş Biletler kullanıyorsa yeterli koruma sağlayamıyorlar.

Netwrix'in uçtan uca Active Directory güvenlik çözümü tam da burada devreye giriyor. Kapsamlı, kullanımı kolay ve güvenli olan bu tehdit algılama aracı size şu konularda yardımcı olabilir:

• Güvenlik değerlendirmeleri aracılığıyla güvenlik risklerini tespit edin ve düzeltin.
• Güçlü parola politikalarını etkinleştirin ve kimlik bilgilerini gelişmiş tehditlere karşı koruyun.
• Mevcut ayrıcalıklı hesapları tam zamanında, yeterli erişimle değiştirin.
• İhlalleri önlemek için karmaşık tehditleri zamanında tespit edin.
• Güvenlik protokollerini doğrulayın, oluşturun ve güçlendirin.
• Uyumluluk denetimleri için gerekli güvenlik raporlarını oluşturun.
• Beklenen tehditlere verilen yanıtları otomatikleştirin.
• İstenmeyen Active Directory silmelerini ve değişikliklerini geri alın.
• Sürekliliği sağlamak için tam etki alanı kurtarmayı kolaylaştırın.

SSS

Kerberos'ta PAC nedir?

Ayrıcalıklı Özellik Sertifikası (PAC), Kerberos biletinin bir parçasıdır. Kullanıcının ayrıcalıkları hakkında bilgi içerir ve bir Active Directory etki alanında kimlik doğrulaması yapıldığında kullanılır.

PAC doğrulaması nedir?

Bir Windows sisteminde etkinleştirilirse, PAC doğrulaması, kimlik doğrulaması yapan kullanıcının PAC'ının geçerliliğini Active Directory ile karşılaştırarak kontrol edecektir. Maalesef PAC doğrulamasını etkinleştirmek Altın Bilet ve Gümüş Bilet saldırılarını önleyemez.