یکی از چیزهایی که توی تست Active Directory همیشه باید بررسی بشه، Service Accountها و SPNها هستن.

چرا؟

چون برای درخواست یک Kerberos Service Ticket معمولاً لازم نیست Administrator باشی.

یک Domain User احراز هویت‌ شده میتونه برای Serviceهایی که SPN دارن Ticket بگیره.

حالا مهاجم چی به دست میاره؟

یک Ticket رمزنگاری‌ شده که میتونه خارج از DC و به‌صورت Offline برای Password Guessing بررسی بشه.

اینجا اگر Password مربوط به Service Account ضعیف باشه، داستان جالب میشه.
مثلاً تصور کن:

ا RC4 با Encryption Type 0x17 میتونه یک Signal مهم باشه، اما دیدن RC4 به‌ تنهایی یعنی «Kerberoasting قطعی» نیست.

ممکنه سیستم‌ های Legacy یا Service Accountهای قدیمی واقعاً از RC4 استفاده کنن.

🔹 یک سیستم که در مدت کوتاه برای SPNهای مختلف Ticket می‌گیره

ا 🔹 Requester غیرعادی

ا 🔹 LDAP Enumeration مربوط به servicePrincipalName قبل از TGS Burst

ا 🔹 Service Account با Privilege بالا

🔹 استفاده غیرمعمول از RC4 در محیطی که معمولاً AES استفاده میشه

بهترین کار فقط این نیست که دنبال Kerberoasting بگردیم.

سرویس اکانتهای قدیمی رو بررسی کنیم، Passwordهای قوی و تصادفی داشته باشیم، تا جای ممکن از gMSA استفاده کنیم، SPNهای غیرضروری رو حذف کنیم و Privilege اضافی رو از Service Accountها بگیریم.

ا Kerberoasting شاید با یک User معمولی شروع بشه.

ولی اینکه به کجا ختم بشه، کاملاً به وضعیت همون Service Account بستگی داره.

یک ردتیمر فقط ابزار یاد نمیگیرد.
مهم‌ترین مهارت، نوع تفکر است.

🔹 همیشه مثل مهاجم فکر کن.
ا🔹 TTPهای گروه‌های مهاجم را مطالعه کن.
🔹 همیشه در حال یادگیری باش.
🔹 فقط به آسیب‌ پذیری نگاه نکن؛ به کل مسیر حمله فکر کن.
🔹 امنیت فقط تکنولوژی نیست؛ انسان و فرآیند هم مهم هستند.