Überprüfen Sie die Konfiguration der Kerberos U2U-Authentifizierung in Ihrer Active Directory-Umgebung.
Wird laut Meldung tatsaechlich ausgenutzt: in the wild+12
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
User-to-User Authentication: Down the Rabbit Hole – Part 1
TL;DR: This blog post covers Windows internals and how Kerberos user-to-user (U2U) authentication works under the hood versus showing how to execute an attack. U2U authentication came into the spotlight after the Active Directory Certificate Services (ADCS), UnPAC-the-Hash, and Shadow Credentials...
SecBoard-Einordnung
Das Verständnis der Kerberos U2U-Authentifizierung ist entscheidend, um potenzielle Schwachstellen im Zusammenhang mit ADCS, UnPAC-the-Hash und Shadow Credentials zu erkennen und abzuwehren. Eine Fehlkonfiguration oder Ausnutzung könnte zu unbefugtem Zugriff führen.
Realistisch schlimmster Fall: Der schlimmste Fall ist die Kompromittierung der Kerberos U2U-Authentifizierung, die es Angreifern ermöglichen könnte, sich als legitime Benutzer auszugeben und weitreichenden Zugriff auf Netzwerkressourcen zu erlangen, was zu Datenexfiltration oder Systemmanipulation führen kann.
Empfehlung: Überprüfen Sie die Konfiguration der Kerberos U2U-Authentifizierung in Ihrer Active Directory-Umgebung. Stellen Sie sicher, dass Best Practices für ADCS und die Handhabung von Anmeldeinformationen befolgt werden, um Angriffe wie UnPAC-the-Hash und Shadow Credentials zu verhindern.
Betroffen
Organisationen, die Windows-Systeme und Active Directory für die Authentifizierung nutzen, insbesondere mit Kerberos U2U-Authentifizierung.
Prüfen
3- ▸Überprüfen Sie die Konfiguration Ihrer Active Directory Certificate Services (ADCS) auf bekannte Schwachstellen und Fehlkonfigurationen.
- ▸Führen Sie Audits Ihrer Kerberos-Protokolle durch, um ungewöhnliche U2U-Authentifizierungsanfragen oder -fehler zu identifizieren.
▸ 1 weitere▾ weniger
- ▸Testen Sie die Erkennungsfähigkeiten Ihrer SIEM-Systeme für Angriffe, die auf Kerberos U2U-Authentifizierung abzielen, wie z.B. Shadow Credentials oder UnPAC-the-Hash.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Der Artikel spezifiziert keine konkreten CVEs oder Exploits.
- ▸Es werden keine spezifischen betroffenen Versionen von Windows oder Active Directory genannt.
- ▸Der Artikel beschreibt keine konkreten Angriffsvektoren oder IOCs.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Active Directory / Entra extern erreichbar?
- Haben wir Windows extern erreichbar?
- Können wir Credential Access detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(4)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„U2U authentication came into the spotlight after the Active Directory Certificate Services (ADCS), UnPAC-the-Hash, and Shadow Credentials...“
„U2U authentication came into the spotlight after the Active Directory Certificate Services (ADCS), UnPAC-the-Hash, and Shadow Credentials...“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
2
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap