Kerberoasting Network Trace

Définition

Kerberoasting est une technique d'attaque Active Directory permettant à un attaquant authentifié de demander des tickets Kerberos (TGS - Ticket Granting Service) pour des comptes de service disposant d'un SPN (Service Principal Name), puis d'effectuer une attaque par force brute hors ligne sur ces tickets pour récupérer les mots de passe en clair des comptes de service. La détection forensique du Kerberoasting s'effectue via les journaux du contrôleur de domaine et les traces réseau Kerberos. Le mécanisme de Kerberoasting est le suivant : l'attaquant utilise son compte Active Directory valide pour demander des tickets TGS Kerberos (via KerberosRequestForService ou des outils comme Rubeus/Impacket GetUserSPNs.py) pour tous les comptes avec SPNs configurés. Ces tickets TGS sont chiffrés avec le hash NTLM du compte de service correspondant, et peuvent être extraits et soumis à des outils de cracking (Hashcat, John the Ripper) hors ligne sans déclencher d'alertes de verrouillage de compte. Forensiquement, Kerberoasting génère des Event IDs Windows spécifiques sur le contrôleur de domaine. L'Event ID 4769 (A Kerberos service ticket was requested) avec le champ TicketEncryptionType = 0x17 (RC4-HMAC, le plus faible et le plus facile à cracker) est le marqueur principal. Un volume anormalement élevé de ces événements depuis la même IP source sur une courte période, demandant des tickets pour de nombreux comptes différents, est caractéristique du Kerberoasting automatisé. Dans les captures PCAP, le trafic Kerberoasting est visible comme des requêtes Kerberos TGS-REQ/TGS-REP à destination du port 88 TCP/UDP du contrôleur de domaine. Les dissecteurs Wireshark pour le protocole Kerberos permettent d'analyser ces requêtes et d'identifier les comptes demandés. La corrélation entre les logs Event ID 4769 et les PCAP Kerberos fournit des preuves convergentes robustes.