SPN Enumeration

Définition

La SPN Enumeration désigne la phase de reconnaissance consistant à recenser l'ensemble des Service Principal Names enregistrés dans un domaine Active Directory, une étape préalable indispensable à l'exécution d'une attaque de Kerberoasting, puisque seuls les comptes disposant d'un SPN peuvent faire l'objet d'une demande de ticket de service (TGS) exploitable pour cette technique. Cette énumération s'effectue via une simple requête LDAP filtrée sur l'attribut servicePrincipalName, accessible à tout utilisateur authentifié du domaine sans nécessiter de privilège particulier, ce qui explique pourquoi cette phase de reconnaissance ne génère généralement aucune alerte de sécurité en elle-même, contrairement à la demande de TGS qui la suit et qui peut, elle, être surveillée via l'Event ID 4769. Des outils comme Rubeus (module kerberoast), Impacket (GetUserSPNs.py) ou PowerView (Get-DomainSPNTicket) automatisent cette énumération et l'enchaînent directement avec la demande de tickets pour l'ensemble des comptes identifiés, produisant une liste de hachages exploitables pour un cassage hors ligne ultérieur via Hashcat. La SPN Enumeration révèle fréquemment des comptes de service historiques disposant de privilèges élevés et de mots de passe anciens, rarement renouvelés faute de rotation automatisée, ce qui explique pourquoi le Kerberoasting demeure l'une des techniques les plus rentables en pentest Active Directory malgré son ancienneté et sa large documentation.