Unconstrained Delegation
adDéfinition
Délégation Kerberos la plus dangereuse : le serveur stocke le TGT complet de chaque utilisateur s'authentifiant, permettant l'accès à tout service en son nom.
Flag TRUSTED_FOR_DELEGATION. Scénario critique : compromission serveur avec délégation + coercion DC (Printerbug/PetitPotam) = capture TGT du DC = DCSync. Outils : Rubeus monitor. Défenses : suppression de la délégation non contrainte, Protected Users, surveillance logon type 3, désactivation du Print Spooler sur les DC.
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis