Was ist Kerberoasting?

Kerberoasting ist eine Angriffstechnik gegen Kerberos-Dienstkonten in Active Directory. Ein normal authentifizierter Domänenbenutzer kann für einen Service Principal Name (SPN) ein Service-Ticket anfordern. Teile dieses Tickets sind mit einem Schlüssel geschützt, der aus dem Kennwort des Dienstkontos abgeleitet wird. Der Angreifer versucht das Kennwort anschließend offline zu erraten.

Warum ist der Angriff gefährlich?

Die Ticketanforderung ist ein vorgesehenes Kerberos-Verhalten und benötigt häufig keine erhöhten Rechte. Der eigentliche Rateversuch erfolgt offline, sodass Kontosperren und Login-Rate-Limits nicht greifen. Hat das Dienstkonto ein schwaches, nie rotierendes Kennwort und hohe Berechtigungen, kann ein einziger Treffer zu Privilege Escalation und Lateral Movement führen.

Vereinfachter Ablauf

1. Ein Angreifer besitzt ein normales Domänenkonto.
2. Er ermittelt Konten mit registrierten SPNs und deren Berechtigungen.
3. Für interessante Dienste fordert er reguläre TGS-Tickets an.
4. Ticketdaten werden in einer isolierten Umgebung gegen Kennwortkandidaten geprüft.
5. Ein gefundenes Kennwort ermöglicht die Rechte des Dienstkontos.

Wie lässt sich Kerberoasting verhindern?

• - Group Managed Service Accounts (gMSA) mit automatisch erzeugten, langen und rotierten Kennwörtern bevorzugen.
• - Für unvermeidbare klassische Dienstkonten lange zufällige Kennwörter und geregelte Rotation verwenden.
• - Privilegien minimieren; Dienstkonten nicht als Domain Admin betreiben und interaktive Anmeldung verweigern.
• - Veraltete RC4-Nutzung reduzieren und AES für Kerberos konsequent konfigurieren; starke Kennwörter bleiben erforderlich.
• - SPNs, Kontenalter, Delegation und effektive Berechtigungen regelmäßig inventarisieren.

Wie wird Kerberoasting erkannt?

Windows-Ereignis 4769 dokumentiert TGS-Anforderungen. Auffällig sind ungewöhnlich viele verschiedene SPNs in kurzer Zeit, RC4-Tickets in einer sonst AES-fähigen Umgebung, Anfragen von atypischen Hosts und die Kombination mit Verzeichnisabfragen. Einzelne Service-Tickets sind normal; Erkennung benötigt eine Baseline und Kontext zu Konto, Gerät und Zielservice.

Nützliche Open-Source-Werkzeuge

Impacket enthält Werkzeuge, mit denen autorisierte Tester SPN- und Ticketkonfigurationen prüfen können. BloodHound visualisiert Berechtigungen und Angriffspfade rund um Dienstkonten. Für die Verteidigung lassen sich Sigma-Regeln auf 4769-Ereignisse anwenden. Diese Werkzeuge berühren hochsensible Domänendaten und gehören ausschließlich in abgestimmte Assessments und geschützte Analyseumgebungen.