Autenticación Kerberos leída en los registros

2 tareas · 40 min · Principiante

0 de 2 · 0%

Kerberoasting consiste en solicitar tickets TGS para cuentas de servicio con SPNs (Service Principal Names) asociados y extraer los hashes para descifrarlos fuera de línea. La telemetría revela una avalancha anómala de eventos 4769 con cifrado débil RC4 (0x17) desde un usuario común. Asimismo, un 'Golden Ticket' forjado presenta características deterministas: tiempo de vida absurdo (por ejemplo 10 años / 87,600 horas frente a las 10 horas estándar de Kerberos) y cifrado obsoleto RC4.

Responde para continuar

¿Qué anomalía en el tiempo de vida (ticket_lifetime_hours) y cifrado de un ticket TGT delata la presencia de un Golden Ticket forjado?

Uso obligatorio de certificados digitales emitidos por la entidad certificadora raíz Tiempo de expiración de varios años (87,600 horas) con cifrado obsoleto RC4 en lugar de AES-256 Tiempo de vida estándar de diez horas renovable durante la jornada laboral ordinaria Ticket emitido exclusivamente para comunicarse con la impresora de la oficina

Ver pista de ayuda

Los Golden Tickets forjados suelen configurarse con vigencias de años y algoritmos obsoletos RC4.

Revisa en kerberos_ticket_anomalies el valor registrado en ticket_lifetime_hours para el Golden Ticket.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuántas horas (ticket_lifetime_hours) de vigencia presentaba el ticket detectado?

Ver pista de ayuda

Observa el valor numérico en la columna ticket_lifetime_hours.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Auditoría Defensiva de Active Directory · DC Security Logs

Domain Controller Security Events & Kerberos Telemetry Engine (AD Audit)

Tablas

ad_group_modifications

event_id
target_group
member_added
subject_user
subject_domain
timestamp_utc
change_flag

kerberos_ticket_anomalies

ticket_event_id
service_name
client_name
ticket_encryption
ticket_lifetime_hours
attack_pattern

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Detección defensiva de Kerberoasting y Golden/Silver Tickets

2 Tiempo de vida del ticket en el laboratorio Lab

Whoami-Labs Pro utiliza cookies