Kerberoastでは、攻撃者がKerberos認証プロトコルの内部を悪用し、一般に権限のあるドメインユーザーアカウントをターゲットにします。この攻撃の目的は権限のあるアカウントの平文パスワードを発見し、関連する権限を取得することです。この攻撃は、Active Directory環境内から行うことができます。攻撃者が必要とするのは、単純な権限のないユーザーアカウントのみです。

サービスプリンシパル名属性がアカウントに設定されると、このアカウントの下層のセキュリティがさらに影響を受けます。通常、パスワードセキュリティポリシーは、数回連続してパスワードエラーが発生した後にアカウントをロックするように構成されています。
ただし、この属性を設定すると、パスワードを推測する機会を枯渇させることが可能になります。

Domain Adminsグループのアカウントなどの権限のあるアカウントは、通常Kerberoastingで標的にされます。これらのアカウントへのアクセス権を取得すると、ドメインが完全に不正アクセスされる可能性があります。

デフォルトでは、このチェックは権限がある無効なアカウントをスキップします。権限のある無効なアカウントもチェックするには、完全なテストを有効にしてください。

注意:  AD Starter Scan および関連するプラグインは、予備的な分析を目的とした小規模の AD デプロイメントでの使用を意図しています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

検出

AD Starter Scan-Kerberoasting

high Nessus プラグイン ID 150480

バージョン 1.133