Active Directory è il cuore identitario di quasi ogni rete aziendale Windows – e proprio per questo il bersaglio finale: chi controlla AD controlla tutto. Gli attacchi sfruttano il protocollo Kerberos:
- Kerberoasting – qualsiasi utente autenticato può richiedere i ticket di servizio (SPN) e portarseli via per craccarli offline: se un account di servizio ha una password debole, si ricava in chiaro. Devastante perché non serve essere admin per iniziare
- AS-REP Roasting – colpisce gli account con la pre-autenticazione Kerberos disabilitata: si ottiene materiale craccabile offline senza nemmeno le credenziali
- Golden/Silver Ticket – con il compromesso dell'account
krbtgt, si forgiano ticket arbitrari: accesso persistente e quasi indelebile
Lo strumento che ha reso tutto questo sistematico è BloodHound: mappa i percorsi di attacco in AD ("da questo utente qualunque, in quattro passi, arrivo a Domain Admin") – e chi difende dovrebbe usarlo per primo. Le difese: password forti e lunghe sugli account di servizio (o gMSA gestiti), tiering degli accessi (gli admin non accedono mai alle workstation, dove le loro credenziali verrebbero rubate), monitoraggio delle richieste di ticket anomale, e l'igiene di eliminare i protocolli legacy.