Giải mã kỹ thuật tấn công Red Team: Pass-the-Hash và Kerberoasting trong môi trường Active Directory

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

• Pass-the-Hash (PtH) cho phép kẻ tấn công xác thực vào hệ thống bằng cách sử dụng NTLM hash thay vì mật khẩu gốc.
• Kerberoasting khai thác giao thức Kerberos để lấy ticket dịch vụ và bẻ khóa mật khẩu offline.
• Bảo mật Active Directory yêu cầu chiến lược phòng thủ đa lớp, bao gồm quản lý đặc quyền và giám sát hành vi bất thường.

Trong thế giới an ninh mạng, việc hiểu rõ tư duy của kẻ tấn công là chìa khóa để xây dựng hệ thống phòng thủ kiên cố. Khi các doanh nghiệp vẫn đang loay hoay với khoảng trống bảo mật AI Agent, thì những phương thức tấn công truyền thống vào Active Directory (AD) vẫn luôn là mối đe dọa thường trực. Việc nắm vững các kỹ thuật như Pass-the-Hash và Kerberoasting không chỉ là yêu cầu bắt buộc đối với một Red Teamer mà còn là bài học sống còn cho bất kỳ kỹ sư hệ thống nào.

Cơ chế tấn công Pass-the-Hash (PtH)

Pass-the-Hash là kỹ thuật cho phép kẻ tấn công xác thực vào một máy chủ hoặc dịch vụ từ xa bằng cách sử dụng NTLM hash của người dùng thay vì mật khẩu dạng văn bản thuần (plaintext). Điều này xảy ra do cách thức Windows lưu trữ thông tin xác thực trong bộ nhớ LSASS (Local Security Authority Subsystem Service).

Quy trình thực hiện PtH

1. Kẻ tấn công chiếm quyền quản trị cục bộ (Local Admin) trên một máy trạm.
2. Trích xuất NTLM hash từ bộ nhớ hoặc cơ sở dữ liệu SAM.
3. Sử dụng các công cụ như Mimikatz để đưa hash vào phiên làm việc hiện tại.
4. Truy cập tài nguyên mạng mà không cần biết mật khẩu thật.

Lưu ý: Việc triển khai các giải pháp bảo mật như OneCLI: Giải pháp bảo mật Credential Gateway là bước đi cần thiết để ngăn chặn việc rò rỉ thông tin xác thực trong các môi trường tự động hóa.

Kerberoasting: Khai thác điểm yếu của Kerberos

Khác với PtH, Kerberoasting tập trung vào việc lạm dụng giao thức Kerberos. Trong môi trường AD, các dịch vụ (như SQL Server, IIS) chạy dưới tài khoản người dùng thường có các Service Principal Names (SPN).

Các bước tấn công Kerberoasting

• Bước 1: Yêu cầu Ticket cấp dịch vụ (TGS) cho một SPN cụ thể từ Domain Controller.
• Bước 2: TGS được mã hóa bằng hash mật khẩu của tài khoản dịch vụ đó.
• Bước 3: Kẻ tấn công trích xuất TGS và thực hiện tấn công bẻ khóa mật khẩu (brute-force) offline.

Đánh giá & Lời khuyên Thực tiễn

Từ góc nhìn của một kỹ sư cấp cao, cả hai kỹ thuật này đều khai thác những thiết kế cốt lõi của Windows.

Ưu điểm: Cực kỳ hiệu quả trong việc leo thang đặc quyền và di chuyển ngang (lateral movement) trong mạng nội bộ.
Nhược điểm: Đòi hỏi kẻ tấn công phải có chỗ đứng ban đầu (initial access) vững chắc.

Lời khuyên:

• Hạn chế tối đa việc sử dụng tài khoản quản trị miền cho các tác vụ hàng ngày.
• Triển khai Tiered Administration Model để cô lập các tài khoản đặc quyền cao.
• Giám sát chặt chẽ các sự kiện đăng nhập bất thường, tương tự như cách chúng ta giám sát uptime HTTP để đảm bảo tính sẵn sàng của hệ thống.

Câu hỏi thường gặp (FAQ)

Làm sao để phát hiện Kerberoasting?

Bạn nên theo dõi các sự kiện Event ID 4769 trong nhật ký bảo mật của Domain Controller, đặc biệt là các yêu cầu TGS sử dụng mã hóa yếu như RC4.

Pass-the-Hash có thể bị chặn hoàn toàn không?

Không thể chặn 100%, nhưng việc sử dụng 'Protected Users' group và vô hiệu hóa NTLM trong môi trường mạng sẽ giảm thiểu đáng kể rủi ro.

Tại sao kẻ tấn công lại thích Kerberoasting?

Vì nó không tạo ra lưu lượng truy cập đáng ngờ trên máy chủ đích, khiến việc phát hiện bằng các giải pháp IDS truyền thống trở nên vô cùng khó khăn.

Kết luận

Hiểu rõ Pass-the-Hash và Kerberoasting là bước đầu tiên để xây dựng một hệ thống phòng thủ chủ động. Bảo mật không chỉ là cài đặt phần mềm, mà là quá trình liên tục đánh giá rủi ro và tối ưu hóa kiến trúc. Hãy tiếp tục cập nhật kiến thức bảo mật tại hi_dev để không trở thành nạn nhân của những cuộc tấn công tinh vi. Nếu bạn quan tâm đến việc bảo vệ hạ tầng, đừng bỏ qua các bài viết chuyên sâu về kỹ năng debugging để xử lý các lỗ hổng phần mềm ngay từ giai đoạn phát triển.