Bei internen Kompromittierungen von Active Directory-Umgebungen bleibt die Kerberoasting-Technik (MITRE ATT&CK T1558.003) einer der gefährlichsten Pfade zur Privilegienerweiterung. Da hierfür keinerlei administrative Rechte im Vorfeld erforderlich sind, kann jedes authentifizierte Domänenkonto beim Key Distribution Center (KDC) Kerberos-Servicetickets (TGS-REQ) für Konten mit registriertem Service Principal Name (SPN) anfordern. Das Angriffsziel: den verschlüsselten Anteil der Ticket-Antwort (TGS-REP) abfangen und das Kennwort des Dienstkontos offline per Brute-Force brechen.
Angriffsanatomie: Downgrade auf die veraltete RC4-Verschlüsselung
Moderne Kerberos-Implementierungen nutzen standardmäßig starke Verschlüsselungsverfahren wie AES-256 (Typ 0x12). Bei zielgerichteten Kerberoasting-Angriffen über Werkzeuge wie Rubeus oder Impacket erzwingen Angreifer jedoch bewusst eine Aushandlung des veralteten Typs RC4-HMAC-MD5 (Typ 0x17). Der Grund liegt in der Rechenleistung: Das Brechen eines aus einem RC4-Ticket abgeleiteten NTLM-Hashes mittels Hashcat ist mehrere hundert Mal schneller als bei AES-256, das aufwendige PBKDF2-HMAC-SHA1-Iterationen erfordert.
Die TGS-Tickets werden auf den Angreifer-Host übertragen und vollständig offline analysiert. Auf den eigentlichen Zielsystemen des Dienstes entstehen dabei keinerlei verdächtige Anmeldeereignisse.
Telemetrie-Blinde-Flecken in Defender for Identity
Obwohl Defender for Identity den Kerberos-Verkehr auf den Domänencontrollern kontinuierlich überwacht, stützen sich Standard-Erkennungsregeln häufig auf starre Schwellenwerte oder bekannte Werkzeug-Signaturen. Fortgeschrittene Angreifer umgehen diese Alarme mit sogenannten Low-and-Slow-Methoden: Sie strecken TGS-Abfragen über Stunden oder fordern gezielt nur einzelne Tickets außerhalb der Geschäftszeiten an. Zudem enthalten viele Legacy-Infrastrukturen noch legitime Dienste, die historisch auf RC4 konfiguriert sind, was die Erkennung erschwert.
Um diese Angriffe verlässlich ohne Falschmeldungen durch Standard-Computerkonten zu isolieren, müssen Sicherheitsanalysten die Rohdaten der Tabelle IdentityLogonEvents im Advanced Hunting (KQL) gezielt filtern.
KQL-Abfrage: Erkennung auffälliger RC4 TGS-Abfragen
Diese Abfrage identifiziert Kerberos-Serviceticket-Anfragen mit RC4-Verschlüsselung, schließt Maschinenkonten aus und aggregiert auffällige Häufungen von SPN-Anfragen:
IdentityLogonEvents
| where Timestamp > ago(24h) and Protocol =~ "Kerberos"
| extend EncryptionType = tostring(parse_json(AdditionalFields).TicketEncryptionType),
TargetSpn = tostring(parse_json(AdditionalFields).Spn)
| where EncryptionType in ("0x17", "RC4-HMAC-MD5", "RC4")
| where not(AccountName endswith "$") and not(TargetSpn startswith "HOST/")
| where TargetAccountDisplayName !endswith "$" and TargetAccountDisplayName != "krbtgt"
| summarize
RequestedSpnCount = dcount(TargetSpn),
SpnList = make_set(TargetSpn, 10),
TargetAccounts = make_set(TargetAccountDisplayName, 10),
FirstSeen = min(Timestamp),
LastSeen = max(Timestamp)
by AccountName, AccountDomain, IPAddress
| where RequestedSpnCount >= 3
| extend DurationSeconds = datetime_diff('second', LastSeen, FirstSeen)
| project FirstSeen, LastSeen, DurationSeconds, AccountName, AccountDomain, IPAddress, RequestedSpnCount, SpnList, TargetAccounts
| sort by RequestedSpnCount descSOAR-Orchestrierung und Gegenmaßnahmen mit Akuity SOC
Wird eine Kerberoasting-Aktivität erkannt, zählt jede Minute, bevor der Passwort-Hash offline ermittelt werden kann. Akuity SOC überführt den Befund unmittelbar in koordinierte Abwehrmaßnahmen:
- Sichere In-App-Dekodierung: Der integrierte KI-Assistent von Akuity SOC korreliert RC4 TGS-REQ-Bursts und isoliert kompromittierte Dienstkonten in Echtzeit, ohne sensible Hashes oder ASN.1-Strukturen an externe Webdienste zu übermitteln.
- Koordinierte 1-Klick-SOAR-Reaktion: Sofortige Ausführung von
confirmUserCompromised()undrevokeSessions()für das anfragende Benutzerkonto in Microsoft Entra ID sowie parallele Ausführung vonisolateDevice()über Defender for Endpoint, um den Angreifer-Host zu isolieren. - Zertifizierte Zero-Trust-Governance: Sicherheitskritische Privilege-Elevation unterliegt strikter MFA AAL2-Validierung und wird manipulationssicher in Audit-Logs nach NIS 2- und SOC 2 Type II-Standards protokolliert.
Isolieren Sie kompromittierte Systeme automatisch und sperren Sie Identitäten über die SOAR-Plattform von Akuity SOC.
Starten Sie Ihre 14-tägige Testversion (ohne Kreditkarte) →Technische Mini-FAQ
Warum fokussieren Angreifer Dienstkonten statt regulärer Benutzerkonten?
Dienstkonten besitzen häufig administrative Privilegien auf Datenbanken oder Servern, während deren Kennwörter aus Angst vor Betriebsausfällen selten geändert werden. Da jeder authentifizierte Benutzer im Active Directory SPNs abfragen darf, sind diese Konten ideale Angriffsziele.
Wie lässt sich Kerberoasting architektonisch dauerhaft verhindern?
Die nachhaltigste Lösung besteht in der Migration auf Group Managed Service Accounts (gMSA) mit automatisierten, 128 Zeichen langen Kennwörtern sowie der vollständigen Deaktivierung von RC4 in den Kerberos-Gruppenrichtlinien der Domäne zugunsten von AES-128 und AES-256.