Angriffspfade & Abwehr: Kerberos, Replikation, Delegation, ACLs
Einführung · 8 Abschnitte · ~9 Min Lesezeit · Stand
Das Denkmodell: Angriffe folgen der Mechanik, nicht der Magie
Die bekannten AD-Angriffspfade sind kein „Hacken“ im Filmsinn. Sie missbrauchen legitime Mechanik — die Art, wie Kerberos Tickets ausstellt, wie Domain Controller replizieren und wie Berechtigungen (ACLs) vererbt werden. Als Verteidiger brauchst du deshalb nicht jeden Exploit auswendig, sondern das mentale Modell: Welche Fähigkeit missbraucht der Angriff, und wo sitzt die Barriere, die ihn stoppt?
Priorisieren heißt: Pfade, die direkt zu Tier-0 führen (Domänen-Secrets, krbtgt, Domain Admins), zuerst schließen. Ein Kerberoasting-Fund auf einem unwichtigen Dienstkonto ist ärgerlich; ein Nicht-DC mit Replikationsrechten oder unconstrained delegation ist ein direkter Weg zur Domänenübernahme.
Wo Kerberos-Angriffe ansetzen
Vier der sechs Pfade hängen am Kerberos-Ablauf. Es hilft, sie an der Stelle im Ticket-Fluss zu verorten, an der sie ansetzen:
Roasting: offline knacken, was der DC jedem ausgibt
Zwei Angriffe nutzen aus, dass der DC verschlüsseltes Material ohne besondere Rechte herausgibt — das der Angreifer dann offline knackt (keine fehlgeschlagenen Logins, keine Lockouts):
| **Kerberoasting** | Jeder authentifizierte Domänennutzer darf ein Service-Ticket für jedes Konto mit SPN anfordern. Das Ticket ist mit dem Passwort-abgeleiteten Schlüssel des Dienstkontos verschlüsselt → offline knackbar. Betrifft Nutzerkonten mit SPN (typisch alte Dienstkonten mit schwachem, selten geändertem Passwort). |
|---|---|
| **AS-REP-Roasting** | Konten mit gesetztem Flag „Kerberos-Pre-Authentication nicht erforderlich“ liefern beim AS-Exchange ein AS-REP, dessen verschlüsselter Teil offline knackbar ist — ganz ohne vorher gültige Credentials des Angreifers. |
DCSync: Replikationsrechte sind Domänen-Secrets
Domain Controller replizieren das Verzeichnis untereinander per Directory Replication Service. Wer die Extended Rights `Replicating Directory Changes` und `Replicating Directory Changes All` auf das Domänen-Root-Objekt besitzt, kann sich als DC ausgeben und die Passwort-Hashes jedes Kontos anfordern — inklusive krbtgt. Das ist DCSync.
- Diese Rechte sind standardmäßig auf Domain Admins, Enterprise Admins und die DCs selbst begrenzt. Gefährlich wird es, wenn sie an ein Nicht-DC-Konto delegiert wurden (oft versehentlich, oder für ein Sync-Tool).
- DCSync läuft von jedem domänengejointen Host über legitime RPC-Aufrufe — nicht nur vom DC. Deshalb ist es per Netzwerk-Port kaum sauber vom echten DC-Traffic zu trennen.
- Legitime Ausnahme: Verzeichnis-Sync-Konten (z. B. Entra/Azure AD Connect) benötigen genau diese Rechte. Vor dem Entfernen also den Zweck klären und solche Konten als gehärtetes Tier-0 behandeln.
Unconstrained Delegation: ein Nicht-DC mit Tier-0-Sprengkraft
Ein Server mit unconstrained delegation cached ein weiterreichbares TGT jedes Nutzers, der sich bei ihm authentifiziert. Ein Angreifer, der diesen Server kontrolliert, kann eine privilegierte Identität — bis hin zu einem DC-Computerkonto — zur Authentifizierung zwingen (Auth-Coercion) und dann deren TGT abgreifen. Ergebnis: Domänenübernahme.
- Abwehr an der Fähigkeit: unconstrained delegation eliminieren, auf constrained oder RBCD umstellen (begrenzt auf definierte Ziel-SPNs, kein gecachtes Nutzer-TGT).
- Abwehr an der Identität: privilegierte Konten als „Account is sensitive and cannot be delegated“ markieren und in die Gruppe Protected Users aufnehmen — dann können ihre Tickets gar nicht erst delegiert werden.
- „Nur intern erreichbar“ ist keine Vertrauensgrenze: Auth-Coercion läuft über interne Protokolle, ein einziger kompromittierter Host im selben Netz genügt.
Golden vs. Silver Ticket: gefälschte Tickets und der krbtgt-Reset
Wer die richtigen Schlüssel besitzt, fälscht Tickets, die Kerberos ohne Rückfrage akzeptiert:
| **Golden Ticket** | Gefälschtes TGT, geschmiedet aus dem `krbtgt`-Hash. Erlaubt, sich als beliebiger Nutzer (auch Domain Admin) auszugeben — domänenweit, langlebig. Voraussetzung ist ein früherer krbtgt-Diebstahl (z. B. via DCSync). |
|---|---|
| **Silver Ticket** | Gefälschtes Service-Ticket, geschmiedet aus dem Schlüssel eines Dienstkontos. Begrenzt auf diesen einen Dienst, aber am KDC vorbei — der Dienst prüft nur mit seinem eigenen Schlüssel. |
ACL-Eskalation & AdminSDHolder
Angriffspfade verlaufen in AD über effektive Berechtigungen (DACLs), nicht nur über sichtbare Gruppenmitgliedschaften. Gefährliche ACLs wie `GenericAll` oder `WriteDACL` auf ein sensibles Objekt bedeuten: Wer sie hält, kontrolliert die Identität — er kann das Passwort setzen, sich zur Gruppe hinzufügen oder die ACL weiter aufweichen, ohne je „Mitglied“ zu sein. Ein Mitgliedschafts-Review sieht das nicht.
- Abwehr: effektive Rechte auf privilegierte Objekte auditieren (Tooling wie BloodHound macht diese Pfade sichtbar) und überbreite/verwaiste ACLs entfernen — aber vorher legitime delegierte Verwaltung ausschließen.
- AdminSDHolder/SDProp: Ein Schutzobjekt, dessen ACL der SDProp-Prozess periodisch auf geschützte privilegierte Konten und Gruppen (
adminCount=1) zurückschreibt. Das verhindert ACL-Drift auf Tier-0 — aber Angreifer manipulieren umgekehrt AdminSDHolder selbst als Persistenz. Deshalb dieses Objekt überwachen.
Zusammenfassung — gleich im Check
Die Achsen dieses Moduls: Kerberoasting (gMSA/Entropie) und AS-REP-Roasting (Pre-Auth erzwingen) als Offline-Cracking; DCSync (Replikationsrechte auf Tier-0 begrenzen); Unconstrained-Delegation-Abuse (Fähigkeit eliminieren, Tier-0 undelegierbar machen); Golden vs. Silver Ticket (Schlüssel-Diebstahl, krbtgt zweimal resetten); und ACL-Eskalation (effektive Rechte, AdminSDHolder).