Kerberoasting
Atak na Active Directory: napastnik żąda biletów usługi Kerberos dla kont z SPN (Service Principal Name) i łamie je offline, by poznać hasło konta usługi. Groźny, bo bilety może zażądać każdy użytkownik domeny.
Mechanizm: bilet usługi jest szyfrowany hashem hasła konta usługi. Napastnik ze zwykłym kontem domenowym żąda biletów dla wszystkich kont z SPN (w Kerberosie jest to w pełni legalne), eksportuje je i łamie offline (Hashcat) — jeśli się uda, hasło wychodzi otwartym tekstem. Do żądania biletów nie trzeba uprawnień, a łamanie odbywa się offline, więc nie ma alarmującego ruchu logowań. Konta usług mają często słabe, stare, rzadko zmieniane hasła i wysokie uprawnienia → kopalnia złota. Obrona: długie losowe hasła kont usług (lub gMSA — grupowe zarządzane konta usług z automatyczną rotacją), monitorowanie nietypowych żądań biletów oraz szyfrowanie AES zamiast słabego RC4. Jeden z najczęstszych ataków na AD. Spokrewniony z pass-the-ticket i eskalacją uprawnień.