Обнаружение атаки Password Spraying на FreeIPA

Описание

В домене под управлением FreeIPA в качестве основного механизма аутентификации используется протокол Kerberos. Это позволяет проводить атаки, аналогичные атакам на Active Directory, в частности, Password Spraying. Поскольку при создании учетной записи в FreeIPA для нее по умолчанию включена преаутентификация Kerberos, попытки подбора пароля будут генерировать события, которые можно детектировать.

Разбор

Воспроизведение активности возможно при помощи утилиты Kerbrute.

Пример команды Kerbrute для атаки Password Spraying:

./kerbrute passwordspray -d domain.local --dc DOMAIN_CONTROLLER_IP userlist.txt Password123

Где:

passwordspray: режим атаки “распыление паролей”.

-d domain.local: целевой домен.

userlist.txt: файл со списком пользователей.

Password123: пароль, который будет проверяться для всех пользователей.

Воспроизвести активность можно вручную, с помощью команды:

kinit user_name

Где:

kinit: команда получения керберос-билетов.

user_name: имя пользователя.

Примеры событий

При каждой неудачной попытке входа с неверным паролем в логе FreeIPA KDC (krb5kdc.log) регистрируется событие.

Пример события неудачной преаутентификации в SIEM

Ключевыми полями в этом событии являются:

device_event_category: тип запроса (as_req — Authentication Service Request).
device_action: результат действия (PREAUTH_FAILED — неуспешная преаутентификация).
dst_user_name: имя пользователя, для которого была совершена попытка входа.
src_ip: IP-адрес источника атаки.

Ссылки на дополнительные материалы

Вывод

Атака Password Spraying представляет собой серьезную угрозу для инфраструктуры FreeIPA. Она позволяет атакующему обойти стандартные механизмы блокировки, так как для каждой учетной записи выполняется лишь одна попытка входа.

Возможный способ обнаружения

Правило детектирования основано на анализе журнала FreeIPA KDC (krb5kdc.log). Сработка происходит при фиксации 5 и более событий с device_action = preauth_failed и device_event_category = as_req для разных учетных записей (dst_user_name) с одного IP-адреса источника (src_ip) за короткий промежуток времени.

Правила