🔐 Атаки на Active Directory: разбираемся и защищаемся
В мире кибербезопасности одной из ключевых целей злоумышленников является атака на систему аутентификации. Во множестве компаний Active Directory (AD) является сердцем сетевой инфраструктуры. Давайте рассмотрим основные виды атак на AD и механизмы их защиты. 💻
1. Pass-the-ticket (PTT): Эта атака основана на использовании украденных TGT (Ticket Granting Ticket) для получения доступа к ресурсам в сети. 🎫
Механизм защиты: Важно использовать средства мониторинга и обнаружения угроз, такие как системы SIEM (Security Information and Event Management), которые могут обнаружить подозрительную активность и предотвратить атаку на ранней стадии. 🛡️
2. Kerberoasting: В этой атаке злоумышленники используют хэши паролей учетных записей пользователей для получения доступа к ресурсам AD. 🔑
Механизм защиты: Для защиты от атак Kerberoasting рекомендуется использовать длинные и сложные пароли, а также регулярно менять их. Также следует использовать аутентификацию с многофакторной проверкой, чтобы повысить уровень безопасности. 🛡️
3. Golden Ticket: В этой атаке злоумышленники используют украденный хэш KRBTGT (сервисной учетной записи) для создания поддельных билетов Kerberos. 💰
Механизм защиты: Для защиты от атак Golden Ticket необходимо ограничить доступ к учетным записям с высокими привилегиями, такими как KRBTGT. Также рекомендуется регулярно анализировать журналы событий AD на наличие подозрительной активности. 🛡️
Важно понимать, что защита от атак на Active Directory требует комплексного подхода, который включает в себя как технические меры безопасности, так и обучение персонала. Убедитесь, что ваша сеть оборудована необходимыми средствами защиты и что сотрудники обучены распознавать и реагировать на подозрительную активность. Stay secure and read SecureTechTalks🛡️💡
#SecureTechTalks #Кибербезопасность #ActiveDirectory
В мире кибербезопасности одной из ключевых целей злоумышленников является атака на систему аутентификации. Во множестве компаний Active Directory (AD) является сердцем сетевой инфраструктуры. Давайте рассмотрим основные виды атак на AD и механизмы их защиты. 💻
1. Pass-the-ticket (PTT): Эта атака основана на использовании украденных TGT (Ticket Granting Ticket) для получения доступа к ресурсам в сети. 🎫
Механизм защиты: Важно использовать средства мониторинга и обнаружения угроз, такие как системы SIEM (Security Information and Event Management), которые могут обнаружить подозрительную активность и предотвратить атаку на ранней стадии. 🛡️
2. Kerberoasting: В этой атаке злоумышленники используют хэши паролей учетных записей пользователей для получения доступа к ресурсам AD. 🔑
Механизм защиты: Для защиты от атак Kerberoasting рекомендуется использовать длинные и сложные пароли, а также регулярно менять их. Также следует использовать аутентификацию с многофакторной проверкой, чтобы повысить уровень безопасности. 🛡️
3. Golden Ticket: В этой атаке злоумышленники используют украденный хэш KRBTGT (сервисной учетной записи) для создания поддельных билетов Kerberos. 💰
Механизм защиты: Для защиты от атак Golden Ticket необходимо ограничить доступ к учетным записям с высокими привилегиями, такими как KRBTGT. Также рекомендуется регулярно анализировать журналы событий AD на наличие подозрительной активности. 🛡️
Важно понимать, что защита от атак на Active Directory требует комплексного подхода, который включает в себя как технические меры безопасности, так и обучение персонала. Убедитесь, что ваша сеть оборудована необходимыми средствами защиты и что сотрудники обучены распознавать и реагировать на подозрительную активность. Stay secure and read SecureTechTalks🛡️💡
#SecureTechTalks #Кибербезопасность #ActiveDirectory
💡 MultiDirectory: российская альтернатива Active Directory и OpenLDAP
🚀 Как эффективно управлять учетными записями, безопасностью и доступом в компании? Многие используют Active Directory, OpenLDAP или FreeIPA, но теперь на рынке появилось отечественное решение — MultiDirectory.
🔍 Это служба каталогов с открытым исходным кодом, разработанная компанией "МУЛЬТИФАКТОР". MultiDirectory обеспечивает централизованное управление пользователями, безопасностью и доступами в IT-инфраструктуре.
🔹 Решение сочетает в себе гибкость OpenLDAP, безопасность FreeIPA и удобство Active Directory, но при этом не зависит от иностранных поставщиков.
⚙️ Ключевые возможности MultiDirectory
🔐 1️⃣ Безопасное хранение и управление учетными записями
✔ Поддержка Kerberos для безопасной аутентификации.
✔ SSO (Single Sign-On) — пользователи авторизуются один раз для всех сервисов.
✔ Гибкие роли и права доступа.
🔄 2️⃣ Интеграция с DevOps и облачными сервисами
✔ Docker-образ для быстрого развертывания.
✔ API для автоматизации управления пользователями.
✔ Поддержка Kubernetes и Ansible для интеграции в CI/CD.
🔍 3️⃣ Гибкость и кастомизация
✔ Открытый код: можно адаптировать под задачи компании.
✔ Совместимость с PostgreSQL и другими СУБД.
🚀 С чего начать?
1️⃣ Установить через Docker:
2️⃣ Настроить Kerberos:
3️⃣ Интегрировать с DevOps: подключить к Kubernetes или Ansible.
🔗 Официальный сайт: multifactor.ru
📌 MultiDirectory — отечественная альтернатива Active Directory и OpenLDAP. Она объединяет лучшие черты мировых решений, оставаясь при этом независимой от зарубежных санкций.
Stay secure and read SecureTechTalks 📚
#MultiDirectory #Кибербезопасность #SecureTechTalks #ИТИнфраструктура #OpenSource #МУЛЬТИФАКТОР #DevOps #LDAP #ActiveDirectory #FreeIPA
🚀 Как эффективно управлять учетными записями, безопасностью и доступом в компании? Многие используют Active Directory, OpenLDAP или FreeIPA, но теперь на рынке появилось отечественное решение — MultiDirectory.
🔍 Это служба каталогов с открытым исходным кодом, разработанная компанией "МУЛЬТИФАКТОР". MultiDirectory обеспечивает централизованное управление пользователями, безопасностью и доступами в IT-инфраструктуре.
🔹 Решение сочетает в себе гибкость OpenLDAP, безопасность FreeIPA и удобство Active Directory, но при этом не зависит от иностранных поставщиков.
⚙️ Ключевые возможности MultiDirectory
🔐 1️⃣ Безопасное хранение и управление учетными записями
✔ Поддержка Kerberos для безопасной аутентификации.
✔ SSO (Single Sign-On) — пользователи авторизуются один раз для всех сервисов.
✔ Гибкие роли и права доступа.
🔄 2️⃣ Интеграция с DevOps и облачными сервисами
✔ Docker-образ для быстрого развертывания.
✔ API для автоматизации управления пользователями.
✔ Поддержка Kubernetes и Ansible для интеграции в CI/CD.
🔍 3️⃣ Гибкость и кастомизация
✔ Открытый код: можно адаптировать под задачи компании.
✔ Совместимость с PostgreSQL и другими СУБД.
🚀 С чего начать?
1️⃣ Установить через Docker:
docker run -d -p 389:389 multifactor/multidirectory 2️⃣ Настроить Kerberos:
kinit [email protected] 3️⃣ Интегрировать с DevOps: подключить к Kubernetes или Ansible.
🔗 Официальный сайт: multifactor.ru
📌 MultiDirectory — отечественная альтернатива Active Directory и OpenLDAP. Она объединяет лучшие черты мировых решений, оставаясь при этом независимой от зарубежных санкций.
Stay secure and read SecureTechTalks 📚
#MultiDirectory #Кибербезопасность #SecureTechTalks #ИТИнфраструктура #OpenSource #МУЛЬТИФАКТОР #DevOps #LDAP #ActiveDirectory #FreeIPA
🔍 Может ли ИИ самостоятельно взломать корпоративную сеть?
Современные технологии искусственного интеллекта (ИИ) открывают перед нами огромные возможности. Но что, если их использовать не для защиты, а для атаки? Недавнее исследование специалистов TU Wien показало, что большие языковые модели (LLM) способны автоматически проводить тестирование на проникновение в корпоративные сети Active Directory.
📌 Исследователи разработали полностью автономный инструмент, управляемый LLM, который смог:
- Провести разведку сети Microsoft Active Directory.
- Получить учетные данные пользователей без вмешательства человека.
- Перемещаться внутри сети и эмулировать действия злоумышленника.
Все тесты проводились в реалистичной среде "Game of Active Directory" (GOAD) — симуляции корпоративной сети, часто используемой пентестерами.
🚀 Как ИИ смог взломать сеть?
🕵️♂️ 1. Разведка и анализ инфраструктуры
ИИ начал с анализа сети, выявляя доменные контроллеры и ключевые узлы. Для этого использовались инструменты типа nmap и netexec.
🔑 2. Добыча учетных данных
Благодаря техникам атаки, таким как AS-REP Roasting и Kerberoasting, ИИ смог добыть хеши паролей пользователей. Затем он использовал Hashcat и John the Ripper для их взлома.
📂 3. Анализ файлов на сетевых ресурсах
ИИ искал на серверах текстовые файлы, PowerShell-скрипты и другие документы, которые могли содержать учетные данные или уязвимые конфигурации.
🛠 4. Использование инструментов атак
Было использовано более 72 инструментов, включая:
smbclient (поиск уязвимостей в сетевых папках),
rpcclient (атаки через удаленные вызовы процедур),
bloodhound (анализ структуры домена).
🏆 Результаты теста
📌 В каждом эксперименте ИИ компрометировал хотя бы одну учетную запись.
📌 В среднем за один тест находилось 5 критически уязвимых аккаунтов.
📌 35% команд были с ошибками, но ИИ учился на них и адаптировался.
⚠️ Подведём итоги
✅ ИИ может автоматизировать пентесты, делая их дешевле и доступнее.
✅ Злоумышленники тоже могут использовать ИИ, что повышает уровень угроз.
✅ Корпорациям придется быстрее адаптироваться, используя ИИ для защиты.
💬 Как думаете, возможен ли в будущем полный автоматический взлом без участия человека?
Stay secure and read SecureTechTalks 📚
#Кибербезопасность #Pentest #ИИ #ActiveDirectory #LLM #CyberThreats #SecureTechTalks #Хакеры #AIpentest #AIhacking
Современные технологии искусственного интеллекта (ИИ) открывают перед нами огромные возможности. Но что, если их использовать не для защиты, а для атаки? Недавнее исследование специалистов TU Wien показало, что большие языковые модели (LLM) способны автоматически проводить тестирование на проникновение в корпоративные сети Active Directory.
📌 Исследователи разработали полностью автономный инструмент, управляемый LLM, который смог:
- Провести разведку сети Microsoft Active Directory.
- Получить учетные данные пользователей без вмешательства человека.
- Перемещаться внутри сети и эмулировать действия злоумышленника.
Все тесты проводились в реалистичной среде "Game of Active Directory" (GOAD) — симуляции корпоративной сети, часто используемой пентестерами.
🚀 Как ИИ смог взломать сеть?
🕵️♂️ 1. Разведка и анализ инфраструктуры
ИИ начал с анализа сети, выявляя доменные контроллеры и ключевые узлы. Для этого использовались инструменты типа nmap и netexec.
🔑 2. Добыча учетных данных
Благодаря техникам атаки, таким как AS-REP Roasting и Kerberoasting, ИИ смог добыть хеши паролей пользователей. Затем он использовал Hashcat и John the Ripper для их взлома.
📂 3. Анализ файлов на сетевых ресурсах
ИИ искал на серверах текстовые файлы, PowerShell-скрипты и другие документы, которые могли содержать учетные данные или уязвимые конфигурации.
🛠 4. Использование инструментов атак
Было использовано более 72 инструментов, включая:
smbclient (поиск уязвимостей в сетевых папках),
rpcclient (атаки через удаленные вызовы процедур),
bloodhound (анализ структуры домена).
🏆 Результаты теста
📌 В каждом эксперименте ИИ компрометировал хотя бы одну учетную запись.
📌 В среднем за один тест находилось 5 критически уязвимых аккаунтов.
📌 35% команд были с ошибками, но ИИ учился на них и адаптировался.
⚠️ Подведём итоги
✅ ИИ может автоматизировать пентесты, делая их дешевле и доступнее.
✅ Злоумышленники тоже могут использовать ИИ, что повышает уровень угроз.
✅ Корпорациям придется быстрее адаптироваться, используя ИИ для защиты.
💬 Как думаете, возможен ли в будущем полный автоматический взлом без участия человека?
Stay secure and read SecureTechTalks 📚
#Кибербезопасность #Pentest #ИИ #ActiveDirectory #LLM #CyberThreats #SecureTechTalks #Хакеры #AIpentest #AIhacking
🔥 Kali Linux 2025.4: ключевые обновления
⚡ Offensive Security выпустила Kali Linux 2025.4. Давайте разберем, что изменилось.
🎨 UI/UX:
Интерфейс переосмыслен с фокусом на продуктивность:
GNOME 47 получил структурированную сетку приложений. Инструменты сгруппированы логично, а не разбросаны хаотично, как это было раньше. Новая панель активности и быстрый запуск терминала (Ctrl+Alt+T) экономят драгоценные секунды в работе. 🖥️
KDE Plasma 6.2 предлагает серьезные улучшения:
➖ Интегрированный скриншотер с базовым редактором: фиксируйте и оставляйте комменты к находкам без переключения окон.
➖ Менеджер буфера обмена с историей и закреплением: больше не потеряете важные хэши или команды.
➖ Умный поиск по приложениям и файлам, устойчивый к опечаткам.
Xfce 4.20 теперь поддерживает системные цветовые схемы. Темная тема стала еще гармоничнее. 🎭
⚙️ Новый инструментарий:
В репозиторий добавлены три инструмента:
➖ bpf-linker утилита для статической линковки BPF-объектов. Ключевое преимущество: совместимость со старыми ядрами Linux. Незаменим для разработчиков эксплойтов, работающих с eBPF.
➖ evil-winrm-py нативная Python-реализация популярного инструмента для работы с WinRM. Прямая интеграция с другими скриптами на Python упрощает тестирование окружений Active Directory. Админам есть над чем задуматься. 😈
➖ hexstrike-ai MCP-сервер, который позволяет LLM-агентам (например, Claude, GPT) безопасно взаимодействовать с инструментами Kali. Первый шаг к контролируемой автоматизации сложных пентест-сценариев.
⚙ Другие обновления
📱 Kali NetHunter:
Мобильная платформа обновила поддержку устройств:
- Линейка Samsung Galaxy S10 (включая 5G) на LineageOS 23.
- OnePlus Nord под управлением Android 16.
- Xiaomi Mi 9 на Android 15.
Это превращает совместимые смартфоны в полноценные портативные станции для тестирования беспроводных сетей и проведения аудитов.
💾 Дистрибуция: Новые реалии
Официальные образы Kali Live и Kali Everything теперь распространяются исключительно через BitTorrent. Это вынужденная мера из-за возросшего объема дистрибутивов. Остальные варианты установки (установщики, облачные образы) остаются доступны на mirrors.kali.org.
🔗 Полный список обновлений на GitHub:
https://github.com/offensive-security/kali-linux
Stay secure and read SecureTechTalks 📚
#KaliLinux #Кибербезопасность #Пентест #ActiveDirectory #InfoSec #EthicalHacking #Linux #OffensiveSecurity
⚡ Offensive Security выпустила Kali Linux 2025.4. Давайте разберем, что изменилось.
🎨 UI/UX:
Интерфейс переосмыслен с фокусом на продуктивность:
GNOME 47 получил структурированную сетку приложений. Инструменты сгруппированы логично, а не разбросаны хаотично, как это было раньше. Новая панель активности и быстрый запуск терминала (Ctrl+Alt+T) экономят драгоценные секунды в работе. 🖥️
KDE Plasma 6.2 предлагает серьезные улучшения:
Xfce 4.20 теперь поддерживает системные цветовые схемы. Темная тема стала еще гармоничнее. 🎭
⚙️ Новый инструментарий:
В репозиторий добавлены три инструмента:
⚙ Другие обновления
📱 Kali NetHunter:
Мобильная платформа обновила поддержку устройств:
- Линейка Samsung Galaxy S10 (включая 5G) на LineageOS 23.
- OnePlus Nord под управлением Android 16.
- Xiaomi Mi 9 на Android 15.
Это превращает совместимые смартфоны в полноценные портативные станции для тестирования беспроводных сетей и проведения аудитов.
💾 Дистрибуция: Новые реалии
Официальные образы Kali Live и Kali Everything теперь распространяются исключительно через BitTorrent. Это вынужденная мера из-за возросшего объема дистрибутивов. Остальные варианты установки (установщики, облачные образы) остаются доступны на mirrors.kali.org.
🔗 Полный список обновлений на GitHub:
https://github.com/offensive-security/kali-linux
Stay secure and read SecureTechTalks 📚
#KaliLinux #Кибербезопасность #Пентест #ActiveDirectory #InfoSec #EthicalHacking #Linux #OffensiveSecurity
Please open Telegram to view this post
VIEW IN TELEGRAM
🔐 JWT2Kerberos: зачем агентам Kerberos
🤖 LLM-агенты всё чаще получают доступ к реальным корпоративным системам:
базам данных, файловым шарам, внутренним API, SOC-инструментам.
Проблема в том, что почти вся эта инфраструктура обычно строится вокруг Active Directory и Kerberos,
а агенты работают с JWT и OIDC.
⚠️ Где возникает проблема
🔑 JWT отлично подходит для:
➖ API
➖ микросервисов
➖ облачных workload’ов
При этом Kerberos-инфраструктура:
❌ не понимает JWT
❌ требует строгой идентичности
❌ строится вокруг принципала, билета и KDC
Поэтому архитектура почти всегда деградирует до простого решения:
С этого момента:
🕒 секрет становится долгоживущим
👥 один аккаунт используют разные агенты
🕵️ audit теряет смысл
💥 любой prompt injection = риск доменного доступа
🧩 Для чего нужен JWT2Kerberos?
JWT2Kerberos - это паттерн аутентификации, который позволяет:
Агент не получает Kerberos-секреты.
Он доказывает, кто он, а инфраструктура решает, что ему можно.
🔁 Как это работает:
1️⃣ Агент проходит OIDC-аутентификацию и получает JWT
2️⃣ JWT валидируется (issuer, audience, exp, claims)
3️⃣ Claims мапятся на Kerberos-контекст
4️⃣ Через S4U2Self / constrained delegation запрашивается TGS
5️⃣ Агент получает билет
на конкретный сервис на короткое время
без возможности эскалации
📌 В такой реализации:
❌ нет паролей
❌ нет keytab’ов
❌ нет доступа «куда получится»
🔐 Почему это безопаснее
🧠 Реальная идентичность
Каждый агент это отдельный Kerberos-контекст. В логах больше нет абстрактного svc-agent.
🎯 Минимальный blast radius
Даже скомпрометированный агент ограничен одним SPN,
временем жизни билета и политиками AD
🛡 Zero Trust на уровне AD
Каждый вызов это проверка, а не доверие по факту запуска.
🤖 Почему без этого LLM-агенты опасны
LLM-агент:
🧠 принимает решения на основе текста
🎭 подвержен prompt injection
⚙️ управляет реальными инструментами
JWT2Kerberos вводит жёсткую границу: агент может ошибиться, а инфраструктура нет.
Это и есть defense in depth для агентных систем.
🧨 Главная мысль
JWT2Kerberos не является интеграцией JWT и Kerberos.
Это механизм установки контроля над идентичностью агентов. Инфраструктура каждый раз решает, доверять ли агенту.
Внезапно оказывается, что Kerberos уже не legacy,
а самый строгий компонент в современной AI-безопасности.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #JWT2Kerberos
#Kerberos #LLMSecurity #AgentSecurity
#ZeroTrust #IdentitySecurity #ActiveDirectory #PromptInjection #CyberSecurity
🤖 LLM-агенты всё чаще получают доступ к реальным корпоративным системам:
базам данных, файловым шарам, внутренним API, SOC-инструментам.
Проблема в том, что почти вся эта инфраструктура обычно строится вокруг Active Directory и Kerberos,
а агенты работают с JWT и OIDC.
⚠️ Где возникает проблема
🔑 JWT отлично подходит для:
При этом Kerberos-инфраструктура:
❌ не понимает JWT
❌ требует строгой идентичности
❌ строится вокруг принципала, билета и KDC
Поэтому архитектура почти всегда деградирует до простого решения:
🧨 агенту выдают сервисный аккаунт.
С этого момента:
🕒 секрет становится долгоживущим
👥 один аккаунт используют разные агенты
🕵️ audit теряет смысл
💥 любой prompt injection = риск доменного доступа
🧩 Для чего нужен JWT2Kerberos?
JWT2Kerberos - это паттерн аутентификации, который позволяет:
🔐 использовать JWT для идентификации агента
🏛 использовать Kerberos для принятия решения о доступе
Агент не получает Kerberos-секреты.
Он доказывает, кто он, а инфраструктура решает, что ему можно.
🔁 Как это работает:
1️⃣ Агент проходит OIDC-аутентификацию и получает JWT
2️⃣ JWT валидируется (issuer, audience, exp, claims)
3️⃣ Claims мапятся на Kerberos-контекст
4️⃣ Через S4U2Self / constrained delegation запрашивается TGS
5️⃣ Агент получает билет
на конкретный сервис на короткое время
без возможности эскалации
📌 В такой реализации:
❌ нет паролей
❌ нет keytab’ов
❌ нет доступа «куда получится»
🔐 Почему это безопаснее
🧠 Реальная идентичность
Каждый агент это отдельный Kerberos-контекст. В логах больше нет абстрактного svc-agent.
🎯 Минимальный blast radius
Даже скомпрометированный агент ограничен одним SPN,
временем жизни билета и политиками AD
🛡 Zero Trust на уровне AD
Каждый вызов это проверка, а не доверие по факту запуска.
🤖 Почему без этого LLM-агенты опасны
LLM-агент:
🧠 принимает решения на основе текста
🎭 подвержен prompt injection
⚙️ управляет реальными инструментами
JWT2Kerberos вводит жёсткую границу: агент может ошибиться, а инфраструктура нет.
Это и есть defense in depth для агентных систем.
🧨 Главная мысль
JWT2Kerberos не является интеграцией JWT и Kerberos.
Это механизм установки контроля над идентичностью агентов. Инфраструктура каждый раз решает, доверять ли агенту.
Внезапно оказывается, что Kerberos уже не legacy,
а самый строгий компонент в современной AI-безопасности.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #JWT2Kerberos
#Kerberos #LLMSecurity #AgentSecurity
#ZeroTrust #IdentitySecurity #ActiveDirectory #PromptInjection #CyberSecurity
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥2👍1