Délégation Kerberos dangereuse
critical
Langue :
Description
Le protocole Kerberos sur lequel repose la sécurité de l'Active Directory, autorise certains serveurs à réutiliser les informations d'authentification des utilisateurs. Si l'un de ces serveurs est compromis, un attaquant peut s'authentifier sur d'autres ressources après avoir dérobé les informations d'authentification.
Solution
Les seuls comptes utilisant la délégation non contrainte devraient être les comptes de contrôleurs de domaine. Les administrateurs devraient également être protégés contre tout type de délégation dangereuse.
Voir aussi
Kerberos Unconstrained Delegation (or How Compromise of a Single ServerCan Compromise the Domain)
Get rid of accounts that use Kerberos Unconstrained Delegation
Abusing Resource-Based Constrained Delegation to Attack Active Directory