去年有家企業(yè)被入侵后查了三個(gè)月日志，最后發(fā)現(xiàn)攻擊者只動(dòng)了三樣?xùn)|西：一個(gè)普通用戶賬號(hào)、一個(gè)只存在8秒的假身份標(biāo)識(shí)、以及他們完全沒觸發(fā)過的告警規(guī)則。

這不是電影劇本。Trellix安全團(tuán)隊(duì)最近披露的攻擊手法「Ghost SPN」，把Windows域環(huán)境里用了十年的檢測(cè)邏輯徹底作廢。攻擊者不需要碰任何真正的服務(wù)賬號(hào)，現(xiàn)場(chǎng)干凈得像從沒來(lái)過。

傳統(tǒng)Kerberoasting的檢測(cè)盲區(qū)

Kerberoasting這門手藝安全圈都不陌生。攻擊者掃描域內(nèi)注冊(cè)了SPN（Service Principal Name，服務(wù)主體名稱）的賬號(hào)，申請(qǐng)票據(jù)后離線破解密碼哈希。企業(yè)防御它的思路也很直接：監(jiān)控誰(shuí)在大批量請(qǐng)求服務(wù)票據(jù)，或者盯著那些常年不動(dòng)的服務(wù)賬號(hào)突然活躍。

這套檢測(cè)模型建立在兩個(gè)默認(rèn)假設(shè)上：目標(biāo)必須是預(yù)先存在的服務(wù)賬號(hào)，異常行為會(huì)留下高頻請(qǐng)求的痕跡。

Ghost SPN的狠毒之處在于，它同時(shí)否定了這兩點(diǎn)。攻擊者利用的是「委派管理權(quán)限」——比如GenericAll這種能修改對(duì)象屬性的高級(jí)權(quán)限——給一個(gè)普通用戶臨時(shí)綁個(gè)假SPN，申請(qǐng)完票據(jù)立刻拆掉。整個(gè)過程可能只有幾秒鐘，目標(biāo)賬號(hào)本身從未承擔(dān)過任何服務(wù)角色。

用Trellix研究人員的比喻：這就像有人偷配了你家鑰匙，但鑰匙孔是他現(xiàn)場(chǎng)3D打印的，用完就熔掉，門鎖記錄里只顯示「有人正常開鎖」。

三階段攻擊鏈的精密設(shè)計(jì)

Trellix把Ghost SPN拆解成三個(gè)刻意設(shè)計(jì)的階段，每個(gè)階段單獨(dú)看都像是合規(guī)操作。

第一階段是權(quán)限準(zhǔn)備。攻擊者需要事先拿到能修改用戶屬性的委派權(quán)限，這通常通過前期滲透或利用配置過度的服務(wù)賬號(hào)實(shí)現(xiàn)。第二階段是瞬時(shí)利用：給目標(biāo)用戶寫入SPN屬性，立即申請(qǐng)TGS（Ticket Granting Service，票據(jù)授權(quán)服務(wù)）票據(jù)，獲取加密憑據(jù)后刪除SPN。第三階段是清理痕跡，把用戶屬性恢復(fù)原狀。

關(guān)鍵漏洞在于：大多數(shù)SOC（Security Operations Center，安全運(yùn)營(yíng)中心）的日志分析是碎片化的。

SPN修改事件在目錄服務(wù)日志里，票據(jù)請(qǐng)求在Kerberos認(rèn)證日志里，賬號(hào)屬性變更可能在另一套系統(tǒng)里。當(dāng)這些日志沒被關(guān)聯(lián)分析時(shí)，單個(gè)事件都落在「正常管理行為」的基線范圍內(nèi)。攻擊者甚至不需要隱藏自己，因?yàn)楝F(xiàn)有的檢測(cè)規(guī)則根本不認(rèn)識(shí)這種組合。

「檢測(cè)模型假設(shè)Kerberoasting目標(biāo)總是預(yù)注冊(cè)的服務(wù)賬號(hào)，且惡意活動(dòng)會(huì)產(chǎn)生高容量票據(jù)請(qǐng)求異常，」Trellix研究人員在報(bào)告中寫道，「Ghost SPN直接針對(duì)這兩個(gè)假設(shè)。」

Living-off-the-Land的進(jìn)化版本

這種攻擊屬于Living-off-the-Land（LotL，就地取材）技戰(zhàn)術(shù)的最新變體。不利用軟件漏洞，只濫用系統(tǒng)自帶功能的合法權(quán)限。防御方很難用傳統(tǒng)手段區(qū)分「管理員在干活」和「攻擊者在冒充管理員干活」。

Trellix給出的應(yīng)急建議指向同一個(gè)方向：從監(jiān)控「誰(shuí)試圖訪問什么」轉(zhuǎn)向監(jiān)控「身份屬性在什么情況下被修改」。特別是那些設(shè)計(jì)為自動(dòng)消失的屬性變更——比如幾秒鐘后就被清空的SPN綁定。

具體措施包括：審計(jì)所有具備委派權(quán)限的賬號(hào)，啟用目錄服務(wù)變更日志的實(shí)時(shí)關(guān)聯(lián)分析，以及對(duì)SPN屬性的任何增刪改操作設(shè)置即時(shí)告警。更重要的是打破日志孤島，讓Kerberos事件和AD對(duì)象變更能在同一時(shí)空坐標(biāo)下被審視。

一個(gè)值得注意的細(xì)節(jié)是：Ghost SPN對(duì)目標(biāo)賬號(hào)的選擇極其靈活。可以是長(zhǎng)期休眠的廢棄賬號(hào)，可以是剛創(chuàng)建的測(cè)試賬號(hào)，甚至可以是攻擊者自己控制的普通域賬號(hào)。只要權(quán)限到位，任何用戶對(duì)象都能被臨時(shí)轉(zhuǎn)化為憑據(jù)提取的跳板。

這意味著企業(yè)的攻擊面評(píng)估需要更新——服務(wù)賬號(hào)不再是唯一的高價(jià)值目標(biāo)，「能被寫入SPN的普通賬號(hào)」同樣危險(xiǎn)。

當(dāng)防御者還在訓(xùn)練模型識(shí)別「異常的服務(wù)賬號(hào)行為」時(shí)，攻擊者已經(jīng)學(xué)會(huì)了不碰服務(wù)賬號(hào)。這場(chǎng)貓鼠游戲的下一步，會(huì)不會(huì)是檢測(cè)模型開始追蹤「屬性變更的持續(xù)時(shí)間」——比如只存在不到一分鐘的SPN綁定？而攻擊者的回應(yīng)，或許是用腳本把整個(gè)過程壓縮到檢測(cè)窗口的盲區(qū)之內(nèi)。