Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 583

Kerberoasting

Что такое Kerberoasting?

KerberoastingОффлайн-атака на пароли: запрос Kerberos-билетов служб для сервисных учёток и взлом их зашифрованной части для восстановления паролей в открытом виде.

Kerberoasting эксплуатирует тот факт, что любой аутентифицированный пользователь домена может запросить TGS для любого SPN, а сам билет шифруется хешем пароля сервисной учётной записи. Атакующий перечисляет SPN, запрашивает TGS (обычно Rubeus или Impacket GetUserSPNs), экспортирует их и взламывает оффлайн с помощью Hashcat или John the Ripper. Сервисные учётки со слабыми и давно не сменяемыми паролями часто вскрываются за часы. MITRE ATT&CK классифицирует технику как T1558.003 (Steal or Forge Kerberos Tickets: Kerberoasting). Защита: длинные случайные пароли или gMSA для сервисов, только AES в Kerberos, отказ от SPN на привилегированных учётках и оповещения о массовых запросах TGS с шифрованием RC4.

● Примеры

  1. 01

    Запуск Rubeus kerberoast от непривилегированного пользователя для сбора TGS с последующим взломом через Hashcat.

  2. 02

    Обнаружение SPN у учётной записи Domain Admin со слабым паролем и эскалация до контроля над доменом.

● Частые вопросы

Что такое Kerberoasting?

Оффлайн-атака на пароли: запрос Kerberos-билетов служб для сервисных учёток и взлом их зашифрованной части для восстановления паролей в открытом виде. Относится к категории Атаки и угрозы в кибербезопасности.

Что означает Kerberoasting?

Оффлайн-атака на пароли: запрос Kerberos-билетов служб для сервисных учёток и взлом их зашифрованной части для восстановления паролей в открытом виде.

Как работает Kerberoasting?

Kerberoasting эксплуатирует тот факт, что любой аутентифицированный пользователь домена может запросить TGS для любого SPN, а сам билет шифруется хешем пароля сервисной учётной записи. Атакующий перечисляет SPN, запрашивает TGS (обычно Rubeus или Impacket GetUserSPNs), экспортирует их и взламывает оффлайн с помощью Hashcat или John the Ripper. Сервисные учётки со слабыми и давно не сменяемыми паролями часто вскрываются за часы. MITRE ATT&CK классифицирует технику как T1558.003 (Steal or Forge Kerberos Tickets: Kerberoasting). Защита: длинные случайные пароли или gMSA для сервисов, только AES в Kerberos, отказ от SPN на привилегированных учётках и оповещения о массовых запросах TGS с шифрованием RC4.

Как защититься от Kerberoasting?

Защита от Kerberoasting обычно сочетает технические меры и операционные практики, как описано в определении выше.

● Связанные термины

● См. также