Kerberoksen eri haavoittuvuudet ja hyväksikäytön havaitseminen

Abstract

Opinnäytetyössä tutkitaan syventävästi Kerberos-protokollan toimintaa sekä se vastaa kysymykseen, millä eri tavoin mahdollisen uhkatekijän voi havaita ympäristöstä. Työn tavoitteena oli luoda ja parantaa opitun tiedon avulla yritysympäristöissä käytettyjä Kerberokseen liittyviä valvontasääntöjä sekä lisätä yleisesti tietoisuutta protokollan toiminnasta.

Opinnäytetyössä tutkimusta tehtiin teoriatasolla ja käytännön kautta toteamisella. Työssä tutkittiin ensiksi Kerberoksen teoriaa RFC-dokumentaatiosta, jotta protokollan normaalitoiminta oli selkeää, ja pystyttiin analysoimaan yksittäisellä pakettitasolla protokollan kukin viesti. Tämän jälkeen rakennettiin testiympäristö virtuaalitietokoneilla, joihin kohdistettiin erilaisia Kerberos-protokollaa hyödyntäviä hyökkäyksiä. Hyökkäyksien tuottama loki analysoitiin hyödyntämällä aiemmin teorian ja normaalin liikenteen tarkastelun kautta opittuja malleja.

Lopputuloksena luotiin konkreettisia säännöstöjä, joilla tulevia uhkia voidaan torjua tehokkaammin ja varmemmin. Tarkastelun alaisena olivat myös olemassa olevat säännöt, joihin tehtiin muutoksia tarpeen mukaan. Opinnäytetyössä on esitelty Kerberoksen toiminta ja tehty syventävää tutkimusta Kerberoksen eri heikkouksista. Nämä antavat tietoa automaattisen valvonnan rinnalla tehtävän manuaalisen tutkinnan avuksi. Työ täyttää näiden perusteella sille asetetut tavoitteet.

Työtä voisi vielä kehittää tutkimalla muita Kerberoksen haavoittuvuuksia, sillä työssä ei käsitellä aivan kaikkein harvinaisimpia tapauksia. Microsoft myös päivittää Kerberosta jatkuvasti, joten työn asiasisältöön tulee varmasti pieniä muutoksia, vaikkakin protokolla pysyy pääpiirteiltään samanlaisena. Näiden kehityskohteiden lisäksi suurimpana jatkuvan kehityksen alaisena asiana tulisi olla tuotetut säännöstöt. Kun valvottava ympäristö muuttuu jollakin tapaa, voi tulla tilanne, jossa ennen täysin käyvät säännöt eivät ole enää sopivia, vaan ne tuottavat vääriä hälytyksiä tai eivät hälytyksiä lainkaan. Tällöin sääntöjä tulisi muuttaa tarpeen mukaan.

The thesis examined how the Kerberos protocol works and how a potential threat actor could be detected in a business environment. The main objectives of the thesis are to create and improve the Kerberos related rules used in monitoring business environments, and to also offer better understanding of the way that the protocol works.

The thesis was worked on by both learning theory about the protocol and by conducting practical experiments. The theory from Kerberos’ RFC entry was studied, so that individual network packets could be analyzed for each message that the protocol has. For practical tests, a test environment was built, which was then attacked in different ways using vulnerabilities in the Kerberos protocol. The log produced by the attacks was analyzed to understand the patterns in the attacks.

As a result, the rules that can be used to prevent future threats more efficiently and reliably were created. The goal was to also reduce false positives by understanding the differences of regular user activities and that of an attacker’s just by looking at the logs. In the thesis Kerberos’ operations were explained, and research was done to cover Kerberos’ vulnerabilities. The thesis meets the objectives set for it at the start and provides valuable information regarding the subject it covers.