Архитектура продления билетов Kerberos (TGS Renewal)

Событие 4770 логируется в журнале Security на контроллерах домена, когда служба Key Distribution Center (KDC) успешно продлевает ранее выданный билет предоставления службы (Ticket Granting Service, TGS). В протоколе Kerberos билеты имеют ограниченное время жизни (по умолчанию 10 часов) и максимальный срок продления (по умолчанию до 7 дней). Продление билета позволяет сессии пользователя или службы продолжать работу без повторного ввода пароля. Бизнес-риски: компрометация долгоживущих сессий, эксплуатация уязвимостей 'Pass-the-Ticket' или несанкционированное удержание доступа уволенными сотрудниками.

Ключевые поля события 4770:

Регламент аудита и выявления аномалий Kerberos

Сценарий 1: Поиск продлений билетов с устаревшим шифрованием (RC4)

Использование RC4 (0x17) вместо AES (0x12) снижает криптографическую стойкость инфраструктуры и указывает на устаревшие клиенты.

# Поиск событий 4770 с типом шифрования RC4-HMAC (0x17)
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4770; StartTime=(Get-Date).AddDays(-7)} | 
    Where-Object {$_.Properties[4].Value -eq '0x17'} | 
    Select-Object TimeCreated, 
    @{N='User';E={$_.Properties[0].Value}}, 
    @{N='Service';E={$_.Properties[1].Value}}, 
    @{N='ClientIP';E={$_.Properties[6].Value}} | Format-Table -AutoSize

Сценарий 2: Аудит продлений билетов в нерабочие часы

Массовые продления TGS-билетов ночью для рядовых пользователей могут указывать на несанкционированное использование автоматизированных утилит.

# Выгрузка продлений билетов с 22:00 до 06:00
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4770; StartTime=(Get-Date).AddDays(-1)} | 
    Where-Object {$_.TimeCreated.Hour -lt 6 -or $_.TimeCreated.Hour -gt 22} | 
    Select-Object TimeCreated, @{N='User';E={$_.Properties[0].Value}}, @{N='ClientIP';E={$_.Properties[6].Value}}

Сценарий 3: Настройка параметров времени жизни билетов Kerberos через GPO

Для баланса между безопасностью и нагрузкой на DC скорректируйте параметры политики Kerberos.

1. Откройте консоль gpmc.msc и перейдите к Default Domain Policy.
2. Путь: Конфигурация компьютера -> Политики -> Параметры Windows -> Параметры безопасности -> Политики учетных записей -> Политика Kerberos.
3. Задайте Максимальное время жизни билета службы (600 минут) и Максимальный срок продления билета пользователя (7 дней).

Типовые ошибки администраторов

• Попытка отозвать TGS-билет без сброса пароля KRBTGT: Простое отключение учетной записи не аннулирует уже выданные и продлеваемые билеты Kerberos до истечения их максимального срока. При компрометации критически важно выполнить двукратную ротацию пароля служебной учетной записи krbtgt.