NTLM ve Pass-the-Hash Saldırıları
NTLM (NT LAN Manager), Windows ağlarında kullanılan eski bir kimlik doğrulama protokolüdür. Kerberos'a göre daha zayıf güvenlik sunar. Saldırganlar, sistemlerden elde ettikleri NTLM hash değerlerini kullanarak şifre bilmeden oturum açabilir (Pass-the-Hash).
Pass-the-Hash Nasıl Çalışır?
Saldırgan, bir sistemin belleğinden (lsass.exe) NTLM hash değerlerini çalar (mimikatz vb.). Bu hash değerini kullanarak ağdaki diğer sistemlere NTLM ile kimlik doğrulaması yapar. Şifreyi bilmesine gerek yoktur.
ACKLOG Tespit Stratejisi
ACKLOG, NTLM kullanım haritasını çıkarır ve Kerberos beklenirken NTLM ile yapılan oturumları şüpheli olarak işaretler. Özellikle admin hesaplarının NTLM ile oturum açması kritik alarm üretir.