Kerberos委派新滥用路径曝光，身份安全再敲警钟

委派机制再成攻击入口

Kerberos 协议中的委派功能设计初衷是让服务能够代表用户访问后端资源，简化多跳认证流程。但这项便利特性长期被安全研究者视为高风险面。近日在 Hacker News 上引发讨论的一条消息指出，出现了一条新发现的 Kerberos 委派滥用路径。虽然原始帖子信息有限，但“委派滥用”这一关键词足以让 Active Directory 环境的管理员警觉。

委派问题的本质在于信任的传递。当一个服务被允许代表用户获取票据时，攻击者一旦控制该服务，就能借道获取对后端资源的访问权。历史上，非约束委派、约束委派和基于资源的约束委派都曾爆出过可被利用的缺陷。新路径的出现意味着现有的检测规则和加固措施可能覆盖不全。

Kerberos 委派类型简述

Kerberos 委派主要分为三种形式。非约束委派（Unconstrained Delegation）允许服务代表用户获取任意服务的票据，风险最高；约束委派（Constrained Delegation）通过 S4U2Self 和 S4U2Proxy 扩展限制可访问的后端服务列表；基于资源的约束委派（RBCD）则将授权控制权交给后端资源本身，由资源的管理者决定谁可以代表用户访问自己。三种机制在 AD 中的配置属性不同（如 userAccountControl 标志、msDS-AllowedToDelegateTo、msDS-AllowedToActOnBehalfOfOtherIdentity），审计时需要分别覆盖。

为什么这条路径值得关注

Kerberos 委派滥用通常不需要破解密码或触发明显的暴力登录告警，而是利用协议本身的合法流程完成横向移动。这类攻击在日志上看起来像正常服务调用，隐蔽性较高。

从攻击链角度看，委派滥用往往出现在取得初始立足点之后。攻击者先拿下某台配置了委派的服务账户或主机，再借票据伪装成高权限用户访问目标系统。新发现的路径可能改变利用条件，让原本被认为低风险的配置组合变得危险。

据 Hacker News 上的讨论，该发现被标注为“新发现的 Kerberos 委派滥用路径”，但原帖未展开技术细节。这种信息发布方式在安全社区并不少见——先抛出概念引起防御方注意，详细利用手法随后在会议或研究报告中公布。

票据与日志特征

在 Kerberos 委派滥用中，攻击者通常通过 S4U2Self 获取可转发的服务票据，再经 S4U2Proxy 换取目标服务的票据。这一过程会生成事件 ID 4769（Kerberos 服务票据请求）等日志，但票据请求的服务名称、加密类型和来源主机往往与正常业务调用相似，难以用单一规则区分。攻击者还可能利用票据缓存（如通过 Mimikatz 的 sekurlsa 模块导出）直接重用票据，进一步减少可观测的认证事件。因此，防御方需要结合用户行为基线、服务账户的异常调用时段和来源主机等多维信号进行关联分析。

对防御方的现实影响

对于运行 Active Directory 的企业，委派配置往往分散在多个服务账户和计算机对象上，清理和审计难度不小。一条新的滥用路径意味着审计清单需要更新：不仅要检查谁被授予了委派权限，还要评估这些权限在组合后是否形成意外通路。

检测层面，现有方案多依赖对特定事件 ID 和票据属性的监控。如果新路径改变了票据请求的上下文或跳过某些环节，基于固定规则的检测可能漏报。防御方需要考虑行为基线，而非只盯单点指标。

从行业趋势看，身份基础设施正成为攻击者的重点目标。Kerberos 作为 Windows 域环境的核心认证协议，其边缘特性的滥用研究持续活跃。这次发现提醒我们，协议设计中的便利机制在复杂环境中可能演变为攻击面。

审计委派配置的实用方法

管理员可以使用 PowerShell 命令 Get-ADUser -Filter {TrustedForDelegation -eq $true} 和 Get-ADComputer -Filter {TrustedForDelegation -eq $true} 查找启用非约束委派的账户和计算机；对于约束委派，可检查 msDS-AllowedToDelegateTo 属性非空的對象；RBCD 则需检查目标对象上的 msDS-AllowedToActOnBehalfOfOtherIdentity 属性。此外，应关注具有敏感权限的服务账户（如域管理员组内的账户）是否被授予委派，并优先收紧那些指向高价值资源（如域控制器、数据库服务器）的委派关系。

管理员当下可做的事

在详细技术信息公布前，管理员可以从减少暴露面入手。梳理环境中所有启用委派的账户和计算机，确认每一项委派是否有明确的业务必要性。对无法说明用途的委派配置，优先收紧或移除。

同时，关注服务账户的权限边界。委派滥用的危害程度取决于被委派对象能访问什么资源，限制服务账户的后端权限可以降低潜在影响。日志方面，确保与 Kerberos 票据请求相关的事件被完整采集并留存足够时间，以便在细节公布后回溯排查。

安全社区对新滥用路径的披露节奏通常是先提示后详解。保持对原始来源和后续技术分析的跟进，比急于套用未经验证的缓解措施更稳妥。