Menu
עברית Русский
מכללת פרקטיקיו
- מתחילים ללמוד חינם -
קורסי תכנות / סייבר / ניהול רשת

הסבר על Kerberos ועל NTLM

קורסים למנהלי רשת מסלול מנהלי רשת
עם התמחות בשרתי מיקרוסופט מסלול סייבר והאקינג - Hacking מסלול תקשורת ואבטחת מידע
Cisco CCNA & FortiGate & Checkpoint מומחה ווירטואליזציה
VMware & Hyper-V מסלול לינוקס ו-DevOps מומחה ענן של אמזון - AWS מומחה ענן של מיקרוסופט - Azure מומחה ענן של גוגל - GCP מומחה שרתי SCCM - System Center
של מיקרוסופט לארגונים גדולים
קורסי תכנות מסלול Full Stack דוט-נט
יסודות התכנות מסלול Full Stack דוט-נט
צד שרת - Backend מסלול Full Stack דוט-נט
צד לקוח - Frontend מסלול Full Stack Node.JS קורסי תכנות נוספים
Java / Python / PHP מפתח אפליקציות - אנדרואיד - אייפון מפתח משחקי מחשב - Unity מפתח תוכנות לוונדוס - WinForms מסלול DBA - דטה אנליסט
התמחות במסדי נתונים – SQL
בדיקות תוכנה - QA בדיקות תוכנה - QA - אוטומציה בדיקות תוכנה - QA - בדיקות ידניות בדיקות תוכנה - QA - קורסים נוספים המלצות תלמידים על PracticU
הסבר על Kerberos ועל NTLM

בשיעור זה לומדים על שני מנגנוני האימות של Active Directory: NTLM ו-Kerberos. רואים את הגדרת Windows Authentication ב-IIS, את רצף ה-NTLM Negotiate, Challenge ו-Auth כפי שנצפה ב-Wireshark, את כרטיסי ה-Kerberos במטמון עם klist, את מדיניות האבטחה הקשורה ב-Group Policy, את הודעות פרוטוקול Kerberos על פי המאמר בוויקיפדיה, ואת רשומות ה-SRV של Kerberos ב-DNS.

שלבי העבודה המוצגים בשיעור:

1. שקופית הנושא: בשקופית הפתיחה מוצגת הכותרת "Kerberos מול NTLM".
2. הגדרת אימות ב-IIS: ב-IIS Manager על השרת WWW-10 (10.0.0.12), באתר PracticU.com, נבדקו אפשרויות האימות: Anonymous Authentication מושבת, ASP.NET Impersonation מושבת, Basic Authentication מושבת, Forms Authentication מושבת (HTTP 302 Login/Redirect), ו-Windows Authentication מופעל (HTTP 401 Challenge).
3. בדיקה מהדפדפן: פתחו את הכתובת http://10.0.0.12/k והופיע חלון Windows Security עם "Connecting to 10.0.0.12", שם המשתמש administrator ו-Domain AD, יחד עם תיבת הסימון "Remember my credentials", וסגרו את החלון עם Cancel.
4. ניתוח ה-NTLM ב-Wireshark: ב-Wireshark עם המסנן ip.addr == 10.0.0.12 הוצג רצף האימות: GET / שקיבל HTTP/1.1 401 unauthorized, מספר NTLMSSP_NEGOTIATE, מספר NTLMSSP_CHALLENGE עם NTLM Server Challenge 3f35c227619ee1fd (Flags 0xe28a8210), ומספר NTLMSSP_AUTH USER: 'AD\Administrator' עם Domain name AD, User name administrator, Host name YONI-LAPTOP, Session Key d3fbd70a80859ab77a583976f7b5fb7fc ו-Flags 0xe2888215, ובסוף GET /k/welcome.png שחזר 200 OK. בכותרות התשובה נראה WWW-Authenticate: Negotiate.
5. בדיקת כרטיסי Kerberos: בשורת הפקודה של המשתמש Yoni הריצו klist ונצפו כרטיסי krbtgt/ad.practicu.com @ AD.PRACTICU.COM עם KerbTicket Encryption Type AES-256-CTS-HMAC-SHA1-96 ו-Ticket Flags 0x40e10000 שהם forwardable, renewable, initial ו-pre_authent, ובהמשך נוספו כרטיסים ל-ldap/ad-dc-10.ad.practicu.com ול-cifs/ad-dc-10.ad.practicu.com. הריצו klist /? להצגת השימוש בפקודה, ו-klist tgt להצגת ה-TGT כולל dump מלא של בייטים של הכרטיס.
6. מדיניות אבטחה ב-Group Policy: ב-Local Group Policy Editor, תחת Security Options, נבדקו מדיניות Network security: המדיניות "Network security: Do not store LAN Manager hash value on next password change" הוגדרה Enabled, ונראו גם Network security: LAN Manager authentication level ו-Minimum session security for NTLM SSP (Require NTLMv2 session security). ב-Resultant Set of Policy (RSoP) על YONI-LAPTOP הוצגו ב-Account Lockout Policy: Account lockout duration 5 minutes, Account lockout threshold 10 invalid logon attempts, ו-Reset account lockout counter after 5 minutes, כולם מ-Source GPO של Default Domain Policy, ונפתח Group Policy Management Editor עבור Default Domain Policy (DC-131.AD).
7. איפוס חשבון מחשב: ב-Active Directory Users and Computers בוצע חיפוש Moviebook-126 שהציג את MB-126 מסוג Computer ואת Moviebook-126 מסוג User, ועל MB-126 בוצע Reset Account לאיפוס סיסמת חשבון המחשב.
8. בדיקת Hashes: נפתח הכלי Cain בכרטיסיית LM & NTLM Hashes שהציגה את המשתמשים administrator, Guest ו-a_Morim_Conv_SA_ עם LM Password, NT Password, LM Hash ו-NT Hash ריקים.
9. לימוד פרוטוקול Kerberos: קראו בוויקיפדיה את הערך Kerberos (protocol): ב-User Client-based Logon המשתמש מזין שם משתמש וסיסמה והלקוח מבצע one-way function (hash) של הסיסמה; ב-Client Authentication מוסבר על Message A שהוא Client/TGS Session Key המוצפן עם סוד הלקוח, ועל Message B שהוא Ticket-Granting-Ticket (TGT) המוצפן עם סוד ה-TGS; ב-Client Service Authorization מוסבר על Message C שהוא TGT ומזהה השירות, על Message D שהוא Authenticator מוצפן עם Client/TGS Session Key, על Message E שהוא client-to-server ticket המוצפן עם סוד השירות, ועל Message F שהוא Client/Server Session Key; ב-Client Service Request מוסבר על Message G שהוא Authenticator חדש ועל Message H שהוא timestamp + 1 המוצפן עם Client/Server Session Key. הוצגה גם דיאגרמת Kerberos negotiations בין Client, Authentication Server (AS) ו-Service Server (SS), ונקרא גם החלק Drawbacks and Limitations על נקודת כשל בודדת ועל דרישות הזמן המחמירות של הפרוטוקול.
10. גישה לשיתופי רשת: פתחו את Run עם הכתובת \\vpn-81, וב-Windows Explorer נצפה השיתוף \\dc3\SVSVOL שכלל את התיקיות DfsrPrivate, Install, Policies, scripts ו-StarterGPOs.
11. עבודה על ה-Domain Controller: עברו ב-RDP ל-10.0.0.80, ושם ב-Server Manager נפתח Active Directory Users and Computers של AD-DC-10.ad.practicu.com עם עץ יחידות ארגוניות של הדומיין.
12. ניקוי הכרטיסים: בשורת הפקודה הריצו ping -a 10.0.0.80 שפתר ל-ad-dc-10.ad.practicu.com, ואחר כך הריצו klist purge שהציג "Deleting all tickets..." ו-Cached Tickets: (0), וכל הרצה נוספת של klist אישרה שאין כרטיסים במטמון.
13. רשומות SRV ב-DNS: ב-DNS Manager על AD-DC-10 נצפו רשומות ה-SRV תחת _msdcs.ad.practicu.com/_tcp: _gc, _kerberos על פורט 88, _kpasswd ו-_ldap על פורט 3268, המצביעות לשרתים dc-1, dc-3, dc-6, dc-10, dc-11, dc-131 ו-dc3.practicu.com, והודגשה רשומת ה-_kerberos [01][00][88] dc3.ad.practicu.com.

בסיום השיעור הודגמו שני מנגנוני האימות בפועל: רצף ה-NTLM של Negotiate, Challenge ו-Auth כפי שנצפה ב-Wireshark, וכרטיסי ה-TGT וכרטיסי השירות של Kerberos כפי שנצפו ב-klist, יחד עם מדיניות ה-LAN Manager ונעילת החשבון ב-Group Policy, איפוס חשבון מחשב ב-Active Directory, ניקוי המטמון עם klist purge ורשומות ה-_kerberos ב-DNS. בשיעור הבא נלמד על Network Teaming.
סקר שוק נכון לתאריך – 01/09/2011

הסבר קצר על שיטת הלימוד אונליין

צילמנו בסרטונים את כל ההרצאות של הקורס, כי ללמוד בכיתה לא נוח וגם יקר.
קורס בכיתה עולה מעל מ-17 אלף ₪ ואצלנו בסרטונים רק 350 ש"ח לחודש.
אם משהו לא ברור בסרטון תמיד אפשר להתקשר למרצה ולדבר איתו ישירות בטלפון.
המרצה זמין גם בווטסאפ וגם בצ'אט באתר המכללה.


חשוב לציין שבסוף כל התלמידים, מכל המכללות, כולם ביחד ניגשים לאותה בחינה חיצונית של סיסקו / מיקרוסופט / לינוקס ומקבלים בדיוק אותה תעודה.
את החברות הגדולות האלו בכלל לא מעניין איפה ואיך למדת וכמה שילמת על הלימודים.
יש מבחן אחיד לכולם, המתבצע במרכז בחינות מורשה של חברת Pearson VUE. הם עושים את הבחינות בפועל עבור החברות הגדולות בשוק.
כל שבוע יש מבחן ומי שעובר אותו מקבל תעודת הסמכה בינלאומית.

לסיכום: יש מרכז בחינות מורשה בתל-אביב, שכולם מגיעים אליו מכל הארץ ועושים שם מבחני הסמכה הבינלאומיים ומי שעובר את המבחן מקבל את התעודה ולא חשוב להם איפה ואיך למדת.


מה לעשות אם לא מבינים משהו בסרט?

פשוט מאוד, מתקשרים למכללה ומדברים ישירות עם המרצה. אפשר גם להתכתב עם המרצה במייל או בווטסאפ או בצ'אט באתר.


האם יש לכם כיתות לימוד רגילות?

להשכיר כיתה + לשלם משכורת למרצה = 17 אלף ש"ח עלות הקורס לתלמיד.
אצלנו בסרטונים מקבלים אותו חומר לימוד
ואפילו יותר, כי אין מגבלה של זמן למרצה (כמו שיש בכיתה),
בנוסף מקבלים בדיוק אותה תעודה בינלאומית,
כי מבחן הוא מבחן אחיד לכולם המתבצע במרכז בחינות מורשה
והכי חשוב שמקבלים את אותם המרצים, שמלמדים בכיתה רגילה,
רק שצילמנו אותם בסרטונים
והמחיר בסרטונים רק 350 ש"ח ולא 17 אלף כמו בכיתה רגילה.



קיימים במכללה שני מסלולי לימוד:
  1. מסלול לימוד חופשי, בלי תעודה, להעשרת ידע כללי.
    מסלול לימוד חופשי, מתאים בעיקר למי שעובד בתחום וכבר יש לו תעודות והוא לא רוצה עוד מבחנים ותעודות.

  2. מסלול עם תעודה - מתאים בעיקר לתלמידים חדשים המעוניינים בקורס מסודר,
    הכולל הגשת עבודות ופרוייקט גמר. מסלול זה מעניק בסיומו תעודת מקצוע בינלאומית.
    למעשה ההבדל היחיד בין שני המסלולים זה פרויקט גמר בסוף.
    אם מגישים את פרויקט גמר - מקבלים תעודה.
    בדיקת פרויקט גמר והנפקת תעודה כרוכים בתשלום נוסף, כפי שכתוב בדף ההרשמה.

בסיום קורס ניתן לקבל תעודות הבאות:
1. תעודה של המכללה - מותנה בהגשת פרוייקט גמר בסוף הקורס
2. תעודת הסמכה בינלאומית של מיקרוסופט העולמית - מותנה במעבר מוצלח של מבחן הסמכה חיצוני של מיקרוסופט (מבחן זה מתבצע כל שבוע במרכז בחינות מורשה בתל-אביב)


מידע כללי:
1. חומר הלימוד מורכב ממאגר עצום ומסודר מאוד של סרטים מקצועיים, הניתנים לצפיה מהבית. מאגר זה כולל הרצאות מוקלטות בעברית בצורה מסודרת ע"י המרצים הטובים ביותר. רשימת הסרטים המלאה נמצאת בתפריט בצד ימין.
2. כל סטודנט במכללה מקבל שם וסיסמה לצורך גישה לשרת הקבצים שלנו.
השרת מכיל את כל התוכנות הדרושות ללימוד וכן חומר עזר
3. הקורסים מועברים בהתאם לסילבוסים של החברות המובילות: Microsoft, Cisco