# Ataque Golden Ticket
## O que é um ataque Golden Ticket?
Um ataque Golden Ticket é um poderoso ataque de persistência em domínio que explora vulnerabilidades no protocolo de autenticação Kerberos para forjar tickets de autenticação e obter acesso irrestrito a todos os serviços habilitados para Kerberos no domínio, incluindo serviços do domain controller, servidores de arquivos, DNS, servidores de impressão e outros.
## Sobre o ataque
O protocolo Kerberos é composto por um conjunto de mensagens de solicitação e resposta trocadas entre o usuário, o key distribution center (KDC) e o servidor que o usuário deseja acessar. O KDC é um serviço executado no domain controller e é responsável por todo o processo de autenticação Kerberos.
### Visão geral do protocolo Kerberos
1. Quando um usuário faz login em um sistema do domínio, os dados de pré-autenticação, que consistem no timestamp criptografado com o hash da senha da conta do usuário, são enviados ao KDC.
2. O KDC lê o nome de usuário, obtém o hash da senha no database do gerenciador de contas no domain controller e tenta descriptografar a mensagem. Se a mensagem for descriptografada com sucesso, isso indica que o usuário possui credenciais válidas e pode ser autenticado para acessar os serviços do domínio.
3. O KDC envia o ticket-granting ticket (TGT) como resposta ao usuário. O TGT contém os detalhes do usuário e é criptografado com o hash da senha da conta KRBTGT. O tempo de validade padrão de um TGT é de 10 horas, mas pode ser alterado pelo administrador. Durante esse período, o usuário pode enviar diversas solicitações para acessar serviços do domínio sem precisar passar pelo processo de autenticação a cada vez.
4. O TGT é utilizado para criar solicitações de serviço que são enviadas ao ticket granting server (TGS), que faz parte do KDC. O TGS então descriptografa a mensagem, adiciona uma nova chave de sessão e envia ao usuário o service ticket, assinado com o hash da senha da conta de serviço. O usuário pode então se conectar diretamente ao servidor utilizando o ticket do TGS.
### Vulnerabilidades
- A senha da conta KRBTGT é o elemento mais crítico do processo de autenticação Kerberos. Ao roubar o hash dessa senha, os invasores podem criar um Golden Ticket, ou seja, um TGT que aparenta ter sido emitido pelo KDC e que pode ser enviado a um TGS para gerar tickets de serviço válidos.
- No TGT forjado, o tempo de validade do ticket pode ser estendido para até 10 anos. Isso permite que o ticket seja utilizado continuamente até que a senha da conta KRBTGT seja redefinida.
## Fluxo do ataque
Imagine que um invasor tenha obtido acesso a uma conta de usuário em sua rede por meio de um e-mail de phishing.
1. Ele eleva os privilégios da conta de usuário adicionando permissões administrativas ou privilégios de replicação em um domain controller (DC).
2. Em seguida, instala o Mimikatz, um software malicioso, e executa o comando DCSync para obter o hash da senha da conta KRBTGT.
3. Depois, cria um Golden Ticket utilizando o nome de usuário, o nome do domínio, o identificador de segurança do domínio (SID), o ID do grupo e o hash da senha obtido. Esse ticket é armazenado no cache de credenciais e utilizado para obter tickets TGS.

   Por exemplo, o invasor pode criar um TGT com o nome de um grupo do AD e o identificador relativo (RID) dos administradores de arquivos para obter tickets de serviço e acessar arquivos críticos que contêm dados sensíveis.
4. O invasor pode permanecer no ambiente pelo tempo que desejar, pois o Golden Ticket pode não expirar por anos.

![Attack flow](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-ss.png)
## Mecanismo de detecção
Para detectar um ataque Golden Ticket, é necessário monitorar continuamente a rede em busca dos seguintes indicadores de comprometimento (IoCs):
- Escalonamento de privilégios

  a. Execução de um novo processo por uma conta de usuário (DCSync)

  b. Comportamento anômalo de contas de usuários privilegiados
- Instalação do Mimikatz

  a. Instalação de software malicioso detectada por soluções antivírus
- Atividades maliciosas após a execução do ataque

  a. Primeiro acesso de um usuário final a um recurso crítico

  b. Acúmulo de dados em endpoints

  c. Comportamento incomum do usuário, como solicitar acesso a recursos em horários atípicos
- Investigação de eventos

  Event ID: 4769

  Esse evento é registrado no domain controller quando usuários solicitam tickets TGS. A falha desse evento pode ter causas legítimas, mas a análise de determinados códigos de resultado, aliada a uma investigação mais aprofundada, pode revelar anomalias importantes, como:
  - Inconsistências em tickets forjados. TGTs gerados por ferramentas podem diferir dos tickets Kerberos originais. Alguns campos, como o ID de grupo, podem estar ausentes, nomes de usuário falsos podem estar sendo utilizados etc.
  - Múltiplas tentativas de acesso a diferentes serviços para os quais o usuário não possui autorização.
  - Uso de criptografia mais fraca.
  - TGTs assinados com o hash de senha antigo e enviados várias vezes pelo usuário após a redefinição da senha da conta KRBTGT.

Esses IoCs podem ser facilmente identificados por uma solução de gerenciamento de eventos e informações de segurança (SIEM). Soluções SIEM podem rastrear e alertar sobre atividades suspeitas em tempo real para ajudar a mitigar o ataque.

Uma boa solução SIEM deve oferecer os seguintes recursos para detectar os IoCs de um ataque Golden Ticket:
1. [Análises aprofundadas e alertas em tempo real](https://www.manageengine.com/br/log-management/features/real-time-security-analytics.html?golden-ticket-attack): A coleta e análise de dados de log da rede ajudam a solução SIEM a identificar atividades anômalas. A solução pode então gerar alertas em tempo real sobre ameaças e auxiliar na investigação e mitigação do incidente. Tentativas de escalonamento de privilégios, atividades suspeitas de usuários e instalação de softwares maliciosos podem ser facilmente identificadas com a ajuda de dashboards interativos que apresentam informações críticas de segurança da rede.
2. [Análise de comportamento de usuários e entidades (UEBA)](https://www.manageengine.com/br/log-management/ueba-threat-detection.html?golden-ticket-attack): Frequentemente utilizada em conjunto com soluções SIEM, a UEBA ajuda a estabelecer uma linha de base da atividade dos usuários com base nos padrões normais de uso da rede. Quando os usuários se desviam dele, a solução aumenta suas pontuações de risco, indicando uma possível ameaça.
3. [Resposta a incidentes](https://www.manageengine.com/br/log-management/soar-incident-response.html?golden-ticket-attack): Uma solução SIEM pode ajudar a responder aos IoCs de um ataque Golden Ticket ao automatizar a resposta a incidentes por meio de workflows predefinidos para alertas específicos no console de gerenciamento de incidentes.

A correção de um ataque Golden Ticket exige redefinir a senha da conta KRBTGT duas vezes. Isso ocorre porque o Active Directory armazena as senhas atuais e anteriores das contas. Assim, tickets Kerberos que contêm o hash de senhas antigas continuam válidos mesmo após a redefinição da senha da conta KRBTGT apenas uma vez.

É possível redefinir a senha manualmente duas vezes no Active Directory ou pelo console de gerenciamento de senhas da sua solução SIEM. Por fim, é necessário reorganizar os membros e grupos do AD para atribuir aos usuários apenas os privilégios necessários e reduzir o risco desse tipo de ataque no futuro.
## Detecte e mitigue ataques Golden Ticket com o Log360
Ataques Golden Ticket são furtivos e difíceis de detectar. Por isso, é importante adotar uma estratégia que combine a identificação de IoCs com investigação aprofundada para evitar um grande volume de falsos alarmes e respostas desnecessárias.

O Log360 ajuda SOCs a implementar estratégias de investigação para lidar com ataques persistentes como esse. Essa solução SIEM oferece recursos como:
- Alertas em tempo real para acompanhar eventos importantes.
- Relatórios predefinidos que ajudam a identificar atividades anômalas.
- Recursos de pesquisa de logs que auxiliam em análises periciais.
### Detecção por alertas
Falha do event ID: 4769

1. O Log360 captura o evento de falha na solicitação de ticket TGS (Event ID: 4769) e envia uma notificação com a causa da falha. Critérios adicionais podem ser configurados para gerar alertas com base nos seguintes códigos de resultado que indicam o uso de um Golden Ticket:
   - 0x6 - Solicitação de TGS para um nome de usuário inexistente
   - 0xC - O usuário não tem permissão para acessar o serviço
   - 0x40 - A assinatura do TGT é inválida
2. O Log360 também oferece perfis de alerta para identificar o uso de criptografia mais fraca em tickets Kerberos. Códigos de resultado como 0x1 e 0x3 podem ser usados para configurar esses alertas.

**Correção**: Adicione os alertas disparados como incidentes e utilize o dashboard de incidentes do Log360 para executar workflows de resposta imediatamente. O workflow inclui ações como encerrar processos, realizar logoff e desativar o usuário, além de desativar o computador para impedir que o ataque avance.

![Alerts](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-tab1-ss1.png)

![Alerts](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-tab1-ss2.png)

![Alerts](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-tab1-ss3.png)
### Investigação por meio de pesquisa de logs
Depois que você começar a observar alertas relacionados aos eventos mencionados acima, poderá investigar com mais detalhes usando a pesquisa de logs. Use os Event IDs 4624 e 4672 para analisar as atividades de logon. O Log360 ajuda a identificar dados incomuns e campos vazios nos registros de log. Revise o histórico de eventos e inclua critérios adicionais para filtrar os logs, como nome de usuário e SID.

![Investigation through log search](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-tab2-ss1.png)

![Investigation through log search](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-tab2-ss2.png)
### Investigação por meio de relatórios
**Relatórios de UEBA**

**Monitoramento de usuários privilegiados:** Investigue atividades suspeitas de logon com base em anomalias de horário, volume e padrão utilizando os relatórios de Logon e de Logon Failure. Também é possível adicionar filtros para examinar as atividades de contas de usuários específicas e de usuários privilegiados.

![Investigation through reports](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-tab3-ss1.png)

![Investigation through reports](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-tab3-ss2.png)

![Investigation through reports](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-tab3-ss3.png)
### Relatórios MITRE ATT&CK®
O dashboard MITRE ATT&CK do Log360 oferece análises avançadas de ameaças com relatórios detalhados para cada tática do ATT&CK e suas sub-técnicas. Os seguintes relatórios MITRE ATT&CK ajudam na detecção de Golden Tickets.
#### 1. Relatórios de acesso a credenciais
A seção **Steal or Forge Kerberos Tickets**, na tática de acesso a credenciais, inclui relatórios importantes, como o relatório **Suspicious Kerberos RC4 Ticket Encryption**, que detecta o uso de criptografia mais fraca em solicitações TGS.

![Mitre ATT&CK® reports](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-tab3-ss4.png)
#### 2. Relatórios de Mimikatz
A seção OS Credential Dumping inclui os seguintes relatórios para detectar o uso do Mimikatz:
- Mimikatz Command Line
- Mimikatz DC Sync
- Mimikatz Use

![Mitre ATT&CK® reports](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-tab3-ss5.png)

![Mitre ATT&CK® reports](https://www.manageengine.com/log-management/cyber-security/images/golden-ticket-attack-tab3-ss6.png)