Golden-Ticket-Angriff

Überblick über das Kerberos-Protokoll

• 1 Wenn sich ein Benutzer bei einem System in der Domäne anmeldet, werden die Vorauthentifizierungsdaten, d. h. der mit dem Kennwort-Hash des Benutzerkontos verschlüsselte Zeitstempel, an das KDC gesendet.
• 2 Das KDC liest den Benutzernamen, ruft den Kennwort-Hash aus der Kontoverwaltungsdatenbank im DC ab und versucht, diese Nachricht zu entschlüsseln. Wenn die Nachricht erfolgreich entschlüsselt wird, bedeutet dies, dass der Benutzer über gültige Anmeldeinformationen verfügt und für den Zugriff auf die Domänendienste authentifiziert wird.
• 3 Das KDC sendet dem Benutzer das Ticket-Granting-Ticket (TGT) als Antwort. Das TGT enthält die Benutzerdetails und ist mit dem Passwort-Hash des KRBTGT-Kontos verschlüsselt. Die standardmäßige Gültigkeitsdauer eines TGT beträgt 10 Stunden, kann jedoch vom Administrator angepasst werden. Während dieses Zeitraums kann der Benutzer beliebig viele Anfragen zum Zugriff auf die Domänendienste senden, ohne jedes Mal eine Authentifizierung durchführen zu müssen.
• 4 Das TGT wird zur Erstellung der Serviceanfragen verwendet, die an den Ticket Granting Server (TGS) gesendet werden, welcher Teil des KDC ist. Der TGS entschlüsselt dann die Nachricht, fügt einen neuen Sitzungsschlüssel hinzu und sendet das vom Passwort-Hash des Servicekontos signierte Serviceticket an den Benutzer. Der Benutzer kann sich nun mithilfe des TGS-Tickets direkt mit dem Server verbinden.

• 1 Erweiterung der Berechtigungen eines Benutzerkontos durch Hinzufügen von Administratorzugriffs- oder Replikationsberechtigungen zu einem Domänen-Controller (DC).
• 2 Installation der Schadsoftware Mimikatz und Ausführung des Befehls DCSync, um den Passwort-Hash des KRBTGT-Kontos zu erhalten.
• 3 Erstellung des Golden Ticket unter Verwendung des Benutzernamens, des Domänenamens, der Domäne-Sicherheitskennung (SID), der Gruppen-ID und des erhaltenen Passwort-Hashs. Dieses Ticket wird im Anmeldeinformation Cache abgelegt und zum Abrufen der TGS-Tickets verwendet.

  Der Hacker kann beispielsweise ein TGT mit dem AD-Gruppennamen und der relativen Kennung (RID) der Dateiadministratoren erstellen, um Diensttickets für den Zugriff auf kritische Dateien mit sensiblen Daten zu erhalten.

• 4 Persistenz in der IT-Umgebung durch Verwendung des Golden Tickets, das unter Umständen über Jahre hinweg gültig bleibt und somit langfristigen Zugriff ermöglicht.

• 1 Detaillierte Analysen und Echtzeit-Warnmeldungen: Durch das Sammeln und Analysieren von Log-Daten aus Ihrem Netzwerk kann eine SIEM-Lösung ungewöhnliche Aktivitäten erkennen. Anschließend kann sie Echtzeit-Warnmeldungen für Bedrohungen generieren und Ihnen dabei helfen, den Sicherheitsvorfall zu untersuchen und zu entschärfen. Versuche der Rechteausweitung, verdächtige Benutzeraktivitäten und die Installation von Malware können mithilfe interaktiver Dashboards, die wichtige Informationen zur Netzwerksicherheit enthalten, leicht identifiziert werden.
• 2 User and entity behavior analytics (UEBA): UEBA geht oft Hand in Hand mit SIEM-Lösungen und hilft dabei, eine Baseline der Benutzeraktivitäten auf der Grundlage alltäglicher Muster der Netzwerkaktivität zu erstellen. Wenn Benutzer von ihren Baselines abweichen, erhöht die Software ihre Risikobewertung, was auf eine Bedrohung hinweist.
• 3 Incident response: Eine SIEM-Lösung kann Ihnen helfen, auf die IoCs eines Golden-Ticket-Angriffs zu reagieren, indem sie es Ihnen ermöglicht, die Reaktion auf Sicherheitsvorfälle mit Hilfe vordefinierter Workflows für bestimmte Warnmeldungen über die Incident-Management-Konsole zu automatisieren.