Detecção de Ataques de Golden Ticket em Logs do Kerberos

Quando Usar

• Quando o hash da conta KRBTGT pode ter sido comprometido via DCSync ou extração do NTDS.dit
• Ao procurar por tickets Kerberos forjados usados para acesso persistente ao domínio
• Após a resposta a incidentes revelar roubo de credenciais no nível do domínio
• Ao investigar padrões de logon impossíveis (usuários logando de múltiplos locais simultaneamente)
• Durante a avaliação pós-violação para determinar se Golden Tickets estão em uso

Pré-requisitos

• IDs de Evento de Segurança do Windows 4768, 4769, 4771 em controladores de domínio
• Conhecimento da configuração da política Kerberos (tempo de vida máximo do ticket, tipos de criptografia)
• Política de auditoria do controlador de domínio habilitando Operações de Ticket de Serviço Kerberos
• SIEM com capacidade de correlacionar eventos Kerberos entre múltiplos DCs

Fluxo de Trabalho

1. Monitorar Solicitações de TGT (Evento 4768): Rastrear solicitações de serviço de autenticação Kerberos. Golden Tickets ignoram completamente a troca AS-REQ/AS-REP, portanto, a ausência de 4768 antes de 4769 é suspeita.
2. Detectar Anomalias no Tipo de Criptografia: Golden Tickets frequentemente usam criptografia RC4 (0x17). Se o seu domínio impõe AES (0x12), qualquer TGT RC4 é um sinal de alerta. Monitore TicketEncryptionType no Evento 4769.
3. Verificar Anomalias no Tempo de Vida do Ticket: O tempo de vida padrão do TGT Kerberos é de 10 horas com renovação de 7 dias. Golden Tickets podem ser forjados com tempos de vida de 10 anos. Detecte tickets com durações que excedem a política.
4. Procurar por SIDs Inexistentes: Golden Tickets podem incluir SIDs arbitrários (incluindo contas ou grupos inexistentes). Correlacione solicitações de TGS contra o inventário de SIDs conhecidos do AD.
5. Detectar TGS Sem TGT Anterior: Quando um ticket de serviço (4769) aparece sem uma solicitação de TGT anterior (4768) do mesmo IP/conta, isso pode indicar um Golden Ticket pré-existente.
6. Monitorar Idade da Senha do KRBTGT: Rastreie quando o KRBTGT foi redefinido pela última vez. Se o hash do KRBTGT não mudou desde uma violação conhecida, Golden Tickets desse período permanecem válidos.
7. Validar Assinaturas PAC: Com KB5008380+ e aplicação da validação PAC, controladores de domínio rejeitam PACs forjados. Monitore falhas Kerberos indicando erros de validação PAC.

Consultas de Detecção

Splunk -- Criptografia RC4 em TGS Kerberos

index=wineventlog EventCode=4769
| where TicketEncryptionType="0x17"
| where ServiceName!="krbtgt"
| stats count by TargetUserName ServiceName IpAddress TicketEncryptionType Computer
| where count > 5
| sort -count

Splunk -- TGS Sem TGT Anterior

index=wineventlog (EventCode=4768 OR EventCode=4769)
| stats earliest(_time) as first_tgt by TargetUserName IpAddress EventCode
| eventstats earliest(eval(if(EventCode=4768, first_tgt, null()))) as tgt_time by TargetUserName IpAddress
| where EventCode=4769 AND (isnull(tgt_time) OR first_tgt < tgt_time)
| table TargetUserName IpAddress first_tgt tgt_time

KQL -- Indicadores de Golden Ticket

SecurityEvent
| where EventID == 4769
| where TicketEncryptionType == "0x17"
| where ServiceName != "krbtgt"
| summarize Count=count() by TargetUserName, IpAddress, ServiceName
| where Count > 5

Cenários Comuns

1. Golden Ticket Pós-DCSync: Após extrair o hash do KRBTGT, o atacante forja um TGT com SID de Administrador de Domínio, válido por meses até que o KRBTGT seja rotacionado duas vezes.
2. Downgrade de RC4: Golden Ticket forjado com criptografia RC4 em um ambiente apenas AES, detectável por incompatibilidade de tipo de criptografia.
3. Golden Ticket Cross-Domain: TGT inter-realm forjado usado para pivotar entre domínios/florestas do AD.
4. Persistência Após Remediação: Golden Tickets que sobrevivem a redefinições de senha porque o KRBTGT foi rotacionado apenas uma vez (tanto o hash atual quanto o anterior são válidos).

Formato de Saída

Hunt ID: TH-GOLDEN-[DATE]-[SEQ]
Suspected Account: [Account using forged ticket]
Source IP: [Client IP]
Target Service: [SPN accessed]
Encryption Type: [RC4/AES128/AES256]
Anomaly: [No prior TGT/RC4 in AES environment/Extended lifetime]
KRBTGT Last Reset: [Date]
Risk Level: [Critical]