Detecção de Falsificação de Golden Ticket

Visão Geral

Um ataque de Golden Ticket (MITRE ATT&CK T1558.001) envolve a falsificação de um Kerberos Ticket Granting Ticket (TGT) usando o hash NTLM da conta krbtgt, concedendo acesso irrestrito a qualquer serviço no domínio do Active Directory. Esta habilidade detecta o uso de Golden Ticket analisando o Event ID 4769 para o tipo de criptografia RC4 (0x17) em ambientes que aplicam AES, identificando tickets com tempos de vida anormais que excedem a política de domínio, correlacionando solicitações de TGS com solicitações de TGT correspondentes ausentes (Event ID 4768) e detectando anomalias na idade da senha do krbtgt.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de falsificação de golden ticket
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Windows Domain Controller com auditoria Kerberos habilitada
• Splunk ou Elastic SIEM ingerindo logs de eventos de segurança do Windows
• Python 3.8+ para análise offline de logs de eventos
• Conhecimento da política de criptografia Kerberos do domínio (AES vs RC4)

Passos

1. Auditar a política de criptografia Kerberos do domínio para estabelecer uma linha de base apenas com AES
2. Encaminhar os Event IDs 4768 e 4769 para a plataforma SIEM
3. Detectar criptografia RC4 (0x17) em solicitações de TGS onde o AES é aplicado
4. Identificar solicitações de TGS sem solicitações de TGT correspondentes (indicador de ticket falsificado)
5. Alertar sobre tempos de vida de tickets que excedem a política de domínio MaxTicketAge
6. Monitorar a idade da senha da conta krbtgt e a data da última redefinição
7. Correlacionar descobertas com contexto de host/usuário para pontuação de risco

Saída Esperada

Relatório JSON com indicadores de Golden Ticket, incluindo downgrades de RC4, solicitações de TGS órfãs, tempos de vida de tickets anormais e alertas com pontuação de risco e mapeamento da técnica MITRE ATT&CK.