Detecção de Ataques Pass-the-Ticket

Visão Geral

Pass-the-Ticket (PtT) é uma técnica de roubo de credenciais (MITRE ATT&CK T1550.003) onde adversários roubam tickets Kerberos (TGT ou TGS) de um sistema e os reproduzem em outro para autenticar sem saber a senha do usuário. Esta habilidade ensina a detecção de ataques PtT correlacionando os IDs de Evento de Segurança do Windows 4768 (solicitação de TGT), 4769 (solicitação de TGS) e 4771 (falha de pré-autenticação) para anomalias como reutilização de ticket entre diferentes hosts, rebaixamento de criptografia RC4 e volumes incomuns de solicitação de ticket de serviço.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de ataques pass-the-ticket
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Controlador de Domínio Windows com política de auditoria avançada habilitada (Auditar Serviço de Autenticação Kerberos, Auditar Operações de Ticket de Serviço Kerberos)
• Splunk ou Elastic SIEM ingerindo logs de eventos de segurança do Windows
• Sysmon implantado em endpoints para telemetria de processo suplementar
• Python 3.8+ com a biblioteca requests

Passos

1. Habilitar o registro de auditoria Kerberos em Controladores de Domínio via Política de Grupo
2. Encaminhar os IDs de Evento 4768, 4769 e 4771 para a plataforma SIEM
3. Implantar regras de detecção para rebaixamento de criptografia RC4 (TicketEncryptionType 0x17)
4. Criar regra de correlação para reutilização de ticket entre múltiplos IPs de origem
5. Construir linha de base do volume normal de solicitação de TGS por usuário/host
6. Alertar sobre anomalias de desvio padrão em padrões de solicitação de ticket
7. Investigar eventos sinalizados com enriquecimento do Active Directory

Saída Esperada

Relatório JSON contendo indicadores de PtT detectados, incluindo solicitações de ticket anômalas, rebaixamentos RC4, eventos de reutilização de ticket entre hosts e usuários com pontuação de risco e mapeamento de técnica MITRE ATT&CK.