conducting-pass-the-ticket-attack

Pass-the-Ticket 攻撃の実施

法的通知： このスキルは、許可を得たセキュリティテストおよび教育目的にのみ使用してください。所有していないシステム、またはテストの書面による許可を得ていないシステムに対する無許可の使用は違法であり、コンピューター詐欺に関する法律に違反する可能性があります。

概要

Pass-the-Ticket（PtT）は、盗んだ Kerberos チケット（TGT または TGS）を使用し、ユーザーのパスワードを知らずにサービスへ認証する横方向移動の手法です。侵害したホストのメモリ（LSASS）から Kerberos チケットを抽出し、それらのチケットを攻撃者自身のセッションに注入することで、チケットの所有者になりすまし、そのユーザーとしてリソースにアクセスできます。

使用する場面

• Pass-the-Ticket 攻撃を実施するセキュリティ評価を行う場合
• 関連するセキュリティインシデントへのインシデント対応手順に従う場合
• 予定されているセキュリティテストや監査活動を実施する場合
• 実地テストを通じてセキュリティ制御を検証する場合

前提条件

• レッドチームの概念とツールに関する知識
• 安全に実行できるテスト環境またはラボ環境へのアクセス
• 必要な依存関係をインストールした Python 3.8 以降
• テスト活動に対する適切な許可

MITRE ATT&CK との対応

• T1550.003 - 代替認証情報の使用：Pass the Ticket
• T1003.001 - OS 認証情報のダンプ：LSASS メモリ
• T1558 - Kerberos チケットの窃取または偽造
• T1021.002 - リモートサービス：SMB／Windows 管理共有

ワークフロー

フェーズ 1：チケットの抽出

1. 対象ワークステーションでローカル管理者アクセスを取得する
2. Mimikatz または Rubeus を使用して、LSASS メモリから Kerberos チケットをダンプする
3. チケットを .kirbi 形式（Mimikatz）または base64（Rubeus）でエクスポートする
4. 価値の高いチケット（Domain Admin の TGT、重要なシステム向けのサービスチケット）を特定する

フェーズ 2：チケットの注入

1. 攻撃者のセッションから既存の Kerberos チケットを消去する
2. 盗んだチケットを現在のセッションにインポート／注入する
3. チケットが読み込まれ、有効であることを確認する
4. 注入したチケットを使用して対象リソースにアクセスする

フェーズ 3：横方向移動

1. 盗んだチケットのアイデンティティを使用してリモートシステムにアクセスする
2. なりすましたユーザーとして操作を実行する
3. アクセスしたシステムから追加の認証情報を収集する
4. 横方向移動の成功を示す証拠を記録する

ツールとリソース

ツール	用途	コマンド
Mimikatz	チケットのエクスポート／インポート	sekurlsa::tickets /export, kerberos::ptt
Rubeus	チケットのダンプと注入	dump, ptt, tgtdeleg
Impacket ticketConverter	形式間の変換	ticketConverter.py ticket.kirbi ticket.ccache
Impacket psexec/smbexec	チケットを使用したリモート実行	KRB5CCNAME=ticket.ccache psexec.py

検出指標

• クライアントアドレスが異常なイベント ID 4768
• 想定外のホストからのサービスチケット要求を示すイベント ID 4769
• TGT の発行先とは異なる IP からの TGT の使用
• 異なる複数のワークステーションで、同一チケットによる認証が複数回発生

検証基準

• 侵害したホストから Kerberos チケットを抽出した
• チケットを攻撃者のセッションに注入した
• 盗んだチケットを使用した横方向移動を実証した
• 報告用の証拠を取得した