detecting-golden-ticket-forgery

Golden Ticket 偽造の検知

概要

Golden Ticket 攻撃（MITRE ATT&CK T1558.001）は、krbtgt アカウントの NTLM ハッシュを使用して Kerberos の Ticket Granting Ticket（TGT）を偽造し、Active Directory ドメイン内の任意のサービスへの無制限のアクセスを得る攻撃です。このスキルは、AES を強制している環境で RC4 暗号化タイプ（0x17）を使用するイベント ID 4769 を分析し、ドメインポリシーを超える異常な有効期間を持つチケットを特定し、対応する TGT 要求（イベント ID 4768）が存在しない TGS 要求を相関させ、krbtgt パスワードの経過日数の異常を検出することで、Golden Ticket の使用を検知します。

使用するタイミング

• Golden Ticket 偽造の検知が必要なセキュリティインシデントを調査するとき
• このドメインに関する検知ルールや脅威ハンティングクエリを作成するとき
• SOC アナリストがこの種の分析に必要な体系的な手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視の網羅性を検証するとき

前提条件

• Kerberos の監査ログが有効になっている Windows ドメインコントローラー
• Windows セキュリティイベントログを取り込んでいる Splunk または Elastic SIEM
• オフラインのイベントログ分析用の Python 3.8 以上
• ドメインの Kerberos 暗号化ポリシー（AES と RC4 の違い）に関する知識

手順

1. ドメインの Kerberos 暗号化ポリシーを監査し、AES のみのベースラインを確立する
2. イベント ID 4768 および 4769 を SIEM プラットフォームへ転送する
3. AES が強制されている環境で、TGS 要求内の RC4（0x17）暗号化を検知する
4. 対応する TGT 要求が存在しない TGS 要求を特定する（偽造チケットの指標）
5. チケットの有効期間が MaxTicketAge のドメインポリシーを超えた場合にアラートを発報する
6. krbtgt アカウントのパスワード経過日数と最終リセット日を監視する
7. 検出結果をホスト／ユーザーのコンテキストと相関させてリスクスコアリングを行う

期待される出力

RC4 へのダウングレード、孤立した TGS 要求、異常なチケット有効期間を含む Golden Ticket の指標と、MITRE ATT&CK 手法のマッピングを伴うリスクスコア付きアラートを記載した JSON レポート。