detecting-pass-the-ticket-attacks

Pass-the-Ticket 攻撃の検出

概要

Pass-the-Ticket（PtT）は、攻撃者があるシステムから Kerberos チケット（TGT または TGS）を盗み出し、別のシステムで再利用することで、ユーザーのパスワードを知らずに認証する認証情報窃取手法です（MITRE ATT&CK T1550.003）。このスキルでは、Windows セキュリティイベント ID 4768（TGT 要求）、4769（TGS 要求）、4771（事前認証失敗）を相関分析し、異なるホスト間でのチケット再利用、RC4 暗号化へのダウングレード、通常と異なるサービスチケット要求量などの異常から PtT 攻撃を検出する方法を説明します。

使用する場面

• Pass-the-Ticket 攻撃の検出が必要なセキュリティインシデントを調査するとき
• この領域の検出ルールや脅威ハンティングクエリを作成するとき
• SOC アナリストがこの種の分析に関する体系的な手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視の網羅性を検証するとき

前提条件

• 高度な監査ポリシー（Kerberos 認証サービスの監査、Kerberos サービスチケット操作の監査）が有効な Windows ドメインコントローラー
• Windows セキュリティイベントログを取り込む Splunk または Elastic SIEM
• 補足的なプロセステレメトリを取得するため、エンドポイントに Sysmon が導入されていること
• requests ライブラリを備えた Python 3.8 以降

手順

1. グループポリシーを使用して、ドメインコントローラーの Kerberos 監査ログを有効にします
2. イベント ID 4768、4769、4771 を SIEM プラットフォームに転送します
3. RC4 暗号化へのダウングレードを検出するルール（TicketEncryptionType 0x17）を導入します
4. 複数の送信元 IP 間でのチケット再利用を検出する相関ルールを作成します
5. ユーザー／ホストごとの通常の TGS 要求量のベースラインを作成します
6. チケット要求パターンにおける標準偏差の異常をアラートで通知します
7. Active Directory の追加情報を付与して、フラグが付いたイベントを調査します

想定される出力

検出された PtT の兆候を含む JSON レポート。異常なチケット要求、RC4 へのダウングレード、ホスト間でのチケット再利用イベント、および MITRE ATT&CK の手法マッピングを含むリスクスコア付きユーザーが記載されます。