detecting-golden-ticket-forgery

检测黄金票据伪造

概述

黄金票据攻击（MITRE ATT&CK T1558.001）是指使用 krbtgt 账户的 NTLM 哈希伪造 Kerberos 票据授予票据（TGT），从而获得对 Active Directory 域中任意服务的无限制访问权限。本技能通过分析事件 ID 4769 检测在强制使用 AES 的环境中出现的 RC4 加密类型（0x17），识别生命周期超出域策略的异常票据，关联缺少对应 TGT 请求（事件 ID 4768）的 TGS 请求，以及检测 krbtgt 密码年龄异常，从而检测黄金票据的使用。

使用场景

• 调查需要检测黄金票据伪造的安全事件时
• 为该领域构建检测规则或威胁狩猎查询时
• SOC 分析师需要针对此类分析的结构化流程时
• 验证相关攻击技术的安全监控覆盖范围时

前置条件

• 启用了 Kerberos 审核日志记录的 Windows 域控制器
• 摄取 Windows 安全事件日志的 Splunk 或 Elastic SIEM
• 用于离线事件日志分析的 Python 3.8+
• 了解域 Kerberos 加密策略（AES 与 RC4）

步骤

1. 审核域 Kerberos 加密策略，建立仅使用 AES 的基线
2. 将事件 ID 4768 和 4769 转发到 SIEM 平台
3. 在强制使用 AES 的环境中检测 TGS 请求中的 RC4（0x17）加密
4. 识别没有对应 TGT 请求的 TGS 请求（伪造票据的指标）
5. 对超出 MaxTicketAge 域策略的票据生命周期发出告警
6. 监控 krbtgt 账户的密码年龄和上次重置日期
7. 将发现结果与主机/用户上下文关联以进行风险评分

预期输出

包含黄金票据指标的 JSON 报告，包括 RC4 降级、孤立 TGS 请求、异常票据生命周期，以及带有 MITRE ATT&CK 技术映射的风险评分告警。