detecting-pass-the-ticket-attacks

检测 Pass-the-Ticket 攻击

概述

Pass-the-Ticket（PtT）是一种凭据窃取技术（MITRE ATT&CK T1550.003），攻击者从一个系统窃取 Kerberos 票据（TGT 或 TGS），然后在另一个系统上重放这些票据，从而在不知道用户密码的情况下完成身份验证。本技能教授如何通过关联 Windows 安全事件 ID 4768（TGT 请求）、4769（TGS 请求）和 4771（预身份验证失败）来检测 PtT 攻击，以发现诸如跨不同主机重用票据、RC4 加密降级以及异常的服务票据请求等异常情况。

何时使用

• 在调查需要检测 pass the ticket 攻击的安全事件时
• 在为此领域构建检测规则或威胁狩猎查询时
• 当 SOC 分析师需要针对此类分析的结构化流程时
• 在验证相关攻击技术的安全监控覆盖情况时

前提条件

• 启用了高级审计策略的 Windows 域控制器（审计 Kerberos 身份验证服务、审计 Kerberos 服务票据操作）
• 摄取 Windows 事件日志的 Splunk 或 Elastic SIEM
• 在端点上部署 Sysmon 以获取补充的进程遥测数据
• Python 3.8+ 及 requests 库

步骤

1. 通过组策略在域控制器上启用 Kerberos 审计
2. 将事件 ID 4768、4769 和 4771 转发到 SIEM 平台
3. 部署针对 RC4 加密降级（TicketEncryptionType 0x17）的检测规则
4. 创建针对跨多个源 IP 重用票据的关联规则
5. 构建每用户/主机正常 TGS 请求量的基线
6. 对票据请求模式中的标准差异常发出告警
7. 结合 Active Directory 的丰富信息调查被标记的事件

预期输出

包含检测到的 PtT 指标的 JSON 报告，包括异常票据请求、RC4 降级、跨主机票据重用事件，以及带有 MITRE ATT&CK 技术映射的风险评分用户。