Golden Ticket.

TGT Kerberos forge a l'aide du hash du compte krbtgt, permettant a un attaquant d'usurper n'importe quel principal du domaine. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

TGT Kerberos forge a l'aide du hash du compte krbtgt, permettant a un attaquant d'usurper n'importe quel principal du domaine.

Un Golden Ticket est un TGT genere hors ligne par un attaquant qui detient le hash du compte krbtgt, generalement obtenu via une attaque DCSync ou la compromission d'un controleur de domaine. Comme tous les TGT du domaine sont signes par krbtgt, qui possede ce hash peut emettre des tickets pour n'importe quel utilisateur, groupe et duree, assurant une domination persistante du domaine. MITRE ATT&CK suit la technique sous T1558.001 (Steal or Forge Kerberos Tickets: Golden Ticket). Les mitigations incluent une double rotation du mot de passe krbtgt apres tout compromis de DC, la restriction et l'audit du droit DCSync, une administration tier-0 et la detection de TGT a duree anormale ou impossible.

Les défenses contre Golden Ticket combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.