Golden Ticket.

Golden Ticket は、krbtgt アカウントのパスワードハッシュ(通常は DCSync レプリケーション攻撃やドメインコントローラ侵害で取得)を入手した攻撃者がオフラインで偽造する TGT です。ドメイン内のすべての Kerberos TGT は krbtgt の鍵で署名されるため、そのハッシュを保持している者は任意のユーザー・グループ・有効期間のチケットを発行でき、ドメインに対する永続的支配権を獲得します。MITRE ATT&CK では T1558.001(Steal or Forge Kerberos Tickets: Golden Ticket)として整理されています。

この偽造が成立するのは、ドメインコントローラが自ら発行した TGT をサーバー側の状態と照合して検証しないからです。DC は krbtgt 鍵で復号できる TGT を正当なものとして信頼し、埋め込まれた PAC(Privilege Attribute Certificate)を読み取ってグループメンバーシップを判断します。そのため攻撃者は、Enterprise Admins グループ(RID 519)などの任意の SID を PAC へ直接注入できます。Microsoft の MS14-068 パッチ(CVE-2014-6324)は、低権限ユーザーが krbtgt ハッシュなしで PAC を偽装する関連手法に対して PAC 署名検証を強化しましたが、本物の krbtgt 鍵で署名された正規の Golden Ticket はパッチ適用後も依然として機能します。

krbtgt はパスワードがほぼ変更されないサービスアカウントであるため、1 枚のチケットが何年も有効であり続け、他のすべてのユーザーの資格情報を完全にリセットしても残存します。これは NotPetya や APT の時代に好まれた永続化手口でした。唯一の確実な排除方法は、krbtgt のパスワードを連続して 2 回ローテーションすることであり(アカウントは現在の鍵と直前の鍵を保持します)、これによって発行済みのすべてのチケットが無効化されます。

flowchart TD
  A[ドメインコントローラを侵害] --> B["krbtgt ハッシュを抽出<br/>DCSync または LSASS ダンプ経由"]
  B --> C["TGT をオフラインで偽造<br/>mimikatz kerberos::golden"]
  C --> D["特権 SID を PAC へ注入<br/>例: Domain / Enterprise Admins"]
  D --> E[Pass-the-Ticket でログオンセッションへ注入]
  E --> F[任意のリソースのサービスチケットを要求]
  F --> G[ドメインへの永続的支配]
  H[krbtgt を 2 回ローテーション + DCSync を監査] -.防御.-> B

緩和策としては、DC 侵害後の krbtgt パスワードの 2 回連続ローテーション、DCSync(ディレクトリレプリケーション)権限の制限と監査、Tier-0 管理モデルの導入、そして異常なチケットのハンティング(極端に長い有効期間、先行する AS-REQ を伴わないアカウント、対話型ログオンを一度も行っていないユーザーに対するイベント 4769 の要求など)が挙げられます。