Golden Ticket.

krbtgt アカウントのハッシュで署名され、ドメイン内の任意の主体になりすませる偽造 Kerberos TGT。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

krbtgt アカウントのハッシュで署名され、ドメイン内の任意の主体になりすませる偽造 Kerberos TGT。

Golden Ticket は、攻撃者が krbtgt アカウントのパスワードハッシュ(通常は DCSync 攻撃やドメインコントローラ侵害で取得)を用いてオフラインで偽造する TGT です。ドメイン内のすべての TGT は krbtgt の鍵で署名されるため、そのハッシュを保持している者は任意のユーザー・グループ・有効期間のチケットを発行でき、ドメインに対する永続的支配権を獲得します。MITRE ATT&CK では T1558.001(Steal or Forge Kerberos Tickets: Golden Ticket)として整理されています。対策としては、DC 侵害後の krbtgt パスワードの 2 回連続ローテーション、DCSync 権限の制限と監査、Tier-0 管理モデルの導入、有効期限が異常に長い、または論理上ありえない TGT の検出が挙げられます。

Golden Ticket に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。