Silver Ticket.

対象サービスアカウントのハッシュで偽造した Kerberos サービスチケット(TGS)で、そのサービスのみに密かにアクセスできる。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

対象サービスアカウントのハッシュで偽造した Kerberos サービスチケット(TGS)で、そのサービスのみに密かにアクセスできる。

Silver Ticket は、特定のサービスアカウント(例えば SQL Server、IIS、CIFS)の NTLM もしくは AES ハッシュを用いてオフラインで偽造する TGS です。チケットは krbtgt ではなくそのサービスアカウント自身で署名されるため、攻撃者は KDC と一切通信せず、ドメインコントローラに Kerberos 認証イベントが残りません。チケットの有効期間中、攻撃者は特権ユーザを含む任意のユーザとしてそのサービスにアクセスできます。MITRE ATT&CK では T1558.002(Steal or Forge Kerberos Tickets: Silver Ticket)として分類されます。対策としては gMSA による強固なサービスアカウントパスワード、AES のみの Kerberos、PAC 検証、サービス側の認証ログ監視があります。

Silver Ticket に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。