Inhaltsverzeichnis
Sean Deuby | Leitender Technologe, Amerika

In dem Roman „Charlie und die Schokoladenfabrik“ von Roald Dahl aus dem Jahr 1964 versteckt der geheimnisvolle Willy Wonka fünf „Goldene Tickets“ in den Schokoladentafeln seiner Fabrik. Wer diese Tickets findet, gewinnt die Ehre, einen Blick hinter die Kulissen seines Unternehmens werfen zu dürfen. Auch in der digitalen Welt gewähren „Goldene Tickets“ Zugang – allerdings zu etwas weitaus Wertvollerem als einer geheimnisvollen Fabrik: zur IT-Umgebung Ihres Unternehmens.

Verwandte Lektüre

Ihr Ticket, bitte

Zur kurzen Einführung: Wenn sich ein PC-Client bei einer Domäne authentifiziert, stellt das Kerberos Key Distribution Center (KDC) auf dem authentifizierenden domain controller DC) dem Client ein Ticket Granting Ticket (TGT) zur Verfügung. Dieses TGT ermöglicht es dem Client, beim KDC ein Service-Ticket anzufordern, um auf einen Dienst (beispielsweise einen Dateiserver) zuzugreifen. Das KDC sendet das Dienstticket an den Client, verschlüsselt mit dem Hashwert des Passworts des Dienstkontos. Der Client leitet das Ticket an den Dienst weiter, der es entschlüsselt und dem Client Zugriff auf den Dienst gewährt.

Das krbtgt-Konto fungiert als Dienstkonto für den KDC-Dienst. Mit der Kontrolle über das krbtgt-Konto können Angreifer betrügerische TGTs erstellen, um auf beliebige Ressourcen zuzugreifen. Dieses Szenario ist die Essenz eines Golden-Ticket-Angriffs. Wenn sie erfolgreich durchgeführt werden, können sich die Angreifer als jeder beliebige Benutzer ausgeben. Der Angriff ist schwer zu erkennen und kann von Angreifern genutzt werden, um lange Zeit unter dem Radar zu bleiben.

Um den Angriff auszuführen, muss der Angreifer bereits Zugriff auf ein Konto mit erweiterten Berechtigungen erlangt haben, das Zugriff auf den domain controller gewährt. Jeder domain controller der AD-Umgebung betreibt einen KDC. Sobald der Angreifer Zugriff auf den domain controller hat, kann er ein Tool wie Mimikatz verwenden, um den NTLM-Hash des krbtgt-Kontos zu stehlen.

Mit dem krbtgt-Passwort-Hash in der Hand braucht der Bedrohungsakteur nur noch Folgendes, um eine TGT zu erstellen:

  • Vollständig qualifizierter Domänenname (FQDN) der Domäne
  • Die Sicherheitskennung (SID) der Domäne
  • Den Benutzernamen des Kontos, auf das sie abzielen.

Während TGTs standardmäßig 10 Stunden gültig sind, kann ein Angreifer das TGT für einen beliebigen Zeitraum von bis zu 10 Jahren gültig machen. Aus diesem Grund ist eine Strategie zur Erkennung, Entschärfung und Behebung dieser Angriffe von entscheidender Bedeutung.

Nutzen Sie die grundlegende Sicherheitshygiene zum Schutz vor Golden Ticket-Angriffen

Die Verhinderung von Golden-Ticket-Angriffen beginnt mit grundlegender Sicherheitshygiene. Angreifer können den Angriff nicht starten, ohne zuerst die Umgebung zu kompromittieren. Daher können Unternehmen damit beginnen, eine mehrschichtige Verteidigung zu implementieren, um die Angriffsfläche zu reduzieren und die Eintrittsbarriere zu erhöhen.

  1. Verhinderung von Anmeldedaten-Diebstahl: Die erste Schutzebene umfasst die Verhinderung des Diebstahls von Anmeldedaten. Das Blockieren von Malware, die Anmeldedaten stiehlt, sowie von Phishing-Angriffen ist von entscheidender Bedeutung und sollte eine Kombination aus Schulungen zur Sensibilisierung der Mitarbeiter für Sicherheitsfragen sowie Netzwerk- und Endgerätesicherheit umfassen. Die Entfernung gängiger Passwörter aus Ihrem Verzeichnis mithilfe eines benutzerdefinierten Passwortfilters wie Azure AD Password Protection verringert die Wahrscheinlichkeit, dass ein Passwort-Spray-Angriff erfolgreich ist. Jede Mimikatz-Aktivität, die nicht vom Red Team Ihres Unternehmens oder einem autorisierten Penetrationstester durchgeführt wird, ist ein eindeutiges Anzeichen dafür, dass Angreifer zugeschlagen haben.
  2. Sicherheit für AD gewährleisten: Die nächste Ebene besteht darin, die Schutzmauer um AD selbst zu verstärken. Da ein „Golden-Ticket“-Angriff privilegierten Zugriff auf einen Domänenkontrollserver ( domain controller) erfordert, ist die Umsetzung des Prinzips der geringsten Berechtigungen entscheidend für die Sicherheit von AD. AD-Teams sollten die Anzahl der Benutzer- und Dienstkonten mit Zugriff auf Domänenkontrollserver auf ein Minimum beschränken. Konten mit Berechtigungen als Domänenadministrator oder zur „Replikation von Verzeichnisänderungen“ können zur Durchführung von DCSync-Angriffen genutzt werden, durch die der krbtgt-Hash gestohlen werden kann.
  3. Auf der Suche nach gefälschten Zugangsberechtigungen: Genau wie bei gefälschten Dollarnoten lassen sich gefälschte Zugangsberechtigungen aufspüren, indem man auf ungewöhnliches Benutzerverhalten achtet und die Zugangsberechtigung anschließend auf verräterische Anzeichen untersucht. So können beispielsweise Fehler wie Unstimmigkeiten zwischen Benutzername und relativer ID (RID) oder Änderungen an der Gültigkeitsdauer der Zugangsberechtigung Hinweise auf böswillige Aktivitäten sein. Darüber hinaus ist es wichtig, das Active Directory auf ungewöhnliche Aktivitäten zu überwachen, wie etwa Änderungen der Gruppenzugehörigkeit.
  4. Vorsicht beim Ändern des krbtgt-Passworts: Einer der häufigsten Ratschläge zur Abwehr von „Golden-Ticket“-Angriffen lautet, das krbtgt-Passwort alle 180 Tage zu ändern. Dies sollte nicht leichtfertig erfolgen, da es vorübergehend zu Fehlern bei der Validierung des Privileged Attribute Certificate (PAC) führen kann. Die beste Methode zur Aktualisierung des Passworts besteht darin, das Skript zum Zurücksetzen des krbtgt-Kontopassworts zu studieren und auszuführen (bereitgestellt von Microsoft MVP Jorge de Almeida Pinto; es handelt sich um ein kontinuierlich aktualisiertes Skript), mit dem Unternehmen zudem überprüfen können, ob alle beschreibbaren Domänencontroller in der Domäne die aus dem neuen Passwort-Hash abgeleiteten Schlüssel repliziert haben. Die Änderung des krbtgt-Passworts alle 180 Tage gilt als bewährte Vorgehensweise. AD-Teams sollten jedoch auch in Betracht ziehen, das Passwort jedes Mal zu ändern, wenn ein Mitarbeiter, der ein „Golden Ticket“ erstellen könnte, das Unternehmen verlässt. Diese Maßnahme verringert das Risiko, dass ein verärgerter ehemaliger Mitarbeiter ein gefälschtes Ticket für böswillige Zwecke nutzt. Es ist wichtig zu beachten, dass bei der Erkennung eines „Golden-Ticket“-Angriffs das Passwort zweimal zurückgesetzt werden muss, um den Angriff abzuwehren. Warum? Weil das krbtgt-Konto sich die beiden vorherigen Passwörter merkt; daher ist ein zweimaliges Zurücksetzen des Passworts erforderlich, um zu verhindern, dass ein anderer Domänencontroller ein altes Passwort verwendet, um sich mit dem betroffenen Domänencontroller zu synchronisieren. Bitte beachten Sie: Das zweimalige Ändern des Passworts, bevor sich das neue Passwort in der gesamten Umgebung verbreitet hat, kann den Netzwerkzugang stören. Nehmen Sie sich daher Zeit und stellen Sie sicher, dass die erste Aktualisierung auf jedem Domänencontroller übernommen wurde.

Aufbau einer soliden Verteidigung gegen Golden Ticket-Angriffe

Die Abwehr und Bewältigung eines „Golden Ticket“-Angriffs ist schwierig. Da diese Angriffe jedoch den Weg für groß angelegten Datendiebstahl und Ransomware ebnen können, ist es von entscheidender Bedeutung, „Golden Ticket“-Angriffe in Ihre incident response zur Active Directory-Wiederherstellung und incident response einzubeziehen.

Achten Sie darauf, dass das Ausmaß der Aktivitäten der Angreifer ermittelt wurde, bevor Sie betroffene Systeme neu installieren und Konten zurücksetzen, da Sie dem Angreifer dadurch signalisieren, dass Sie seine Aktivitäten entdeckt haben. Stellen Sie sicher, dass Sie über ein Offline-Backup und idealerweise über eine wiederhergestellte, isolierte Gesamtstruktur verfügen, damit Sie im Falle einer Auslösung der Ransomware-Nutzlast durch den Angreifer weiterhin über eine funktionsfähige AD-Gesamtstruktur verfügen. Nur wenn der entstandene Schaden vollständig erfasst ist, können Unternehmen sicher sein, dass sie den Angreifern den Zugang vollständig versperrt und verhindert haben, dass diese weiterhin Fuß fassen können.