Explicación de los ataques Golden Ticket y cómo defenderlos - Microsoft Platform Management - Blogs - Quest Community

“Ataque del Boleto Dorado” es un nombre particularmente colorido (si se me permite el juego de palabras) para un ataque particularmente peligroso. El apodo proviene del libro de Roald Dahl Charlie y la fábrica de chocolate donde un boleto dorado es el pase muy codiciado que permite a su propietario ingresar a la fábrica de dulces fuertemente custodiada de Willy Wonka. De manera similar, un ataque Golden Ticket exitoso le da al hacker acceso a todo el dominio Active Directory de una organización.

Sin embargo, la analogía se rompe de una manera importante: mientras Charlie y los otros niños con boletos dorados fueron (en su mayoría) escoltados por la fábrica de dulces bajo estrecha supervisión, un ataque exitoso del Boleto Dorado le da al hacker acceso casi ilimitado a todo lo que está en su dominio. incluyendo todas las computadoras, archivos, carpetas y controladores de dominio (DC). Pueden hacerse pasar por cualquiera y hacer casi cualquier cosa.

Veamos cómo se desarrolla este poderoso ataque y qué puede hacer usted para defender su organización.

Cómo funciona un ataque Golden Ticket

Los ataques Golden Ticket aprovechan una vulnerabilidad en el protocolo de autenticación Kerberos, que Microsoft ha estado utilizando como protocolo de autenticación predeterminado desde Windows 2000.

Cómo funciona normalmente la autenticación Kerberos

Con Kerberos, los usuarios nunca se autentican directamente en los distintos servicios que necesitan utilizar, como los servidores de archivos. En cambio, el Centro de distribución de claves Kerberos (KDC) funciona como un servicio de autenticación de terceros confiable. Cada controlador de dominio en un dominio de Active Directory ejecuta un servicio KDC.

Específicamente, cuando un usuario se autentica, el KDC emite un billete de concesión (TGT), que incluye una clave de sesión única y una marca de tiempo que especifica cuánto tiempo es válida esa sesión ( normalmente 8 o 10 horas). Cuando el usuario necesita acceder a los recursos, no es necesario volver a autenticarse; su máquina cliente simplemente envía el TGT para demostrar que el usuario ya ha sido autenticado recientemente.

Es importante destacar que antes de enviar un TGT, el KDC lo cifra utilizando el hash de contraseña para una cuenta especial, la cuenta KRBTGT. Ese hash de contraseña se comparte entre todos los DC en el dominio de Active Directory para que puedan leer los TGT que reciben cuando los usuarios solicitan acceso a diversos recursos.

(El hash es un algoritmo unidireccional que transforma matemáticamente una contraseña determinada en una cadena diferente. Siempre es la misma cadena, por lo que dos computadoras pueden aplicar hash a una contraseña y comparar los resultados; si coinciden, aceptan que ambas comenzaron desde el mismo contraseña sin tener que compartir directamente esa contraseña en texto plano. Es prácticamente imposible volver a convertir una contraseña hash en la contraseña original directamente; sin embargo, los piratas informáticos pueden utilizar un método de fuerza bruta: generar los hashes de millones de contraseñas posibles en el esperanza de encontrar uno que coincida.)

En resumen, la autenticación Kerberos (el protocolo de autenticación predeterminado en Active Directory) se basa en el supuesto de que cualquier TGT cifrado con el hash de contraseña KRBTGT es legítimo.

Cómo los piratas informáticos pueden subvertir el proceso

En un ataque Golden Ticket, los piratas informáticos evitan el KDC y crean ellos mismos TGT para obtener acceso a diversos recursos. Para falsificar un TGT, los piratas informáticos necesitan cuatro datos clave:

El FQDN (nombre de dominio completo) del dominio
El SID (Identificador de seguridad) del dominio
El nombre de usuario de la cuenta que quieren suplantar
El hash de contraseña KRBTGT

Los primeros tres son relativamente fáciles de obtener simplemente comprometiendo cualquier cuenta de usuario del dominio. Para ello, los piratas informáticos tienen a su disposición una amplia variedad de tácticas; Los más populares incluyen phishing, spyware, fuerza bruta y relleno de credenciales.

El cuarto elemento también es fundamental: para que un ticket parezca legítimo a los controladores de dominio, el atacante debe cifrarlo utilizando el hash de contraseña KRBTGT. Esto es más difícil de conseguir para un hacker, por lo que las técnicas son más sofisticadas, pero aún así no son tan difíciles. Incluyen:

Robar el archivo NTDS.DIT : el archivo NTDS.DIT es una base de datos que almacena datos de Active Directory, incluidos los hashes de contraseñas de todos los usuarios del dominio. Se almacena una copia del archivo en cada controlador de dominio, en C:\Windows\NTDS\ de forma predeterminada. Alguien que obtenga este archivo puede tomarse todo el tiempo necesario para descifrar esas contraseñas fuera de línea, donde no pueden ser detectadas, y luego usar las credenciales para actuar como cualquier usuario en el dominio, incluido un administrador de dominio.
Comprometer una estación de trabajo : muchos ataques comienzan cuando los atacantes se afianzan en la estación de trabajo de un usuario u otro punto final. Si el usuario tiene derechos de administrador en la máquina, o si un administrador inició sesión allí en algún momento del pasado, puede haber artefactos de credenciales en la memoria o en la unidad de disco debido a la contraseña del administrador.
Uso de Mimikatz : Mimikatz simplifica la recopilación de datos de credenciales de sistemas Windows. Una herramienta favorita de los evaluadores de penetración y de los piratas informáticos, es fácil de conseguir; Las compilaciones oficiales se mantienen y alojan directamente en GitHub.
Ejecutar un ataque DCSync : los entornos de Active Directory suelen incluir varios controladores de dominio, que deben permanecer sincronizados actualizándose entre sí sobre los cambios, como las actualizaciones de las credenciales de los usuarios. Además, algunas aplicaciones, incluida Azure Active Directory Connect, necesitan permisos de replicación. En un ataque DCSync, un pirata informático que obtuvo acceso a una cuenta privilegiada con derechos de replicación de dominio subvierte esta funcionalidad de AD pretendiendo ser un DC y solicitando hashes de contraseña de un DC legítimo. DCSync es una capacidad de la herramienta Mimikatz.

Independientemente de cómo se obtenga, el hash de contraseña KRBTGT es como el billete dorado de Willy Wonka. Con él en la mano, un hacker puede crear un ticket de Kerberos para hacerse pasar por cualquier usuario de AD que desee, incluidos los administradores privilegiados. Además, pueden hacer que esos boletos sean válidos durante el tiempo que quieran, incluso si eso viola la política de límite de tiempo establecida por la organización. Eso les da un poder casi ilimitado en el dominio.

Defenderse de los ataques del billete dorado

No hay forma de prevenir por completo los ataques Golden Ticket, pero existen varias prácticas recomendadas que pueden reducir drásticamente el riesgo. Aquí están los mejores que recomiendo.

Cambie la contraseña de KRBTGT con regularidad y también en circunstancias especiales.

La primera estrategia de defensa esencial contra los ataques Golden Ticket es cambiar la contraseña de KRBTGT periódicamente. Eso no impide que los piratas informáticos creen Golden Tickets, pero invalida los que ya estén en sus sistemas. Microsoft recomienda actualizaciones "regulares" de la contraseña de la cuenta KRBTGT, mientras que STIG recomienda específicamente cambiarla cada 180 días.

Además de esas actualizaciones programadas, recomiendo encarecidamente cambiar la contraseña cada vez que un humano que tuvo la capacidad de crear un Boleto Dorado abandone la organización. Incluso si elimina rápidamente su cuenta privilegiada, es posible que hayan dejado TGT que aún podrían usar para causar estragos en su entorno; restablecer la contraseña de KRBTGT invalidará todos esos boletos. Finalmente, probablemente no hace falta decir que debe cambiar inmediatamente la contraseña de KRBTGT si detecta alguna evidencia de un ataque Golden Ticket en su entorno de TI.

Tenga en cuenta que el valor del historial de contraseñas para la cuenta KRBTGT es 2, lo que significa que incluye las dos contraseñas más recientes. Por lo tanto, para invalidar todos los TGT actualmente en el sistema, debe restablecer la contraseña dos veces. Microsoft detalla los pasos para cambiar manualmente la contraseña de KRBTGT, pero generalmente es mejor usar el script de restablecimiento de contraseña de KRBTGT de Microsoft: cambiará la contraseña una vez, esperará para asegurarse de que la replicación haya llegado a todos sus controladores de dominio y luego cambie la contraseña nuevamente.

Importante: Tenga en cuenta que cambiar la contraseña de KRBTGT afectará a casi todas las operaciones posteriores de Kerberos. En particular, todos los TGT que se hayan emitido no serán válidos ya que fueron cifrados con la contraseña anterior. Sin embargo, todas las sesiones autenticadas que se hayan establecido en un recurso (como un recurso compartido de archivos, un sitio de SharePoint o un servidor Exchange) son válidas hasta que se requiera el ticket de servicio para volver a autenticarse. Microsoft advierte que reiniciar una computadora es la única forma confiable de recuperar la funcionalidad, ya que esto obligará tanto a la cuenta de la computadora como a la cuenta del usuario a volver a iniciar sesión, lo que a su vez garantiza que obtengan nuevos TGT cifrados con el nuevo hash de contraseña KRBTGT.

Para restablecer la contraseña, debe ser miembro tanto del grupo de administradores de dominio como del grupo de administradores local, o se le debe haber delegado la autoridad adecuada.

Minimice la cantidad de cuentas que pueden acceder al hash de contraseña de KRBTGT.

Tener privilegios mínimos es una piedra angular de la seguridad, especialmente cuando se trata de sus activos de TI más valiosos, y el hash de contraseña KRBTGT definitivamente califica, ya que es la clave para un ataque Golden Ticket exitoso. Asegúrese de saber exactamente qué cuentas podrían ejecutar el comando DCSync. De forma predeterminada, esto incluye el grupo integrado\Administradores y los controladores integrados\dominio; Además, la cuenta utilizada para Azure AD Connect normalmente también tiene la capacidad de ejecutar el comando DCSync. Asegúrese de tener solo el número mínimo absoluto de administradores de dominio, así como miembros de otros grupos que brindan derechos de inicio de sesión a los controladores de dominio, como operadores de impresión y servidores. Si encuentra otras cuentas con acceso a estos datos críticos, investigue de inmediato y elimine cualquier permiso innecesario.

Minimice las oportunidades para que los piratas informáticos roben credenciales privilegiadas.

No otorgue a los usuarios finales autoridad administrativa en sus estaciones de trabajo y no permita que los administradores inicien sesión en las computadoras de los usuarios finales. De esa manera, un atacante que logre establecerse en un punto final no encontrará allí ninguna credencial privilegiada para recolectar y usar en un ataque Golden Ticket.

Además, cambie periódicamente las contraseñas de su cuenta de servicio y asegúrese de elegir contraseñas relativamente largas para frustrar la adivinación de contraseñas y otros ataques de fuerza bruta. Otro consejo es configurar una alerta que notificará al equipo de seguridad cada vez que se cree o modifique un nombre principal de servicio (SPN), para que puedan verificar que se hayan seguido todas las políticas relevantes. Por supuesto, siempre que sea posible, reemplace las cuentas de servicio habituales con cuentas de servicio administradas por grupos, que brindan administración automática de contraseñas.

Supervise su entorno de TI en busca de actividades sospechosas.

Si bien fortalecer su postura de seguridad es siempre una estrategia inteligente, debe asumir que su entorno será vulnerado. Por lo tanto, es esencial estar atento a cualquier actividad inusual que pueda ser señal de un ataque Golden Ticket en curso. Los elementos para monitorear, o sobre los cuales recibir alertas, incluyen los siguientes:

TGT con una vida útil prolongada : Cualquier ticket de Kerberos que exceda la política de su dominio para la vida útil máxima del ticket es una señal clara de que un atacante ha aprovechado la vulnerabilidad Golden Ticket. Si encuentra uno, investíguelo de inmediato y, si es necesario, restablezca la contraseña de KRBTGT y llegue al fondo de cómo tuvo éxito el ataque.
Actividad de replicación de dominio aberrante : la actividad de replicación de dominio inusual puede ser una señal de que alguien está usando DCSync u otras técnicas para robar hashes de contraseñas. Si puede detectar, investigar y responder rápidamente a esta actividad, puede evitar que los piratas informáticos completen con éxito un ataque Golden Ticket.
Actividad del controlador de dominio : preste mucha atención a qué ejecutables y qué scripts (especialmente scripts de PowerShell) se ejecutan en sus controladores de dominio.
Cambios en los privilegios : en particular, si el privilegio de depuración se habilita repentinamente, investigue de inmediato.

Desafortunadamente, los registros de eventos nativos de Windows no incluyen las marcas de tiempo TGT y descubrir actividades sospechosas en el océano de eventos puede ser un verdadero desafío. Considere invertir en una solución de monitoreo de Active Directory de terceros que pueda proporcionar los informes claros y detallados que necesita para detectar actividad indicativa de ataques Golden Ticket.

Pon el cebo.

Finalmente, otra estrategia para eliminar los ataques Golden Ticket es crear objetos honeypot en Active Directory, como una cuenta de usuario de honeypot. Asegúrate de que sea destacado, dale un nombre de usuario tentador y dale membresía en algunos grupos interesantes. Asegúrese de asignarle la contraseña más larga del mundo y deséchela. Luego, esté atento a los intentos de iniciar sesión con esa cuenta; le sorprenderá saber cuántos recibe.

Conclusión

Los ataques Golden Ticket tienen un nombre divertido, pero son una seria amenaza para todos los entornos de Active Directory. Asegúrese de reforzar su postura de seguridad siguiendo rigurosamente las mejores prácticas comprobadas, como privilegios mínimos, pero no asuma que eso lo mantendrá seguro. También necesita monitorear activamente lo que sucede en su ecosistema de TI, especialmente cualquier actividad que indique un intento de robar la pieza crítica para un ataque Golden Ticket exitoso: el hash de contraseña KRBTGT.