什麼是 Golden Ticket 攻擊？

什麼是 Golden Ticket 攻擊？

您面對的是一名將您網域的 KRBTGT 密碼雜湊外洩的攻擊者。不久之後，他們偽造了一張 Kerberos 票證，授予自己未來 10 年的 Domain Admin 權限。您的網域控制站會完全信任這張偽造票證：它們無法將其與合法驗證區分開來。

這是 Golden Ticket 攻擊。對手使用遭竊的 KRBTGT 帳戶密碼雜湊來偽造 Ticket-Granting Tickets (TGTs)，建立可在密碼學上通過驗證的認證資料，藉此繞過標準安全控制。如果票證是使用 KRBTGT 帳戶的長期金鑰加密，您的 KDC 票證授權服務就會假設這是來自真實使用者的真實請求。您的網域控制站無法區分偽造票證與合法票證，因為其密碼學簽章在數學上看起來完全相同。

CISA 持續記錄國家級行動與 勒索軟體作業中以認證竊取和 Kerberos 為基礎、鎖定關鍵基礎設施的攻擊，使這項技術成為企業面臨最持久的後利用攻擊之一。

在對手能執行 Golden Ticket 攻擊之前，您會面臨三項先決條件：對您的網域控制站或具同等權限的系統擁有管理存取權、從您的 NTDS.dit 資料庫或 LSASS 行程記憶體中擷取 KRBTGT 帳戶雜湊，以及蒐集您的網域 FQDN、網域 SID 與目標使用者資訊。一旦對手滿足這些條件，他們就能完全在您的網路之外偽造票證；無需與網域控制站通訊。

Golden Ticket 與網路安全的關聯

Golden Ticket 攻擊屬於身分型攻擊，能繞過著重於網路邊界防禦與 端點安全的安全控制。您防禦的是已經越過初始入侵、進入複雜攻擊鏈中 Credential Access 階段的對手。

您的標準安全控制會失效，因為偽造票證在密碼學上看起來與合法驗證事件完全相同。基於特徵碼的偵測無法識別 Golden Tickets。多重要素驗證也無法防護。密碼原則變得無關緊要。組織必須將 KRBTGT 密碼重設兩次，才能使現有的 Golden Tickets 失效。

MITRE ATT&CK 正式將此技術同時歸類於三種戰術之下： 

• Credential Access (T1558.001),
• Lateral Movement（可實現整個網域的資源存取）,
• Persistence（票證可維持有效多年）。 

CISA 公告確認俄羅斯國家支持的 APT 行為者曾鎖定 Windows Active Directory 伺服器以進行 權限提升，而 Akira 等勒索軟體行動則積極使用 認證擷取工具來鎖定 Kerberos 驗證基礎設施。

若要防禦 Golden Ticket 攻擊，您首先需要了解對手所利用的 Kerberos 元件。

Golden Ticket 攻擊對組織的影響

成功的 Golden Ticket 攻擊會讓對手不受限制地存取您 Active Directory 環境中的每一項資源。他們可冒用任何使用者進行驗證、存取任何系統，並在數月或數年內維持此存取，而不會觸發標準安全警示。

整個網域的資源存取

持有偽造 TGT 的對手可在您的環境中自由移動。他們可存取包含敏感智慧財產的檔案伺服器、驗證登入電子郵件系統以取得業務通訊、查詢保存客戶記錄的資料庫，以及連線至備份基礎設施。您的安全控制看到的是合法的 Kerberos 驗證，而非未經授權的存取。

持久的長期存取

Golden Tickets 可作為後門，在典型的事件回應行動後仍能存活。重設遭入侵帳戶的密碼毫無作用。停用使用者帳戶也無法撤銷存取權。這些偽造票證會持續有效，直到您在所有網域控制站上完成 KRBTGT 密碼雙重重設程序；由於對服務中斷的營運疑慮，許多組織會延後此流程。

資料外洩與法規曝險

不受限制的網域存取會造成大規模資料竊取。對手可系統性地擷取客戶資料庫、財務記錄、員工資訊與專有業務資料。對於受 GDPR、HIPAA 或 PCI-DSS約束的組織而言，Golden Ticket 入侵通常會觸發強制性的資料外洩通報要求，以及潛在的監管處罰。

營運與復原成本

從 Golden Ticket 攻擊中復原需要大量資源。您必須在所有網域控制站上將 KRBTGT 密碼重設兩次、撤銷所有現有的Kerberos tickets、重設特權帳戶認證、進行鑑識分析以識別初始入侵向量，並可能從乾淨備份重建遭入侵的網域控制站。組織通常在初始部署後數週或數月才發現 Golden Ticket 的使用情況，進一步擴大鑑識調查範圍。

這些影響使 Golden Ticket 攻擊成為最嚴重的 Active Directory 入侵之一。要防禦這類攻擊，必須了解其核心元件。

Golden Ticket 攻擊的核心元件

Golden Ticket 攻擊會利用四個 Kerberos 元件：KRBTGT 服務帳戶、TGT、PAC 結構，以及 KDC。

• KRBTGT 帳戶： KRBTGT 帳戶是您網域的 Kerberos 服務帳戶。每個網域控制站都使用其密碼雜湊來加密並簽署所有 TGT。當對手擷取此雜湊時，他們便擁有可驗證您網域中每張驗證票證的密碼學金鑰。
• Ticket-Granting Ticket (TGT)： TGT 是在使用者成功登入後由您的 KDC 簽發的驗證認證。使用者會出示 TGT 以請求特定資源的服務票證。正常的 TGT 會在有限的有效期間後到期，而偽造的 Golden Tickets 則可具有任意的到期日。
• 權限屬性憑證 (PAC): PAC 包含嵌入於 Kerberos 票證中的授權資料，用於指定使用者群組成員資格、權限與存取權。對手會偽造 PAC 資料，無論其實際帳戶權限為何，都可授予自己 Domain Admin 權限。
• 金鑰散發中心 (KDC): 您的 KDC 在網域控制站上執行，並處理所有 Kerberos 驗證請求，透過使用 KRBTGT 帳戶雜湊驗證加密簽章來驗證票證。

這四個元件會在 Golden Ticket 攻擊期間依特定順序互動。

用於偽造 Golden Ticket 的技術

對手會使用專門工具與既有方法來擷取 KRBTGT 雜湊並偽造 TGT。了解這些技術有助於您在攻擊者完成偽造程序之前識別憑證竊取企圖。

KRBTGT 雜湊擷取方法

對手會透過兩種主要途徑擷取 KRBTGT 密碼雜湊。第一種是鎖定網域控制站上的 NTDS.dit 資料庫檔案，其中儲存所有 Active Directory 憑證。ntdsutil、secretsdump 或 volume shadow copy 等工具可進行離線擷取。第二種途徑則是鎖定網域控制站上的 LSASS 行程記憶體，其中憑證資料會以明文或容易還原的格式存在。

常見攻擊工具

MITRE ATT&CK 文件記載 對手用於 Golden Ticket 攻擊的數種工具：

• Mimikatz：最廣為記載的工具，可透過其 kerberos::golden 模組同時執行 KRBTGT 擷取與票證偽造
• Rubeus：以 C# 實作，提供類似功能，且能更有效規避安全控制
• Impacket：以 Python 為基礎的工具組，包含用於產生 TGT 的 ticketer.py
• Sliver：具備內建 Kerberos 票證操作功能的命令與控制框架

離線偽造流程

在擷取 KRBTGT 雜湊後，對手會在您網路之外的系統上建構偽造票證。他們會指定網域 SID、目標使用者名稱、群組成員資格（通常為 Domain Admins），以及任意的有效期限。偽造過程不需要與您的網域控制站通訊，因此在對手注入票證並開始驗證之前，網路監控將無法察覺。

辨識這些技術有助於您制定監控策略，以掌握顯示攻擊正在進行的指標。

Golden Ticket 攻擊指標

Golden Ticket 攻擊會在驗證記錄、網路流量與端點遙測中產生可識別的模式。您的安全團隊可透過監控偏離正常 Kerberos 行為的異常情況來發現這些指標。

驗證記錄異常

Windows 安全性事件記錄會擷取可揭露 Golden Ticket 使用情況的 Kerberos 活動。事件 ID 4768、4769 與 4770 會記錄 TGT 請求、服務票證請求與票證續期。請留意有效期限異常長的票證、來自非預期 IP 位址的驗證事件，以及與使用者正常角色或存取模式不一致的服務請求。

加密降級訊號

偽造票證經常使用 RC4 加密，因為較舊的攻擊工具預設採用此演算法。在已停用 RC4 並改用 AES 加密的環境中，任何使用 RC4 加密的 Kerberos 票證都代表高可信度指標。請設定您的 SIEM，在您的網域原則強制執行僅限 AES 驗證時，針對 RC4 使用情況發出警示。

憑證存取前兆

部署 Golden Ticket 之前需要先進行憑證竊取。請監控必要的前置攻擊階段：異常的 LSASS 行程存取、NTDS.dit 檔案操作、在網域控制站上建立 volume shadow copy，以及執行已知的憑證擷取工具。發現憑證存取企圖，能比僅監控票證偽造提供更早的預警。

行為基準偏差

使用者會根據其工作職能驗證至可預測的一組資源。Golden Ticket 的使用通常會產生偏離既有基準的驗證模式。若某個使用者帳戶突然為其正常範圍之外的系統請求服務票證、從不熟悉的網路區段進行驗證，或在異常時段存取敏感資源，則應立即調查。

這些指標有助於防禦者規劃其監控與回應能力。

Golden Ticket 攻擊的運作方式

Golden Ticket 攻擊屬於後利用技術，要求對手先取得網域控制站的管理存取權，並在偽造 TGT 之前擷取 KRBTGT 帳戶密碼雜湊。

• 第 1-2 階段：初始入侵與 KRBTGT 擷取： 對手會透過網路釣魚、漏洞利用或憑證竊取來建立初始存取。 CISA Advisory AA23-250a 記載 APT 行為者利用 Zoho ManageEngine 中的 CVE-2022-47966，執行 LSASS 記憶體傾印以蒐集整個 Active Directory 網域中的憑證。對手會部署 Mimikatz、Rubeus 或 Sliver 等工具來擷取 KRBTGT 密碼雜湊，並將其外洩至外部系統。
• 第 3 階段：票證偽造： 對手會使用遭竊的 KRBTGT 雜湊、網域 SID 與目標使用者資訊，在離線狀態下建構偽造的 TGT。他們會在 PAC 資料結構中指定任意權限，通常是 Domain Admins 群組成員資格、設定延長的有效期限，並使用遭竊的 KRBTGT 雜湊加密偽造票證。
• 第 4-5 階段：橫向移動與持續存取： 對手會將偽造的 TGT 注入受害系統的記憶體中，並在您的網域內請求服務票證。您的 KDC 會驗證偽造 TGT 的加密簽章並核發服務票證。對手會使用偽造憑證驗證至檔案伺服器、資料庫系統、電子郵件基礎架構與備份系統。 Double KRBTGT password resets 至關重要，因為網域控制站為了回溯相容性，會同時保留目前與先前的密碼雜湊。

辨識這些攻擊階段有助於您制定監控與回應策略。

如何偵測 Golden Ticket 攻擊

找出 Golden Ticket 攻擊需要監控 Kerberos 驗證模式，並關聯您安全基礎架構中的異常。基於特徵碼的工具無法識別偽造票證，因為它們在密碼學上是有效的。您的偵測策略必須聚焦於行為分析與驗證異常。

為 Kerberos 事件設定 SIEM 監控

Windows 安全性事件記錄提供 Golden Ticket 偵測的主要資料來源。設定您的 SIEM 以收集和分析 事件 ID 4768、4769、4770 和 4771，這些事件會記錄 TGT 請求、服務票證請求、票證續期和驗證失敗。建立關聯規則，以標記有效期間超出您網域原則的票證、來自正常使用者模式之外 IP 位址的驗證請求，以及與既有使用者行為基準不一致的服務票證請求。

監控加密降級

許多 Golden Ticket 攻擊工具在偽造票證時預設使用 RC4 加密。如果您的環境強制執行僅限 AES 的 Kerberos 驗證，任何使用 RC4 加密的票證都代表高度可信的偽造指標。請為 Kerberos 驗證事件中的 RC4 加密類型設定警示，並立即調查所有發生情況。

追蹤憑證存取嘗試

Golden Ticket 攻擊需要事先擷取 KRBTGT 雜湊。請監控網域控制站是否出現先決的憑證竊取階段：

• 對 LSASS 處理程序記憶體的異常存取
• NTDS.dit 資料庫檔案操作或擷取嘗試
• 以系統狀態為目標的磁碟區陰影複製建立
• 執行已知的憑證擷取工具，例如 Mimikatz 或 secretsdump

發現憑證竊取嘗試，比起等待偽造票證被使用，能提供更早的預警。

部署行為分析

根據正常資源存取模式、工作時間和網路位置，為每個使用者帳戶建立驗證基準。行為分析平台可識別偏離這些基準的情況，例如使用者突然對其職務功能之外的敏感系統進行驗證，或從不熟悉的網路區段存取資源。即使個別驗證事件看似合法，這些異常通常也表示 Golden Ticket 已被使用。

關聯端點與身分遙測

有效的偵測需要關聯端點、身分與網路來源的資料。將網域控制站上的 LSASS 記憶體存取事件與後續的 Kerberos 驗證異常連結起來，以識別從憑證竊取到票證偽造的序列。 身分安全 平台可自動執行此類關聯，並在攻擊鏈推進時發出警示。

偵測能力可為您的預防與回應策略提供依據。

如何預防與緩解 Golden Ticket 攻擊

預防 Golden Ticket 攻擊需要保護 KRBTGT 帳戶、強化網域控制站存取，並實施控制措施，以便即使在憑證遭入侵後仍能限制對手移動。

實施定期 KRBTGT 密碼輪替

建立排程化的 KRBTGT 密碼重設程序。由於 Active Directory 為了回溯相容性會同時維護目前與先前的密碼雜湊，您必須將 KRBTGT 密碼重設兩次，才能完全使任何現有的 Golden Tickets 失效。請依據您的風險承受度安排這些重設間隔，許多組織會按季輪替。

強化網域控制站存取

透過具備工作階段監控的特權存取工作站與跳板伺服器，限制對網域控制站的管理存取。實施網路分段，以限制哪些系統可以直接與網域控制站通訊。部署端點偵測與回應解決方案於網域控制站上，以監控憑證擷取工具，以及針對 LSASS 或 NTDS.dit 的可疑處理程序活動。

強制執行憑證衛生

為管理員區分特權帳戶與非特權帳戶。網域管理員憑證絕不應用於標準工作站，因為在這些工作站上更可能發生憑證竊取。實施具時間限制的管理存取，並在到期時自動失效，以縮短憑證擷取的時間窗口。

停用舊版驗證通訊協定

停用 Kerberos 驗證的 RC4 加密，並在整個網域中強制執行 AES 加密。當攻擊者使用預設以 RC4 偽造票證的舊工具時，這會建立高可信度的偵測訊號。在可能的情況下，檢視並停用其他舊版通訊協定，例如 NTLM，以降低憑證竊取的整體攻擊面。

部署欺敵技術

基於欺敵的防禦會建立假的憑證快取與誘餌帳戶，以在偵察期間吸引對手。當攻擊者與這些誘餌互動時，您會立即收到有關主動入侵嘗試的警示。此方法可在對手取得 KRBTGT 雜湊之前識別憑證竊取活動。

準備事件回應手冊

記錄並演練 Golden Ticket 事件回應程序。您的手冊應包含 KRBTGT 的雙重重設程序、撤銷所有現有 Kerberos 票證的步驟、重設特權帳戶憑證的程序，以及用於識別初始入侵向量的鑑識分析指引。快速執行這些程序可限制對手持續存在。

這些預防性控制可與偵測能力搭配運作，以降低您環境中的 Golden Ticket 風險。

為何理解 Golden Ticket 機制很重要

了解 Golden Ticket 攻擊機制的安全團隊，可以將其監控策略從基於特徵碼的發現轉向行為分析。基於特徵碼的工具會失效，因為偽造票證在密碼學上是有效的。行為分析可識別異常的 Kerberos 驗證模式，例如不尋常的 TGT 請求、來自非預期 IP 位址的服務票證操作，以及具有異常有效期間的票證。

這種理解也能提升事件回應整備程度。您的手冊應包含 KRBTGT 密碼的雙重重設程序、LSASS 記憶體傾印與 NTDS.dit 擷取的鑑識分析程序，以及針對全網域存取情境的遏制策略。

此攻擊的先決條件也會為您的安全團隊創造發現窗口。

Golden Ticket 攻擊限制

對手在執行 Golden Ticket 攻擊之前，必須先取得 KRBTGT 帳戶密碼雜湊，這為防禦者創造了發現機會。

• 網域控制站存取要求： 對手必須先入侵網域控制站或同等級的特權系統，才能擷取 KRBTGT 雜湊。這會在憑證存取階段形成可發現的時間窗口。請監控異常的網域控制站存取嘗試、LSASS 程序操控，以及 NTDS.dit 資料庫存取模式。
• 加密異常指標: 偽造票證通常會呈現可識別的特徵。在已停用 RC4 的環境中使用 RC4 加密，是高信賴度的訊號。您也可以發現具有過長有效期限、缺少 PAC 資料結構，以及來自非預期 IP 位址的驗證事件的票證。
• 入侵後分類: Golden Tickets 在多階段攻擊鏈中屬於後利用技術。對手若未先建立網路存取、進行偵察、達成權限提升，以及擷取 KRBTGT 雜湊，偽造票證便毫無價值。您的縱深防禦策略應著重於防止初始入侵序列，而非僅在部署後監控 Golden Ticket 的使用。

儘管有這些限制，安全團隊仍經常犯下削弱其防禦能力的錯誤。

防禦 Golden Ticket 攻擊的常見錯誤

安全團隊在防禦 Golden Ticket 攻擊時，常犯四種錯誤。

1. 僅重設一次 KRBTGT 密碼: 您將 KRBTGT 密碼重設一次，並假設現有的 Golden Tickets 已失效。Active Directory 會同時保留目前與先前的密碼雜湊。僅重設一次會讓先前的雜湊仍然有效，因此對手偽造的票證會持續運作。您必須 將 KRBTGT 密碼重設兩次 才能完全使偽造票證失效。
2. 依賴基於簽章的發現: 您部署基於簽章的安全控制，期望透過模式比對發現 Golden Ticket 攻擊。當使用有效的 KRBTGT 金鑰加密時，您的安全工具無法從密碼學上區分偽造票證與合法票證。您需要改為監控異常 Kerberos 模式的行為分析。
3. 事件記錄保留不足: 您維持的 Windows Security Event 記錄保留時間不足，因此錯過 Golden Ticket 鑑識所需的延長調查時間軸。對手可能會在擷取 KRBTGT 雜湊與主動利用之間等待一段時間。安全團隊需要延長記錄保留時間，才能將初始入侵與後續票證使用建立關聯。
4. 忽略必要的攻擊階段: 您只專注於識別 Golden Ticket 的使用，卻忽略了必須先發生的憑證竊取階段。 CISA Advisory AA23-250a 記錄了 APT 行為者在取得管理存取權之前執行 LSASS 記憶體傾印。請透過監控異常的 LSASS 程序互動以及已知憑證擷取工具的執行，找出憑證擷取階段。

避免這些錯誤需要實作以證據為基礎的安全控制。

防護 Golden Ticket 攻擊的最佳實務

防禦 Golden Ticket 攻擊需要實作以 KRBTGT 帳戶管理、Kerberos 驗證監控，以及快速事件回應為核心的安全控制。

• 將 KRBTGT 帳戶密碼重設兩次: 依照雙重重設程序建立定期 KRBTGT 密碼重設排程。Active Directory 會同時保留目前與先前的 KRBTGT 密碼雜湊，以提供 回溯相容性，因此單次重設會讓現有的 Golden Tickets 仍然有效。只有第二次重設才能完全使所有偽造票證失效。
• 設定 SIEM 以進行 Kerberos 監控: 設定 Security Information and Event Management (SIEM) 系統，以針對 Windows Event IDs 4768、4769、4770 和 4771 發現異常模式。您的監控應標記:

1. 僅限 AES 的環境中使用 RC4 加密
2. 有效期限異常的票證
3. 來自非預期 IP 位址的驗證事件
4. 與使用者角色基準不一致的服務請求

將異常檔案存取與不尋常的 Kerberos 服務票證請求建立關聯。 身分安全 平台，例如 Singularity Identity，可即時偵測憑證竊取與權限提升嘗試，並在對手鎖定 Active Directory 基礎架構時發出警示。

• 保護網域控制站存取: 實作特權存取管理控制，將網域控制站管理存取限制於具備工作階段監控的專用跳板主機。於網域控制站部署端點偵測與回應 (EDR) 解決方案，以監控憑證傾印工具。
• 部署行為分析: 部署可透過監控異常驗證序列來識別偽造或重放 Kerberos 票證嘗試的分析機制。 Singularity XDR 會自動執行此關聯分析，將驗證異常與端點事件連結起來，以重建 Golden Ticket 攻擊鏈。
• 維持延長的記錄保留時間: 延長 Windows Security Event 記錄保留時間，以支援對完整攻擊鏈的鑑識調查。將 Kerberos 驗證記錄集中至您的SIEM 平台，並搭配用於驗證異常的關聯規則。

手動實作這些控制措施需要大量資源。安全平台可將其中大部分工作自動化。

使用 SentinelOne 阻止 Golden Ticket 攻擊

SentinelOne 的 Singularity™ Platform 提供所需的行為分析與自主關聯能力，以識別您環境中的 Golden Ticket 攻擊。

Singularity™ XDR 在 2024 MITRE ATT&CK Evaluations 中展現出 比中位數少 88% 的警示，涵蓋所有供應商，同時達成 100% 的偵測準確率。這讓您的安全團隊能專注於真實威脅，而非調查誤報。該平台的 Storyline 技術可重建攻擊鏈，並以機器速度回應，將 LSASS 記憶體存取事件與後續 Kerberos 驗證異常串聯起來，以識別從憑證竊取到票證偽造的攻擊序列。

Singularity™ Identity 可在混合環境中提供防護：涵蓋 Active Directory 與雲端身分識別提供者，包括 Entra ID、Okta、Ping、SecureAuth 和 Duo。該平台可偵測憑證竊取企圖、阻止橫向移動，並使用誘捕技術將攻擊者誤導遠離 AD 基礎架構，同時產生可供調查的遙測資料。

Purple AI 透過自然語言查詢與 AI 驅動分析加速威脅狩獵。在調查潛在的 Golden Ticket 活動時，Purple AI 會關聯多個事件中的驗證指標，在加速調查的同時降低誤報。

SentinelOne Wayfinder Managed Detection and Response 是一項 24/7/365 的託管服務，由內部專家分析師為自動化偵測補充人工情境。他們的分析師可進行深入鑑識分析並執行有效的事件回應。MDR Elite 為您提供整合式事件整備能力，協助您為高壓時刻做好準備。您可取得 IRR 保留服務與隨需 DFIR 專家支援。

SentinelOne Singularity™ Network Discovery 可執行網路探索並識別網路中的惡意裝置。它會在發現威脅後加以識別、隔離與控制，並防止橫向移動。Network Discovery 可發現未受管理的裝置，並透過一鍵操作將其隔離。它也會監控未知裝置如何與受管理主機通訊。您可以建立原則並在其間切換，甚至可套用至子網路。

SentinelOne Cloud Workload Security 可保護雲端執行個體（AWS、Azure、Google Cloud）與 Kubernetes 容器，這對於防禦可能透過已加入網域的混合式基礎架構延伸至雲端環境的 Golden Ticket 攻擊至關重要。

SentinelOne 的行為式 AI 引擎（靜態與執行階段）可在任何票證偽造發生之前阻止憑證竊取並偵測異常驗證模式，從而在攻擊鏈早期就阻止攻擊。

申請 SentinelOne 示範，了解這些功能如何阻止您環境中的 Golden Ticket 攻擊。

Singularity™ Platform

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo