什么是 Golden Ticket 攻击？工作原理、检测与防护

什么是 Golden Ticket 攻击？

想想《查理和巧克力工厂》里的“金券”意味着什么——对一切都不受限制地开放，想看什么就看什么，不会有人追问。 在网络安全中，Golden Ticket 攻击会给黑客同样那种 VIP 通行证，让他们能够访问你整个网络。

下面来解释一种 Golden Ticket 攻击。Golden Ticket 攻击是一种 Kerberos 利用技术：攻击者会使用来自 Active Directory 的 KRBTGT 账户哈希来伪造 Ticket Granting Tickets（TGT）。这使他们能够冒充任何用户（包括域管理员），并获得对所有域资源的无限制、长期访问权限。

攻击者通常会使用 Mimikatz 或 Impacket 等工具来提取 KRBTGT 哈希，并生成这些伪造的票据。由于伪造的 TGT 在加密层面是有效的，即使更改了密码，Key Distribution Center（KDC）也会信任它们——这揭示了 Kerberos 协议的一个根本性弱点。

域控制器无法区分这些伪造票据与合法票据，因此传统的身份验证日志不会将其标记出来。清理工作并不像更改密码那样简单；你必须在每台域控制器上将 KRBTGT 密钥轮换两次，才能彻底切断攻击者创建假票据的能力。

Kerberos 协议：它是如何工作的

1. 用户登录后，会将用其密码哈希加密的时间戳发送给 Key Distribution Center（KDC）进行预身份验证。
2. KDC 会保存用户密码的哈希值。它使用该哈希来解密时间戳，如果时间戳有效，则对用户进行身份验证。
3. KDC 会签发一个使用 KRBTGT 账户哈希加密的 TGT（默认有效期为 10 小时）。
4. 持有 TGT 后，用户无需重新认证即可请求访问多个域服务。
5. 对于每个服务请求，KDC 的 Ticket-Granting Server（TGS）都会签发一张服务票据，并使用服务账户的哈希进行签名，从而允许直接连接到目标服务器。

攻击者如何利用它？

在黄金票据（Golden Ticket）攻击中，攻击者通过生成自己的 TGT（票证授权票据），以访问域资源，从而绕过 KDC。要制作该 TGT，他们需要：

• 域的完全限定域名（Fully Qualified Domain Name，FQDN）
• 域的安全标识符（Security Identifier，SID）
• 他们打算冒充的账户的用户名
• KRBTGT 账户的密码哈希

黄金票据攻击是如何运作的？

黄金票据攻击由一系列步骤构成，使攻击者能够获取并持续维持对 Active Directory 环境的完全控制。我们来看看每个阶段。

1. 初始入侵

攻击者首先入侵网络，通常通过发送钓鱼邮件、利用未修补的漏洞，或窃取薄弱凭据来实现。

2. 提权（权限提升）

一旦进入，攻击者就会寻找更高的权限。他们可能会破解更多密码，利用配置错误，或滥用权限提升漏洞，直到在域控制器上获得域管理员或复制权限。这些都是强大的角色，可让他们直接访问 Active Directory 数据。

3. KRBTGT 哈希提取

凭借这些权限，攻击者会使用诸如 Mimikatz 之类的恶意工具以及 DCSync 技术，窃取 KRBTGT 账户的密码哈希——用于为每个 Kerberos TGT 进行签名的加密密钥，并可实现伪造新的 TGT。他们还会获取域的安全标识符（Security Identifier，SID）。

4. 票据伪造

借助被盗的 KRBTGT 密码哈希，攻击者可以为他们选择的任何用户创建一个伪造的 TGT（Golden Ticket，黄金票据）（通常是高权限账户）。攻击者还可以为该 TGT 设置自定义权限以及更长的有效期，从而在实质上为自己提供一把通往域的“黄金”主密钥。

5. 票据注入与横向移动

攻击者将伪造的 TGT 注入到活动会话中。由于该票据在加密层面是有效的，攻击者现在可以请求合法的 Ticket-Granting Service (TGS) 票据，从而在不触发密码提示的情况下，横向移动到各服务器、数据库、文件共享和应用程序。

6. 持久化与逃避

这些伪造票据会在所有域控制器上对 KRBTGT 密钥进行两次轮换之前一直被信任。重置密码或禁用账户不会有帮助，因为攻击者可以持续创建新的票据。因此，他们可以通过与正常 Kerberos 流量融为一体，维持隐蔽的长期访问。

攻击流程图

Golden Ticket（黄金票据）攻击遵循一连串可预测的事件流程。让我们看一个示例攻击场景，并将攻击阶段可视化，以理解攻击者如何从最初的入侵逐步过渡到对 Active Directory 环境的完全控制。

想象一下：一家地区性的医疗服务提供商中，员工点击了钓鱼邮件，从而让攻击者获得对网络的初始访问权限。入侵者随后会利用配置错误的文件共享悄悄提升权限，并最终取得域管理员权限。攻击者使用 Mimikatz 提取 KRBTGT 哈希，伪造自己的 Kerberos 票据，然后在不触发密码提示或安全警报的情况下，在诸如患者记录和计费服务器等关键系统之间横向移动。数小时之内，他们便对整个域获得了不受限制且隐蔽的访问。

Golden Ticket（黄金票据）攻击示例

Golden Ticket（黄金票据）攻击已在真实世界的网络间谍行动中被使用，以获取对高价值网络的长期、隐蔽访问。以下案例将展示不同威胁团体如何运用这一技术。

Golden Ticket（黄金票据）攻击的后果

成功的 Golden Ticket 攻击可能对组织造成广泛且持久的影响。

Golden Ticket 攻击的常见目标：谁面临风险？

简单来说，任何依赖 AD 来进行用户访问和身份管理的组织都可能成为 Golden Ticket 攻击的潜在目标。攻击者更偏好这样一种环境：一旦发生单点受损，就能对关键系统和数据获得广泛且长期的访问权限。常见的目标可能包括：

风险评估

关键影响与中等可能性的组合使 Golden Ticket 攻击归入高风险类别。

如何防止黄金票据（Golden Ticket）攻击

黄金票据（Golden Ticket）攻击是对 AD 环境危害更为严重的威胁之一。此类攻击的检测十分困难，且一旦受影响，恢复成本高昂。为防止这些攻击，组织必须综合运用技术、工具以及流程控制。

技术措施

以下是防止黄金票据（Golden Ticket）攻击的一些技术措施：

• 定期将 KRBTGT 账户密码重置两次： 在所有域控制器上对 KRBTGT 密钥进行两次安全轮换。该过程必须经过周密规划，以避免破坏身份验证服务。正确做法是：先更改 KRBTGT 密码，等待复制完成，然后再更改一次。这样可以使所有在旧哈希或中间哈希下生成的伪造票据失效。
• 实施严格的最小权限访问：确保只有最少数量的用户和服务账户拥有高权限。限制加入如 Domain Admins 之类的特权组。移除过多的管理权限，并避免在林/域边界之间不必要地授予管理权限。
• 使用分层的管理模型来分段访问：分层管理模型会将 IT 管理划分为不同的“层级（tiers）”或权限等级，每一层都配有自己的一组账户和工具。
  • Tier 0：域控制器、AD 林级服务以及其他关键的身份（Identity）基础设施
  • Tier 1：服务器和应用程序
  • Tier 2：用户工作站和标准桌面

采用这种方法，即使下层遭到入侵，也不会自动导致整个域被完全攻破。

H3. 安全工具

安全工具可以帮助防止 Golden Ticket 攻击。

• 部署 EDR 和高级 SIEM，以检测 Kerberos 票据使用中的异常： SIEM 解决方案会通过跟踪身份验证事件、不寻常的票据有效期、意外登录以及异常的服务票据使用情况，实时检测可疑的 Kerberos 活动。它们会解析 Windows 安全日志中的 TGT/TGS 事件，对全网数据进行关联分析，并触发及时告警。EDR 则通过保护终端免受基于内存的凭据窃取来进行补充。
• 使用 Credential Guard / 操作系统级防护来阻止基于内存的凭据窃取： 像 Microsoft Defender Credential Guard 这样的技术旨在保护内存中的凭据。通过限制对 LSASS 内存的访问，并确保操作系统已正确打补丁和保持更新，组织可以降低遭受诸如 Mimikatz Golden Ticket 之类攻击的风险。

非技术性措施

一些非技术性的预防措施包括以下内容：

• 培训员工应对钓鱼（Phishing）和社会工程（Social Engineering）： 由于许多初始入侵都源于凭据泄露（钓鱼、恶意附件或链接），组织应推广员工安全意识培训计划，以关闭这些入口点。
• 实施变更管理和审计流程： 对对特权账户、权限、域策略等所做的所有修改都实施正式的变更控制和审计流程。建议保留日志，定期审查，并对任何变更强制执行最小权限和职责分离。

Netwrix 如何提供帮助

Netwrix 提供工具，用于强化 Active Directory 安全性，并快速发现 Golden Ticket 攻击的迹象。 Netwrix Threat Prevention 具备强大的能力，可以：

• 持续监控 Kerberos 身份验证，并在出现可疑票据活动时发出告警，例如异常的票据生存期或伪造的 PAC 数据。
  • Golden Ticket analytic type 会检测超过已配置最大生存期的 Kerberos 票据，并生成告警。
  • Forged PAC analytic type 会检测带有被修改 PAC（Privilege Attribute Certificates，权限属性证书）的 Kerberos 票据。由于 Golden Ticket 通常会伪造或篡改 PAC 以提升权限，因此这是一种直接信号。
• 检测特权提升以及对关键 AD 对象的未授权更改，帮助安全团队在攻击者建立持久性之前及时响应。Threat Prevention 提供用于检测特权提升的模板。您可以将 Privilege Escalation template 转换为启用的策略，以监控未授权的权限更改，以及非管理员账户获得更高权限的情况。
• 提供对 Active Directory 中高风险或未授权更改的实时监控、告警和阻止。Threat Prevention 的 Active Directory solution 会监视所有身份验证（Kerberos 和 NTLM）访问、对象修改、组成员关系、GPO 编辑、AD 复制、LSASS 修改等。它提供详细的审计跟踪（变更前与变更后的数值、是谁进行了更改），帮助及时发现滥用的早期迹象。

检测、缓解与响应策略

Golden Ticket 攻击很难检测和缓解，因为伪造的 TGT 在加密层面上是有效的，并且使用真实的 KRBTGT 密钥进行签名，因此常规的 Kerberos 检查会将其视为真实。即使重置了用户帐户密码，只要攻击者拥有 KRBTGT 哈希值，就仍然可以持续生成有效票据。此外，由于攻击者不需要连接到域控制器来请求新的票据，因此留下的痕迹很少。相反，他们可以在自己的机器上创建有效票据，并在需要访问网络资源时出示这些票据。

IT 团队应寻找表明伪造或长期有效票据的异常情况。

异常的票据有效期

Kerberos 票据通常具有约 10 小时的默认有效期，并可在 7 天内续期。不过，伪造的 Golden Ticket 可能被配置为持续数月，甚至数年。像 Netwrix Threat Prevention 这样的安全监控工具，或 SIEM，都可以标记出这类票据，并触发告警，提示攻击者可能正试图在不重新认证的情况下维持访问。

针对不存在或长期处于休眠状态的账号的票据

如果你看到 Kerberos 服务票据（事件 ID 4769）被签发给已被禁用、已删除或已数月未处于活动状态的账号，这强烈表明攻击者已经控制了 KRBTGT 哈希，并正在伪造票据以冒充该账号。

KRBTGT 密码更改后的 TGT 重用

在轮换（更改）KRBTGT 账号密码之后，先前签发的所有票据都应变为无效。如果你发现使用密码更改之前签发的票据仍能成功登录或发起服务请求，这意味着用被盗哈希签名的伪造票据仍在起作用。监控引用旧密钥版本号（KVNO）的 Kerberos 认证事件是一种有效的检测方法。

Kerberos 日志异常

留意来自通常不会与域控制器交互的终端的认证请求，或是 Kerberos 事件 ID（4768、4769、4771）的突然激增。这些是当发生 Kerberos 操作时，由 DC（或其他 Kerberos Key Distribution Center）生成的 Windows Security 日志事件 ID：

• 事件 ID 4768：当用户或计算机向 Key Distribution Center 请求 TGT 时生成（Kerberos 认证的第一步）。
• 事件 ID 4769：当客户端在获取 TGT 后，请求服务票据（TGS）以访问特定服务时记录。
• 事件 ID 4771：表示 Kerberos 预身份验证失败。通常原因包括密码不正确、时间同步问题，或可能存在的暴力破解尝试。

此外，如果您注意到在单台主机上反复生成 TGT，或从地理位置异常的 IP 地址生成，也请将其视为“票据伪造”（ticket forging）的迹象。

不匹配的服务主体名称（Service Principal Names，SPN）

伪造的票据以及横向移动（lateral movement）的另一个明显警示是：当您发现票据所引用的服务是您并未运行的，或者攻击者在短时间内突然尝试访问多个互不相关的服务时。

Mimikatz 安装

如果您的防病毒软件检测到恶意软件，例如凭据转储（credential-dumping）工具或其他后渗透（post-exploitation）实用程序，这可能是 Golden Ticket 攻击的间接迹象。

立即响应

一旦怀疑发生 Golden Ticket 攻击，请迅速采取行动：

• 将 KRBTGT 帐户密码重置两次： 这可确保所有现有的伪造票据都将失效，正如前文“Technical Measures（技术措施）”部分所讨论的那样。
• 隔离受影响的系统和账户： 将已被攻陷的主机从网络中断开，并禁用任何表现出可疑 Kerberos 活动的账户，以阻止进一步的横向移动。
• 撤销活动会话： 为了切断攻击者的访问，您可以强制注销（force logoffs），或使用诸如 klist purge 或 PowerShell 的 Revoke-ADAuthentication 等工具来终止所有 Kerberos 会话。
• 保留取证证据： 在清理之前保留安全日志、内存转储和系统镜像，以便协助调查以及可能的法律行动。
• 通知相关利益方： 立即通知您的事件响应团队、管理层以及法务或合规人员，以便他们能够处理沟通事宜、监管要求以及对潜在客户造成的影响。

长期缓解

组织应通过主动控制来降低未来风险，例如此处列出的措施。

• 改进 Active Directory 的规范性： 限制特权账号的数量，应用最小权限原则，并监控 Domain Admins 和 Enterprise Admins 的成员资格。您还应强制执行强密码策略，并移除旧版或未使用的账号，以减少攻击面。
• 定期威胁狩猎： 安排以 Kerberos 异常为重点的狩猎活动，例如异常的票据存活时间（ticket lifetimes）、意外的密钥版本号（KVNOs），或来自非典型主机的登录活动。将事件日志分析与您的 SIEM 或 Netwrix Threat Prevention 之类的工具结合，以识别可疑模式。
• 定期审查特权账户： 至少每季度审查所有特权账户（包括服务账户）。核实所有权、必要性以及密码轮换，尤其是针对 KRBTGT 账户。对过期或不再需要的账户，最好将其禁用。

行业特定影响

黄金票据（Golden Ticket）攻击可能扰乱任何组织，但风险和监管后果会因行业而异。通过理解行业特定的影响，组织可以优化防御措施和响应计划。

攻击演变与未来趋势

新兴技术的发展以及攻击者行为的变化，使 Golden Ticket 攻击变得更加自动化、更具隐蔽性，并且更难以遏制。

AI 使用的增加

攻击者开始将人工智能集成到其工作流程中，以自动化票据伪造和横向移动。由 AI 驱动的脚本能够快速识别特权账户、制作有效票据，并调整活动以保持不被发现。这缩短了从初始入侵到完全控制域的时间。

由深度伪造（Deepfake）驱动的社会工程

深度伪造（Deepfake）的音频和视频为钓鱼（phishing）和“冒充理由”（pretexting）攻击增添了新的变化。威胁行为者可以在语音或视频通话中冒充高管或 IT 人员，并诱骗员工共享密码或批准多因素身份验证（multi-factor authentication）的提示。在获取初始凭据后，他们即可获得所需的立足点，窃取 KRBTGT 哈希并发起 Golden Ticket 攻击。

复杂化勒索软件团伙的兴起

如今，先进的勒索软件团伙正将加密文件的恶意软件与 Golden Ticket 技术结合起来。通过伪造可长期维持的 Kerberos 票据，他们即使在 IT 团队发现最初入侵之后，也能继续保持隐蔽的域管理员访问。这使他们能够重新加密系统、悄无声息地窃取数据，并推动更高的赎金要求。

关键统计数据与信息图

越来越多的证据表明，Golden Ticket 攻击的使用频率更高，而且更加隐蔽。 Google Cloud 报告称，在多种类型的攻击中，中位数驻留时间（从最初入侵到被检测所需的时间）已从 2022 年的 16 天降至 2023 年的 10 天。

信息图：基于身份的攻击趋势

下图信息图展示了过去五年身份（identity-based）攻击的趋势。

来源：Microsoft Digital Defense Report 2024、Identity Defined Security Alliance、BeyondTrust Identity Security Report、Verizon Data Breach Report、Identity Theft Resource Center

最后的思考

Golden Ticket 攻击直击 Active Directory 安全的核心。它们的隐蔽性、持久性以及绕过传统防护措施的能力，使其可能成为任何组织的噩梦。整体性安全需要的不只是零散的防御方案：它要求采用一种融合了预防、持续检测和快速响应的策略，以防御 Golden Ticket 网络安全威胁。立即使用 Netwrix 解决方案强化您的 AD 安全态势，并始终领先于那些不断锁定新目标的攻击者。