用途：检测攻击者利用 krbtgt 账户 NTLM 哈希伪造 Kerberos 票据授予票据（TGT）的黄金票据攻击，属于安全审计与威胁狩猎领域。主要能力：分析事件 ID 4769 中在强制 AES 环境下出现的 RC4 加密（0x17）降级；识别超出域 MaxTicketAge 策略的异常票据存活期；关联缺少对应 TGT 请求（事件 ID 4768）的 TGS 请求；检测 krbtgt 账户密码年限异常；结合主机与用户上下文进行风险评分，并映射 MITRE ATT&CK 技术编号。使用方式：需在启用 Kerberos 审核日志的 Windows 域控制器上采集事件，将事件 ID 4768 与 4769 转发至 Splunk 或 Elastic SIEM，或使用 Python 3.8+ 进行离线事件日志分析。步骤包括审计域 Kerberos 加密策略以建立仅 AES 基线、检测强制 AES 环境中的 RC4 降级、查找孤立 TGS 请求、对超期票据告警、监控 krbtgt 密码年龄与最后重置日期，并输出含风险评分与 ATT&CK 映射的 JSON 报告。适用场景：安全事件调查、检测规则与威胁狩猎查询构建、SOC 分析师结构化分析流程、验证相关攻击技术的监控覆盖。限制：需域控制器审核日志与 SIEM 或 Python 环境，需了解域加密策略；不提供具体检测规则的完整代码或误报率数据，暂未提供其他收费、平台或效果信息。
detecting-golden-ticket-forgery
安全与审计
更新于 10-16 06:49