Os avanços na segurança cibernética estão permitindo que os sistemas de monitoramento de ameaças detectem atividades incomuns de criminosos. Para contornar essas ferramentas avançadas, os hackers agora estão explorando o status legítimo e padrão e os privilégios de acesso de usuários autorizados para fins maliciosos.
Um hacker pode ter acesso ilimitado aos seus dados sem levantar nenhuma pista ao lançar o ataque do bilhete dourado. Ao fazer isso, ele terá praticamente os mesmos direitos de acesso que você. É perigoso para um atacante ter tais poderes, você não acha? Veja como desativá-lo. Verificar O que é segurança de arquivos? Como e por que você precisa proteger arquivos em seus dispositivos.
Links Rápidos
O que é o ataque do bilhete dourado?
Neste contexto, um bilhete dourado significa acesso ilimitado. O criminoso com o ticket pode interagir com todos os componentes da sua conta, incluindo dados, aplicativos, arquivos, etc. Um ataque de ticket dourado é o acesso irrestrito que um invasor obtém para ameaçar sua rede. Não há limite para o que ele pode fazer.
O ataque Golden Ticket pode ser muito destrutivo. Um hacker pode usá-lo para roubar dados, derrubar sistemas ou até invadir sistemas confidenciais. É importante que você esteja ciente do ataque do bilhete dourado e tome medidas para se proteger dele.
Como funciona o ataque do bilhete dourado?
Active Directory (AD) é uma iniciativa da Microsoft para gerenciar redes de domínio. Possui um Kerberos Key Distribution Center (KDC), que é um protocolo de autenticação para verificar a legitimidade dos usuários. O KDC protege o AD criando e distribuindo um TGT (Ticket-Granting Ticket) exclusivo apenas para usuários autorizados. Esse ticket criptografado impede que os usuários realizem atividades maliciosas na rede e limita sua sessão de navegação a um horário específico, geralmente não mais que 10 horas.
Ao criar um domínio no AD, você obtém uma conta KRBTGT automaticamente. O perpetrador dos ataques de ticket dourado compromete os dados da sua conta para se envolver com o controlador de domínio AD das seguintes maneiras.
Coleta de informações
O invasor começa coletando informações sobre sua conta, especialmente seu nome de domínio totalmente qualificado (FQDN), identificador de segurança e hash de senha. Ele pode usar técnicas de phishing para coletar seus dados ou, melhor ainda, infectar seu dispositivo com malware e obter esses detalhes por conta própria. Pode escolher um ataque de força bruta no processo de coleta de informações.
Fraude de ingresso
O agente da ameaça pode ver seus dados do Active Directory ao acessar sua conta usando suas credenciais de login, mas não pode executar as atividades neste momento. Ele precisa gerar tickets legítimos para o controlador de domínio. O KDC criptografa todos os tickets que gera com seu hash de senha KRBTGT, então um hacker teria que fazer o mesmo roubando o arquivo NTDS.DIT , iniciando um ataque DCSync ou aproveitando as vulnerabilidades nos endpoints.
Manter o acesso de longo prazo
Como obter o hash da senha KRBTGT dá ao hacker acesso ilimitado ao seu sistema, ele aproveita ao máximo. Não tem pressa em sair, mas permanece despercebido em segundo plano, colocando seus dados em risco. Ele pode até representar usuários com o acesso privilegiado mais alto sem levantar suspeitas. Verificar Ataques cibernéticos na área da saúde: como acontecem e o que você pode fazer.
Formas de prevenir um ataque de bilhete dourado
Os ataques de bilhete dourado são considerados entre os ataques cibernéticos mais perigosos devido à liberdade do hacker para realizar várias atividades. Você pode minimizar sua ocorrência com as seguintes medidas de segurança cibernética.
1. Mantenha suas credenciais de administrador privadas
Como a maioria dos outros ataques, o ataque do ticket dourado depende da capacidade do criminoso de recuperar credenciais de contas confidenciais. Proteja os dados mestre limitando o número de pessoas que podem acessá-los.
As credenciais mais valiosas estão localizadas em contas de usuários administrativos. Como administrador de rede, você precisa, no mínimo, restringir seus privilégios de acesso. Seu sistema corre maior risco quando mais pessoas têm acesso a privilégios de administrador.
2. Identifique e resista às tentativas de phishing
Restringir os direitos de administrador é uma maneira de evitar o roubo de credenciais. Se bloquear esta janela, o hacker recorrerá a outros métodos como Ataques de phishing. O phishing é mais psicológico do que técnico, então você precisa estar mentalmente preparado com antecedência para detectá-lo.
me conhecer Vários cenários e técnicas de phishing. Mais importante ainda, tenha cuidado com mensagens de estranhos que buscam informações de identificação pessoal sobre você ou sua conta. Alguns criminosos não solicitarão suas credenciais diretamente, mas enviarão e-mails, links ou anexos infectados. Se você não puder garantir nenhum conteúdo, não o abra.
3. Proteja o Active Directory com segurança Zero Trust
As informações críticas de que os hackers precisam para realizar ataques de ticket dourado estão nos diretórios do Active Directory. Infelizmente, as vulnerabilidades nos endpoints podem aparecer a qualquer momento e persistir antes que você as perceba. Mas a presença de vulnerabilidades não necessariamente prejudica seu sistema. Eles se tornam maliciosos quando os hackers os identificam e os exploram.
Você não pode garantir que os usuários não se envolvam em atividades que possam colocar seus dados em risco. Implemente a segurança de confiança zero para gerenciar os riscos de segurança das pessoas que visitam sua rede, independentemente de seus privilégios ou status. Considere todos uma ameaça porque suas ações podem colocar seus dados em risco. Verificar O que é segurança de conhecimento zero e por que ela é importante hoje?
4. Altere a senha da sua conta KRBTGT regularmente
A senha da sua conta KRBTGT é o bilhete de ouro do invasor para sua rede. Bloquear sua senha cria uma barreira entre ela e sua conta. Vamos supor que um criminoso já tenha entrado no seu sistema após recuperar o hash da senha. A duração padrão depende da validade da senha. Se você alterá-lo, não será capaz de funcionar.
Há uma tendência de você não estar ciente do atacante do bilhete dourado em seu sistema. Adquira o hábito de alterar sua senha regularmente, mesmo quando não suspeitar de um ataque. Essa ação única revoga os privilégios de acesso de usuários não autorizados que já têm acesso à sua conta.
A Microsoft aconselha especificamente os usuários a alterar suas senhas de conta KRBTGT regularmente para impedir que criminosos obtenham acesso não autorizado. Verificar Como acessar seu roteador Wi-Fi com segurança de qualquer lugar.
5. Adote o monitoramento de ameaças humanas
Procurar ativamente por ameaças em seu sistema é uma das formas mais eficazes de detectar e conter ataques de senha dourada. Esses ataques não são invasivos e são executados em segundo plano, portanto, você pode não estar ciente de uma violação, pois as coisas podem parecer normais na superfície.
O sucesso dos ataques de bilhete dourado reside na capacidade do criminoso agir como um usuário autorizado, aproveitando seu privilégio de acesso. Isso significa que os monitores automáticos de ameaças podem não detectar suas atividades porque não são incomuns. Você precisa de habilidades de monitoramento de ameaças humanas para detectá-las. Isso ocorre porque os humanos têm um sexto sentido para identificar atividades suspeitas, mesmo quando o intruso afirma ser uma entidade legítima. Verificar O que é Autenticação de Resposta a Desafio (CRAM) e por que ela é importante?
Proteja detalhes confidenciais de credenciais contra ataques de tíquete dourado
Os cibercriminosos não obterão acesso ilimitado à sua conta em um ataque de bilhete dourado sem explorações de sua parte. Com a frequência com que surgem vulnerabilidades de segurança inesperadas, você pode implementar medidas para mitigá-las com antecedência.
Proteger suas credenciais básicas, especialmente o hash da senha da sua conta KRBTGT, deixa os hackers com opções muito limitadas para invadir sua conta. Você pode controlar sua rede por padrão. O invasor depende de sua negligência de segurança para que ele prospere. Não dê chance a ele. Você pode ver agora Dicas de segurança baseadas em comportamento que você deve seguir para se manter seguro online.
