Golden Ticket

Un Golden Ticket es un vale de concesión de vales (TGT) de Kerberos falsificado que se crea una vez que el atacante ha obtenido el hash de la contraseña de la cuenta krbtgt, en la que se basa toda la confianza Kerberos del dominio. Como el hash de krbtgt puede firmar un TGT para cualquier usuario, con cualquier nivel de privilegio y cualquier fecha de caducidad, quien lo posee puede generar tokens de autenticación de apariencia válida que los controladores de dominio aceptarán sin necesidad de volver a interactuar con una cuenta legítima.

Esto es importante porque un Golden Ticket sobrevive a las medidas de corrección habituales, como el restablecimiento de contraseñas de cuentas individuales, y puede proporcionar acceso persistente y casi indetectable de administrador del dominio durante años si no se rota el hash de krbtgt. La defensa principal consiste en proteger la cuenta krbtgt y su hash frente a cualquier exposición (por eso es tan importante la protección frente a DCSync), cambiar la contraseña de krbtgt dos veces tras cualquier sospecha de compromiso y supervisar vigencias de tickets o tipos de cifrado anómalos.

Consulte Protección de Kerberos.