Silver Ticket

Un Silver Ticket es un ticket de servicio Kerberos (TGS) falsificado que se crea con el hash de la contraseña de la propia cuenta del servicio de destino, como una cuenta de equipo o una cuenta de servicio, en lugar de con la cuenta krbtgt de todo el dominio. Como el servicio verifica los tickets localmente con su propia clave, el ticket no necesita ser validado por un controlador de dominio, lo que permite a un atacante que posea ese único hash suplantar a cualquier usuario ante ese servicio concreto.

Esto es importante porque el ataque tiene un alcance limitado pero es sigiloso: como el servicio de destino no consulta al DC, no aparece ninguna actividad de concesión de tickets Kerberos en los registros del controlador de dominio, por lo que la detección depende de la auditoría en el equipo y en el servicio. La mitigación incluye contraseñas robustas, únicas y rotadas con regularidad para las cuentas de servicio y de equipo, reducir al mínimo los privilegios permanentes de las cuentas de servicio y revisar los registros de inicio de sesión local y de acceso en los servidores de alto valor.

Consulte Protección de Kerberos.