Was ist ein Silver-Ticket-Angriff?

Ein Ticket für die Cybersicherheit ist ein Satz von Anmeldeinformationen, die zur Authentifizierung von Benutzern verwendet werden. Ein Silver Ticket ist ein gefälschtes Ticket, das ein unbefugter Benutzer erstellt. Mit diesem gefälschten Silver-Ticket können Bedrohungsakteure einen Cyberangriff starten, bei dem die Schwachstellen eines Kerberos-Authentifizierungssystems ausgenutzt werden. In diesem System dient ein Ticket Granting Service (TGS) als Anmeldeinformations-Token und gewährt autorisierten Benutzern Zugriff auf bestimmte Dienste. Wenn ein Angreifer erfolgreich ist, ermöglicht das gefälschte Silver Ticket ihm die Möglichkeit zur Darstellung des Dienstkontos und er erhält Zugriff auf Netzwerkressourcen.

Silver Ticket vs. Golden-Ticket-Angriff: Was ist der Unterschied?

Ein Gold-Ticket wird auch bei einem Cyberangriff verwendet, bei dem Authentifizierungstickets gefälscht werden, damit sich Imitatoren Zugriff verschaffen. Aber anstatt sich als einen bestimmten Dienst wie ein Silver Ticket auszugeben, gibt sich ein Golden Ticket als ein ganzer Domain-Controller aus. Dies bedeutet, dass ein unbefugter Benutzer, wenn er ein Golden Ticket hat, einen breiteren Zugriff auf alle Dienste innerhalb der Domain hat.

Sowohl Silver- als auch Golden Tickets sind Arten von gefälschten Tickets, die das Kerberos-Authentifizierungsprotokoll ausnutzen. Der Hauptunterschied zwischen diesen beiden liegt im Grad des Zugriffs für unbefugte Benutzer.

So funktionieren Silver-Ticket-Angriffe

Im Folgenden finden Sie die fünf Schritte, die ein Angreifer unternimmt, um einen Silver-Ticket-Angriff durchzuführen.

1. Der Angreifer kompromittiert ein Konto: Damit ein Silver-Ticket-Angriff stattfinden kann, muss sich ein Angreifer Zugriff auf das Konto eines autorisierten Benutzers verschaffen. Der Angreifer kann ein Konto kompromittieren, indem er schwache Passwörter durch Brute-Force-Angriffe, Phishing oder Malware knackt.

2. Der Angreifer extrahiert Dienstinformationen: Sobald der Angreifer in das Netzwerk eintritt, sucht er nach wertvollen Dienstinformationen wie dem Security Identifier (SID) und dem Domain Name System (DNS).

3. Der Angreifer erhält den NTLM-Hash: Der NTLM-Hash wird aus dem Passwort des imitierten Benutzers abgeleitet und ist der Schlüssel zum Ver- und Entschlüsseln gefälschter Servicetickets. Der Angreifer kann den NTLM-Hash durch Offline-Cracking, auch bekannt als Kerberoasting, erhalten.

4. Der Angreifer fälscht das Ticket: Mit dem NTLM-Hash fälscht der Angreifer einen gültigen Ticket-Gewährungsdienst, um sich bei einem bestimmten Dienst zu authentifizieren.

5. Der Angreifer erhält und nutzt den Zugriff: Wenn der Angreifer das Ticket erfolgreich fälscht, erhält er vollen Zugriff auf den Dienst. In den meisten Fällen machen Angreifer hier nicht halt und bewegen sich innerhalb des Netzwerks seitwärts.

So verhindern Sie Silver-Ticket-Angriffe

Im Folgenden finden Sie vier Tipps, um Silver-Ticket-Angriffe zu verhindern.

Folgen Sie dem Prinzip der geringsten Privilegien (PoLP)

Das Prinzip der geringsten Privilegien ist ein grundlegendes Prinzip der Cybersicherheit, das dafür sorgt, Benutzern und Systemen nur Zugriff auf Ressourcen zu gewähren, die für ihre beruflichen Aufgaben erforderlich sind. Wenn ein Unternehmen dem PoLP folgt und die Zugriffsrechte begrenzt, verringert sich das Zeitfenster für Cyberkriminelle, ihre Privilegien zu erweitern, wenn sie das Netzwerk kompromittieren.

Verwenden Sie starke Passwörter

Ein Silver-Ticket-Angriff kann nur dann erfolgen, wenn ein Angreifer ein autorisiertes, mit dem Unternehmen verknüpftes Konto kompromittiert. Jedes Mitarbeiterkonto sollte mit einem starken und einzigartigen Passwort geschützt werden, damit es nicht leicht erraten oder geknackt werden kann. Der beste Weg für Unternehmen, um die Passwortpraktiken der Mitarbeiter zu überwachen, ist die Investition in einen Business Password Manager. Password Manager bieten IT-Administratoren Transparenz und Kontrolle über die Passwortgewohnheiten der Mitarbeiter, damit ihr Unternehmen besser vor passwortbezogenen Angriffen geschützt ist.

Nutzen Sie Multifaktor-Authentifizierung (MFA)

Die Multifaktor-Authentifizierung fügt eine zusätzliche Sicherheitsebene für Konten hinzu, indem sie verlangt, dass Benutzer ihre Identität zusätzlich zu ihrem Benutzernamen und Passwort mit anderen Authentifizierungsmethoden überprüfen. Unternehmen müssen die Verwendung von MFA durchsetzen, da diese Sicherheitsmaßnahme die Kompromittierung von Konten erschwert. Eine Studie von Microsoft hat ergeben, dass die Aktivierung von MFA über 99,9 % der Kontokompromittierungsangriffe blockieren kann.

Überwachen des Authentifizierungsverkehrs

Die regelmäßige Überwachung und Kontrolle des Authentifizierungsverkehrs für das Netzwerk Ihres Unternehmens ist eine proaktive Maßnahme. Diese Praxis ermöglicht es Ihrem Unternehmen, ungewöhnliche Aktivitäten früh zu erkennen und abzumildern, bevor weitere Schäden entstehen.

Schützen Sie Ihr Unternehmen mit KeeperPAM™ vor Silver-Ticket-Angriffen

Eine Privileged Access Management (PAM)-Lösung kann Ihrem Unternehmen helfen, sich vor Silver-Ticket-Angriffen zu schützen, indem sie privilegierte Konten verwaltet und kontrolliert. PAM reduziert die Wahrscheinlichkeit, dass Bedrohungsakteure auf privilegierte Konten zugreifen, da es Administratoren robuste Tools bietet, um sie zu schützen.

KeeperPAM ist eine Lösung, die den Zugriff mit den geringsten Privilegien und eine robuste Sicherheit durch ihre Zero-Knowledge- und Zero-Trust-Architektur implementiert. KeeperPAM ist eine Kombination aus drei wesentlichen Identity and Access Management (IAM)-Lösungen, Enterprise Password Manager (EPM), Keeper Secrets Manager (KSM) und Keeper Connection Manager (KCM). Zusammen reduzieren sie die Angriffsfläche eines Unternehmens, indem sie für Transparenz und Sicherheit über privilegierte Konten sorgen.

Sind Sie bereit, mit KeeperPAM loszulegen? Fordern Sie noch heute eine Demo an.