Qu’est-ce qu’une attaque de type silver ticket ?

En cybersécurité, un ticket est un ensemble d’identifiants utilisés pour authentifier les utilisateurs. Un silver ticket est un faux ticket créé par un utilisateur non autorisé. Avec ce faux silver ticket, les auteurs de menaces peuvent lancer une cyberattaque qui exploite les faiblesses d’un système d’authentification Kerberos. Dans ce système, un service d’attribution de tickets (TGS) sert de jeton d’identifiant et permet aux utilisateurs autorisés d’accéder à des services particuliers. Si un attaquant réussit, le faux silver ticket lui permet d’usurper l’identité du compte de service et d’accéder aux ressources du réseau.

Attaque de type silver ticket ou golden ticket : quelle est la différence ?

On utilise également un golden ticket lors d’une cyberattaque qui consiste à falsifier des tickets d’authentification pour permettre à des usurpateurs d’obtenir un accès. Cependant, au lieu d’usurper l’identité d’un service spécifique comme dans le cas d’un silver ticket, un golden ticket usurpe l’identité d’un contrôleur de domaine entier. Cela signifie que si un utilisateur non autorisé dispose d’un golden ticket, il a un accès plus large à tous les services du domaine.

Les silver tickets et les gold tickets sont des types de faux tickets qui exploitent le protocole d’authentification Kerberos. La principale différence entre les deux réside dans le niveau d’accès que les utilisateurs non autorisés peuvent obtenir.

Comment fonctionnent les attaques de type silver ticket

Pour exécuter une attaque par ticket silver, un pirate doit suivre les cinq étapes suivantes.

1. L’attaquant compromet un compte : il doit obtenir l’accès au compte d’un utilisateur autorisé pour pouvoir lancer une attaque de type silver ticket. Le pirate peut compromettre un compte en craquant les mots de passe faibles par des attaques par force brute, par phishing ou par un logiciel malveillant.

2. L’attaquant extrait les informations de service : une fois entré sur le réseau, il recherche des informations de service précieuses, notamment l’identifiant de sécurité (SID) et le DNS (Domain Name System).

3. L’attaquant obtient le hachage NTLM : le hachage NTLM est dérivé du mot de passe de l’utilisateur usurpé et constitue la clé permettant de chiffrer et de déchiffrer les tickets de service falsifiés. L’attaquant peut obtenir le hachage NTLM grâce au craquage hors ligne, également connu sous le nom de kerberoasting.

4. L’attaquant falsifie le ticket : il utilisera le hachage NTLM pour falsifier un service d’attribution de tickets valide afin de s’authentifier auprès d’un service spécifique.

5. L’attaquant obtient et exploite l’accès : une fois le ticket falsifié, il obtient un accès complet au service. Dans la plupart des cas, les attaquants ne s’arrêtent pas là et se déplacent latéralement au sein du réseau.

Comment prévenir les attaques de type silver ticket

Voici quatre conseils pour prévenir les attaques de type silver ticket.

Suivez le principe du moindre privilège (PoLP)

Le principe du moindre privilège est un principe fondamental en cybersécurité qui préconise d’accorder aux utilisateurs et aux systèmes l’accès aux ressources uniquement nécessaires à leur travail. Lorsqu’une entreprise suit le PoLP et limite les droits d’accès, elle réduit la fenêtre permettant aux cybercriminels d’accroître leurs privilèges s’ils compromettent le réseau.

Utilisez des mots de passe forts

Pour qu’une attaque par silver ticket ait lieu, il faut qu’un attaquant compromette un compte autorisé associé à l’entreprise. Chaque compte d’employé doit être sécurisé par un mot de passe fort et unique afin qu’il ne puisse pas être facilement deviné ou craqué. La meilleure façon pour les entreprises de superviser les pratiques des employés en matière de mot de passe est d’investir dans un gestionnaire de mots de passe professionnel. Grâce aux gestionnaires de mots de passe, les administrateurs informatiques ont une visibilité et un contrôle sur les habitudes des employés en matière de mots de passe. Cela permet à leur entreprise d’être mieux protégée contre les attaques liées aux mots de passe.

Activez l’authentification multifacteur (MFA)

L’authentification multifacteur ajoute une couche supplémentaire de sécurité aux comptes en demandant aux utilisateurs de vérifier leur identité à l’aide d’autres méthodes d’authentification en plus de leur nom d’utilisateur et de leur mot de passe. Les entreprises doivent imposer l’utilisation de la MFA car il est plus difficile de compromettre des comptes avec cette mesure de sécurité. Selon une étude de Microsoft, le fait d’activer la MFA permet de bloquer plus de 99,9 % des attaques de compromission de compte.

Surveiller le trafic d’authentification

Contrôler et superviser régulièrement le trafic d’authentification du réseau de votre entreprise est une mesure proactive. Cette pratique permettra à votre entreprise de détecter et d’atténuer rapidement les activités inhabituelles, avant que d’autres dommages ne surviennent.

Protéger votre entreprise contre les attaques de type silver ticket avec KeeperPAM™

Avec une solution de gestion des accès à privilèges (PAM), votre entreprise peut se protéger contre les attaques de type silver ticket en gérant et en contrôlant les comptes à privilèges. Avec une solution PAM, les auteurs de menaces sont moins susceptibles d’accéder aux comptes à privilèges, car les administrateurs disposent d’outils robustes pour les protéger.

KeeperPAM est une solution qui met en œuvre un accès selon le principe du moindre privilège et une sécurité robuste grâce à son architecture Zero-Knowledge et Zero-Trust. KeeperPAM est une combinaison de trois solutions essentielles de gestion des identités et des accès (IAM), Enterprise Password Manager (EPM), Keeper Secrets Manager (KSM) et Keeper Connection Manager (KCM). Ensemble, elles réduisent la surface d’attaque d’une entreprise en offrant une visibilité et une sécurité sur les comptes à privilèges.

Prêt à démarrer avec KeeperPAM ? Demandez une démo dès aujourd’hui.