Che cos’è un attacco Silver Ticket?

Nell’ambito della sicurezza informatica, un ticket è un set di credenziali utilizzato per autenticare gli utenti. Un Silver Ticket è un ticket contraffatto creato da un utente non autorizzato. Con questo Silver Ticket contraffatto, i malintenzionati possono lanciare un attacco informatico sfruttando i punti deboli di un sistema di autenticazione Kerberos. In questo sistema, un servizio di Ticket Granting (TGS) funge da token credenziali, consentendo agli utenti autorizzati di accedere a particolari servizi. Se un malintenzionato ha successo, il Silver Ticket contraffatto consente di impersonare l’account di servizio e accedere alle risorse di rete.

Attacco Silver Ticket e attacco Golden Ticket: che differenza c’è?

Un Golden Ticket viene utilizzato anche in un attacco informatico che crea ticket di autenticazione per consentire ai sosia di accedere. Tuttavia, piuttosto che impersonare un servizio specifico come un Silver Ticket, un Golden Ticket impersona un intero controller di dominio. Questo significa che se un utente non autorizzato ha un Golden Ticket, potrà accedere a tutti i servizi all’interno del dominio.

Sia i Silver che i Gold Ticket sono tipi di ticket contraffatti che sfruttano il protocollo di autenticazione Kerberos. La differenza principale tra i due sta nel livello di accesso degli utenti non autorizzati.

Come funzionano gli attacchi Silver Ticket

Ecco i cinque passaggi che un malintenzionato deve seguire per eseguire un attacco Silver Ticket.

1. L’aggressore compromette un account: per sferrare un attacco Silver Ticket, il malintenzionato deve accedere all’account di un utente autorizzato. L’aggressore può compromettere un account decifrando le password deboli attraverso attacchi di forza bruta, phishing o malware.

2. L’aggressore estrae le informazioni di servizio: una volta entrato nella rete, cerca informazioni di servizio preziose, come l’identificatore di sicurezza (SID) e il sistema dei nomi di dominio (DNS).

3. L’aggressore ottiene l’hash NTLM: l’hash NTLM deriva dalla password dell’utente impersonato ed è la chiave per crittografare e decifrare i ticket di servizio contraffatti. L’aggressore può ottenere l’hash NTLM attraverso il cracking offline, noto anche come kerberoasting.

4. L’aggressore falsifica il ticket: utilizzando l’hash NTLM, l’aggressore falsificherà un servizio di concessione di ticket valido per autenticarsi su un servizio specifico.

5. L’aggressore ottiene e sfrutta l’accesso: quando l’aggressore avrà falsificato il ticket, potrà accedere completamente al servizio. Nella maggior parte dei casi, gli aggressori non si fermeranno e si sposteranno lateralmente all’interno della rete.

Come prevenire gli attacchi Silver Ticket

Ecco quattro consigli per prevenire gli attacchi Silver Ticket.

Seguire il principio del privilegio minimo (PoLP)

Il principio del privilegio minimo è un principio fondamentale nella sicurezza informatica che prevede di consentire agli utenti e ai sistemi di accedere alle risorse necessarie solo per le loro attività lavorative. Quando un’organizzazione segue il PoLP e limita i diritti di accesso, ciò riduce la finestra che i cybercriminali hanno a disposizione per aumentare i loro privilegi se compromettono la rete.

Utilizza password forti

Un attacco Silver Ticket non può avvenire senza che un malintenzionato abbia compromesso un account autorizzato associato all’organizzazione. Ogni account dei dipendenti deve essere protetto con una password forte e unica in modo che non possa essere facilmente indovinata o decifrata. Il modo migliore per le organizzazioni di supervisionare le pratiche in materia di password dei dipendenti è investire in un Password Manager aziendale. I Password Manager forniscono agli amministratori IT visibilità e controllo sulle abitudini in materia di password dei dipendenti in modo che la loro organizzazione sia meglio protetta dagli attacchi legati alle password.

Abilita l’autenticazione a più fattori (MFA)

L’autenticazione a più fattori aggiunge un ulteriore livello di sicurezza agli account richiedendo agli utenti di verificare la loro identità utilizzando altri metodi di autenticazione oltre al nome utente e alla password. Le organizzazioni devono applicare l’uso dell’MFA perché questa misura di sicurezza rende più difficile compromettere gli account. Uno studio di Microsoft ha rilevato che l’abilitazione dell’MFA può bloccare oltre il 99,9% degli attacchi di compromissione degli account.

Monitora il traffico di autenticazione

Monitorare e supervisionare regolarmente il traffico di autenticazione per la rete della tua organizzazione è una misura proattiva. Questa pratica consentirà alla tua organizzazione di rilevare e mitigare velocemente le attività insolite, prima che si verifichino ulteriori danni.

Proteggi la tua organizzazione dagli attacchi Silver Ticket con KeeperPAM™

Una soluzione di gestione degli accessi privilegiati (PAM) può aiutare la tua organizzazione a proteggersi dagli attacchi Silver Ticket gestendo e controllando gli account con privilegi. La PAM riduce la probabilità che i malintenzionati accedano agli account con privilegi poiché fornisce agli amministratori strumenti affidabili per proteggerli.

KeeperPAM è una soluzione che implementa l’accesso con privilegi minimi e una solida sicurezza attraverso la sua architettura zero-knowledge e zero-trust. KeeperPAM è una combinazione di tre soluzioni di gestione delle identità e degli accessi (IAM) essenziali, Enterprise Password Manager (EPM), Keeper Secrets Manager (KSM) e Keeper Connection Manager (KCM). Insieme, riducono la superficie di attacco di un’organizzazione fornendo visibilità e sicurezza sugli account con privilegi.

Vuoi iniziare a utilizzare KeeperPAM? Richiedi una demo oggi stesso.