Wat is een Silver Ticket-aanval?

Een ticket in cybersecurity is een reeks inloggegevens die worden gebruikt om gebruikers te verifiëren. Een Silver Ticket is een vervalst ticket dat door een ongeautoriseerde gebruiker wordt aangemaakt. Met een vervalst Silver Ticket kunnen dreigingsactoren een cyberaanval inzetten waarbij de zwakheden van een Kerberos-authenticatiesysteem worden misbruikt. In dit systeem fungeert een Ticket Granting Service (TGS) als het token van inloggegevens, waardoor geautoriseerde gebruikers toegang krijgen tot specifieke services. Als een aanvaller succesvol is, kan deze met het vervalste Silver Ticket zich voordoen als het serviceaccount en toegang krijgen tot netwerkbronnen.

Silver Ticket of Golden Ticket-aanval: wat is het verschil?

Een Golden Ticket wordt ook gebruikt bij een cyberaanval die authenticatietickets vervalst zodat indringers toegang kunnen krijgen. In plaats van zich voor te doen als een specifieke service zoals een Silver Ticket, doet een Golden Ticket zich voor als een volledige domeincontroller. Dit betekent dat als een ongeautoriseerde gebruiker een Golden Ticket heeft, deze meer toegangsmogelijkheden heeft tot alle services binnen het domein.

Zowel Silver als Golden tickets zijn vervalste tickets die het Kerberos-authenticatieprotocol misbruiken. Het grootste verschil tussen deze twee ligt in de mate van toegang die ongeautoriseerde gebruikers krijgen.

Zo werken Silver Ticket-aanvallen

Dit zijn de vijf stappen die een aanvaller neemt om een Silver Ticket-aanval uit te voeren.

1. De aanvaller compromitteert een account: een aanval met een Silver Ticket vindt plaats als een aanvaller toegang krijgt tot het account van een geautoriseerde gebruiker. De aanvaller kan een account compromitteren door zwakke wachtwoorden te kraken via brute force-aanvallen, phishing of malware.

2. De aanvaller extraheert servicegegevens: zodra de aanvaller het netwerk betreedt, zoekt deze naar waardevolle servicegegevens zoals de Security Identifier (SID) en Domain Name System (DNS).

3. De aanvaller verkrijgt de NTLM-hash: de NTLM-hash is afgeleid van het wachtwoord van de geïmiteerde gebruiker en is de sleutel tot het versleutelen en ontsleutelen van vervalste servicetickets. De aanvaller kan de NTLM-hash verkrijgen door offline te kraken, ook wel kerberoasting genoemd.

4. De aanvaller vervalst het ticket: met behulp van de NTLM-hash vervalst de aanvaller een geldige ticketverleningsservice om zichzelf te authenticeren voor een specifieke service.

5. De aanvaller krijgt en misbruikt toegang: wanneer de aanvaller het ticket vervalst, krijgt deze volledige toegang tot de service. In de meeste gevallen zullen aanvallers daar niet stoppen en verplaatsen ze zich lateraal binnen het netwerk.

Zo voorkomt u Silver Ticket-aanvallen

Dit zijn vier tips om Silver Ticket-aanvallen te voorkomen.

Het principe van minimale privileges toepassen (Principle of Least Privilege of PoLP)

Het principe van minimale privileges is een fundamenteel principe in cybersecurity dat gebruikers en systemen alleen toegang verleent tot de bronnen die nodig zijn voor hun taken. Wanneer een organisatie het PoLP volgt en de toegangsrechten beperkt, verkleint dit de mogelijkheid voor cybercriminelen om zichzelf meer privileges te toe kennen als ze het netwerk compromitteren.

Gebruik sterke wachtwoorden

Een Silver Ticket-aanval kan niet plaatsvinden zonder dat een aanvaller een geautoriseerd account compromitteert dat is gekoppeld aan de organisatie. Elk werknemersaccount moet worden beveiligd met een sterk en uniek wachtwoord, zodat het niet gemakkelijk kan worden geraden of gekraakt. De beste manier voor organisaties om toezicht te houden op de wachtwoordgewoonten van werknemers, is door te investeren in een zakelijke wachtwoordmanager. Wachtwoordmanagers bieden IT-beheerders zichtbaarheid en controle over de wachtwoordgewoonten van werknemers, zodat hun organisatie beter wordt beschermd tegen wachtwoordgerelateerde aanvallen.

Schakel multifactorauthenticatie (MFA) in

Multifactorauthenticatie voegt een extra beveiligingslaag toe aan accounts door te vereisen dat gebruikers hun identiteit verifiëren met andere authenticatiemethoden naast hun gebruikersnaam en wachtwoord. Organisaties moeten het gebruik van MFA afdwingen, omdat deze beveiligingsmaatregel het compromitteren van accounts moeilijker maakt. Uit een onderzoek van Microsoft blijkt dat het inschakelen van MFA meer dan 99,9% van de accountaanvallen kan blokkeren.

Bewaak het authenticatieverkeer

Het regelmatig bewaken en controleren van het authenticatieverkeer voor het netwerk van uw organisatie is een proactieve maatregel. Met deze gewoonte kan uw organisatie ongebruikelijke activiteiten vroegtijdig detecteren en beperken om verdere schade te voorkomen.

Bescherm uw organisatie tegen Silver Ticket-aanvallen met KeeperPAM™

Een oplossing voor Privileged Access Management (PAM), oftewel geprivilegieerd toegangsbeheer, kan uw organisatie beschermen tegen Silver Ticket-aanvallen door privileged accounts te controleren en te beheren. PAM vermindert de kans dat dreigingsactoren toegang krijgen tot privileged accounts, omdat het beheerders robuuste tools biedt om ze te beschermen.

KeeperPAM is een oplossing die toegang met minimale privileges en robuuste beveiliging implementeert via de zero-knowledge en zero-trust architectuur. KeeperPAM is een combinatie van drie essentiële oplossingen voor Identity en Access Management (IAM), Enterprise Password Manager (EPM), Keeper Secrets Manager (KSM) en Keeper Connection Manager (KCM). Samen verkleinen ze het aanvalsoppervlak van een organisatie door zichtbaarheid en beveiliging te bieden voor privileged accounts.

Klaar om aan de slag te gaan met KeeperPAM? Vraag vandaag nog een demo aan.