黄金票据、购买凭证对抵押的作用，必备审核知识点逐一梳理

这是一个非常专业且重要的信息安全与审计领域问题。我们来将“黄金票据”、“购买凭证”（通常理解为“白银票据”）对攻击者维持权限（即“抵押作用”）的影响，以及必备的审核知识点进行逐一梳理。

核心概念与“抵押作用”比喻

在Kerberos认证协议（Windows域环境的核心）中，黄金票据和白银票据是两种最危险的凭据攻击手段。它们不是窃取来的真实票据，而是攻击者伪造的、拥有极高权限的认证票据。

“抵押作用”的比喻： 想象一个抵押品（如房产证）可以让你无限次从银行（域控制器）获得巨额贷款（域内资源访问权限）。

黄金票据 就像伪造了银行最高权限的印章，可以自己开具任何金额、任何用途的贷款凭证，银行无法拒绝。
白银票据 就像伪造了某个特定金库（特定服务）的钥匙，可以直接打开那个金库，无需经过银行总柜台（域控制器）的再次审核。

一旦攻击者获得了这两种票据之一，他们就拥有了在域内长期、隐蔽的“居住权”和“行动权”，相当于拿到了域的“抵押凭证”，可以随时行使高级权限，极难被常规手段清除。这是权限维持的“核武器”级别手段。

一、黄金票据详解

1. 攻击原理与“抵押作用”

原理：攻击者获取了域控制器的 KRBTGT 账户的密码哈希（NTLM Hash）。KRBTGT是域中用于签发所有TGT（票据授予票据）的服务账户。利用此哈希，攻击者可以伪造任意用户的TGT票据。
“抵押作用”体现：
- 权限极高：可以为任意用户（包括不存在的用户）生成TGT，并赋予其任意用户组（如Domain Admins）的成员身份。
- 持久性强：票据的有效期由攻击者自定义（通常设置为10年），远超过普通票据的默认寿命（通常10小时）。这意味着攻击者可以“一次攻击，十年有效”。
- 无需交互：生成票据后，访问任何资源都无需再与域控制器交互认证，完全绕过了域控的监控。
- 隐蔽性高：因为票据是伪造的，所以在域控的正常Kerberos日志中不会记录TGT的颁发过程，只会在服务票据请求时留下痕迹，且用户名可能是伪造的，难以溯源。

2. 必备审核知识点

审核的核心是检测KRBTGT账户的异常和识别伪造TGT的使用痕迹。

KRBTGT账户密码更改监控：

事件ID：4727 （在域控制器上）：用户账户密码更改成功。关键点：定期（如每30天）检查此事件，确认KRBTGT账户的密码更改是否由授权的安全流程执行。非预期的KRBTGT密码更改是红色警报。
基线比对：记录KRBTGT密码的最后一次更改时间。如果突然发生变化且非计划内，立即启动应急响应。

异常的Kerberos TGT请求与使用：

事件ID：4769 （域控制器安全日志）：Kerberos服务票据请求。审核要点：
- 账户名异常：请求票据的用户名是否为已知的、非常用的、或可疑的（如 $ 结尾的机器账户被用于用户请求）。
- 服务名异常：请求的服务是否为高价值目标（如 cifs/domain-controller.domain.com）。
- 加密类型：票据的加密类型。黄金票据通常使用 RC4-HMAC 加密（对应NTLM Hash），因为AES密钥更难以获取。如果环境已强制使用AES，但出现了RC4票据，则高度可疑。
- 登录时间/有效期异常：通过专业工具或SIEM分析票据的 StartTime 和 EndTime，如果有效期异常长（如数年），则是黄金票据的明显特征。

高级检测手段：

KRBTGT Hash比对：使用Mimikatz等工具定期（在严格控制的测试环境）导出KRBTGT的哈希，与历史基准进行比对，确保其未被窃取。
SIEM/SOC平台规则：建立关联规则，例如：一个从未登录过的用户，突然成功请求了访问域控CIFS服务的高权限票据。

二、白银票据详解

1. 攻击原理与“抵押作用”

原理：攻击者获取了特定服务账户（如SQL Server服务账户、域控的CIFS服务账户）的密码哈希（NTLM Hash）。利用此哈希，攻击者可以伪造访问该特定服务的服务票据。
“抵押作用”体现：
- 针对性更强：直接获取对某个关键服务（如文件共享 cifs，数据库 MSSQL）的访问权，无需与域控制器进行TGT交互。
- 极其隐蔽：整个攻击过程完全不与域控制器通信，因此域控制器上完全没有该次认证的日志（事件ID 4769）。所有日志只存在于目标服务器上。
- 权限取决于服务：获得的权限等同于该服务账户本身的权限。如果服务账户是域管理员，那么白银票据的权限就和黄金票据一样高。

2. 必备审核知识点

审核的核心转移到目标服务器和服务账户行为监控上。

目标服务器上的Kerberos日志：

事件ID：4769 （在目标服务器，如文件服务器、数据库服务器上）：Kerberos服务票据请求。审核要点：
- 票证选项：重点关注 TicketOptions 字段。白银票据由于是伪造的，通常不包含 OK-AS-DELEGATE 标志（预认证标志），而合法的Kerberos票据通常包含。
- 加密类型：同样，白银票据更常使用 RC4-HMAC。
- 网络源地址：记录请求来源IP，与已知的管理员工作站IP进行比对。

服务账户的异常行为监控：

登录事件：在目标服务器上，监控服务账户（如 MSSQLSvc 对应的账户）的交互式登录（事件ID 4624，登录类型2）或网络登录（登录类型3），但来自非预期的源地址或时间。
SIEM关联分析：将服务器上服务账户的登录事件，与网络上该账户的正常活动模式（如只从特定应用服务器连接）进行比对。任何偏差都可能是白银票据攻击的结果。

服务账户密码管理：

定期轮换：对高权限的服务账户（尤其是域管理员权限的）实施严格的密码轮换策略。
最小权限原则：确保服务账户遵循最小权限原则，绝不使用域管理员账户作为服务账户。

三、综合防御与审核策略梳理

攻击类型	核心依赖	“抵押作用”特点	关键审核点	防御建议
黄金票据	KRBTGT账户Hash	1. 伪造任意用户TGT 2. 权限极高（可加域管组） 3. 持久性极强（自定义有效期） 4. 绕过后续认证	1. 事件ID 4727 (KRBTGT密码更改) 2. 事件ID 4769 (域控制器)：检查异常用户、长有效期、RC4加密 3. KRBTGT Hash基线比对	1. 保护域控制器，严防Hash泄露（Credential Guard， LSA保护） 2. 强制使用AES加密（禁用RC4） 3. 监控KRBTGT变更
白银票据	特定服务账户Hash	1. 伪造特定服务票据 2. 不与域控通信，极为隐蔽 3. 权限=服务账户权限	1. 事件ID 4769 (目标服务器)：检查缺少`OK-AS-DELEGATE`标志、RC4加密 2. 服务账户在目标服务器的异常登录事件（ID 4624） 3. 服务账户活动模式分析	1. 服务账户最小权限化 2. 定期轮换服务账户密码 3. 关键服务器部署高级威胁检测（ETW, Sysmon）

总结与必备审核流程

预防阶段：

强化凭证安全：启用LSA保护、Credential Guard，防止内存中Hash和票据的泄露。
加密策略：在域组策略中，强制使用AES-256或AES-128进行Kerberos加密，逐步淘汰RC4。
权限最小化：严格遵守服务账户最小权限原则，定期审查和轮换密码。

检测阶段：

集中日志收集：确保所有域控制器和关键服务器的安全日志（特别是事件ID 4769， 4624， 4727）被集中收集到SIEM或日志分析平台。
建立基线：建立KRBTGT密码更改、服务账户正常活动模式的基线。
编写检测规则：
- 检测长有效期的TGT请求。
- 检测使用RC4加密的Kerberos票据（在已禁用RC4的环境中）。
- 检测KRBTGT账户的非预期密码重置。
- 检测来自非信任IP的高权限服务账户登录。
- 检测服务票据中缺少 OK-AS-DELEGATE 标志的请求（针对白银票据）。

响应阶段：

确认攻击：一旦发现可疑迹象，立即使用专业工具（如Mimikatz的检测功能、AD审计工具）进行深入调查。
止损：若确认黄金票据攻击，必须立即重置KRBTGT账户密码两次（微软官方方案）。第一次重置使攻击者现有票据失效，第二次重置防止攻击者利用旧Hash再次攻击。此操作会导致域内所有现有票据失效，需谨慎安排。
溯源：若确认白银票据攻击，立即重置受影响的服务账户密码，并审查该账户的所有活动记录。

通过以上层层递进的审核知识点梳理，安全团队可以构建起针对这两种高级持久化威胁的有效防御、检测和响应体系。