Risk Management Wie gefährlich sind Pass-the-Ticket-Angriffe?

Bei einem Pass-the-Ticket-Angriff werden in einer Windows Active-Directory-Umgebung Authentifizierungsdaten, sogenannte Tickets, kompromittiert und wiederverwendet. Welche Schutzmaßnahmen sind zu ergreifen?

Jedes Jahr nimmt die Zahl der Angriffe, die die Sicherheit von Geräten, Computersystemen, Servern und Netzwerkinfrastrukturen gefährden, stetig zu. Unter den vielen Arten von Angriffen muss dem Pass-the-Ticket-Angriff (PtT) besondere Aufmerksamkeit gewidmet werden.

Dies liegt daran, dass es mit einem Pass-the-Ticket-Angriff möglich ist, das in allen gängigen Betriebssystemen vorhandene Kerberos-Netzwerkprotokoll zu korrumpieren, um auf die Sitzung eines Users zuzugreifen, ohne über dessen Anmeldeinformationen zu verfügen. Das Problem dabei: Ein Angriff dieser Art ist nicht nur schwer zu erkennen, sondern Hacker sind in der Regel auch in der Lage, die gängigsten Systemzugriffskontrollen zu umgehen.

Angriffe auf verwundbare Endpoints

Typische Angriffe auf PC-Arbeitsplätze

Kerberos-Netzwerkprotokoll

Ein Kerberos ist ein Netzwerkprotokoll, das in den 1980er Jahren vom MIT entwickelt und 1993 zum IETF-Standard wurde. Es wird für eine solide Authentifizierung zwischen verschiedenen Terminals durch ein symmetrisches Verschlüsselungssystem verwendet, ohne dass Passwörter übertragen werden müssen.

Der Vorteil der Verwendung des Kerberos-Protokolls liegt in seinem Authentifizierungssystem zwischen Client und Server. Dies macht es sehr effektiv im Kampf gegen Phishing und „Man-in-the-Middle“-Angriffe. Kerberos ist in allen gängigen Betriebssystemen wie Microsoft, Apple, Linux und vielen mehr integriert.

Bei einem Pass-the-Ticket-Angriff ist es jedoch möglich, die Kerberos-Authentifizierung zu kompromittieren, um Zugriff auf einen User-Account zu erhalten. Die Folgen sind dabei nicht zu unterschätzen. Unter den vielen vorstellbaren Szenarien könnte beispielsweise die Möglichkeit bestehen, dass das kompromittierte Konto über hohe Administratorrechte verfügt und dem Hacker somit vollen Zugriff auf weitreichende Ressourcen garantiert.

Ablauf eines PtT-Angriffs

Mit einem Pass-the-Ticket-Angriff erhält ein Hacker privilegierten Zugriff auf Netzwerkressourcen, ohne Kennwörter von Usern verwenden zu müssen. Denn in Active-Directory-Umgebungen beweist ein Ticket Granting Ticket (TGT), dass ein User tatsächlich der ist, für den er sich ausgibt.

Mithilfe einiger Tools und Techniken könnte ein Hacker diese Tickets sammeln und sie verwenden, um Ticket Granting Services (TGS) anzufordern. Auf diese Weise kann er auf Ressourcen zugreifen, die in verschiedenen Teilen des Netzwerks vorhanden sind.

Ein PtT-Angriff birgt selbst auch dann Risiken, wenn das kompromittierte Konto nicht über besondere Administratorrechte verfügt, da der Hacker über Lateral Movements möglicherweise Zugriff auf andere Konten und Geräte erhalten kann.

Der Unterschied zwischen Pass-the-Ticket und einem Pass-the-Hash-Angriff liegt darin, dass PtT TGT-Tickets ausnutzt, die in ein paar Stunden ablaufen, während PtH sogenannte NTLM-Hashes verwendet, die sich nur ändern, wenn ein User sein Passwort ändert. Ein TGT-Ticket muss innerhalb der Ablauffrist genutzt oder für einen längeren Zeitraum verlängert werden.

Gut informiert für mehr IT-Sicherheit

ChatGPT als Mittäter bei Cyberangriffen?

Identifizierung von PtT-Angriffen

Aufgrund der Tarnung des Angriffsvektors stellt die Erkennung von PtT-Angriffen eine Herausforderung dar. Dabei können jedoch verschiedene Techniken und Maßnahmen hilfreich sein:

• Überwachen von Ereignisprotokollen: Durch die Analyse von Ereignis-Protokollen von Domänen-Controllern und Endpunkt-Systemen lassen sich Anomalien aufdecken, beispielsweise mehrere Authentifizierungen eines einzelnen Users oder ungewöhnliche Zugriffsmuster.

• Verhaltensanalyse: Die Implementierung von Tools zur Verhaltensanalyse hilft dabei, ungewöhnliches User-Verhalten zu erkennen, wie etwa aus dem Rahmen fallende Anmeldezeiten, übermäßige Rechteausweitungen oder Zugriffe auf im Grunde „unbekannte“ Ressourcen.

• Netzwerksegmentierung: Der Einsatz einer Netzwerk-Segmentierung kann die Lateral Movements von Hackern einschränken und ihnen den Zugriff auf kritische Ressourcen erschweren.

Vorsichtsmaßnahmen ergreifen

Als möglicher Schutz vor PtT-Angriffen bzw. um deren Auswirkungen abzuschwächen, sollten Unternehmen folgende vorbeugende Maßnahmen in Betracht ziehen:

• Strenge Zugriffskontrollen implementieren: Prinzip der geringsten Rechte (Principle of Least Privilege – PoLP) anwenden und sicherstellen, dass die User nur über die Zugriffsrechte verfügen, die zur Erfüllung ihrer Aufgaben erforderlich sind.

• Passwörter für Dienstkonten regelmäßig verändern: Häufige Veränderungen der Passwörter für Dienstkonten verringern das Risiko einer TGT-Extraktion.

• Multi-Faktor-Authentifizierung (MFA) aktivieren: Die Implementierung von MFA fügt eine zusätzliche Sicherheitsebene hinzu und erschwert es Hackern deutlich, gestohlene Anmelde-Informationen zu nutzen.

• Netzwerkverkehr überwachen und analysieren: Der Einsatz von Tools für die Netzwerk-Überwachung kann dabei helfen, verdächtiges Verhalten zu identifizieren, PtT-Angriffe zu erkennen und umgehend darauf zu reagieren.

• Systeme auf dem neuesten Stand halten: Sicherheits-Patches und Updates sind regelmäßig und zeitnah anzuwenden, um Schwachstellen sofort zu schließen, die ein Angreifer ausnutzen könnte.

UEBA und SIEM im Einsatz

Für einen Schutz der Infrastruktur ist es sinnvoll, bewährte Technologien wie User and Entity Behavior Analytics (UEBA) und Security Information and Event Management (SIEM) zur Erkennung von PtT zu verwenden. Beide Technologien nutzen Big-Data-Techniken, Methoden des Maschinellen Lernens (ML) bzw. der Künstlichen Intelligenz (KI). Damit ist es möglich, Pass-The-Ticket-Angriffe zu verhindern, indem das Verhalten von Usern und Entitäten analysiert wird.

Eine UEBA-Lösung würde beispielsweise in solchen Fällen die schnelle Identifizierung von kompromittierten Accounts gewährleisten und sie sperren, um den Schaden zu begrenzen. Einige SIEM-Lösungen ermöglichen nicht nur die Analyse herkömmlicher Protokolle, sondern sind auch in der Lage, eine genaue Sicherheitsanalyse durchzuführen, indem sie das Verhalten der User innerhalb eines Netzwerks analysieren, um das Vorhandensein von Bedrohungen für die Infrastruktur umgehend zu erkennen.

(ID:49872456)