{"id":3001,"date":"2025-12-08T17:04:13","date_gmt":"2025-12-08T16:04:13","guid":{"rendered":"https:\/\/www.sycope.com\/?p=3001"},"modified":"2026-04-14T15:38:42","modified_gmt":"2026-04-14T13:38:42","slug":"atak-golden-ticket-wykrywanie-atakow-kerberos-i-zabezpieczenia-active-directory","status":"publish","type":"post","link":"https:\/\/www.sycope.com\/pl\/post\/atak-golden-ticket-wykrywanie-atakow-kerberos-i-zabezpieczenia-active-directory","title":{"rendered":"Atak Golden Ticket \u2013 wykrywanie atak\u00f3w Kerberos i zabezpieczenia Active Directory"},"content":{"rendered":"

Mechanizm ataku opiera si\u0119 na kradzie\u017cy hasha konta KRBTGT, kt\u00f3re w infrastrukturze Kerberos pe\u0142ni funkcj\u0119 klucza g\u0142\u00f3wnego do podpisywania wszystkich bilet\u00f3w TGT. Posiadaj\u0105c ten hash, atakuj\u0105cy mo\u017ce w spos\u00f3b ca\u0142kowicie offline wygenerowa\u0107 poprawnie podpisany bilet Kerberos, przypisuj\u0105c mu dowoln\u0105 to\u017csamo\u015b\u0107, poziom uprawnie\u0144 i czas \u017cycia \u2013 nawet dziesi\u0119\u0107 lat. Tak stworzony bilet, mimo \u017ce jest sfa\u0142szowany, jest dla systemu w pe\u0142ni legalny, poniewa\u017c kryptograficznie wszystko si\u0119 zgadza.<\/span> <\/span><\/p>\n

Z tego powodu tradycyjne zabezpieczenia, takie jak antywirusy, systemy EDR<\/a> czy klasyczne regu\u0142y SIEM<\/a>, pozostaj\u0105 bezradne \u2013 \u017caden z tych mechanizm\u00f3w nie zauwa\u017cy anomalii, poniewa\u017c nie dochodzi do z\u0142amania zasad kryptografii ani do uruchomienia z\u0142o\u015bliwego kodu. W efekcie, Golden Ticket stanowi dla napastnika co\u015b w rodzaju cyfrowego klucza-mistrza, kt\u00f3ry otwiera ka\u017cdy zas\u00f3b w domenie i pozwala dzia\u0142a\u0107 w spos\u00f3b ca\u0142kowicie niewykrywalny dla wi\u0119kszo\u015bci narz\u0119dzi bezpiecze\u0144stwa.<\/span> <\/span><\/p>\n

Dlatego jedyn\u0105 skuteczn\u0105 metod\u0105 wykrywania tego rodzaju atak\u00f3w jest monitoring anomalii sieciowych, oparty na analizie ruchu Kerberos oraz korelacji danych z Active Directory<\/a>. Tylko systemy, kt\u00f3re potrafi\u0105 zrozumie\u0107 struktur\u0119 biletu, przeanalizowa\u0107 jego parametry i wykry\u0107 odst\u0119pstwa od normy \u2013 na przyk\u0142ad nietypowy czas \u017cycia, niezgodno\u015b\u0107 algorytmu szyfrowania czy u\u017cycie nieistniej\u0105cych kont \u2013 maj\u0105 realn\u0105 szans\u0119 na identyfikacj\u0119 aktywnego nadu\u017cycia.<\/span> <\/span><\/p>\n

Golden Ticket to nie tylko test odporno\u015bci systemu \u2013 to sprawdzian dojrza\u0142o\u015bci ca\u0142ej organizacji w zakresie cyberbezpiecze\u0144stwa. Wykrycie takiego ataku wymaga synergii pomi\u0119dzy monitoringiem sieci, analityk\u0105 zachowa\u0144 u\u017cytkownik\u00f3w oraz wiedz\u0105 o konfiguracji domeny. Dla SOC<\/a>-\u00f3w i zespo\u0142\u00f3w bezpiecze\u0144stwa to moment, w kt\u00f3rym prewencja staje si\u0119 niewystarczaj\u0105ca, a kluczowe staje si\u0119 rozumienie, jak wygl\u0105da \u201enormalno\u015b\u0107\u201d w ruchu Kerberos i jakie wzorce j\u0105 naruszaj\u0105.<\/span> <\/span><\/p>\n

\n
\n

Table of Contents<\/p>\n<\/span><\/div>\n