Pass-the-Ticket (PtT) adalah teknik serangan yang memanfaatkan Kerberos ticket yang dicuri untuk melakukan autentikasi tanpa mengetahui password pengguna. Teknik ini termasuk dalam kategori Use Alternate Authentication Material pada MITRE ATT&CK dengan ID T1550.003.
Serangan ini berbahaya pada lingkungan Active Directory. Jika ticket yang valid berhasil diperoleh, attacker dapat menggunakannya untuk mengakses resource lain dan melakukan lateral movement.
Apa Itu Pass-the-Ticket?
Pass-the-Ticket adalah teknik ketika attacker menggunakan Kerberos ticket sebagai pengganti kredensial normal.
Dalam kondisi normal, pengguna melakukan autentikasi dan memperoleh ticket dari Key Distribution Center (KDC). Ticket tersebut kemudian digunakan untuk mengakses layanan tertentu.
Pada serangan PtT, attacker tidak perlu mengetahui password korban. Sebaliknya, ticket yang sudah diperoleh digunakan kembali untuk mendapatkan akses. MITRE menjelaskan bahwa teknik ini dapat digunakan untuk melakukan lateral movement tanpa mengetahui password akun. (dikutip dari: MITRE ATT&CK – Pass the Ticket).
Serangan PtT umumnya berkaitan dengan pencurian material autentikasi Kerberos.
Tahapannya dapat dipahami secara sederhana:
1. Mendapatkan Akses Awal
Attacker terlebih dahulu memperoleh akses ke sebuah sistem atau akun.
2. Memperoleh Kerberos Ticket
Attacker mencoba mendapatkan ticket yang tersimpan pada sistem korban.
Ticket tersebut dapat menjadi material autentikasi yang berharga.
3. Menggunakan Ticket
Ticket yang diperoleh kemudian digunakan untuk melakukan autentikasi terhadap layanan atau sistem lain.
4. Melakukan Lateral Movement
Jika ticket memiliki hak akses yang sesuai, attacker dapat berpindah ke sistem lain dalam domain.
MITRE mengklasifikasikan PtT sebagai teknik Lateral Movement karena penggunaan ticket curian dapat membantu attacker berpindah melalui lingkungan jaringan.
Mengapa Kerberos Ticket Menjadi Target?
Kerberos dirancang untuk memungkinkan autentikasi tanpa mengirim password secara langsung setiap kali pengguna mengakses layanan.
Mekanisme tersebut menggunakan ticket sebagai bukti autentikasi.
Masalah muncul ketika ticket berhasil dicuri.
Attacker dapat mencoba menggunakan material tersebut untuk mendapatkan akses tanpa harus mengetahui password asli. Karena itu, pencurian ticket menjadi salah satu risiko penting dalam lingkungan Active Directory.
Pass-the-Ticket vs Pass-the-Hash
Keduanya sering dianggap sama karena sama-sama dapat digunakan untuk lateral movement. Namun, material yang digunakan berbeda.
Teknik
Material yang Digunakan
Pass-the-Hash
Password hash
Pass-the-Ticket
Kerberos ticket
Pass-the-Hash menggunakan hash password sebagai material autentikasi. Sementara itu, Pass-the-Ticket menggunakan Kerberos ticket yang valid. MITRE ATT&CK memisahkan kedua teknik tersebut sebagai sub-technique yang berbeda.
Pada Pass-the-Ticket, attacker menggunakan ticket yang diperoleh dari sistem korban.
Sementara itu, Golden Ticket berkaitan dengan pembuatan Kerberos Ticket Granting Ticket (TGT) palsu menggunakan material rahasia yang berkaitan dengan akun KRBTGT.
Keduanya dapat digunakan untuk mempertahankan akses atau melakukan lateral movement, tetapi metode dan material autentikasinya berbeda.
Microsoft juga memasukkan aktivitas Pass-the-Ticket dan Golden Ticket sebagai perilaku yang dapat dideteksi pada lingkungan Active Directory.
Bagaimana Mendeteksi Pass-the-Ticket?
Deteksi PtT membutuhkan korelasi beberapa sumber log.
MITRE merekomendasikan perhatian terhadap pola seperti TGT request (Event ID 4768), TGS request (Event ID 4769), dan logon event (Event ID 4624). Ketidaksesuaian antara aktivitas tersebut dapat menjadi indikator penggunaan ticket secara tidak normal. (dikutip dari: MITRE ATT&CK – Pass the Ticket Detection Strategy)
Beberapa indikator yang dapat diperhatikan:
Login dari perangkat yang tidak biasa.
Aktivitas Kerberos pada waktu tidak normal.
Ticket digunakan dari host berbeda.
Tidak terdapat logon yang sesuai.
Aktivitas akun meningkat secara tiba-tiba.
Akses LSASS yang mencurigakan.
Satu indikator belum tentu menunjukkan serangan. Karena itu, korelasi beberapa event menjadi penting.
Cara Mencegah Pass-the-Ticket
Beberapa langkah dapat dilakukan untuk mengurangi risiko PtT.
1. Lindungi Akun Privileged
Batasi penggunaan akun administrator pada workstation biasa. Semakin sedikit sistem yang menyimpan material autentikasi sensitif, semakin kecil peluang pencurian ticket.
2. Terapkan Least Privilege
Berikan pengguna hanya permission yang diperlukan.
Langkah ini dapat membatasi dampak ketika sebuah ticket berhasil disalahgunakan.
3. Pantau Aktivitas Kerberos
Monitor Event ID 4768, 4769, dan 4624 untuk mencari pola autentikasi yang tidak normal.
4. Gunakan Proteksi Endpoint
EDR dan security monitoring dapat membantu mendeteksi aktivitas mencurigakan pada proses serta akses terhadap material autentikasi.
5. Pisahkan Akun Administrator
Gunakan akun administratif khusus untuk aktivitas privileged. Hindari menggunakan akun tersebut untuk aktivitas sehari-hari.
Pass-the-Ticket (PtT) Attack adalah teknik yang memanfaatkan Kerberos ticket sebagai material autentikasi alternatif. Dengan ticket yang berhasil dicuri, attacker dapat mencoba mengakses layanan tanpa mengetahui password pengguna.
Ancaman ini sangat relevan pada lingkungan Active Directory karena dapat digunakan untuk melakukan lateral movement.
Deteksi dapat dilakukan dengan memantau aktivitas Kerberos dan menghubungkan Event ID 4768, 4769, serta 4624. Sementara itu, penerapan least privilege, perlindungan akun privileged, monitoring, dan keamanan endpoint dapat membantu mengurangi risikonya.
Memahami Pass-the-Ticket penting bagi administrator dan security analyst karena pencurian ticket dapat menjadi jalan bagi attacker untuk memperluas akses di dalam jaringan.
Seorang Akademisi, Peneliti dan Praktisi TI, mengajar di beberapa perguruan tinggi, Authorized Training Center dan Lembaga Pengembangan SDM TI. Aktif berbagi di komunitas melalui event webinar & sharing session. aktifitas sehari-hari di isi dengan mengajar, menulis di blog, jurnal, media massa, buku dan juga membuat video tutorial. bidang ilmu yang didalami adalah cybersecurity, system administrator, programming, networking, linux, cloud computing, blockchain, data science, artificial intelligence. visit me at sulkiflysaid.com
