detecting-golden-ticket-forgery
par mukul975detecting-golden-ticket-forgery détecte la falsification d’un Kerberos Golden Ticket en analysant l’Event ID Windows 4769, l’usage d’un downgrade vers RC4 (0x17), des durées de ticket anormales et des anomalies krbtgt dans Splunk et Elastic. Conçu pour l’audit de sécurité, l’investigation d’incident et la chasse aux menaces, avec des indications de détection concrètes et exploitables.
Cette skill obtient 78/100, ce qui en fait un bon candidat pour les utilisateurs du répertoire qui cherchent un workflow ciblé de détection des Golden Ticket. Le dépôt fournit assez de logique de détection concrète, d’exemples de requêtes et un script de parsing exécutable pour limiter l’hésitation par rapport à un prompt générique, même s’il manque encore de périmètre opérationnel et de consignes de mise en place plus claires.
- Déclencheur et cas d’usage précis : détecte la falsification d’un Kerberos Golden Ticket via les Event IDs 4768/4769, les downgrades RC4, les anomalies de durée de ticket et les anomalies krbtgt.
- Levier opérationnel : inclut des exemples Splunk SPL et un script Python pour analyser des journaux Windows Security XML exportés.
- Bonne profondeur de référence : l’API reference relie les indicateurs aux champs d’événements et aux patterns de détection, ce qui aide les agents à agir vite sur la skill.
- Les prérequis sont tronqués dans l’extrait, donc les utilisateurs au moment de l’installation peuvent ne pas avoir une vue complète des sources de logs requises ni des hypothèses d’environnement.
- Aucune commande d’installation ni packaging de démarrage rapide n’est présent, donc l’adoption peut exiger une interprétation manuelle du script et des fichiers de référence.
Vue d’ensemble du skill detecting-golden-ticket-forgery
Ce que fait ce skill
Le skill detecting-golden-ticket-forgery aide les analystes à détecter les abus de Kerberos Golden Ticket en se concentrant sur les signaux qui comptent vraiment en environnement réel : activité suspecte autour de l’Event ID 4769, usage de rétrogradation RC4 dans des domaines orientés AES, durées de ticket anormalement longues et anomalies liées à krbtgt. Il est particulièrement adapté aux travaux de Security Audit, aux investigations d’incident et à l’ingénierie de détection, quand il faut un point de départ pratique plutôt qu’un résumé ATT&CK générique.
Qui devrait l’utiliser
Utilisez ce skill detecting-golden-ticket-forgery si vous travaillez avec de la télémétrie de domaine Windows dans Splunk ou Elastic et que vous devez transformer des données d’authentification bruitées en workflow de détection défendable. C’est un bon choix pour les analystes SOC, les threat hunters et les detection engineers qui ont déjà accès aux journaux Security et veulent une logique de tri plus claire.
Pourquoi cela vaut la peine de l’installer
La valeur principale ne consiste pas seulement à « trouver des Golden Tickets », mais à vous aider à décider quoi examiner en premier : type de chiffrement de 4769, absence du contexte attendu de 4768 et valeurs atypiques par rapport à la stratégie du domaine. L’installation du skill detecting-golden-ticket-forgery est donc utile quand vous avez besoin d’une logique de hunting répétable, pas d’un simple prompt ponctuel.
Comment utiliser le skill detecting-golden-ticket-forgery
Installer et le replacer dans son contexte
Installez le skill detecting-golden-ticket-forgery avec :
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-golden-ticket-forgery
Lisez ensuite d’abord skills/detecting-golden-ticket-forgery/SKILL.md, puis references/api-reference.md et scripts/agent.py. Ces fichiers montrent la logique de détection, les champs d’événements attendus par le skill et le chemin du script si vous voulez automatiser l’analyse ou adapter le workflow.
Donner la bonne entrée
Pour bien utiliser detecting-golden-ticket-forgery, indiquez d’emblée trois éléments au skill : votre source de logs, votre SIEM et ce qui est « normal » dans votre domaine. Une mauvaise demande serait : « Vérifie s’il y a des Golden Tickets. » Une meilleure demande serait : « Construis un hunt Splunk pour l’Event ID 4769 avec RC4 0x17, exclue les comptes de service connus et explique comment confirmer si 4768 existe pour le même utilisateur. »
Partir d’un workflow de détection
Le pattern de guide detecting-golden-ticket-forgery le plus utile est le suivant :
- confirmer si votre environnement doit privilégier AES,
- inspecter 4769 pour
TicketEncryptionType=0x17, - corréler avec 4768 et 4624 lorsque c’est possible,
- comparer la durée de vie du ticket et le comportement du compte à la politique,
- distinguer l’abus probable du bruit lié à Kerberos ancien ou aux comptes de service.
Ce workflow garde le skill ancré dans des preuves plutôt que dans une suspicion générale.
Lire ces fichiers en premier
Si vous voulez une mise en route rapide, parcourez SKILL.md pour l’intention de détection, references/api-reference.md pour les Event IDs clés et les exemples de requêtes Splunk, puis scripts/agent.py pour voir comment le dépôt modélise l’analyse des événements. Cet ordre vous aide à comprendre le skill avant de le réutiliser dans votre propre environnement.
FAQ du skill detecting-golden-ticket-forgery
Est-ce réservé à Splunk ?
Non. Le dépôt contient des exemples Splunk, mais le skill detecting-golden-ticket-forgery porte surtout sur la logique de détection derrière la requête. Vous pouvez adapter les mêmes indicateurs à Elastic, à une analyse Python personnalisée ou à une chaîne SIEM, tant que vous disposez de données d’événements Windows Security.
Quel est le principal signal de détection ?
Le signal récurrent le plus fort est un comportement suspect sur 4769, en particulier RC4 0x17 dans des environnements censés utiliser AES. Le skill prend aussi en compte l’absence ou l’incohérence du contexte 4768, les durées anormales et les anomalies autour de krbtgt, car chaque signal pris isolément peut être bruyant.
Est-ce adapté aux débutants ?
Il est adapté aux analystes qui connaissent déjà les notions de base de l’authentification Windows, mais pas à quelqu’un qui cherche une introduction simple à Kerberos. Le guide detecting-golden-ticket-forgery est plus utile si vous savez interpréter les Event IDs, les types de tickets et les hypothèses de politique de domaine.
Quand ne faut-il pas l’utiliser ?
Ne vous appuyez pas uniquement dessus si vous n’avez que des logs partiels, des environnements très anciens, ou des cas où RC4 reste normal pour des raisons légitimes. Dans ces situations, le skill peut toujours aider à structurer l’analyse, mais il ne doit pas être considéré comme une conclusion finale sans base de référence locale.
Comment améliorer le skill detecting-golden-ticket-forgery
Fournir des bases de référence propres à l’environnement
Le gain de qualité le plus net vient du fait d’indiquer au skill ce que signifie « attendu » dans votre domaine : politique AES, durée de vie normale des tickets, comptes de service privilégiés et systèmes anciens connus. Sans ces précisions, l’usage de detecting-golden-ticket-forgery peut sur-signaliser des activités légitimes.
Demander un seul type de résultat à la fois
On obtient de meilleurs résultats avec des demandes ciblées : une requête de hunting, une checklist de triage, une liste de filtres pour les faux positifs ou une note d’analyste. Si vous demandez tout cela d’un coup, le résultat est généralement moins exploitable qu’une demande detecting-golden-ticket-forgery plus ciblée pour Security Audit.
Surveiller les modes d’échec courants
Les erreurs les plus fréquentes consistent à considérer chaque ticket RC4 comme malveillant, à ignorer les exceptions liées aux comptes de service et à ne pas corréler avec 4768. Lors des itérations, demandez au skill d’expliquer pourquoi chaque indicateur compte et quels cas bénins peuvent l’imiter.
Améliorer le second passage
Après la première réponse, renvoyez les lacunes : les noms de champs de votre SIEM, les sources de logs manquantes ou un exemple d’alerte que vous jugez déjà fiable. Demandez ensuite au skill detecting-golden-ticket-forgery de resserrer la requête, réduire le bruit ou réécrire les étapes d’investigation pour votre environnement exact.