detecting-pass-the-ticket-attacks

Vue d’ensemble du skill detecting-pass-the-ticket-attacks

Ce que fait le skill detecting-pass-the-ticket-attacks

Le skill detecting-pass-the-ticket-attacks vous aide à détecter une activité Kerberos Pass-the-Ticket (PtT) en corrélant les événements Windows Security 4768, 4769 et 4771. Il est particulièrement utile lorsque vous avez besoin d’une logique concrète de threat hunting, pas d’une explication générale de Kerberos.

À qui l’installer

Ce skill convient aux analystes SOC, aux detection engineers et aux intervenants en réponse à incident qui travaillent dans des environnements Windows avec Splunk ou Elastic. Il est particulièrement pertinent pour detecting-pass-the-ticket-attacks for Threat Hunting si vous voulez des requêtes reproductibles pour repérer la réutilisation de tickets, les rétrogradations RC4 et les comportements inhabituels des tickets de service.

Ce qui le différencie

Le skill s’appuie sur des champs d’événements et des schémas de détection concrets, plutôt que sur une théorie ATT&CK abstraite. Sa vraie valeur consiste à transformer des journaux de contrôleurs de domaine, souvent bruyants, en signaux exploitables que vous pouvez opérationnaliser dans des workflows SIEM.

Comment utiliser le skill detecting-pass-the-ticket-attacks

Installez et inspectez d’abord les bons fichiers

Utilisez le workflow detecting-pass-the-ticket-attacks install pour votre plateforme, puis lisez d’abord SKILL.md, suivi de references/api-reference.md et scripts/agent.py. Ces deux fichiers d’appui montrent les champs d’événements, les formes de requêtes et la logique de parsing qui alimentent réellement le skill.

Préparez un prompt d’entrée complet

Pour un meilleur detecting-pass-the-ticket-attacks usage, donnez au skill quatre éléments : votre SIEM, votre source de logs, votre objectif et vos contraintes. Un bon prompt ressemble à ceci : « Use detecting-pass-the-ticket-attacks to hunt for PtT in Splunk Security logs from domain controllers, focusing on 4769 RC4 downgrades and cross-host ticket reuse, and return a triage-ready query with false-positive notes. »

Partez du schéma de détection, pas du tableau de bord

Ce skill donne les meilleurs résultats quand vous démarrez avec l’une des hypothèses prises en charge : rétrogradation du chiffrement RC4, requêtes TGS répétées depuis plusieurs IP, ou volume anormal de 4769 par utilisateur. Ensuite, adaptez la sortie à vos noms d’index, à vos mappings de champs et à vos seuils d’alerte, au lieu de recopier les exemples du dépôt tels quels.

Servez-vous du dépôt comme d’un guide de workflow

Si vous voulez aller au plus court dans le repo, suivez cet ordre : SKILL.md pour le périmètre, references/api-reference.md pour les noms de champs et les exemples de patterns Splunk/KQL, puis scripts/agent.py pour comprendre comment la logique d’événements est normalisée. Cette séquence vous donne le chemin le plus rapide entre une idée brute et une logique de hunting exploitable.

FAQ sur le skill detecting-pass-the-ticket-attacks

Est-ce réservé à Splunk ou Elastic ?

Non. Splunk et Elastic sont les exemples principaux, mais la logique de détection sous-jacente repose sur les événements Windows Security. Si votre SIEM peut interroger les champs 4768, 4769 et 4771, vous pouvez adapter le skill detecting-pass-the-ticket-attacks à votre environnement.

Dois-je déjà très bien connaître Kerberos ?

Non, mais vous devez avoir une compréhension de base des journaux d’authentification des contrôleurs de domaine. Le skill reste accessible pour du hunting guidé, mais les résultats sont bien meilleurs si vous savez déjà où trouver TargetUserName, IpAddress, ServiceName et TicketEncryptionType.

Quand ne faut-il pas utiliser ce skill ?

Ne l’utilisez pas si vous avez seulement besoin d’une couverture large contre le vol d’identifiants, ou si vous n’avez pas d’audit de contrôleur de domaine. detecting-pass-the-ticket-attacks est volontairement étroit : il sert à l’investigation et à l’ingénierie de détection orientées PtT, pas à la supervision générale de la sécurité Windows.

En quoi est-ce différent d’un prompt classique ?

Un prompt classique vous donne souvent une requête ponctuelle. Le detecting-pass-the-ticket-attacks skill fournit une structure réutilisable : quelles preuves comptent, quels ID d’événements corréler, et comment transformer une idée de hunting en workflow de détection.

Comment améliorer le skill detecting-pass-the-ticket-attacks

Donnez des détails plus précis sur votre environnement

Le plus gros gain de qualité vient d’une description claire de votre contexte dès le départ : version de Windows, source des logs des DC, SIEM et noms de champs connus. Si vos données utilisent d’autres alias, indiquez-le avant de demander un résultat afin que le skill puisse mapper correctement IpAddress ou TicketEncryptionType.

Demandez une hypothèse à la fois

Un meilleur detecting-pass-the-ticket-attacks usage passe par des demandes ciblées. Séparez « RC4 downgrade detection », « cross-host reuse » et « TGS volume anomaly » en exécutions distinctes, pour obtenir des seuils plus serrés, des consignes de triage plus claires et moins d’hypothèses mélangées.

Donnez des exemples de comportement attendu et de comportement suspect

Si possible, fournissez un exemple d’événement normal et un exemple d’événement suspect issus de vos logs. Cela aide le skill à ajuster la logique de détection et réduit les faux positifs, surtout lorsque des comptes de service légitimes ou des systèmes hérités ressemblent à des indicateurs de PtT.

Itérez sur les seuils et sur la sortie de triage

Après un premier résultat, ajustez en fonction de votre niveau de bruit : demandez des seuils plus bas ou plus hauts, une version avec des explications orientées analyste, ou une version qui distingue la détection de l’investigation. Le meilleur detecting-pass-the-ticket-attacks guide est celui qui aboutit à des requêtes réellement déployables et ajustables.