detecting-pass-the-ticket-attacks

Visão geral da skill detecting-pass-the-ticket-attacks

O que a skill detecting-pass-the-ticket-attacks faz

A skill detecting-pass-the-ticket-attacks ajuda a detectar atividade de Kerberos Pass-the-Ticket (PtT) correlacionando eventos de Segurança do Windows 4768, 4769 e 4771. Ela é mais útil quando você precisa de lógica prática de threat hunting, e não de uma explicação genérica sobre Kerberos.

Quem deve instalar

Essa skill é indicada para analistas de SOC, detection engineers e responders a incidentes que atuam em domínios Windows com Splunk ou Elastic. Ela é especialmente relevante para detecting-pass-the-ticket-attacks for Threat Hunting quando você quer consultas reproduzíveis para reutilização de tickets, downgrades para RC4 e comportamento incomum de service tickets.

Por que ela é diferente

A skill é baseada em campos concretos de eventos e em padrões de detecção, em vez de teoria abstrata de ATT&CK. O valor real está em transformar logs ruidosos de controladores de domínio em sinais acionáveis que você pode operacionalizar em fluxos de trabalho de SIEM.

Como usar a skill detecting-pass-the-ticket-attacks

Instale e inspecione primeiro os arquivos certos

Use o fluxo detecting-pass-the-ticket-attacks install para a sua plataforma e, em seguida, leia primeiro SKILL.md, depois references/api-reference.md e scripts/agent.py. Esses dois arquivos de suporte mostram os campos de evento, os formatos de consulta e a lógica de parsing que realmente movem a skill.

Monte um prompt de entrada completo

Para obter o melhor detecting-pass-the-ticket-attacks usage, dê à skill quatro coisas: seu SIEM, sua fonte de logs, seu objetivo e suas restrições. Um bom prompt seria: “Use detecting-pass-the-ticket-attacks para caçar PtT nos logs de Security do Splunk em controladores de domínio, focando em downgrades RC4 no 4769 e reutilização de tickets entre hosts, e devolva uma query pronta para triagem com notas de falso positivo.”

Comece pelo padrão de detecção, não pelo dashboard

Essa skill funciona melhor quando você parte de uma das hipóteses suportadas: downgrade de criptografia para RC4, solicitações TGS repetidas a partir de múltiplos IPs ou volume anormal de 4769 por usuário. Depois, adapte a saída aos nomes dos seus índices, aos mapeamentos de campos e aos limiares de alerta, em vez de copiar os exemplos do repositório literalmente.

Use o repositório como guia de workflow

Se você quer o caminho mais curto pelo repo, siga esta ordem: SKILL.md para entender o escopo, references/api-reference.md para nomes de campos e exemplos de padrões em Splunk/KQL, e scripts/agent.py para ver como a lógica dos eventos é normalizada. Essa sequência leva você mais rápido de uma ideia inicial a uma lógica de hunting realmente utilizável.

FAQ da skill detecting-pass-the-ticket-attacks

Isso é só para Splunk ou Elastic?

Não. Splunk e Elastic são os exemplos principais, mas a lógica de detecção em si é orientada pelos eventos de Segurança do Windows. Se o seu SIEM consegue consultar os campos dos eventos 4768, 4769 e 4771, você pode adaptar a skill detecting-pass-the-ticket-attacks para ele.

Preciso ter conhecimento profundo de Kerberos antes?

Não, mas você precisa de uma familiaridade básica com logs de autenticação de controladores de domínio. A skill é amigável para iniciantes em hunting guiado, mas os resultados ficam bem melhores se você já souber onde encontrar TargetUserName, IpAddress, ServiceName e TicketEncryptionType.

Quando eu não devo usar essa skill?

Não use se você só precisa de cobertura ampla contra roubo de credenciais ou se não tiver auditoria de controladores de domínio. detecting-pass-the-ticket-attacks é estreita por design: ela serve para investigação e engineering de detecção voltadas a PtT, não para monitoramento geral de segurança no Windows.

Em que isso difere de um prompt normal?

Um prompt normal muitas vezes gera uma query isolada. A detecting-pass-the-ticket-attacks skill entrega uma estrutura reutilizável: quais evidências importam, quais Event IDs correlacionar e como transformar uma ideia de hunting em um fluxo de trabalho de detecção.

Como melhorar a skill detecting-pass-the-ticket-attacks

Forneça detalhes mais fortes do ambiente

O maior ganho de qualidade vem de especificar o ambiente logo de início: versão do Windows, fonte de logs do DC, SIEM e nomes de campos conhecidos. Se os seus dados usam aliases diferentes, diga isso antes de pedir a saída para que a skill consiga mapear IpAddress ou TicketEncryptionType corretamente.

Peça uma hipótese por vez

Um detecting-pass-the-ticket-attacks usage melhor vem de pedidos focados. Separe “detecção de downgrade RC4”, “reutilização entre hosts” e “anômala de volume de TGS” em execuções individuais para que a saída traga limites mais precisos, orientação de triagem mais clara e menos suposições misturadas.

Dê exemplos de comportamento esperado e comportamento ruim

Se puder, inclua um padrão de evento conhecido como bom e um padrão suspeito dos seus logs. Isso ajuda a skill a calibrar a lógica de detecção e reduz falsos positivos, especialmente quando contas de serviço legítimas ou sistemas legados se parecem com indicadores de PtT.

Itere nos limiares e na saída de triagem

Depois do primeiro resultado, refine de acordo com o seu nível de ruído: peça limiares mais baixos ou mais altos, uma versão com explicações amigáveis para analistas ou uma versão que diferencie detecção de investigação. O melhor detecting-pass-the-ticket-attacks guide é aquele que termina com queries que você realmente consegue implantar e ajustar.