Silver Ticket
Ein gefälschtes Kerberos-Dienstticket. Verschafft Zugriff auf einen einzelnen Dienst auf einem einzelnen Host — schreibt aber nie eine Zeile in die Logs des Domänencontrollers.
Der Unterschied zum Golden Ticket liegt darin, welcher Schlüssel verwendet wird. Letzteres fälscht Ticket-Granting-Tickets mit dem Hash des krbtgt-Kontos und verschafft damit Zugriff auf alles. Ein Silver Ticket wird stattdessen mit dem eigenen Hash des einzelnen Dienstkontos signiert, was ausreicht, weil der Dienst selbst das Ticket mit seinem eigenen Schlüssel prüft. Der Domänencontroller ist also nie beteiligt, weshalb es auch nirgendwo zentral ein Anmeldeereignis zu entdecken gibt. Das macht die Technik deutlich leiser als ihr goldenes Gegenstück — um den Preis der Reichweite. Nötig ist nur der Hash des Dienstkontos — oder eines Computerkontos, falls das Ziel Datei-Sharing ist. Die Gegenmaßnahmen heißen PAC-Validierung und regelmäßige Rotation der Maschinenkonto-Passwörter.