Kerberos 票据事件异常判读是什么
Windows 域的票据活动记录在域控安全日志里：4768 是票据授予请求，4769 是服务票据请求，4771 是预认证失败。同一账号短时间请求大量不同服务的服务票据、且加密类型降级为弱算法，常指向针对服务账号的离线破解类攻击。
基本信息
| 适用范围 | Active Directory 域控安全日志 |
|---|---|
| 关键事件 | 4768 票据授予、4769 服务票据、4771 预认证失败 |
| 关键字段 | 请求账号、服务主体名称、票据加密类型、来源地址 |
| 前提 | 需在域控上开启相应审核策略，否则事件不记录 |
典型使用场景
- 排查短时大量服务票据请求（离线破解类攻击的典型形态）
- 排查弱加密类型的票据请求
- 排查服务账号被用于异常登录
- 结合登录事件识别票据被实际使用的情况
- 建立服务票据正常基线，用于后续离群检测
筛查思路
筛查思路
1) 4769 按请求账号聚合，看短时高频的服务主体名称请求
2) 过滤票据加密类型为弱算法的请求（如 RC4 0x17）
3) 关联同账号的成功登录与来源地址
4) 对照该账号日常访问的服务，标出离群项
# 先建立正常票据基线，再判断离群请求事件读法
| 事件 | 含义 | 异常表现 |
|---|---|---|
| 4768 | 票据授予请求 | 非工作时段或陌生来源的批量请求 |
| 4769 | 服务票据请求 | 同一账号短时请求大量不同服务 |
| 4771 | 预认证失败 | 密集失败提示口令猜测行为 |
| 加密类型字段 | 票据使用的加密算法 | 出现降级为弱算法的请求 |
业务系统本身也会批量请求服务票据（批处理任务、监控采集），必须先建立基线再判断离群，否则误报率很高。
域内多台域控各自记录，只查一台会漏掉落在其他域控上的请求；跨域环境还要考虑父子域之间的信任路径与跨域票据引用关系。