Active Directory 인증 공격의 이해 — Pass-the-Hash와 Golden Ticket, 그리고 방어 체계

이전 글에서 AD와 DC의 구조, 그리고 이기종 OS 연동까지 살펴봤다.

요점은 AD가 전사 인증 권한이 DC 한 지점에 집중된 핵심 자산이며, DC가 Windows 인증 스택 위에 서 있다는 것이었다.

이번 글에서는 바로 그 집중된 권한을 탈취하려는 공격자가 사용하는 대표적인 두 기법, Pass-the-Hash(PtH)와 Golden Ticket을 알아본다.

두 공격 모두 인증 메커니즘 자체의 설계 특성을 파고든다는 공통점을 갖는다.

 

먼저 보안 관점에서 방어 우선순위를 짚어본다면, AD는 전사적 시스템 권한이 집중된 자산이므로, 인프라 보안 관점에서는 DC 자체의 네트워크 격리, 철저한 방화벽 설정, 계정 권한 관리가 가장 우선적인 방어 과제가 된다.

1. Pass-the-Hash(PtH) 공격

1️⃣ NTLM 해시와 인증 원리

사용자는 로그인 시 평문(Plain-text) 비밀번호를 입력하지만, Windows는 이를 그대로 저장하지 않고 암호화된 해시(주로 NTLM 해시) 형태로 메모리에 보관하여 인증에 사용한다.

여기서 핵심은 인증 과정 자체가 평문이 아니라 해시 값을 기준으로 수행된다는 점이다.

Pass-the-Hash는 이 허점을 파고든다.

공격자가 평문 비밀번호를 알아내기 위해 해시를 크랙하는 과정을 생략하고, 탈취한 해시 값 자체를 인증 수단으로 그대로(Pass) 전달하여 로그인하는 기법이다.

2️⃣ 공격 원리

공격자는 먼저 대상 PC의 관리자 권한을 탈취한 뒤, Windows의 로컬 보안 인증 하위 시스템인 LSASS(Local Security Authority Subsystem Service) 메모리에 접근하여 다른 사용자의 NTLM 해시를 추출한다.

이 해시를 이용해 네트워크상의 다른 PC나 서버로 횡적 이동(Lateral Movement)을 수행한다.

3️⃣ 위험성

비밀번호가 아무리 복잡해도 해시 자체를 사용하므로 무용지물이 된다.

도메인 관리자(Domain Admin)가 일반 PC에 로그인한 흔적이 남아 있다면, 해당 PC를 장악한 공격자가 관리자 해시를 탈취해 즉시 AD 전체를 장악할 수 있다.

4️⃣ 방어 체계

🔵 LSA 보호 활성화(RunAsPPL) — LSASS 프로세스에 대한 접근을 제한하여 메모리 덤프나 해시 추출 도구(예: Mimikatz)의 실행을 차단한다.

🔵 Windows Defender Credential Guard — 가상화 기반 보안(VBS)을 사용하여 NTLM 해시와 Kerberos 티켓을 메모리의 격리된 영역에 저장함으로써 탈취를 원천적으로 방지한다.

🔵 관리자 계정의 제한적 사용(Tiered Administration) — 도메인 관리자(Tier 0) 계정은 서버나 일반 PC(Tier 1, 2)에 직접 로그인하지 못하도록 제한한다. 이렇게 하면 하위 계층 PC가 장악되더라도 상위 계층 해시가 메모리에 노출되지 않는다.

2. Golden Ticket 공격

1️⃣ Kerberos 인증 원리와 krbtgt

AD 환경의 기본 인증 프로토콜인 Kerberos의 취약점을 극대화한 공격으로, 도메인 내의 모든 서비스에 무임승차할 수 있는 만능 티켓을 스스로 발급한다.

Kerberos 인증에서 Domain Controller(KDC 역할)는 사용자에게 TGT(Ticket Granting Ticket)라는 신분증을 발급한다.

이 TGT를 암호화하고 서명하는 데 사용되는 마스터 키가 바로 AD의 내장 계정인 krbtgt 계정의 NTLM 해시다.

즉, krbtgt 해시는 도메인 전체 인증 신뢰의 뿌리에 해당한다.

정상적인 Kerberos 인증과 Golden Ticket 위조 과정을 시퀀스로 비교하면 다음과 같다.

 

2️⃣ 공격 원리

공격자가 DC를 한 번 장악하여 krbtgt 해시를 탈취하면, DC의 허락 없이도 공격자 스스로 TGT를 무제한으로 위조할 수 있다.

위 시퀀스의 정상 흐름 ②단계에서는 DC가 발급 주체였지만, 공격 흐름에서는 발급 주체가 사라지고 공격자가 직접 서명한다는 점이 결정적 차이다.

3️⃣ 위험성

일반 사용자를 도메인 최고 관리자로 위장시킬 수 있으며, 비밀번호 변경이나 스마트카드 인증도 우회한다.

심지어 원래 탈취했던 관리자 계정이 삭제되거나 비밀번호가 바뀌어도, 위조된 티켓의 수명(보통 10년 이상으로 설정) 동안 계속해서 AD를 통제할 수 있다.

4️⃣ 방어 체계

🔵 krbtgt 계정 비밀번호 주기적 변경

골든 티켓을 무효화하는 가장 확실한 방법이다.

위조된 티켓은 탈취 당시의 krbtgt 해시로 서명되어 있으므로, 비밀번호를 변경하면 이전 해시로 만든 골든 티켓은 모두 쓸모없어진다.

이전 비밀번호 이력까지 완전히 폐기하기 위해 보통 2회 연속 변경을 권장한다.

🔵 DC 물리적·논리적 격리

애초에 krbtgt 해시가 유출되지 않도록 DC 접근을 극도로 제한한다.

네트워크 격리와 엄격한 방화벽 룰 적용이 핵심이다.

🔵 이상 징후 모니터링(SIEM)

존재하지 않는 계정으로 TGT가 요청되거나, 티켓 수명이 기본 정책(일반적으로 10시간)보다 비정상적으로 긴 경우를 탐지한다. Windows Event ID 4769 등을 모니터링 대상으로 삼는다.

3. 정리

Pass-the-Hash는 인증이 해시 값 기준으로 이뤄진다는 점을, Golden Ticket은 krbtgt 해시가 도메인 신뢰의 뿌리라는 점을 각각 파고든다.

표면적으로는 서로 다른 공격이지만, 두 공격 모두 DC 및 상위 권한 계정의 격리가 방어의 출발점이라는 공통점을 갖는다.

복잡한 비밀번호나 개별 PC 보안만으로는 이러한 공격을 막을 수 없다.

계층형 관리(Tiered Administration)로 상위 권한 계정을 하위 계층에서 격리하고, 자격 증명 격리(Credential Guard)로 메모리상의 해시·티켓 탈취를 차단하며, krbtgt 주기적 갱신으로 위조 티켓을 무효화하고, 이벤트 기반 모니터링으로 이상 징후를 조기에 탐지하는 조치가 종합적으로 이루어질 때 비로소 실효적인 방어 체계가 완성된다.

AD의 이기종 연동을 아무리 넓게 확장하더라도, 방어의 최우선 대상은 여전히 이 모든 인증의 뿌리인 DC라는 점은 변하지 않는다.