Kerberos 공격 기법: Kerberoasting과 Golden Ticket

Kerberoasting은 공격자가 SPN으로 등록된 계정(서비스 계정)에 대한 Kerberos 서비스 티켓을 요청한 다음, 해당 티켓의 암호화된 부분을 추출하여 오프라인에서 해독하는 공격입니다. 모든 도메인 사용자는 모든 SPN에 대한 서비스 티켓을 요청할 수 있으므로, 초기 추출을 수행하는 데 특별한 권한이 필요하지 않습니다.

서비스 계정 암호는 관리자가 설정하고 거의 변경하지 않으므로, 몇 년 또는 무기한으로 유지되는 경우도 있습니다. 많은 조직은 서비스 계정에 강력한 무작위 문자열 대신 사람이 기억하기 쉬운 약한 암호를 사용합니다. 따라서 Kerberoasting은 매우 효과적이며, 서비스 티켓을 오프라인에서 해독하면 몇 시간 또는 며칠 안에 성공하는 경우가 많습니다.

티켓 전달(PtT) 공격은 손상된 시스템의 메모리에서 Kerberos 티켓을 훔쳐 다른 세션에 주입하는 방식으로 이루어집니다. Kerberos 티켓은 보유자 토큰이므로 어디에서 사용하든 유효 기간 동안 유효합니다. 따라서 훔친 티켓을 사용하면 계정 암호를 몰라도 서비스에 액세스할 수 있습니다.

Mimikatz는 Windows LSASS(로컬 보안 기관 하위 시스템 서비스) 프로세스의 메모리에서 Kerberos 티켓, NTLM 해시 및 기타 자격 증명을 추출할 수 있는 오픈 소스 도구입니다. sekurlsa::tickets 명령은 캐시된 모든 Kerberos 티켓을 추출하므로, 손상된 워크스테이션에서 티켓 전달 공격을 수행할 수 있습니다.

골든 티켓은 krbtgt 계정의 암호 해시를 사용해 만든 위조 TGT입니다. 공격자는 krbtgt 해시(DCSync 공격 또는 도메인 컨트롤러 손상으로 획득)를 사용하여 모든 사용자에 대해 원하는 그룹 소속과 유효 기간을 가진 TGT를 위조할 수 있습니다. 이를 통해 암호를 재설정한 후에도 도메인 전체에 지속적으로 액세스할 수 있습니다.

실버 티켓은 서비스 계정의 암호 해시를 사용해 만든 위조 서비스 티켓입니다. 골든 티켓과 달리 실버 티켓에는 krbtgt 해시가 필요하지 않으며, 사용 중 KDC의 검증도 받지 않습니다. 실버 티켓은 하나의 서비스로 제한되지만 KDC 트래픽을 전혀 생성하지 않으므로 탐지하기가 더 어렵습니다.

AS-REP 로스팅은 "Kerberos 사전 인증을 요구하지 않음"이 활성화된 계정을 대상으로 합니다. 사전 인증이 없으면 공격자는 누구나 해당 계정에 대한 AS-REP를 요청하여 암호화된 TGT 부분을 받을 수 있으며, 이를 오프라인에서 해독할 수 있습니다. 이 플래그가 설정된 계정은 일반적으로 서비스 계정이거나 레거시 호환성 구성입니다.

스켈레톤 키 악성 코드는 도메인 컨트롤러의 메모리에서 KDC 프로세스를 패치하여, 모든 계정에서 작동하는 범용 "스켈레톤" 암호를 주입합니다. 이때 사용자의 정상 암호도 계속 정상적으로 작동합니다. 이 공격을 배포하려면 도메인 관리자 액세스가 필요하지만, 대부분의 탐지 방법을 우회하는 지속적인 백도어가 생성됩니다.

Windows 이벤트 ID 4769(Kerberos 서비스 티켓 요청)에서 RC4 암호화 유형(0x17)이 사용되면 Kerberoasting을 나타냅니다. 정상적인 최신 클라이언트는 AES를 사용하기 때문입니다. 사전 인증이 없는 이벤트 ID 4768은 AS-REP 로스팅 대상이 있음을 나타냅니다. 정기적으로 액세스하지 않는 계정에 대한 비정상적인 티켓 요청도 잠재적인 티켓 전달 활동의 신호입니다.

그룹 관리형 서비스 계정(gMSAs)은 Kerberoasting에 대한 기본적인 방어 수단입니다. gMSAs는 Active Directory가 30일마다 자동으로 교체하는 240자 길이의 무작위 생성 암호를 사용합니다. 이러한 암호는 교체 주기 안에 암호학적으로 해독할 수 없으므로, gMSAs를 대상으로 한 Kerberoasting 공격은 효과가 없습니다.

Protected Users 보안 그룹은 구성원에게 엄격한 Kerberos 정책을 적용합니다. NTLM 인증 금지, RC4 암호화 금지, 자격 증명 위임 금지, 최소 4시간의 TGT 유효 기간이 이에 포함됩니다. 민감한 계정(임원, 관리자)을 Protected Users에 추가하면 자격 증명 탈취와 티켓 기반 공격에 대한 공격 표면을 크게 줄일 수 있습니다.

Kerberoasting은 취약한 서비스 계정 암호를 사용하여 서비스 티켓을 오프라인에서 해독합니다. 티켓 전달은 메모리에서 훔친 티켓을 재사용합니다. 골든 티켓은 krbtgt 해시를 사용하여 TGT를 위조합니다. 실버 티켓은 KDC의 검증 없이 서비스 티켓을 위조합니다. AS-REP 로스팅은 사전 인증이 없는 계정을 대상으로 합니다. 방어 수단으로는 gMSAs(Kerberoasting에 취약하지 않음), Protected Users 그룹, AES 전용 암호화 강제, 이벤트 ID 4769 모니터링이 있습니다.