Cyber Security Academy · 강의

Kerberos와 Kerberoasting

서비스 계정 티켓을 크래킹합니다.

Kerberos와 Kerberoasting은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 2번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

한눈에 보는 Kerberos

Kerberos는 티켓 기반 인증 프로토콜입니다. 클라이언트는 암호를 보내는 대신 모든 도메인 컨트롤러에서 실행되는 키 배포 센터(KDC)가 발급한 암호화 티켓을 제시합니다.

인증 서버(AS)는 티켓 발급 티켓(TGT)을 발급합니다.
티켓 발급 서버(TGS)는 서비스 티켓을 발급합니다.
서비스는 DC에 접속하지 않고 티켓을 검증합니다.

세 가지 교환

Kerberos에는 세 가지 메시지 교환이 있습니다. 이를 이해하면 공격이 어느 지점에 적용되는지 알 수 있습니다.

AS-REQ / AS-REP: 클라이언트가 자신의 신원을 증명하고(사전 인증) krbtgt 키로 암호화된 TGT를 받습니다.
TGS-REQ / TGS-REP: 클라이언트가 서비스 티켓(TGS)을 요청하기 위해 TGT를 제시합니다.
AP-REQ / AP-REP: 클라이언트가 서비스에 TGS를 제시합니다.

AS-REP 로스팅은 첫 번째 교환을 공격하고, 케르베로스팅은 두 번째 교환을 공격합니다.

서비스 주체 이름

서비스 주체 이름(SPN)은 서비스 인스턴스를 해당 서비스를 실행하는 계정에 연결합니다. SPN에 대한 TGS를 요청하면 결과 티켓의 일부가 서비스 계정의 암호 해시로 암호화됩니다.

이것이 케르베로스팅의 핵심입니다. 인증된 사용자는 누구나 서비스 계정에 대한 티켓을 요청한 다음, 오프라인에서 이를 크래킹하여 평문 암호를 복구할 수 있습니다.

# Find accounts with SPNs set
Get-DomainUser -SPN | select samaccountname,serviceprincipalname

케르베로스팅 과정

케르베로스팅은 TGS 요청이 정상적인 동작이기 때문에 흔적이 적습니다. 공격 단계는 다음과 같습니다.

SPN이 설정된 사용자 계정을 열거합니다.
해당 SPN에 대한 TGS 티켓을 요청합니다.
암호화된 티켓 데이터를 추출합니다.
단어 목록을 사용하여 오프라인에서 크래킹합니다. 크래킹 중에는 DC와 상호 작용할 필요가 없습니다.

# Rubeus: request and dump kerberoastable hashes
Rubeus.exe kerberoast /outfile:hashes.txt

# Impacket from Linux
GetUserSPNs.py domain/user:pass -dc-ip 10.0.0.10 -request

티켓 크래킹

수집된 티켓은 서비스 계정 암호를 키로 사용합니다. 오프라인 크래킹은 티켓을 올바르게 복호화하는 후보 암호가 나올 때까지 암호를 시도합니다.

서비스 계정은 약하고 한 번도 변경되지 않은 암호를 사용하는 경우가 많으므로 빠르게 크래킹될 수 있습니다.

# Hashcat mode 13100 = Kerberos 5 TGS-REP etype 23 (RC4)
hashcat -m 13100 hashes.txt rockyou.txt

# etype 18 (AES256) uses mode 19700
hashcat -m 19700 hashes_aes.txt rockyou.txt

암호화 유형의 중요성

티켓에 사용된 암호화 방식은 크래킹 속도에 영향을 줍니다.

RC4(etype 23)는 빠르게 크래킹할 수 있으며, 여전히 허용되고 있다면 위험 신호입니다.
AES(etype 17/18)는 무차별 대입에 훨씬 더 오랜 시간이 걸립니다.
공격자는 /tgtdeleg 또는 msDS-SupportedEncryptionTypes 악용을 통해 요청을 RC4로 다운그레이드할 수 있습니다.

방어자는 도메인 전체에서 RC4를 비활성화하고 AES를 강제해야 합니다.

AS-REP 로스팅

이와 관련된 공격은 Kerberos 사전 인증이 비활성화된 계정(DONT_REQ_PREAUTH)을 대상으로 합니다. 사전 인증이 없으면 AS-REP에 사용자의 암호 해시로 암호화된 데이터가 포함되며, 어떤 자격 증명도 없이 이를 얻을 수 있습니다.

# Rubeus AS-REP roast
Rubeus.exe asreproast /format:hashcat /outfile:asrep.txt

# Hashcat mode 18200
hashcat -m 18200 asrep.txt rockyou.txt

왜 이렇게 자주 성공하는가

케르베로스팅이 성공하는 이유는 프로토콜의 결함이 아니라 구조적 약점 때문입니다.

설계상 인증된 보안 주체는 누구나 모든 서비스 티켓을 요청할 수 있습니다.
서비스 계정은 약한 암호로 한 번 설정된 후 변경되지 않는 경우가 많습니다.
많은 서비스 계정이 높은 권한으로 실행됩니다. 예를 들어 SQL 서비스 계정이 도메인 관리자 그룹에 속할 수 있습니다.
크래킹은 완전히 오프라인에서 수행되므로 계정 잠금이 발생하지 않습니다.

탐지 전략

방어자는 TGS 요청 기록을 분석하여 로스팅 공격을 탐지할 수 있습니다.

이벤트 4769에서 RC4(0x17) 티켓 요청을 모니터링하십시오. 특히 한 계정에서 짧은 시간에 요청이 몰리는 경우를 주의해야 합니다.
하나의 보안 주체가 짧은 시간에 서로 다른 여러 SPN을 요청하면 경고를 생성하십시오.
정상적인 서비스가 사용하지 않는 허니팟 SPN 계정을 배포하십시오. 이러한 계정에 대한 요청은 악성입니다.

서비스 계정 강화

근본적인 해결 방법은 티켓을 크래킹 가능하게 만드는 조건을 제거하는 것입니다.

그룹 관리 서비스 계정(gMSA)을 사용하고 120자 이상의 암호가 자동으로 변경되도록 하십시오.
남아 있는 기존 서비스 계정에는 길고 복잡한 암호를 적용하십시오.
RC4를 비활성화하고 AES 암호화 유형을 요구하십시오.
불필요한 SPN을 제거하고 계정에 최소 권한을 적용하십시오.

윤리적으로 행동하기

승인된 보안 점검 중에는 격리된 환경에서 티켓을 크래킹하고, 평문 자격 증명을 점검 범위 밖으로 반출하지 마십시오. 어떤 계정이 해독되었는지와 해독에 걸린 시간을 보고하여 고객이 gMSA로의 이전 우선순위를 정할 수 있도록 하십시오.

크래킹된 비밀번호는 민감한 정보로 취급하십시오. 암호화하여 저장하고 보고가 끝난 후 완전히 삭제하십시오.

간단 확인

Kerberoasting 작동 원리에 대한 이해를 확인하십시오.

복습

Kerberos가 티켓을 발급하는 방식과 그 메커니즘이 악용되는 방식을 배웠습니다.

SPN 티켓은 서비스 계정 해시로 암호화되므로 오프라인에서 해독할 수 있습니다.
RC4 티켓은 빠르게 해독되며, AES와 gMSA가 방어 수단입니다.
사전 인증이 비활성화되어 있으면 AS-REP 로스팅에 자격 증명이 필요하지 않습니다.
허니팟 SPN과 4769 RC4 모니터링으로 이 공격을 포착할 수 있습니다.

다음에는 탈취한 자격 증명을 해시 전달과 티켓 전달에 재사용하는 방법을 다룹니다.

자주 묻는 질문

“Kerberos와 Kerberoasting” 강의는 무료인가요?

네 — “Kerberos와 Kerberoasting” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“Kerberos와 Kerberoasting”에서 뭘 배우나요?

서비스 계정 티켓을 크래킹합니다. 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 2번째 강의입니다.

“Kerberos와 Kerberoasting” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Cyber Security Academy(으)로 돌아가기