Cyber Security Academy · 강의

Windows 인증: NTLM과 Kerberos

NTLM 챌린지-응답과 Kerberos 티켓 발급이 작동하는 방식을 이해합니다.

레슨 1/413개 단계

Windows 인증: NTLM과 Kerberos은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 1번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

Windows 인증 개요

Windows는 두 가지 주요 인증 프로토콜을 사용합니다: NTLM(구형, 도전-응답 방식)과 Kerberos(최신, 티켓 기반 방식)입니다. 두 프로토콜을 이해하는 것은 Active Directory 공격과 방어에 필수적입니다.

NTLM 도전-응답

NTLM은 Negotiate, Challenge, Authenticate라는 세 개의 메시지로 작동합니다. 클라이언트는 사용자의 비밀번호와 서버의 무작위 도전값을 사용하여 해시를 계산합니다. 평문 비밀번호가 아니라 해시가 전송됩니다.

# NTLM flow:
# 1. Client sends: NEGOTIATE
# 2. Server sends: CHALLENGE (8-byte nonce)
# 3. Client sends: NT hash of (password + nonce)
#
# The NT hash = MD4(UTF-16LE(password))

Pass-the-Hash 공격 경로

NTLM은 해시로 인증하므로 해시를 훔치면 평문 비밀번호를 몰라도 인증할 수 있습니다. 이것이 Pass-the-Hash 공격의 핵심이며, 해시 자체가 IS 자격 증명입니다.

Kerberos 개요

Kerberos는 신뢰할 수 있는 제3자인 KDC(키 배포 센터)를 사용하여 티켓을 발급합니다. 상호 인증을 제공하며 최초 TGT 발급 후에는 네트워크를 통해 자격 증명을 전송하지 않아도 됩니다.

# Kerberos components:
# KDC: Key Distribution Center (domain controller)
# AS: Authentication Service (issues TGTs)
# TGS: Ticket Granting Service (issues service tickets)
# TGT: Ticket Granting Ticket (proves identity)
# ST: Service Ticket (grants access to a service)

Kerberos 인증 흐름

1. 클라이언트가 AS에 AS-REQ(암호 해시로 암호화됨)를 보냅니다. 2. AS가 krbtgt 키로 암호화된 TGT를 반환합니다. 3. 클라이언트가 서비스 티켓을 요청하며 TGT를 TGS에 제시합니다. 4. 클라이언트가 대상 서비스에 서비스 티켓을 제시합니다.

주요 Kerberos 티켓

TGT(티켓 부여 티켓): KDC에 자신의 신원을 증명하며 약 10시간 동안 유효합니다. 서비스 티켓: 특정 서비스에 대한 액세스 권한을 부여합니다. 두 티켓 모두 클라이언트가 읽을 수 없는 키로 암호화됩니다.

# View tickets on Windows:
klist

# View on Linux (with Kerberos client)
klist -v

# Request a TGT:
kinit username@DOMAIN.COM

NTLM과 Kerberos: 보안 비교

Kerberos가 선호됩니다. 상호 인증을 지원하고, 평문 전송을 피하며, 릴레이가 더 어렵기 때문입니다. Kerberos가 실패하면 NTLM으로 대체됩니다(예: IP 주소로 액세스하거나 도메인에 속하지 않은 호스트를 사용하는 경우). 공격자는 NTLM 대체를 강제로 유도해 해시를 캡처합니다.

NTLM 릴레이 공격

NTLM 릴레이는 NTLM 인증 시도를 가로채 다른 서비스로 전달합니다. 이를 통해 공격자는 피해자의 암호를 몰라도 피해자로 인증할 수 있습니다. Responder가 캡처하고 ntlmrelayx가 릴레이합니다.

# Capture NTLM hashes with Responder
responder -I eth0 -rdwv

# Relay with ntlmrelayx
ntlmrelayx.py -tf targets.txt -smb2support

Kerberos 사전 인증

사전 인증을 사용하면 클라이언트는 TGT를 받기 전에 자신의 암호 해시로 타임스탬프를 암호화해야 합니다. 사전 인증이 필요하지 않은 계정은 AS-REP 로스팅에 취약합니다. 이러한 계정의 TGT는 요청한 후 오프라인에서 크래킹할 수 있습니다.

골든 티켓과 실버 티켓

골든 티켓: krbtgt 해시로 서명한 위조 TGT로, 모든 항목에 대한 액세스 권한을 부여합니다. 실버 티켓: 특정 서비스를 위한 위조 서비스 티켓으로, 더 은밀하며 KDC에 접촉하지 않습니다.

Windows 인증 강화

가능한 경우 NTLM을 비활성화하고, 릴레이를 방지하도록 SMB 서명을 강제하며, 모든 계정에 사전 인증을 요구해야 합니다. 또한 비정상적인 티켓 요청(Event ID 4768, 4769)을 모니터링하고 krbtgt 계정을 보호해야 합니다.

빠른 확인

Kerberos TGT는 무엇을 가능하게 합니까?

인터랙티브 레슨에서 답해보세요

요약: NTLM과 Kerberos

NTLM은 해시 기반의 시도-응답 방식으로 인증하므로 릴레이와 패스 더 해시에 취약합니다. Kerberos는 신뢰할 수 있는 KDC가 발급한 티켓을 사용하므로 더 강력하지만, KDC가 손상되면 Kerberoasting, AS-REP 로스팅, 골든 티켓 및 실버 티켓 공격에 취약합니다. 두 프로토콜을 모두 이해해야 Active Directory 공격 경로를 파악하고 이에 맞는 보안 강화를 적용할 수 있습니다.

무료로 시작

AI 튜터와 함께 Cyber Security Academy을(를) 배우세요 — 무료

브라우저에서 실제 코드를 작성하고 실행하며, 24/7 AI 튜터로부터 즉각적인 도움을 받고, 웹이나 앱에서 중단한 부분부터 계속 학습하세요.

코스: 76
레슨: 303

무료로 학습 시작 전체 코스 보기

자주 묻는 질문

“Windows 인증: NTLM과 Kerberos” 강의는 무료인가요?

네 — “Windows 인증: NTLM과 Kerberos” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.

“Windows 인증: NTLM과 Kerberos”에서 뭘 배우나요?

NTLM 챌린지-응답과 Kerberos 티켓 발급이 작동하는 방식을 이해합니다. 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 1번째 강의입니다.

“Windows 인증: NTLM과 Kerberos” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← Cyber Security Academy(으)로 돌아가기