AD 기초

Active Directory(AD)는 Windows 네트워크에서 사용자, 컴퓨터, 리소스를 관리하기 위한 Microsoft의 디렉터리 서비스입니다. 중앙 집중식 인증과 권한 부여를 제공합니다.

거의 모든 기업이 AD를 사용하므로 주요 공격 대상이 됩니다. AD를 침해하면 조직 전체가 침해되는 경우가 많습니다.

도메인은 AD의 핵심 관리 경계입니다. 공유 데이터베이스와 보안 정책 아래 객체(사용자, 그룹, 컴퓨터)를 묶습니다.

각 도메인에는 corp.example.com과 같은 이름이 있습니다. 도메인 내 모든 인증은 도메인 컨트롤러가 처리합니다.

도메인 컨트롤러(DC)는 AD 도메인 서비스를 실행하는 서버입니다. 디렉터리 데이터베이스를 저장하고, 로그인을 인증하며, 정책을 적용합니다.

디렉터리 데이터베이스는 NTDS.dit 파일에 있습니다. 이 파일을 부트 키와 함께 탈취하면 공격자가 도메인의 모든 암호 해시를 추출할 수 있습니다.

트리는 연속된 네임스페이스를 공유하는 하나 이상의 도메인입니다. 포리스트는 하나 이상의 트리를 담는 최상위 컨테이너입니다.

AD에서 실제 보안 경계는 포리스트입니다. 하나의 포리스트 안에서는 트러스트 관계를 통해 도메인에 접근할 수 있습니다.

트러스트는 한 도메인의 사용자가 다른 도메인의 리소스에 접근할 수 있도록 하는 관계입니다. 트러스트에는 다음 유형이 있습니다.

• 단방향 또는 양방향: 액세스 방향을 정의합니다.
• 전이 또는 비전이: 트러스트가 다른 도메인으로 이어지는지를 나타냅니다.

잘못 구성된 트러스트는 공격자가 도메인과 포리스트 사이를 이동할 수 있게 합니다.

조직 구성 단위(OU)는 객체를 정리하고 관리를 위임하는 데 사용하는 컨테이너입니다.

그룹 정책 객체(GPO)는 OU, 도메인 또는 사이트에 구성 및 보안 설정을 적용합니다. GPO를 편집할 수 있는 공격자는 악성 설정이나 스크립트를 여러 컴퓨터에 한 번에 배포할 수 있습니다.

AD는 Kerberos를 기본 인증 프로토콜로 사용합니다. 클라이언트는 암호를 전송하는 대신 DC에서 실행되는 키 배포 센터(KDC)가 발급한 티켓을 교환합니다.

사용자는 먼저 티켓 발급 티켓(TGT)을 받은 다음 이를 사용하여 서비스 티켓을 요청합니다. 많은 AD 공격이 이 티켓 시스템을 악용합니다.

AD는 LDAP(경량 디렉터리 액세스 프로토콜)를 통해 디렉터리를 공개합니다. 인증된 사용자는 사용자, 그룹, 컴퓨터 및 해당 특성과 같은 방대한 정보를 조회할 수 있습니다.

따라서 낮은 권한의 도메인 계정도 가치가 있습니다. 이 계정으로 전체 디렉터리를 열거하여 더 높은 권한으로 이어지는 경로를 찾을 수 있습니다.

모든 도메인에서 다음과 같은 특정 그룹은 가장 중요한 자산입니다.

• 도메인 관리자: 도메인을 완전히 제어합니다.
• 엔터프라이즈 관리자: 전체 포리스트를 제어합니다.
• 스키마 관리자: AD 스키마를 수정할 수 있습니다.

AD에서 권한 상승은 대개 이러한 그룹 중 하나에 들어갈 경로를 찾는 것을 의미합니다.

서비스 사용자 이름(SPN)은 계정에 연결된 서비스 인스턴스를 고유하게 식별합니다. Kerberos는 SPN을 사용하여 서비스 티켓을 발급합니다.

SPN이 있는 계정은 서비스 티켓을 요청하여 오프라인에서 해독할 수 있으므로 흥미로운 공격 대상입니다. 이를 케르베로스팅이라고 하며 다음에 학습합니다.

AD는 조직 전체의 ID를 중앙에서 관리하므로, 하나의 거점만 확보해도 전체 제어로 이어질 수 있습니다. 공격자는 낮은 권한의 액세스, 열거, 자격 증명 탈취를 연쇄적으로 사용하여 도메인 관리자에 도달합니다.

구조(도메인, 트러스트, Kerberos, LDAP, 권한 그룹)를 이해하면 공격자가 발견하기 전에 이러한 경로를 파악할 수 있습니다.

이제 Active Directory의 구성 요소를 알게 되었습니다.

• 도메인은 객체를 묶고, 도메인 컨트롤러는 인증을 수행하며 NTDS.dit 데이터베이스를 저장합니다.
• 포리스트는 보안 경계이고, 트러스트는 도메인 간 액세스를 가능하게 합니다.
• Kerberos와 LDAP는 인증과 열거를 담당합니다.
• 도메인 관리자와 SPN은 가치가 높은 공격 대상입니다.

다음에는 케르베로스팅으로 Kerberos를 직접 공격합니다.