Windows 인증

Windows 인증은 접근 권한을 부여하기 전에 사용자가 누구인지 확인합니다. 도메인에서는 클라이언트와 도메인 컨트롤러 사이에서 이 과정이 지속적으로 발생합니다.

주요 프로토콜은 NTLM(이전 방식, 시도-응답)과 Kerberos(현대 방식, 티켓 기반)입니다. 둘 다 공격자의 주요 표적입니다.

Windows는 로컬 계정의 평문 암호를 저장하지 않고 SAM 데이터베이스에 해시를 저장합니다. 핵심 형식은 NT 해시(암호의 MD4 해시)입니다.

공격자가 이 해시를 덤프하면 오프라인에서 해독하거나 직접 재사용할 수 있습니다.

NTLM은 암호를 전송하지 않고 인증합니다.

• 서버가 무작위 시도 값을 보냅니다.
• 클라이언트가 NT 해시로 이를 암호화해 응답합니다.
• 서버(또는 DC)가 응답을 확인합니다.

호환성을 위해 많은 네트워크에서 여전히 활성화되어 있지만, 오래된 방식입니다.

NTLM은 평문이 아닌 해시로 인증하므로, 공격자가 해시를 훔치면 해시를 해독하지 않고도 인증할 수 있습니다.

이를 Pass-the-Hash (PtH)라고 하며, NTLM을 대상으로 하는 강력한 측면 이동 기법입니다.

Kerberos는 Active Directory의 기본 인증 방식입니다. 도메인 컨트롤러의 신뢰할 수 있는 키 배포 센터(KDC)와 제한된 유효 시간을 가진 티켓을 사용하므로 자격 증명을 반복해서 전송하지 않습니다.

Kerberos의 흐름은 다음과 같습니다.

• 사용자가 인증하고 티켓 부여 티켓(TGT)을 받습니다.
• 서비스를 사용하기 위해 클라이언트가 TGT를 제시하고 서비스 티켓(TGS)을 받습니다.
• 서비스가 티켓을 검증하므로 암호는 전송되지 않습니다.

Kerberoasting은 서비스를 실행하는 계정(SPN)에 서비스 티켓을 요청합니다. 이 티켓은 서비스 계정의 암호 해시로 암호화됩니다.

공격자는 티켓을 추출한 다음 오프라인에서 크래킹하여 서비스 계정의 암호를 알아냅니다.

Kerberos 티켓은 탈취한 후 재사용할 수도 있습니다(티켓 통과). 더 심각한 경우 공격자가 krbtgt 계정의 해시를 탈취하면 골든 티켓을 위조할 수 있습니다. 이는 도메인 전체에 대한 접근 권한을 부여하는 직접 만든 TGT입니다.

많은 공격은 침해된 호스트에서 자격 증명을 추출하는 것부터 시작됩니다. 도구는 lsass.exe 메모리나 SAM/SECURITY 하이브에서 해시와 티켓을 덤프합니다.

Mimikatz가 가장 잘 알려진 도구이며, secretsdump는 원격에서 사용하는 일반적인 대안입니다.

방어자는 다음과 같은 방법으로 이러한 위험을 줄입니다.

• 가능한 경우 NTLM을 비활성화합니다.
• 서비스 계정에 강력하고 긴 암호를 적용합니다.
• lsass를 보호합니다(Credential Guard, PPL).
• krbtgt 키를 교체하고 관리자 계정의 재사용을 제한합니다.

세션에서 현재 인증 컨텍스트와 캐시된 Kerberos 티켓을 검사할 수 있습니다.

Windows가 인증되고 공격받는 방식을 학습했습니다.

• SAM의 NT 해시를 사용하면 오프라인 크래킹과 해시 통과가 가능해집니다.
• Kerberos는 KDC, TGT, 서비스 티켓을 사용합니다.
• Kerberoasting, 티켓 통과, 골든 티켓은 Kerberos를 악용합니다.
• 강화: NTLM 비활성화, lsass 보호, 강력한 서비스 암호 사용.

다음 주제: 공격용 PowerShell.