Active Directory 보안 평가 – 쉬운 입문 가이드 101
평가와 공격 경로 분석으로 Active Directory 보안의 가시성을 높이고 취약점, 잘못된 구성, 잠재적 공격 벡터를 식별하세요. 선제적으로 문제를 해결하고 고도화된 위협에 대한 조직의 방어력을 강화하는 방법을 알아보세요.
Active Directory (AD)는 ID 중심 공격을 감행하는 공격자들의 주요 표적이 되었습니다. 다행히 기업 보안 팀은 다양한 도구로 Active Directory 환경을 더 명확하게 파악하고 발견한 취약점을 해결할 수 있습니다.
분석가들이 널리 사용하는 도구 중 하나는 공격 경로 그래프입니다. 공격자가 일반 사용자에서 시작해 Domain Admin처럼 높은 권한을 가진 계정까지 권한을 상승시키는 데 사용할 수 있는 경로를 보여줍니다.
이러한 시각화는 유용하지만, 취약점을 해결하고 모범 사례를 따르도록 안내하는 Active Directory 평가 도구를 대체할 수는 없습니다. 그 차이를 보여드리기 위해 이 글에서는 기업에서 흔히 발생하는 두 가지 예시 시나리오를 통해 두 접근 방식을 비교하겠습니다.
사례 연구: 기본적인 권한 상승
첫 번째 시나리오에서는 간단한 공격 경로를 살펴보고, 동일한 문제에 대한 AD 보안 평가 결과와 비교하겠습니다.
첫 번째 예시에서 침해된 일반 사용자 ‘Bob’은 대규모 Engineering 그룹의 구성원이며, 이 그룹은 CAD Tools 그룹에 속합니다. 구성과 권한 분리가 미흡해 CAD Tools 그룹은 Service Installers 그룹에도 속하고, Service Installers 그룹은 Domain Admins 그룹에 속합니다.
Bob에게는 일반 사용자 권한만 있어야 하지만, 이러한 중첩 관계 때문에 Bob의 계정을 침해한 공격자는 Domain Admin 권한을 얻을 수 있습니다.
이제 AD 보안 평가 도구가 이런 상황에서 어떤 맥락 정보를 제공하는지 살펴보겠습니다. 관리자가 이 정보를 활용해 문제를 해결하고 재발을 방지하는 방법도 알아보겠습니다.
AD 보안 평가 도구는 다음 정보를 제공합니다:
- 권한 있는 액세스 권한을 보유한 모든 사용자 목록. 여기에는 모든 권한 그룹에 중첩된 그룹의 구성원이 포함됩니다.
- 권한 그룹에 중첩되어 있어 제거해야 할 그룹 목록. 관리자가 문제를 해결할 때 바로 확인해야 할 정보입니다.
- 권한 그룹에 다른 그룹을 중첩하지 않는 모범 사례. 이를 통해 권한이 의도치 않게 부여될 수 있는 지점을 없앱니다. 관리자가 문제를 예방하는 데 필요한 지침입니다.
가장 중요한 것은 두 번째와 세 번째 항목입니다. Service Installers 그룹을 Domain Admins 그룹에서 제거하고 다른 중첩 그룹도 제거하면, 침해된 일반 사용자 계정은 더 이상 Domain Admin 권한을 갖지 않습니다. 취약점을 해결하고 모범 사례를 따르면 관리자가 그래프를 검토하며 어떤 그룹 멤버십을 제거할지 판단할 필요가 없어집니다. 사실상 그래프가 불필요해지는 것입니다.
사례 연구: 자격 증명 크래킹
또 다른 간단한 공격 경로를 살펴보겠습니다.
위 공격 경로에서는 사용자의 컴퓨터(COMPUTER 1)가 침해되었습니다. 공격자는 이 컴퓨터의 로컬 관리자 계정 자격 증명을 크래킹합니다. 그런 다음 동일한 자격 증명으로 관리하기 쉽게 잘못 구성된 다른 컴퓨터(COMPUTER 2)에 해당 로컬 관리자 계정의 비밀번호로 로그인합니다. COMPUTER2에서는 Domain Admin 계정의 해시를 크래킹해 권한을 상승시킵니다.
Active Directory 보안 평가 도구는 분석가에게 다음 정보를 전달해 이 위험을 신속하게 완화할 수 있습니다:
- Active Directory에서 LAPS(Local Administrator Password Solution) 구성이 감지되지 않았습니다. LAPS가 구성되어 있었다면 공격자가 동일한 로컬 관리자 비밀번호로 COMPUTER1에서 COMPUTER2로 이동하는 것을 막을 수 있었습니다. 모든 로컬 관리자 계정에 서로 다른 비밀번호를 설정하고 주기적으로 변경하는 것이 모범 사례입니다. LAPS는 이 요건을 충족합니다.
- Domain Admin 계정으로 과거에 워크스테이션에 로그인한 기록이 있습니다, 이때 공격자가 사용할 수 있는 해시가 남았습니다. 여기서 권장하는 모범 사례는 Domain Admin 계정을 도메인 컨트롤러 로그인에만 사용하고, 워크스테이션과 멤버 서버에 남은 모든 해시를 삭제하는 것입니다.
관리자는 AD 보안 평가 도구가 제시하는 완화 조치와 모범 사례를 따르면 잠재적인 공격 경로를 없애고, 공격자가 이러한 잘못된 구성과 취약점을 악용하지 못하도록 막을 수 있습니다.
공격 경로가 놓치는 Active Directory 위험
공격 경로는 알려진 공격을 보여주도록 구성됩니다. 반면 취약점을 해결하면 이러한 공격은 물론, 알려지지 않은 공격 벡터까지 차단하는 경우가 많습니다. 따라서 취약점을 제거하고 모범 사례를 따르는 것이 더 중요합니다.
공격 경로가 보여주는 그림은 실제 Active Directory 보안 상태를 완전하게 담지 못합니다. 조직이 어떻게 공격에 노출될 수 있는지 보여주는 그래프보다, AD 인프라가 현재는 물론 앞으로도 노출되지 않도록 관리하는 도구가 더 효과적입니다.
다음 공격은 복잡한 공격 경로 그래프로 표현하기에는 적합하지 않지만, AD 보안 평가에서는 반드시 탐지해야 합니다.
- 무차별 대입 비밀번호 공격 – 평가에서는 널리 알려진 비밀번호나 사전 단어를 사용하는 자격 증명, 그리고 비밀번호를 “추측”할 때까지 가능한 모든 문자 조합을 입력하는 시도를 탐지해야 합니다.
- 제한 없는 위임으로 인한 노출 – AD 사용자 또는 컴퓨터 개체가 Kerberos를 사용하는 모든 서비스에 위임된 경우입니다. 해당 개체가 침해되면 공격자가 인증된 계정을 가장해 모든 서비스에 접근할 수 있습니다.
- AdminSDHolder 공격으로부터 Active Directory 보호 – Active Directory의 AdminSDHolder 템플릿에 사용자나 그룹을 추가하는 공격입니다. 이 템플릿은 모든 권한 있는 사용자 및 그룹의 ACL에 “적용”되므로, 추가된 사용자나 그룹이 해당 계정에 대한 권한을 얻게 됩니다.
Singularity™ Identity Posture Management는 Active Directory 환경에서 이러한 취약점을 비롯한 다양한 취약점을 검사합니다. 관리자에게 완화 방법을 안내하고, 향후 취약점을 예방할 수 있도록 모범 사례를 적용합니다.
조직 전반의 ID 위험 감소
Active Directory 및 Entra ID를 위한 종합적인 솔루션으로 실시간으로 공격을 탐지하고 대응하세요.
결론
공격 경로 그래프는 네트워크에서 잠재적 공격이 어떻게 발생할 수 있는지 관리자에게 보여줍니다. 하지만 알려진 취약점을 제거하고 모범 사례를 적용하는 선제적 접근법을 대체할 수는 없습니다. Singularity Identity Posture Management는 취약점을 찾아내고, 관리자가 이를 해결하고 재발을 방지하도록 안내합니다.
Active Directory 보안 평가 FAQ
AD 보안 평가는 도메인의 구성, 권한, 그룹 정책, 계정 설정을 상세히 검토해 취약점을 찾습니다. 사용자, 컴퓨터, 그룹의 구조를 살펴보고 부적절한 권한이나 오래된 객체를 확인하며 공격 시나리오를 시뮬레이션합니다. 평가 결과를 바탕으로 공격자가 취약점을 악용하기 전에 AD 보안을 강화할 수 있습니다.
AD 보안 평가는 공격자의 내부 이동, 권한 상승 또는 자격 증명 탈취로 이어질 수 있는 잘못된 구성과 위험한 권한을 찾아냅니다. 신뢰 관계를 파악하고 ACL을 평가하며 공격 경로를 테스트해 실제 위협이 발생하기 전에 개선 작업의 우선순위를 정하고 조직의 공격 표면을 줄일 수 있습니다.
공격 경로 그래프는 현재 권한을 바탕으로 공격자가 AD에서 이용할 수 있는 잠재적 경로를 시각화합니다. AD 보안 평가는 여기서 더 나아가 구성 설정을 감사하고, 보안 기준 준수 여부를 확인하며, 해당 경로를 실제로 테스트합니다. 정적 분석과 실습 기반 테스트를 결합해 실제로 악용 가능한 공격 경로를 검증합니다.
가능한 공격 경로를 보는 것만으로는 “거부” ACE나 모니터링 알림 같은 통제 수단이 해당 경로를 차단하는지 알 수 없습니다. AD 평가는 실제 환경의 구성을 테스트하고, 더 이상 권장되지 않는 설정을 표시하며, 실제로 이용 가능한 경로를 검증합니다.
이러한 실증 결과를 바탕으로 이론적 위험을 모두 쫓는 대신 실제 악용을 막는 변경 사항에 집중할 수 있습니다.
한 사례에서는 평가를 통해 오래된 ACL을 거쳐 도메인 관리자 권한에 연결된, 잊힌 서비스 계정을 발견했습니다. 이 연결을 제거해 공격자의 내부 이동을 막았습니다. 또 다른 사례에서는 감사 점검으로 계약업체에 광범위한 권한을 부여하는 중첩 그룹을 발견했습니다. 해당 그룹 멤버십을 제거해 공격자가 악용하려던 권한 상승 경로를 차단했습니다.
AD 평가는 지나치게 관대한 ACL, 제한 없는 위임, 오래되었거나 높은 권한을 가진 계정, 노출된 서비스 티켓, 취약한 Kerberos 설정, 그룹 정책 보안의 허점을 찾아냅니다. 또한 도메인 컨트롤러의 패치 관리 누락, 취약한 LDAPS/TLS 구성, 공격자가 은밀한 접근에 자주 이용하는 모니터링되지 않는 복제 연결도 식별합니다.
평가 도구는 LSASS에서 해시된 자격 증명을 추출하고, 서비스 티켓을 요청하는 Kerberoasting을 시뮬레이션하며, 취약한 Kerberos 키를 테스트합니다. 가역 암호화를 사용하거나 서비스 주체의 보안 강화가 부족한 계정을 식별합니다. 이러한 대상을 정확히 파악해 비밀번호를 재설정하고, 더 강력한 암호화를 요구하며, 오프라인 크래킹에 이용되는 티켓 요청을 차단할 수 있습니다.
AD는 네트워크 신뢰 모델의 핵심입니다. AD가 침해되면 공격자는 광범위한 접근 권한을 얻습니다. 모든 ACL, 위임 설정, 도메인 컨트롤러 구성에 대한 가시성을 확보하면 권한 상승이나 내부 이동이 발생할 수 있는 지점을 파악할 수 있습니다. 명확한 가시성이 없으면 위험을 추측할 수밖에 없고, 숨겨진 공격 경로를 너무 늦게 발견할 수 있습니다.
전체 AD 보안 평가는 최소한 분기마다, 또는 마이그레이션, 도메인 컨트롤러 업그레이드, 합병과 같은 주요 변경 이후에 실시해야 합니다. 평가 사이에는 권한 그룹 멤버십, GPO 변경 사항, 감사 로그 등 주요 영역을 매월 점검하세요. 정기적인 평가로 공격자가 발견하기 전에 새로운 구성 오류를 찾아낼 수 있습니다.
취약점 데이터를 정기적으로 업데이트하고 고급 보안 자동화 도구를 사용하세요. 지속적인 위협 모니터링과 그래프 기반 모니터링을 활성화하고, 가장 중요한 자산을 식별해 우선순위를 지정하세요. 위협 인텔리전스 프레임워크를 활용하고 SentinelOne의 AI 기반 보안 제품으로 멀티 클라우드 환경 전반의 가시성을 높이세요.
다음에 대해 더 알아보기 ID 보안
보안 운영을 혁신할 준비가 되셨나요?
SentinelOne AI SIEM이 귀사의 SOC를 자율적으로 운영되는 강력한 조직으로 어떻게 전환할 수 있는지 알아보세요. 지금 문의하여 맞춤형 데모를 요청하고 보안의 미래를 직접 확인해 보세요.
