NTLM이란?
NTLM(NT LAN Manager)은 네트워크를 통해 비밀번호를 전송하지 않고 챌린지-응답 인증을 통해 사용자를 검증하는 Windows 인증 프로토콜입니다. Microsoft 공식 문서에 따르면, NTLM은 레거시 LAN Manager, NTLMv1, 그리고 현재 표준인 NTLMv2 등 여러 프로토콜 버전을 포함합니다. Kerberos가 20년 전부터 Active Directory 환경의 기본 인증 방식으로 NTLM을 대체했지만, NTLM은 여전히 엔터프라이즈 네트워크에서 워크그룹 인증, 도메인 컨트롤러가 아닌 시스템의 로컬 로그온, Kerberos 협상이 실패하는 시나리오 등에서 사용되고 있습니다.
챌린지-응답 프로세스는 간단한 교환을 통해 작동합니다. 네트워크 리소스에 연결하면 서버가 클라이언트에 16바이트 챌린지를 보냅니다. 시스템은 이 챌린지를 비밀번호 해시로 암호화해 응답을 서버에 전송하고, 서버는 Security Accounts Manager 데이터베이스 또는 Active Directory와 대조하여 자격 증명을 검증합니다. 인증 과정에서 실제 비밀번호가 아닌 암호화된 해시만 전송됩니다. 해시를 신원 증명으로 사용하는 이 설계는 오늘날 공격자들이 악용하는 보안 취약점을 만들었습니다.
.jpg)
NTLM이 보안 위험인 이유
자격 증명 탈취 통계에 따르면, Verizon 2025 Data Breach Investigations Report 기준 지난 10년간 모든 침해 사고의 31%가 자격 증명 탈취와 관련되어 있습니다. NTLM 공격은 이 지속적인 위협 환경에서 중요한 부분을 차지하는데, 프로토콜이 공격자가 실제 비밀번호를 해독하지 않고도 탈취 및 재사용할 수 있는 비밀번호 해시를 저장하기 때문입니다.
공격자는 NTLM 해시를 메모리나 네트워크 트래픽에서 추출한 후, 탈취한 해시를 Windows에 직접 전달하여 파일 서버 및 도메인 컨트롤러에 인증합니다. 보안 통제는 정상적인 NTLM 인증으로 인식하여 공격이 보이지 않게 진행됩니다.
CISA는 2025년 3월, 실제 악용이 확인된 후 Windows NTLM 해시 노출 취약점인 CVE-2025-24054를 Known Exploited Vulnerabilities catalog에 추가했습니다. Microsoft는 2025년 3월 해당 취약점을 패치했지만, NTLM 사용 중단은 신원 인프라, 애플리케이션, 네트워크 서비스 전반의 협력적 마이그레이션이 필요해 공격 표면이 여전히 남아 있습니다. 특히 Microsoft가 2026년 10월 NTLMv1 자동 차단을 예고한 만큼 이 일정이 중요합니다.
NTLM 인증 방식
NTLM의 아키텍처는 공격자가 환경을 침해하는 이유와 마이그레이션이 복잡한 이유를 보여줍니다.
- 인증 패키지 및 해시 저장: MSV1_0 인증 패키지는 Msv1_0.dll 구성 요소를 통해 모든 NTLM 인증을 처리합니다. LSASS 메모리가 손상되면 공격자는 비밀번호 해시를 직접 추출할 수 있습니다. 환경에는 두 가지 해시 유형이 저장됩니다. LM 해시는 대소문자를 구분하지 않고 취약한 DES 암호화를 사용해 레인보우 테이블 공격에 매우 취약하며, NT 해시는 대소문자를 구분하는 MD4를 사용합니다. 두 해시 모두 SAM 또는 Active Directory에 저장되며 자체적으로 인증 자격 증명 역할을 합니다. 비밀번호 해독이 필요 없습니다.
- 챌린지-응답 메커니즘: 서버가 16바이트 무작위 챌린지를 생성하고, 워크스테이션이 비밀번호 해시로 암호화한 후 서버가 LsaLogonUser API를 통해 응답을 검증합니다. NTLMv2는 HMAC-MD5 기반 응답 계산과 추가 무작위 데이터를 사용해 더 강력한 암호화 보호를 제공합니다. 두 프로토콜 모두 근본적인 취약점이 있습니다. 비밀번호 해시가 인증 자격 증명 자체로 사용됩니다(MITRE ATT&CK T1550.002).
- LAN Manager 인증 레벨: 레지스트리 키 HKLM\System\CurrentControlSet\Control\Lsa\LmCompatibilityLevel은 시스템이 허용하는 NTLM 버전을 결정합니다. 대부분의 기업은 Level 3(오직 NTLMv2 응답 전송)을 사용하지만, NIST 권장 Level 5(LM 및 NTLM 완전 거부)와 달리 공격에 노출될 수 있는 간극이 존재합니다.
이러한 아키텍처 요소, 특히 LSASS 메모리 내 해시 저장과 패스스루 인증 메커니즘은 공격자가 자격 증명을 가로채거나 추출할 수 있는 여러 기회를 제공합니다.
NTLM 공격 도구 및 기법
공격자는 NTLM 취약점을 악용해 자격 증명을 탈취하고 횡적 이동을 수행하는 특수 도구를 사용합니다. 이러한 도구를 이해하면 방어자가 공격 패턴을 인식하고 적절한 통제를 구현하는 데 도움이 됩니다.
- 자격 증명 추출 도구는 Windows가 활성 세션 중 비밀번호 해시를 저장하는 LSASS 메모리를 대상으로 합니다. Mimikatz가 가장 널리 알려진 도구로, sekurlsa::logonpasswords와 같은 기법을 사용해 메모리에서 자격 증명을 덤프합니다. 공격자는 reg save 명령 등 Windows 기본 기능으로 SAM 및 SYSTEM 레지스트리 하이브를 내보내 오프라인 해시 추출도 수행합니다. WCE(Windows Credentials Editor)와 같은 메모리 포렌식 도구는 일부 엔드포인트 탐지 솔루션을 우회하는 추가 추출 기능을 제공합니다.
- 패스더해시 프레임워크는 비밀번호 해독 없이 탈취한 해시로 인증을 수행합니다. Impacket의 Python 기반 툴킷은 NTLM 해시를 직접 받아 Windows 시스템에 원격 명령을 실행하는 psexec.py, wmiexec.py 모듈을 포함합니다. CrackMapExec은 패스더해시 공격을 여러 대상에 동시에 자동화해, 엔터프라이즈 네트워크 내 빠른 횡적 이동과 성공한 인증의 로깅을 지원합니다. 이 프레임워크는 해시 스프레이 기능도 통합해 손상된 자격 증명을 허용하는 시스템을 식별합니다.
- NTLM 릴레이 툴킷은 인증 요청을 가로채 비인가 대상 시스템으로 전달합니다. Responder는 LLMNR, NBT-NS, MDNS 이름 해석 응답을 오염시켜 NTLM 인증을 캡처합니다. 시스템이 호스트명을 해석하려 할 때, Responder가 공격자 제어 IP로 응답해 인증 시도를 가로챕니다. Impacket의 ntlmrelayx 모듈은 캡처된 인증을 SMB, LDAP, HTTP, MSSQL 서비스로 릴레이해, 중요 서비스에서 Extended Protection for Authentication이 비활성화된 경우 권한 상승을 가능하게 합니다.
- 강제 인증 기법은 사용자 개입 없이 대상 시스템이 공격자 제어 서버로 인증을 시도하도록 만듭니다. PetitPotam은 MS-EFSRPC 인터페이스를 악용해 도메인 컨트롤러가 임의 대상으로 인증하도록 강제해 자격 증명 캡처 또는 릴레이 공격을 Active Directory 인증서 서비스에 수행할 수 있습니다. PrinterBug(SpoolSample로도 불림)는 Print Spooler 서비스의 원격 인터페이스를 악용해 유사한 강제 인증을 달성합니다. 이 기법들은 전통적인 피싱을 완전히 우회해, 악성 콘텐츠와 상호작용하지 않는 시스템에서도 자격 증명 탈취가 가능합니다.
방어 측 탐지는 메모리 내 도구 시그니처, 비정상적인 LSASS 접근 패턴, 예상치 못한 인증 흐름, 릴레이 시도 네트워크 트래픽 모니터링에 집중합니다. 그러나 탐지만으로는 이러한 공격을 가능하게 하는 프로토콜의 근본적 취약점을 해결할 수 없습니다.
NTLM 취약점
프로토콜의 아키텍처적 약점은 네트워크 및 신원 기반 보호 없이는 방어 측 통제만으로 완전히 해결할 수 없는 지속적인 보안 취약점을 만듭니다.
- 패스더해시 공격(MITRE ATT&CK T1550.002)은 NTLM이 비밀번호 해시를 인증 자격 증명으로 사용하는 점을 악용합니다. 공격자가 LSASS 메모리, SAM 데이터베이스, 네트워크 캡처에서 해시를 추출하면 비밀번호를 몰라도 해당 사용자로 인증할 수 있습니다. Credential Guard는 Windows 10 Enterprise 또는 Windows 11에서 TPM 2.0 하드웨어 기반 가상화 보안을 통해 부분적 보호를 제공합니다. SMB 서명, LDAP 서명, Extended Protection for Authentication과 같은 네트워크 보호는 NTLM 릴레이 공격을 차단합니다.
- NTLM 릴레이 공격은 클라이언트와 서버 간 챌린지-응답 메커니즘을 조작합니다. 공격자가 인증 시도를 받아 원하는 대상 시스템에 릴레이해, 실시간으로 비인가 접근을 획득합니다. Extended Protection for Authentication은 채널 바인딩을 통해 릴레이 공격을 차단하지만, Exchange Server, Active Directory 인증서 서비스, LDAP에서 명시적 구성이 필요합니다. 대부분의 기업은 Microsoft가 기본적으로 EPA를 비활성화해 출하한 이력 때문에 중요 서비스에 EPA를 활성화하지 않고 운영합니다.
- 레거시 버전의 암호화 취약점은 운영 환경에 여전히 존재합니다. LM 해시는 암호학적으로 취약한 DES 암호화를 사용하며, 비밀번호를 대문자로 변환하고 7자 단위로 분할합니다. NTLMv1은 암호화 강도를 개선했지만 오프라인 무차별 대입 공격에 취약합니다. NTLMv2만이 현대적인 암호화 보호를 제공하지만, 많은 조직이 하위 호환성 때문에 NTLMv1을 허용하는 혼합 환경을 운영합니다.
2026년 10월 강제 적용 기한은 마이그레이션을 지연한 조직에 운영상 위험을 초래합니다. Microsoft는 3단계 일정을 수립했습니다:
- 1단계(2024년 12월): 사용 중단 시작
- 2단계(2025년 9월): 기본적으로 감사 모드 활성화
- 3단계(2026년 10월): BlockNtlmv1SSO 레지스트리 키를 관리자 개입 없이 자동으로 강제 모드로 전환
아직 마이그레이션 계획을 시작하지 않은 조직은 강제 적용 시 인증 중단의 심각한 위험에 직면하게 됩니다.
NTLM에서 벗어나기 위한 마이그레이션 방법
엔터프라이즈 NTLM 마이그레이션은 경영진의 지원 하에 구조화된 단계별 실행이 필요합니다. 전체 구현에는 환경 복잡성과 레거시 애플리케이션 의존성에 따라 일반적으로 18~22개월이 소요됩니다.
1단계: 탐지 및 감사(1~3개월)
마이그레이션 또는 차단 정책을 시도하기 전에 모든 도메인 컨트롤러와 멤버 서버에서 NTLM 감사를 완전히 활성화합니다. Network security: Restrict NTLM: Audit NTLM authentication in this domain을 "모두 감사"로 설정하고 차단하지 않습니다. Windows 11 24H2 및 Windows Server 2025는 프로세스 이름, 사유 코드, 사용자명 및 도메인 정보, NTLM 버전을 포함한 향상된 감사 이벤트를 제공합니다. 최소 30~90일간 감사 로그를 수집해 주기적 서비스, 예약 작업, 월간 프로세스를 포착합니다. 로그를 분석해 시스템 유형, 애플리케이션, 조치 복잡성별로 분류된 전체 의존성 인벤토리를 구축합니다.
2단계: 조치 계획 수립(4~6개월)
NTLM 의존성을 조치 방식과 복잡성별로 분류합니다. 워크그룹 가입 시스템은 도메인 가입, Azure AD 등록, 또는 네트워크 분리와 같은 예외 유지가 필요할 수 있습니다. 레거시 애플리케이션은 Kerberos 지원 일정에 대한 벤더 협의 또는 마이그레이션 경로가 없는 경우 대체 애플리케이션 도입 계획이 필요합니다. 펌웨어 제한이 있는 네트워크 장비는 업그레이드 일정 수립, 대체 장비 조달, 또는 NTLM 트래픽을 분리하는 네트워크 분리 전략이 요구됩니다.
3단계: Kerberos 파일럿 배포(7~9개월)
레거시 의존성이 최소인 저위험 조직 단위를 선정해 Kerberos 전용 강제 적용을 시범 운영합니다. Network security: Restrict NTLM: NTLM authentication in this domain을 파일럿 범위에서 "모두 거부"로 설정합니다. 인증 실패 및 애플리케이션 문제를 면밀히 모니터링하고, 모든 조치 절차를 문서화해 본격 배포 시 참조합니다. 파일럿 시스템이 NTLM 인증 없이 완전한 기능을 유지하는지 검증합니다.
4단계: 본격 배포(10~18개월)
파일럿 결과를 바탕으로 조직 단위별로 Kerberos 강제 적용을 체계적으로 확대합니다. 민감 데이터 및 특권 접근 시스템이 포함된 고보안 환경을 우선 적용합니다. 레거시 의존성에 대한 예외 목록을 문서화하고, 네트워크 분리, 모니터링 강화, 접근 범위 제한 등 보완 통제를 적용합니다. NTLM 접근이 필요한 시스템은 네트워크 분리를 통해 횡적 이동 노출을 최소화합니다.
5단계: 강제 적용(19~22개월)
Microsoft의 2026년 10월 자동 강제 적용 기한 전에 BlockNtlmv1SSO를 활성화합니다. 감사 로그를 철저히 검토해 운영 범위 내 NTLM 인증이 0임을 확인해 마이그레이션 완료를 검증합니다. 남은 예외는 공식 위험 수용 및 보완 통제와 함께 문서화해 컴플라이언스 및 감사 목적에 활용합니다.
마이그레이션을 계획하는 동안 조직은 즉각적인 방어 취약점도 함께 해결해야 합니다. 많은 보안팀이 보호 미비 또는 잘못된 구성으로 환경을 노출시키고 있습니다.
NTLM 방어의 일반적 실수
계층적 NTLM 방어 미구현은 악용 가능한 보안 취약점을 만듭니다.
- SMB 서명을 활성화만 하고 필수로 설정하지 않음. 파일 서버 전체에 "Microsoft network server: Digitally sign communications" 그룹 정책을 활성화하지만, 클라이언트 측 필수 설정을 간과합니다. 서버는 감사상 정상이나, 침투 테스터가 클라이언트가 서명을 요청하지 않을 때 "활성화"만으로 서명 없는 연결로 다운그레이드가 가능해 NTLM 릴레이 공격이 성공함을 입증합니다. 서버(Microsoft network server: Digitally sign communications (always))와 클라이언트(Microsoft network client: Digitally sign communications (always)) 모두 "항상"으로 설정해야 합니다. Microsoft SMB 보안 가이드에 따르면 서버만 구성하면 클라이언트 오구성으로 공격자가 릴레이할 수 있는 취약점이 발생합니다.
- Credential Guard가 NTLM 릴레이 공격을 차단한다고 가정함. Credential Guard를 고가치 관리자 워크스테이션과 도메인 컨트롤러에 배포하고, 이를 NTLM 공격 완전 방어로 경영진에 보고합니다. 그러나 공격자는 보호되지 않은 LDAP 서비스에 대한 NTLM 릴레이로 환경을 침해합니다. Credential Guard는 가상화 기반 보안으로 LSASS 메모리 내 자격 증명 탈취만 방지하며, 네트워크 수준 NTLM 릴레이 공격에는 전혀 보호 효과가 없습니다. 엔드포인트 자격 증명 보호와 네트워크 릴레이 방지 모두를 동시에 구현해야 합니다.
- 중요 서비스에 EPA를 일관성 없이 적용함. 보안팀이 2021년 PetitPotam 이후 Active Directory 인증서 서비스에 Extended Protection for Authentication을 활성화했으나, LDAP 서비스에는 EPA가 비활성화되어 공격자가 NTLM 인증을 릴레이합니다. EPA는 AD CS, LDAP, Exchange Server, Windows 통합 인증을 사용하는 모든 커스텀 애플리케이션 등 NTLM 지원 서비스 전체에 구성해야 합니다.
이러한 실수를 피하려면 모든 공격 벡터를 동시에 해결하는 체계적인 NTLM 방어 접근이 필요합니다.
NTLM 방어 모범 사례
네트워크, 엔드포인트, 신원 계층의 프로토콜 취약점을 해결하는 계층적 통제로 자격 증명 기반 횡적 이동을 차단하십시오.
- 즉시 NTLM 감사 로깅을 완전하게 구현하십시오. 마이그레이션 또는 차단 정책 적용 전 모든 도메인 컨트롤러와 멤버 서버에 NTLM 감사 정책을 활성화합니다. Network security: Restrict NTLM: Audit NTLM authentication in this domain을 "모두 감사"로 설정합니다. 최소 30~90일간 감사 로그를 수집해 주기적 서비스와 예약 작업을 포착한 후, 로그를 분석해 전체 의존성 인벤토리를 구축합니다.
- 환경 전체에 SMB 서명을 강제 적용하십시오. Computer
Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options에서 그룹 정책을 이중으로 구성합니다. Microsoft network server: Digitally sign communications (always)와 Microsoft network client: Digitally sign communications (always)를 모두 Enabled로 설정합니다. 이중 구성은 클라이언트와 서버가 서로 다른 서명 설정을 사용할 때 발생하는 다운그레이드 공격을 차단합니다. - 모든 중요 서비스에 Extended Protection for Authentication을 구성하십시오. EPA는 NTLM 인증에 채널 바인딩을 추가해 인증을 TLS 세션에 연결함으로써 자격 증명 릴레이를 방지합니다. EPA 구현 우선순위는 Active Directory 인증서 서비스, 모든 도메인 컨트롤러의 LDAP, Exchange Server입니다. Windows Server 2025는 이들 서비스에 기본적으로 EPA를 활성화합니다.
- 고가치 시스템에 Credential Guard를 배포하십시오. 도메인 컨트롤러, 관리자 워크스테이션, 민감 데이터 처리 시스템에 Credential Guard를 구현합니다. Credential Guard는 TPM 2.0, UEFI Secure Boot, 프로세서 가상화 확장, Hyper-V 지원이 필요합니다.
- 모든 도메인 컨트롤러에 LDAP 서명을 필수로 설정하십시오.
Domain controller: LDAP server signing requirements를 그룹 정책을 통해 Domain Controllers 조직 단위에 "Require signing"으로 구성합니다. Windows Server 2025는 기본적으로 LDAP 채널 바인딩을 추가합니다. - 패스더해시 식별을 위한 이벤트 상관 분석을 구현하십시오. SIEM에서 여러 도메인 컨트롤러와 멤버 서버의 Windows Security Event ID를 상관 분석하도록 구성합니다. Logon Type 3(네트워크 로그온) 및 인증 패키지 "NTLM"으로 성공한 Event ID 4624가, 동일 소스 IP에서 10시간 이내에 Logon Type 2(대화형 로그온) Event ID 4624가 없는 경우 경고를 생성합니다.
이러한 수동 통제는 필수 보호를 제공하지만, 자격 증명 기반 공격은 종종 수동 조사보다 빠르게 진행됩니다. 행동 기반 AI는 패스더해시 활동을 실시간으로 식별 및 차단할 수 있습니다.
SentinelOne으로 NTLM 공격 차단
대응 지연 시간은 횡적 이동을 차단할지, 침해 후 조사를 할지 결정합니다. SentinelOne은 MITRE ATT&CK T1550.002로 분류된 패스더해시 기법을 인식하는 행동 기반 AI로 자격 증명 기반 공격을 탐지합니다.
Singularity™ Identity는 하이브리드 환경 전반의 가시성을 제공해 노출을 탐지하고 자격 증명 오남용을 차단합니다. 신원 위험을 줄이고 실시간 신원 보호를 제공합니다. 엔드포인트와 신원 활동을 연계해 맥락 기반 탐지와 신속한 트리아지가 가능합니다. 또한 사일로화된 환경의 블라인드 스팟을 제거하고, Active Directory 및 Okta, Ping, SecureAuth, Duo, Entra ID 등 클라우드 신원 공급자를 강화할 수 있습니다. 공격 시도에서 인사이트를 수집해 반복 침해를 차단하고 권한 상승을 방지할 수 있습니다.
SentinelOne은 5년 연속 Gartner Magic Quadrant 엔드포인트 보호 플랫폼 리더로 선정되었습니다. MITRE ATT&CK 평가에서 SentinelOne은 12건의 경고만을 생성한 반면, 주요 경쟁사는 178,000건을 생성해 88% 적은 경고를 기록했습니다. 이로써 수천 건의 보안 이벤트가 단일 실행 가능한 인시던트로 통합되어, 수천 건의 인증 이벤트를 검토하는 대신 몇 초 만에 완전한 포렌식 맥락을 분석할 수 있습니다.
Singularity Platform은 단일 에이전트와 콘솔을 통해 통합된 XDR 기능을 제공하며, 엔드포인트, 클라우드, 신원 보안을 하나의 데이터 레이크로 통합합니다. 특허받은 Storyline 기술은 엔터프라이즈 환경 전반의 이벤트 데이터를 자동으로 모니터링, 추적, 맥락화해 실시간으로 공격을 재구성합니다.
Purple AI는 자연어 쿼리를 통해 환경 전반의 인증 이벤트를 상관 분석해 위협 조사를 가속화합니다. 초기 도입자 기준 최대 80% 빠른 위협 헌팅이 가능하며, 보안 분석가는 쿼리 언어를 몰라도 로그를 검색하고, 완전한 공격 맥락과 다음 단계 제안을 받을 수 있습니다.
데모 요청을 통해 SentinelOne의 행동 기반 AI가 권한 상승 전 자격 증명 기반 공격을 어떻게 차단하는지 확인하십시오.
핵심 요약
NTLM 공격은 자격 증명 탈취를 악용해 전통적 대응이 차단하기 전에 횡적 이동을 가능하게 합니다. 2026년 10월 강제 적용 기한에 따라 즉각적인 마이그레이션 계획이 필요합니다. Microsoft는 BlockNtlmv1SSO 레지스트리 키를 감사 모드에서 강제 모드로 자동 전환해 NTLMv1 차단을 시행합니다.
효과적인 방어는 계층적 통제의 병행 적용이 필요합니다. 서버와 클라이언트 모두에 SMB 서명, AD CS, LDAP, Exchange Server 등 중요 서비스에 Extended Protection for Authentication, 엔드포인트 자격 증명 보호를 위한 Credential Guard(단, 이는 저장 자격 증명만 보호하며 네트워크 릴레이 공격은 차단하지 않음), 그리고 강제 적용 전 의존성 식별을 위한 완전한 감사 로깅이 필수입니다.
엔드포인트와 신원 인프라 전반의 인증 패턴을 상관 분석하는 행동 기반 AI는 권한 상승 발생 전 자격 증명 오남용을 탐지합니다.
자주 묻는 질문
NTLM(NT LAN Manager)는 암호를 네트워크를 통해 전송하지 않고 챌린지-응답 메커니즘을 통해 사용자를 검증하는 Windows 인증 프로토콜입니다. 서버가 임의의 챌린지를 보내면, 클라이언트는 이를 사용자의 암호 해시로 암호화하고, 서버는 응답을 검증합니다.
Kerberos가 Active Directory의 기본 인증 방식으로 NTLM을 대체했지만, NTLM은 워크그룹 환경, 로컬 로그온, 레거시 애플리케이션 시나리오에서 여전히 사용되고 있습니다.
NTLMv1은 오프라인 무차별 대입 공격 및 알려진 평문 공격에 취약한 약한 암호화를 사용합니다. NTLMv2는 HMAC-MD5 기반 응답 계산에 무작위 데이터와 채널 바인딩 기능을 도입하여 훨씬 강력한 암호화 보호를 제공합니다.
Microsoft는 2026년 10월부터 NTLMv1 차단을 자동으로 적용하며, 모든 시스템은 최소 NTLMv2를 사용하거나 Kerberos로 마이그레이션해야 합니다.
워크그룹에 조인된 시스템, Kerberos를 지원하지 않는 레거시 애플리케이션, 펌웨어 제한이 있는 네트워크 장치, 포리스트 간 인증 시나리오 등 다양한 종속성으로 인해 NTLM을 완전히 제거하는 것은 여전히 어렵습니다.
Windows Server 2025에서는 원격 아웃바운드 연결에 대해 SMB NTLM을 완전히 비활성화할 수 있는 기능이 도입됩니다. 완전한 사용 중단을 위해서는 애플리케이션 수정, 하드웨어 교체, 18~22개월의 마이그레이션 기간 동안 철저한 테스트가 필요합니다.
공격자는 Mimikatz와 같은 도구를 사용하여 LSASS 메모리에서 NTLM 해시를 추출합니다. 이 해시는 사용자의 비밀번호를 16바이트 MD4로 표현한 것으로, 자체적으로 인증 자격 증명 역할을 합니다. Windows가 NTLM을 사용하여 인증할 때는 비밀번호가 아니라 암호화된 챌린지 응답을 비교합니다.
공격자가 유효한 응답을 생성하는 해시를 보유하고 있기 때문에, Credential Guard나 EPA와 같은 추가적인 제어가 없으면 Windows는 정상적인 인증과 Pass-the-Hash 공격을 구분할 수 없습니다.
인증을 위한 확장 보호(EPA)는 클라이언트와 서버 간의 TLS 세션에 인증 토큰을 바인딩하여 NTLM 인증에 채널 바인딩을 추가합니다. 이 바인딩으로 인해 공격자가 자격 증명을 가로채더라도 채널 바인딩 토큰이 일치하지 않으므로 릴레이된 자격 증명을 사용할 수 없습니다.
EPA는 AD CS, LDAP, Exchange Server 및 기타 Windows 통합 인증 서비스를 대상으로 하는 NTLM 릴레이 공격을 차단합니다. Windows Server 2025는 주요 서비스에서 기본적으로 EPA를 활성화합니다.
