Active Directory(AD)에서 누가 어떤 항목에 대해 인증을 할 수 있는지 정확히 말할 수 있었던 마지막 시점은 언제였습니까?
대부분의 조직에게 솔직한 대답은 '최근에는 그렇지 않다'입니다. AD는 여전히 대다수 기업에서 인증 및 액세스 관리를 담당하고 있습니다. 그러나 수십 년에 걸친 그룹 확장, 인수 합병, 그리고 아무도 수정하지 않은 구성으로 인해 대부분의 AD 환경은 오랜 기간 축적된 ID 기술 부채를 안고 있습니다. 여기에는 레거시 프로토콜, 과도한 권한이 부여된 계정, 그림자 관리자, 그리고 너무 오래전에 설정되어 이제는 아무도 건드리고 싶어 하지 않는 자격 증명 등이 포함됩니다.
하지만 불편한 진실이 하나 있습니다. AD를 뚫는 데 복잡한 익스플로잇이 필요한 경우는 드뭅니다. 대부분의 공격자는 새로운 것을 찾으려는 것이 아닙니다. 그들의 목표는 기업 운영을 유지하는 데 필요한 프로토콜과 권한을 악용하는 것입니다.
그들은 케르베로스 티켓을 수집하고, 이를 중계합니다. NTLM 인증과도한 권한을 가진 서비스 계정을 탈취하고, 도메인 수준의 제어권을 확보할 때까지 호스트 간 횡적 이동을 합니다. 모든 단계는 AD 자체의 신뢰 모델 내에서 이루어지기 때문에 합법적으로 보입니다. 그리고 이러한 공격이 만연한 시대에 말입니다. AI 기반 공격그 전체 과정은 어떤 팀도 대응할 수 없을 만큼 빠르게 진행됩니다. 일부 연구에 따르면 공격자는 심지어 그보다 더 빠른 속도로 공격할 수 있다고 합니다. 약 2시간 만에 AD를 무력화시킬 수 있습니다..
AD 위생 관리의 진정한 의미는 바로 이것입니다. 취약점을 찾아 수정하고 공격 표면을 줄이는 것입니다. 전에 다른 사람이 당신을 위해 찾아줍니다. 이 블로그에서는 시작하기에 가장 효과적인 다섯 가지 방법과 그 방법을 살펴보겠습니다. Silverfort 핵심 보안 취약점을 해결하는 데 도움이 됩니다.
적절한 AD 위생 관리를 유지하는 것이 필수적입니다.
AD 위생 이는 일련의 관행입니다. AD 환경을 깨끗하게 유지합니다.체계적이고 안전한 ID 인프라를 구축하여 ID 인프라에서 시작되는 위협을 예방, 탐지 및 대응할 수 있습니다. 이는 ID 보안 위협에 대한 방어의 핵심 요소이며, 공격자가 공격 표면을 발견하기 전에 공격 범위를 축소하는 방법입니다.
본질적으로 이는 환경을 정기적으로 감사하고 모니터링하는 것을 의미합니다. 즉, 비활성 또는 사용되지 않는 계정을 정리하고, 강력한 암호 정책을 시행하며, 사용자 활동을 감시하는 것입니다. Active Directory 구성, 사용자 계정, 그룹 멤버십 및 액세스 권한에 대한 주기적인 검토를 통해 문제가 심각해지기 전에 이상 징후와 침해의 초기 징후를 파악할 수 있습니다.
Active Directory(AD)가 제대로 관리되지 않으면 가장 큰 위험은 눈에 보이지 않는 위험, 즉 누가 어떤 계정에 어떤 이유로 접근 권한을 가지고 있는지 명확하게 파악할 수 없다는 점입니다. 이러한 가시성이 부족하면 과도한 권한 부여, 횡적 이동 경로, 위험 계정 등이 탐지되지 않고 그대로 남게 됩니다. 결국, 사용되지 않는 계정, 무단 접근 권한, 기타 위험한 계정들이 공격자들이 악용할 수 있는 취약점이 됩니다.
방법 Silverfort 신원 보안이 강화됩니다 Active Directory 위생.
Silverfort 이 소프트웨어는 특허받은 기술을 사용하여 기존 IAM 인프라에 기본적으로 연결하고 내부에서 보안을 강화합니다. 런타임 액세스 보호 (RAP) 기술을 사용하면 모든 ID를 한 곳에서 검색하고, 취약점을 분석하고, 사용자, 서비스 계정 및 다른 도구로는 접근할 수 없는 레거시 시스템 전반에 걸쳐 실시간으로 보안 제어를 적용할 수 있습니다.
AD 위생 관리를 강화하기 위해, Silverfort 모든 계정에 대한 완벽한 가시성을 제공하고 각 계정의 인증 위치를 매핑합니다. ISPM(신원 보안 상태 관리) 이 도구는 다양한 기능을 통해 공격자가 노리는 특정 취약점(예: 섀도우 관리자, 취약한 암호화, 오래되고 과도한 권한을 가진 서비스 계정)을 파악하고, 위험도에 따라 우선순위를 지정하여 각 취약점에 대한 맞춤형 해결 방안을 제시합니다. 결과적으로 공격 표면이 축소되어 공격자가 횡적 이동이나 권한 상승을 위해 악용할 수 있는 취약점이 줄어듭니다.
5 가지 방법 Silverfort 당신의 Active Directory 환경
1. 그림자 관리자 탐지
섀도우 관리자 섀도우 관리자는 의도치 않게 관리자 수준의 권한을 부여받은 계정으로, 대개 접근 제어 목록(ACL) 상속이나 중첩된 그룹 멤버십을 통해 생성됩니다. 이러한 권한은 간접적으로 부여되기 때문에 일반적인 접근 권한 검토에서 거의 드러나지 않아 종종 간과됩니다. 따라서 섀도우 관리자는 Active Directory에서 가장 깔끔한 권한 상승 경로 중 하나이며, 인공지능 기반 공격자는 이러한 경로를 찾아내고 활용하는 데 특히 능숙합니다.
방법 Silverfort 도움 : SilverfortISPM은 섀도우 관리자를 우선순위 노출 대상으로 자동 탐지합니다. 온프레미스와 클라우드 환경의 계정을 분석하여 관리자 권한을 보유해서는 안 되는 계정을 찾아냅니다. 이러한 계정은 일반적으로 눈에 띄지 않습니다. 탐지된 계정은 과도한 권한을 제거하거나 접근 권한을 공식적으로 문서화할 수 있습니다.
고객 사례: NHS 혈액 및 이식 익숙한 Silverfort 7,000명의 사용자가 있는 AD 환경에서 숨겨진 관리자와 비정상적인 인증 패턴을 파악하여 DSPT 및 CAF 규정 준수를 위해 관리 대상으로 삼습니다.
2. 취약한 암호화 및 기존 프로토콜 감소
취약한 인증 암호화 이는 AD에서 가장 조용한 위험 중 하나인데, 수년 동안 아무도 손대지 않은 시스템에서 백그라운드로 실행되기 때문입니다. 특히 세 가지 프로토콜이 눈에 띕니다.
- 대부분의 팀은 이미 그 문제를 해결했다고 생각합니다. NTLMv1: 그룹 정책에 의해 차단되었으므로, 해당 사례는 종료되었습니다. 하지만 Silverfort연구 결과에 따르면, 잘못 구성된 애플리케이션은 여전히 NTLMv1을 강제로 실행할 수 있으므로 관리자가 해당 문제가 해결되었다고 생각하는 동안에도 계속 실행됩니다. 이는 중요한 문제인데, NTLMv1의 취약한 DES 암호화 방식은 몇 초 만에 해독될 수 있으며, NTLM 릴레이를 통해 공격자는 비밀번호를 알지 못해도 사용자로 인증할 수 있기 때문입니다.
- NTLMv2 NTLM은 더 강력하지만 여전히 레거시 인증 방식입니다. 네이티브 MFA를 지원하지 않으며, 릴레이 및 패스더해시 공격에 노출되어 있습니다. 따라서 Kerberos로의 전환을 위한 임시 단계로 간주해야 합니다. 문제는 NTLM이 눈에 잘 띄지 않는다는 점입니다. 조용히 Kerberos 대체 인증 수단으로 남아 있으며, 그룹 정책 차단이 항상 효과적인 것은 아닙니다. 자세한 내용은 관련 문서를 참조하십시오. NTLM 제거 가이드 그것을 찾아내고 완전히 없애는 방법을 배우기 위해서입니다.
- 케르베로스의 RC4 더 크고 시급한 취약점은 바로 이것입니다. 케르베로스 티켓이 RC4로 암호화된 경우, 케르베로스팅 공격에 취약해집니다. 이 공격은 유효한 도메인 계정이라면 누구나 서비스 티켓을 요청하고, 오프라인 상태로 전환한 후, 관리자 권한이나 경고 없이 무차별 대입 공격을 시도할 수 있게 합니다. 이러한 공격은 아무도 생각하지 못하는 계정, 즉 AES(고급 암호화 표준) 지원 이전에 생성된 암호를 사용하는 서비스 계정이나 AES를 전혀 사용할 수 없는 단종 시스템의 시스템 계정에서 발생합니다. 마이크로소프트가 케르베로스에서 RC4를 단계적으로 폐지함에 따라, 매핑하지 않은 모든 종속성으로 인해 운영 환경에서 인증 실패가 발생하기 시작할 것입니다.
방법 Silverfort 도움이: ISPM이 제기합니다 취약한 암호화(사용자) 취약한 암호화(서버) RC4 또는 기타 취약한 케르베로스 암호화가 실제로 사용되는 모든 곳에 표시기가 있습니다. Silverfort 해당 거래를 성사시킬 가능성이 가장 높은 계좌를 알려줍니다. 오래된 비밀번호를 사용하는 사용자 구형 운영 체제 뷰입니다. NTLMv1도 같은 방식으로 모니터링하므로 단일 패킷을 캡처하지 않고도 두 가지 모두를 제거하는 데 우선순위를 둘 수 있습니다.
RC4에 대한 전체 내용과 시행 전에 모든 종속성을 찾아내는 방법을 알아보려면 다음을 참조하십시오. RC4 지원 중단에 대비하는 방법 Active Directory.
고객 사례: 퍼시픽 대학교에서 사용함 Silverfort 4개의 AD 도메인 전반에 걸쳐 기존 인증 프로토콜을 탐지하고 폐기하여, 오래된 인프라와 관련된 기술적 부채를 줄입니다.
3. 사용하지 않는 계정과 변경되지 않은 비밀번호를 찾으세요.
오래된 계정 오랫동안 사용되지 않은 계정들이 있습니다. 대표적인 예로는 계정이 비활성화되지 않은 퇴사한 직원이 있습니다. 이러한 계정은 인증 모니터링 없이는 쉽게 발견하기 어렵고, 특히 서비스 계정은 Active Directory에서 기본적으로 플래그를 지정하지 않기 때문에 더욱 찾기 어렵습니다. 진짜 위험은 관리자 권한을 여전히 보유하고 있는, 즉 휴면 상태이고 감시되지 않으며 완전히 유효한 계정입니다.
기존 자격 증명 상황을 더욱 악화시킬 뿐입니다. 비밀번호를 한 번도 변경하지 않았다는 것은 과거에 발생한 계정 침해 사고가 여전히 유효하다는 것을 의미하며, 만료되지 않는 비밀번호는 침해 데이터베이스에 나타나는 가장 흔한 보안 취약점입니다. 어떤 비밀번호는 몇 년 전에 설정되어 핵심 서비스와 연결되어 있어 아무도 감히 수정하지 못합니다.
방법 Silverfort 도움이인증 활동을 지속적으로 분석함으로써, Silverfort ISPM은 최근 활동이 없는 오래된 사용자를 자동으로 식별합니다. 또한, 비밀번호가 변경되지 않았거나 만료되지 않은 비밀번호, 관리자 권한이 있는 오래된 계정 등 관련 자격 증명 노출 문제도 표시합니다. 각 노출 문제에 대해 Silverfort 계정 비활성화부터 재설정 강제 또는 순환 적용에 이르기까지 명확한 해결 조치를 제공합니다.
고객 사례: 앙코라 익숙한 Silverfort 분산된 AD 환경 전반에서 휴면 계정, 갱신되지 않은 암호, 관리되지 않는 ID를 찾아내어 보안 팀에게 처음으로 우선순위가 지정된 정리 목록을 제공합니다.
4. SPN을 사용하여 관리자 권한을 비활성화합니다.s
서비스 주체 이름(SPN) 관리자 계정에는 공개 초대가 연결되어 있습니다. 케르베로스팅공격자는 계정의 케르베로스 티켓을 요청하고, 페이로드를 오프라인으로 가져간 다음, 암호 해시를 무차별 대입 공격합니다. 만약 해당 티켓이 RC4로 암호화되어 있다면(목록의 2번 참조), 해독 속도가 훨씬 빨라집니다. 결과적으로 일반 도메인 계정에서 권한 있는 계정으로 바로 접근할 수 있게 됩니다.
방법 Silverfort 도움이: Silverfort 네트워크 전반의 인증 이벤트를 모니터링하여 SPN이 있는 계정을 감지하고, ISPM은 Kerberosable 계정을 취약점으로 표시합니다. 권장되는 해결 방법은 해당 SPN을 검토하고 가능한 경우 그룹 관리 서비스 계정(gMSA)으로 마이그레이션하는 것입니다. Silverfort또한, 행동 분석 기능을 통해 비정상적인 SPN 활동, 예를 들어 비정상적인 접근 요청이나 권한 상승 시도 등을 실시간으로 감지할 수 있습니다.
고객 사례: 대규모 의료 서비스 제공자의 환경에서 Silverfort 고객이 존재조차 몰랐던 SPN을 가진 관리자 계정 8개를 발견했습니다. 해당 계정을 삭제함으로써 Kerberoasting 공격에 대한 노출을 줄였습니다.
5. PrintNightmare를 제거하세요
PrintNightmare는 Windows 인쇄 스풀러 서비스의 심각한 취약점으로, 원격 코드 실행을 허용하여 무단 액세스 또는 시스템 손상으로 이어질 수 있습니다. 패치를 적용한 후에도 영향을 받는 시스템은 비정상적인 인증 요청을 계속 생성하여 쉽게 간과될 수 있습니다.
방법 Silverfort 도움이: Silverfort PrintNightmare는 인증 이벤트와 비정상적인 서비스 동작을 분석하여 감지하고, 잘못된 인쇄 스풀러 인증이 발생할 때마다 조사 및 해결을 위한 경고를 보냅니다. Microsoft의 지침은 전체 해결 방법을 안내하지만, Silverfort 문제가 있는 네트워크 패킷 캡처는 인증 오류를 바로 보여주므로 완전히 건너뛰셔도 됩니다.
고객 사례: 미국의 한 대규모 교육청이 PrintNightmare 취약점을 이용한 공격 시도를 탐지했습니다. Silverfort모니터링 결과, 개선 조치 후 해당 조직은 불필요한 인증 횟수를 70% 줄여 보안과 효율성을 모두 회복했습니다.
치료 Active Directory 신원 보안 제어 표면으로서
공격자들이 AD의 동일한 취약점을 계속해서 악용하는 이유는 AD가 실제로는 매우 중요한 인프라임에도 불구하고 마치 오래된 시스템처럼 취급되는 경우가 너무 많기 때문입니다. 올바른 인식을 갖기 위해서는 강력한 보안 위생을 구축하는 것이 첫 번째 단계입니다. 모든 ID와 인증 내역을 파악하고 모든 취약점을 사전에 해결할 수 있다면, AI 기반 공격자가 악용할 수 있는 경로를 줄일 수 있습니다.
하지만 위생 관리만으로는 누군가가 악용하기 전에 모든 것을 찾아 수정할 시간이 있다고 가정할 수 있는데, AI 공격은 그 시간을 훨씬 단축시킵니다. 그렇기 때문에 위생 관리 프로그램을 뒷받침하는 가시성이 AI 공격에도 필수적입니다. Silverfort런타임 제어 기능에는 MFA, Just-in-Time 액세스 및 가상 펜싱이 인증 시점에 인라인으로 적용되는 기능이 포함됩니다. 전에 접근이 허용되었습니다.
Active Directory 보안 상태를 4분 안에 확인할 수 있습니다.. 받아 Active Directory 보안 준비 상태 평가 개인별 준비도 점수를 동료들과 비교하여 평가하고, 실행 가능한 맞춤형 권장 사항을 받아보세요.
대화를 통해 해결하는 것을 선호하시나요? 전문가에게 문의하세요.
