DX 전문기업 LG CNS가 오는 26일 웨비나에서 ‘보안 취약점 심층분석 보고서’를 공개한다고 9일 밝혔다.

LG CNS의 보안 전문 팀 ‘퍼플랩(Purple Lab)’은 이 보고서에서 글로벌 위협 인텔리전스(Threat Intelligence, TI) 빅데이터를 참고한 10개의 대표 액티브 디렉터리(Active Directory, AD) 공격 기법을 분류했다.

이를 토대로, LG CNS는 퍼플랩의 레드팀(Red Team)이 공격하고 블루팀(Blue Team)이 방어하는 모의 훈련을 진행해 10개의 시나리오와 시나리오별 보안 대응책을 보고서에 담았다.

이번 보고서에서 LG CNS는 많은 해커들이 공격 대상으로 삼는 AD 취약점에 대해 다뤘다. 기업들은 AD를 활용해 기업 내부 구성원들의 사용자 계정과 권한을 중앙에서 관리한다.

따라서 해커가 AD를 장악하게 되면, 기업 구성원들의 계정을 도용해 내부 기밀 데이터를 손쉽게 탈취할 수 있으며, 기업의 여러 시스템에 침투해 바이러스를 심고 시스템을 중단시킬 수 있다.

LG CNS가 꼽은 주요 AD 공격 기법으로 ▲커버로스팅(Kerberoasting) 공격 ▲디시싱크(DCSync) 공격 ▲모니커링크 취약점 공격 ▲패스더해시(Pass-the-Hash) 공격 ▲골든티켓(Golden Ticket) 공격 등 10개다.

커버로스팅 공격은 AD 네트워크에서 공유폴더, 데이터베이스 등의 서비스를 이용하기 위해 사용자가 발급받는 티켓(허가권)을 공격해 취약한 계정의 비밀번호를 획득하는 것이다. 티켓은 사용자 계정의 비밀번호를 조합해 만들어진다.

이 공격은 A가 B의 스마트폰을 탈취해(커버로스 티켓 발급 요청) 스마트폰 잠금 해제를 시도하고(해커의 티켓 공격) 비밀번호를 알아내면 스마트폰 데이터에 접근(계정 권한으로 시스템 접근)하는 것과 같다.

이를 방어하기 위해서 ▲대문자, 특수기호 등을 포함한 8자리 이상의 복잡한 비밀번호 사용 ▲최소한 90일마다 주기적인 비밀번호 변경 ▲비밀번호 취약점 지속 모니터링 등이 필요하다.

디시싱크 공격은 해커가 도메인 컨트롤러(DC)와 동일한 권한을 갖고 있는 것처럼 행동해 도메인 컨트롤러 간 동기화 요청을 수행하고, 기업의 민감 정보에 접근을 시도하는 것을 뜻한다.

도메인 컨트롤러는 사용자 자격 증명 업데이트와 같은 변경 사항을 동기화하기 때문에 도메인 복제 권한을 갖고 있다. 따라서 디시싱크 공격을 하게 되면 도메인 컨트롤러로 가장해 기업의 민감 정보를 복제하고, 모든 도메인 유저의 계정 정보를 획득하게 될 수 있다.

모니커링크 공격은 CVE-2024-21413이라는 취약점을 이용하며, 문자열에 느낌표 하나를 추가하는 것만으로도 익스플로잇이 가능하다.

이 취약점은 MkParseDisplayName이라는 API의 문제로 인해 발생하며, 이를 통해 공격자는 Office Protected View 기능을 무력화시킬 수 있다. 결과적으로 사용자는 악성 콘텐츠에 노출될 위험도가 높아지며, 원격 코드 실행 공격도 가능하다.

패스더해시 (Pass-the-Hash) 공격은 해커가 사용자의 비밀번호 해시 값을 탈취하여 이를 이용해 인증을 우회하는 공격 기법이다. 이 공격은 주로 윈도우 환경에서 발생하며, 해커가 시스템에 접근한 후 관리자 권한을 획득하기 위해 사용된다.

주요 특징으로, 해커는 사용자의 실제 비밀번호를 알 필요 없이 해시 값을 이용해 인증을 우회하고 탈취한 해시 값을 이용해 관리자 권한을 획득한다. 이를 통해 시스템 전체에 접근할 수 있으며, 한 시스템에서 다른 시스템으로 이동하며 공격을 확장할 수 있다.

골든티켓 공격은 커버로스(Kerberos) 인증 프로토콜의 취약점을 악용하는 공격 기법으로, 공격자는 도메인 컨트롤러의 KRBTGT 계정의 해시 값을 탈취해 유효한 커버로스 티켓을 위조한다.

공격자는 위조된 티켓을 사용해 도메인 내의 거의 모든 리소스에 접근할 수 있으며, 한 번 성공하면 장기간에 걸쳐 시스템에 접근할 수 있다.

한편, 보안 전문가들은 해커의 공격 흔적을 찾아 후속 공격을 방어하기 위해 ▲주체 계정 ▲개체 서버 ▲이벤트로그 속성까지 모두 검토해야 한다고 전했다.

일반적으로 해커들은 여러 개의 취약점을 동시에 공격한다. LG CNS는 보고서에서 이와 같은 APT나 DDoS 등의 해커들의 지능화된 AD 공격으로 발생할 수 있는 기업 내부 데이터 유출 위험성에 대해 경고하고 있다.

따라서 복잡하고 동시다발적인 해커들의 AD 공격을 방어하기 위해서 기업들은 전문 보안 기업에게 컨설팅을 받고, 모의 해킹 방어훈련도 주기적으로 해야 한다고 전했다.

LG CNS는 웨비나를 통해 ‘보안 취약점 심층분석 보고서’를 상세 소개하고, AD 보안 강화 전략을 수립하는 방법에 대해 논의할 예정이다. 보고서는 26일부터 다운로드 받을 수 있다.

LG CNS 보안/솔루션사업부장 배민 상무는 “해커들의 공격 대상이 내부망인 AD로 변화하는 추세”라며 “LG CNS는 ‘AD 보안 취약점 진단 컨설팅’ 및 ‘모의침투 테스트’ 서비스를 통해 기업 고객들에게 차별적인 사이버보안 전략을 제공하고 있다.”라고 전했다.