랜섬웨어의 먹잇감, MICROSOFT AD 환경의 기업 네트워크: 왜 해커는 AD를 핵심 표적으로 할까?

요즘 기업들을 가장 두렵게 만드는 사이버 위협 중 하나는 단연 '랜섬웨어'일 것입니다. 중요한 데이터를 암호화하고 돈을 요구하는 악랄한 공격이죠.

 

그런데 많은 기업들이 사용하고 있는 MICROSOFT Active Directory (AD) 환경이 이런 랜섬웨어 공격에 특히 취약할 수 있다는 사실을 알고 계셨나요?

 

오늘은 MICROSOFT AD 환경의 기업 네트워크가 왜 랜섬웨어의 쉬운 먹잇감이 되는지, 그 구조적인 취약점들을 보고자 합니다.

 

 

MICROSOFT AD, 왜 랜섬웨어에 취약할까요? 핵심은 '중앙 집중화'와 '오용 가능성'

 

MICROSOFT AD는 기업 네트워크에서 사용자, 컴퓨터, 그룹, 정책 등을 중앙에서 관리하는 핵심 인프라입니다. 편리함과 효율성 때문에 대부분의 기업이 AD를 도입하고 있죠. 하지만 바로 이 '중앙 집중화'와 특정 기능들의 '오용 가능성'이 랜섬웨어 공격자들에게는 매력적인 목표가 됩니다.

 

 

1. 중앙 집중화된 권한 관리: "한 번의 성공이 모든 것을 무너뜨린다"

 

AD는 모든 사용자 및 컴퓨터에 대한 인증 및 권한을 관리합니다. 공격자가 AD를 장악하면, 네트워크 내의 모든 시스템에 접근하여 랜섬웨어를 배포할 수 있는 막강한 권한을 얻게 됩니다

• 도메인 관리자(Domain Admin) 계정의 치명적인 매력: 도메인 관리자 계정은 AD 환경의 모든 것을 제어할 수 있는 최상위 권한을 가집니다. 만약 이 계정이 탈취된다면, 공격자는 네트워크 전체에 랜섬웨어를 삽시간에 퍼뜨릴 수 있습니다. 많은 기업들이 편의상 도메인 관리자 계정을 너무 광범위하게 사용하거나, 심지어 일반 사용자 계정과 동일한 워크스테이션에서 로그인하는 경우가 있는데, 이는 매우 위험한 행동입니다.
• SID History 및 AdminSDHolder의 오용: AD는 SID History를 통해 사용자의 과거 보안 식별자를 유지할 수 있고, AdminSDHolder는 특권 그룹의 권한을 보호하는 데 사용됩니다. 하지만 이 기능들도 공격자가 특정 권한을 유지하거나, 승격된 권한을 획득하는 데 악용될 수 있습니다.

 

2. GPO(Group Policy Object)의 양면성: "편리한 배포 도구가 악성코드 배포 도구로"

GPO는 AD 환경에서 사용자 및 컴퓨터 설정을 중앙에서 관리하고 배포하는 강력한 도구입니다. 보안 정책부터 소프트웨어 설치까지 광범위하게 활용되죠. 하지만 바로 이 강력한 배포 능력이 랜섬웨어에게는 양날의 검이 됩니다.

• 악성코드 배포의 용이성: 공격자가 AD를 장악하면, GPO를 이용하여 네트워크 내 모든 컴퓨터에 랜섬웨어 실행 파일을 배포하고, 특정 시간에 실행되도록 스케줄링할 수 있습니다. 정상적인 시스템 관리 도구가 악성코드 배포의 통로가 되는 셈입니다.
• 보안 설정 무력화: GPO를 통해 안티바이러스 프로그램 비활성화, 방화벽 설정 변경 등 보안 설정을 무력화하는 명령을 내려 랜섬웨어의 공격을 더욱 쉽게 만들 수도 있습니다.

 

3. Kerberos 인증 프로토콜의 취약점: "황금 티켓과 은빛 티켓"

 

AD는 Kerberos를 주 인증 프로토콜로 사용합니다. Kerberos는 강력한 인증 방식이지만, 특정 취약점이 존재하며, 공격자들은 이를 악용하여 네트워크 내에서 자유롭게 움직일 수 있습니다.

• Golden Ticket 공격: 공격자가 도메인 컨트롤러의 KRBTGT 계정(Kerberos Ticket Granting Ticket) 해시를 획득하면, 위조된 TGT(Ticket Granting Ticket)를 생성하여 네트워크 내의 어떤 서비스에도 접근할 수 있는 '황금 티켓'을 만들 수 있습니다. 이는 사실상 도메인 전체를 장악하는 것과 다름없습니다.
• Silver Ticket 공격: 특정 서비스의 서비스 계정 해시를 획득하면, 해당 서비스에만 유효한 위조된 서비스 티켓(TGS)을 생성하여 해당 서비스에 접근할 수 있는 '은빛 티켓'을 만들 수 있습니다.
• Kerberoasting: 서비스 계정의 SPN(Service Principal Name)을 이용하여 패스워드 해시를 추출하고 오프라인으로 크랙하여 서비스 계정의 권한을 획득하는 공격 기법입니다.

 

4. 레거시 시스템 및 설정: "오래된 구멍들이 새로운 위협을 부른다"

 

많은 기업들이 AD를 오랫동안 사용해 왔기 때문에, 과거에 설정되었던 취약한 정책이나 사용되지 않는 계정들이 방치되어 있는 경우가 많습니다.

• 취약한 비밀번호 정책: 강력한 비밀번호 정책이 적용되지 않았거나, 주기적인 비밀번호 변경이 이루어지지 않아 공격자가 쉽게 크랙할 수 있는 계정들이 존재할 수 있습니다.
• 사용하지 않는 계정 및 그룹: 퇴사자 계정이나 사용되지 않는 관리자 그룹 등이 삭제되지 않고 남아있는 경우, 공격자가 이를 악용하여 침투 경로를 확보하거나 권한을 유지할 수 있습니다.
• 패치 관리 미흡: AD 서버를 포함한 도메인 컨트롤러에 대한 최신 보안 패치 적용이 지연될 경우, 알려진 취약점을 통해 공격자가 침투할 수 있는 빌미를 제공하게 됩니다.
• 외부 인증연동에 관리자 계정사용: 특히 SSLVPN과 같은 외부 인증 연동 시스템에 AD 관리자 계정을 그대로 사용하는 경우, 해당 연동 시스템의 보안 취약점을 통해 AD 관리자 계정이 유출될 위험이 있습니다. 이는 곧 AD 전체에 대한 공격으로 이어질 수 있는 심각한 문제입니다.

 

5. 보안 모니터링 및 로깅의 부재: "무슨 일이 일어났는지도 모른다면"

 

많은 기업들이 AD에 대한 충분한 보안 모니터링 및 로깅 시스템을 갖추고 있지 않습니다.

• 비정상적인 로그인 시도 감지 부족: Brute-force 공격이나 패스워드 스프레이 공격 등 비정상적인 로그인 시도를 실시간으로 감지하고 차단하는 시스템이 미흡한 경우가 많습니다.
• 권한 상승 및 GPO 변경 로그 분석 부족: AD 환경에서 발생하는 권한 상승 시도, GPO 변경, 계정 생성/삭제 등 중요한 보안 이벤트에 대한 로그를 수집하고 분석하는 시스템이 부족하여 공격자의 행위를 제때 탐지하기 어렵습니다.

 

결론: AD 보안은 곧 기업 네트워크 보안의 핵심

 

MICROSOFT AD 환경은 기업 네트워크의 중추적인 역할을 합니다. 하지만 위에서 언급된 취약점들을 간과한다면, 랜섬웨어 공격자들에게는 매우 매력적인 목표가 될 수밖에 없습니다.

 

기업들은 AD의 구조적인 취약점을 명확히 인지하고, 다음과 같은 보안 강화 방안들을 적극적으로 도입해야 합니다.

• 최소 권한 원칙 적용: 도메인 관리자 계정의 사용을 최소화하고, 필요한 최소한의 권한만을 부여합니다.
• 강력한 비밀번호 정책 및 다단계 인증(MFA) 도입: 모든 계정에 대해 강력한 비밀번호와 MFA를 의무화합니다.(예: OTP)
• GPO 보안 강화: GPO 변경 이력을 철저히 관리하고, 비인가된 GPO 변경 시도를 탐지와 File Integrity Monitoring (FIM) 도구를 통해 SYSVOL 내 GPO 스크립트 무결성 확인합니다. (예: Tripwire, OSSEC, Wazuh)
• 외부 연동시스템 보안 강화: SSLVPN과 같은 외부 연동 시스템에서는 AD 관리자 계정 대신 별도의 계정을 사용하여 접근 권한을 관리해야 합니다.     
• Kerberos 공격 방어: KRBTGT 계정 관리 강화, 서비스 계정 비밀번호 주기적 변경 등 Kerberos 공격 방어 대책을 수립합니다.
• 정기적인 보안 감사 및 취약점 점검: AD 환경에 대한 정기적인 보안 감사와 취약점 점검을 통해 숨겨진 취약점을 찾아내고 개선합니다.
• 고급 위협 탐지 및 대응 (EDR/XDR) 솔루션 도입: AD에서 발생하는 비정상적인 행위를 실시간으로 탐지하고 대응할 수 있는 솔루션을 도입합니다. (예: Emsisoft EDR)
• 로그 모니터링 및 관리: 상시 로그 모니터링 및 추척 관리를 할 수 있는 SIEM 솔루션을 도입합니다.(예: ELK)
• 백업 및 복구 전략: 만약의 사태에 대비하여 AD 데이터 및 중요 시스템에 대한 정기적인 백업과 신속한 복구 전략을 수립합니다.

 

랜섬웨어로부터 기업 네트워크를 안전하게 지키기 위해서는 MICROSOFT AD 환경의 보안에 대한 깊은 이해와 지속적인 관심이 필수적입니다. 안전한 디지털 환경을 위해 지금 바로 AD 보안 상태를 점검해 보세요!