사이버 보안의 발전으로 위협 모니터링 시스템은 범죄자의 비정상적인 활동을 탐지할 수 있게 되었습니다. 이러한 첨단 도구를 극복하기 위해 해커들은 이제 악의적인 목적으로 승인된 사용자의 합법적인 표준 상태와 접근 권한을 악용하고 있습니다.
해커는 골든 티켓 공격을 통해 단서를 제공하지 않고도 데이터에 무제한으로 접근할 수 있습니다. 그렇게 하면 해커는 여러분과 거의 동일한 접근 권한을 갖게 됩니다. 공격자가 이런 권한을 갖는 것은 위험하지 않나요? 어떻게 막을 수 있는지 알려드리겠습니다. 확인해 보세요. 파일 보안이란 무엇인가요? 기기에 있는 파일을 어떻게, 왜 보호해야 하나요?.
로압 스리유에스
골든 티켓 공격이란 무엇인가요?
이 맥락에서 골든 티켓은 무제한 접근 권한을 의미합니다. 티켓을 소지한 범죄자는 데이터, 애플리케이션, 파일 등 계정의 모든 구성 요소에 접근할 수 있습니다. 골든 티켓 공격은 공격자가 네트워크를 침해하기 위해 무제한 접근 권한을 얻는 것을 의미합니다. 공격자가 할 수 있는 일에는 제한이 없습니다.
골든 티켓 공격은 매우 파괴적일 수 있습니다. 해커는 이를 악용하여 데이터를 훔치고, 시스템을 마비시키거나, 심지어 민감한 시스템을 손상시킬 수도 있습니다. 골든 티켓 공격에 대해 인지하고 이를 방지하기 위한 조치를 취하는 것이 중요합니다.
골든 티켓 공격은 어떻게 작동하나요?
Active Directory(AD)는 도메인 규모 네트워크를 관리하기 위한 Microsoft의 이니셔티브입니다. AD에는 사용자의 적법성을 검증하는 인증 프로토콜인 Kerberos 키 배포 센터(KDC)가 있습니다. KDC는 권한이 있는 사용자에게만 고유한 TGT(티켓 부여 유형)를 생성하고 배포하여 AD를 보호합니다. 이 암호화된 티켓은 사용자가 네트워크에서 악의적인 활동을 수행하는 것을 방지하고 탐색 세션을 특정 시간(일반적으로 10시간 이내)으로 제한합니다.
AD에서 도메인을 생성하면 자동으로 KRBTGT 계정이 생성됩니다. 골든 티켓 공격자는 다음과 같은 방법으로 AD 도메인 컨트롤러를 조작하기 위해 계정 데이터를 손상시킵니다.
정보 수집
공격자는 사용자 계정 정보, 특히 정규화된 도메인 이름(FQDN), 보안 식별자, 비밀번호 해시 정보를 수집하는 것으로 시작합니다. 피싱 기법을 사용하여 데이터를 수집하거나, 더 나아가 기기를 악성코드에 감염시켜 직접 정보를 수집할 수도 있습니다. 무차별 대입 공격을 사용하여 정보를 수집할 수도 있습니다.
티켓 위조
위협 행위자는 로그인 자격 증명을 사용하여 계정에 로그인할 때 Active Directory 데이터를 볼 수 있지만, 이 단계에서는 어떤 활동도 수행할 수 없습니다. 도메인 컨트롤러에 대한 합법적인 티켓을 생성해야 합니다. KDC는 KRBTGT 암호 해시를 사용하여 생성하는 모든 티켓을 암호화하므로, 공격자는 NTDS.DIT 파일을 훔치거나, DCSync 공격을 실행하거나, 엔드포인트의 취약점을 악용하는 등의 방법으로 동일한 작업을 수행해야 합니다.
장기 접근 유지
KRBTGT 비밀번호 해시를 얻으면 해커가 시스템에 무제한으로 접근할 수 있으므로, 해커는 이를 최대한 활용합니다. 그들은 서둘러 떠나지 않고, 발각되지 않은 채 백그라운드에 숨어 데이터를 위험에 빠뜨립니다. 심지어 의심을 받지 않고 최고 권한의 사용자로 가장할 수도 있습니다. 확인해 보세요. 의료기관을 겨냥한 사이버 공격: 발생 원인과 대처 방안.
골든 티켓 공격을 예방하는 방법
골든 티켓 공격은 해커가 다양한 활동을 자유롭게 수행할 수 있기 때문에 가장 위험한 사이버 공격 중 하나입니다. 다음과 같은 사이버 보안 조치를 통해 골든 티켓 공격 발생을 최소화할 수 있습니다.
1. 관리자 자격 증명을 비공개로 유지하세요
대부분의 다른 공격과 마찬가지로, 골든 티켓 공격은 범죄자가 민감한 계정 자격 증명을 획득하는 능력에 의존합니다. 접근 가능한 사용자 수를 제한하여 주요 데이터를 보호해야 합니다.
가장 중요한 자격 증명은 관리자 계정에서 찾을 수 있습니다. 네트워크 관리자는 관리자 계정의 접근 권한을 최소한으로 제한해야 합니다. 더 많은 사람이 관리자 권한에 접근할수록 시스템은 더 큰 위험에 노출됩니다.
2. 피싱 시도를 식별하고 저항하세요
관리자 권한을 제한하는 것은 자격 증명 도용을 방지하는 한 가지 방법입니다. 이 창을 차단하면 해커는 다음과 같은 다른 방법을 사용할 수 있습니다. 피싱 공격피싱은 기술적인 문제라기보다는 심리적인 문제이므로, 이를 감지하려면 미리 정신적으로 준비해야 합니다.
나를 알게 다양한 피싱 시나리오 및 기술가장 중요한 것은, 낯선 사람이 본인 또는 계정의 개인 식별 정보를 요구하는 메시지를 조심하는 것입니다. 일부 범죄자는 사용자의 신원 정보를 직접 요구하지 않고 감염된 이메일, 링크 또는 첨부 파일을 보낼 수 있습니다. 내용을 확신할 수 없다면 열지 마세요.
3. Zero Trust 보안을 통한 Active Directory 보안
해커가 골든 티켓 공격을 수행하는 데 필요한 중요한 정보는 Active Directory 디렉터리에 있습니다. 안타깝게도 엔드포인트 취약점은 언제든 나타날 수 있으며, 사용자가 알아차리기도 전에 지속될 수 있습니다. 하지만 취약점이 존재한다고 해서 반드시 시스템에 해를 끼치는 것은 아닙니다. 해커가 취약점을 파악하고 악용할 때 오히려 해를 끼칠 수 있습니다.
사용자가 데이터를 위험에 빠뜨릴 수 있는 활동에 참여하지 않을 것이라고 보장할 수는 없습니다. 권한 또는 상태와 관계없이 네트워크를 방문하는 사람들의 보안 위험을 관리하기 위해 제로 트러스트 보안을 구현하세요. 모든 사람의 행동이 데이터를 위험에 빠뜨릴 수 있으므로 모든 사람을 위협으로 간주하세요. 제로 지식 보안이란 무엇이고 오늘날 왜 중요한가요?
4. KRBTGT 계정 비밀번호를 정기적으로 변경하세요.
KRBTGT 계정 비밀번호는 공격자가 네트워크에 침투할 수 있는 황금 티켓과 같습니다. 비밀번호를 안전하게 보호하면 비밀번호와 계정 사이에 장벽이 형성됩니다. 범죄자가 비밀번호 해시를 복구하여 시스템에 이미 접근했다고 가정해 보겠습니다. 기본 침입 기간은 비밀번호의 유효성에 따라 달라집니다. 비밀번호를 변경하면 공격자는 시스템을 작동시킬 수 없습니다.
골든 티켓 공격자가 시스템에 있다는 사실을 모르는 경우가 많습니다. 공격이 의심되지 않더라도 정기적으로 암호를 변경하는 습관을 들이세요. 이 한 번의 작업으로 이미 계정에 접근 권한이 있는 무단 사용자의 접근 권한이 취소됩니다.
Microsoft는 특히 무단 접근을 시도하는 범죄자를 막기 위해 사용자에게 KRBTGT 계정 비밀번호를 정기적으로 변경할 것을 권고합니다. 어디서나 Wi-Fi 라우터에 안전하게 액세스하는 방법.
5. 인간 위협 모니터링 도입
시스템에 위협이 있는지 적극적으로 검사하는 것은 골든 티켓 공격을 탐지하고 억제하는 가장 효과적인 방법 중 하나입니다. 이러한 공격은 비침투적이고 백그라운드에서 작동하기 때문에 표면적으로는 정상적으로 보일 수 있지만, 침해 사실을 인지하지 못할 수도 있습니다.
골든 티켓 공격의 성공은 범죄자가 권한 있는 사용자처럼 행동하여 특권 접근 권한을 악용할 수 있는 능력에 달려 있습니다. 즉, 자동화된 위협 모니터링 도구는 이러한 활동이 흔하지 않기 때문에 탐지하지 못할 수 있습니다. 이러한 활동을 탐지하려면 인간의 위협 모니터링 기술이 필요합니다. 인간은 침입자가 합법적인 주체인 것처럼 가장하더라도 의심스러운 활동을 식별할 수 있는 육감을 가지고 있기 때문입니다. 챌린지 및 응답 인증 메커니즘(CRAM)은 무엇이고 왜 중요한가요?
골든 티켓 공격으로부터 민감한 자격 증명 세부 정보 보호
사이버 범죄자들이 골든 티켓 공격을 통해 귀하의 계정에 무제한으로 접근하려면 귀하의 취약점이 필요합니다. 예상치 못한 보안 취약점이 발생하는 한, 조기에 취약점을 완화하기 위한 조치를 취할 수 있습니다.
기본 자격 증명, 특히 KRBTGT 계정 비밀번호 해시를 안전하게 보호하면 해커가 계정을 침해할 수 있는 방법이 매우 제한됩니다. 기본적으로 네트워크는 사용자가 제어합니다. 공격자는 사용자의 보안 허점을 이용하여 공격 기회를 노립니다. 그들에게 기회를 주지 마세요. 지금 바로 확인해 보세요. 온라인에서 안전을 유지하기 위해 따라야 할 행동 안전 지침.
