DCShadow 공격 – 작동 방식, 실제 사례 및 방어 전략

DCShadow란 무엇인가요?

DCShadow는 Active Directory(AD) 공격에 사용되는 고급 후속(포스트 익스플로잇) 기법입니다. 이는 보안 연구자 Benjamin Delpy(Mimikatz의 제작자)와 Vincent Le Toux에 의해 처음으로 공개적으로 알려졌습니다.

DCShadow 공격 기법은 포스트 익스플로잇 도구인 Mimikatz의 lsadump 모듈 일부입니다. 이 기법을 통해 공격자는 Domain Admin 또는 Enterprise Admin 권한을 가진 상태에서 AD 환경 내에 악의적인(rogue) 도메인 컨트롤러(DC)를 등록할 수 있습니다. 등록이 완료되면 공격자는 AD 데이터베이스(NTDS.dit)에 임의의 변경 사항을 직접 주입할 수 있습니다. 이 공격은 다음과 같은 민감한 속성을 은밀하게 수정하는 데 사용됩니다:

• SIDHistory
• userAccountControl
• adminCount
• 그룹 멤버십

이러한 변경 사항은 AD의 기본 복제 메커니즘을 통해 전파되며, 신뢰할 수 있는 DC에서 온 정당한 업데이트로 처리됩니다. 그 결과 일반적인 감사 및 보안 로깅 메커니즘이 우회되어 탐지가 어렵습니다.

새로운 인사이트

DCShadow는 소프트웨어 결함이나 취약점을 악용하지 않습니다. 대신 Active Directory 아키텍처에 내장된 고유한 신뢰 및 복제 메커니즘을 활용합니다. 따라서 이를 패치할 수 없습니다. 그러므로 DCShadow를 완화하려면 엄격한 운영 통제가 필요합니다.

DCShadow는 어떻게 작동하나요?

필수 조건

DCShadow를 실행하기 전에 공격자는 다음을 갖춰야 합니다.

• 도메인에 연결된 컴퓨터에서의 SYSTEM 수준 권한(반드시 DC일 필요는 없음).
• AD 복제 프로세스와 상호 작용하기 위한 Domain Admin 또는 Enterprise Admin 자격 증명.
• lsadump::dcshadow 모듈을 제공하는 Mimikatz에 대한 액세스 권한.
• AD 복제 메커니즘에 대한 충분한 이해.

공격 경로

DCShadow는 공격자가 가짜(악성) 도메인 컨트롤러를 시뮬레이션한 다음 복제(replication) 프로세스를 통해 AD에 무단 변경을 직접 주입할 수 있도록 함으로써 작동합니다. 공격자는 SYSTEM 권한과 Domain Admin 권한을 확보한 뒤, Mimikatz 같은 도구를 사용해 가짜 DC를 등록하고 AD 특성(애트리뷰트)에 대한 수정 사항을 작성한 다음, 그 변경을 AD 데이터베이스로 전송합니다. 작업이 완료되면 흔적을 지우기 위해 가짜 DC를 제거합니다. 이후 수개월 동안 공격자는 백도어 계정을 사용해 시스템에 접근하고 민감한 데이터를 수집하는데, 이 모든 과정에서 기존 SIEM 알림과 AD 감사 로그를 우회합니다.

다음은 공격 프로세스를 단계별로 살펴본 안내입니다.

DCShadow는 어떻게 작동하나요?

사전 요구 사항

DCShadow를 실행하기 전에 공격자는 다음을 갖춰야 합니다:

• 도메인에 조인된 컴퓨터에서의 SYSTEM 수준 권한(반드시 DC일 필요는 없음).
• AD 복제 프로세스와 상호작용하기 위한 Domain Admin 또는 Enterprise Admin 자격 증명.
• lsadump::dcshadow 모듈을 제공하는 Mimikatz에 대한 액세스 권한.
• AD 복제 메커니즘에 대한 충분한 이해.

공격 벡터

DCShadow는 공격자가 악성(rogue) 도메인 컨트롤러를 시뮬레이션한 다음 복제(replication) 프로세스를 통해 AD에 권한 없이 변경 사항을 직접 주입할 수 있게 함으로써 작동합니다. 공격자는 SYSTEM 권한과 Domain Admin 권한을 획득한 뒤, Mimikatz 같은 도구를 사용해 악성 DC를 등록하고 AD 속성에 대한 수정 사항을 만든 다음 해당 변경 사항을 AD 데이터베이스로 전송합니다. 작업이 완료되면 흔적을 지우기 위해 악성 DC를 제거합니다. 이후 수개월에 걸쳐 공격자는 백도어 계정을 사용해 시스템에 접근하고 민감한 데이터를 수집하는데, 이 모든 과정에서 기존 SIEM 경보와 AD 감사 로그를 우회합니다.

다음은 공격 프로세스를 단계별로 살펴본 내용입니다.

1. SYSTEM 권한으로 권한 상승

공격자는 먼저 도메인에 연결된(인증된) 머신을 침해한 뒤, Mimikatz 같은 도구 또는 기타 권한 상승 기법을 사용해 권한을 SYSTEM으로 상승시킵니다.

Mimikatz를 사용하여 권한을 SYSTEM으로 상승시키기:

      privilege::debug

!+

!ProcessToken
      

이렇게 하면 해당 프로세스가 Local Security Authority (LSA)와 상호 작용하고 복제 서비스를 등록할 수 있습니다.

2. Rogue Domain Controller 등록하기

Mimikatz의 lsadump::dcshadow 모듈을 사용하면 공격자는 손상된 도메인 연결 머신을 임시로 rogue DC(악의적 도메인 컨트롤러)로 등록할 수 있습니다. 이는 프로그래밍 방식으로 다음을 수행함으로써 이루어집니다:

• 서비스 프린시펄 이름(Service Principal Names, SPNs)을 수정하여 해당 머신이 DC로 인식되게 만들기.
• msDS-HasDomainNC, msDS-HasFullReplicaNCs 및 기타 복제 관련 속성을 수정합니다.
• 구성(Configuration) 파티션 아래에 NTDS Settings 같은 필요한 AD 개체를 생성합니다.

3. 속성 수정 준비

공격자는 다음과 같은 AD 개체 변경을 준비합니다.

• 기존 SID를 통해 권한을 얻기 위해 SIDHistory를 추가합니다.
• adminCount를 수정해 보호를 우회합니다.
• Domain Admins 같은 민감한 그룹에 계정을 추가합니다.

이러한 변경 사항은 다음과 같은 Mimikatz 명령을 사용해 준비(스테이징)됩니다:

      lsadump::dcshadow /object:User1 /attribute:SIDHistory /value:S-1-5-21-...
      

4. 복제를 통해 변경 사항 푸시

공격자는 다음 명령을 사용해 표준 복제 프로토콜을 통해 준비(스테이징)된 변경 사항을 Active Directory에 푸시하며, 실제 도메인 컨트롤러가 해당 변경이 정당한 DC에서 온 것처럼 이를 수용하게 만듭니다.

      lsadump::dcshadow /push
      

5. 흔적 정리

복제가 완료되면 공격자는 다음과 같이 악성 DC(rogue DC)의 모든 흔적을 제거합니다:

• SPN 삭제
• NTDS 설정 제거
• 원래 시스템 구성 복원

이는 포렌식 분석 중 탐지될 가능성을 줄여줍니다.

새로운 통찰

공격자는 지속적인 제어와 광범위한 침해를 위해 AdminSDHolder, KRBTGT, 그룹 정책 개체(Group Policy Objects, GPOs) 같은 핵심 AD 구성 요소를 자주 표적으로 삼습니다.

• AdminSDHolder를 수정하면 중요한 계정에 대한 보안 설정을 강제함으로써 높은 권한을 유지할 수 있습니다.
• KRBTGT 조작은 Golden Ticket 공격을 가능하게 하여 무기한 액세스를 제공합니다.
• GPO를 변경하면 공격자가 도메인에 연결된 모든 시스템에 악성 구성이나 스크립트를 배포할 수 있습니다.

공격 흐름도

DCShadow 공격 흐름은 위협 행위자가 정당한 AD 복제 메커니즘을 악용해 사용자 속성이나 그룹 멤버십을 수정하는 것과 같은 무단 변경을 AD 데이터베이스에 주입함으로써, 도메인에 대한 장기적이고 은밀한 제어를 가능하게 하는 방식을 보여줍니다.

다음은 이 공격의 시각적 개념입니다.

조직의 관점에서 예를 하나 살펴보겠습니다.

중견 의료기관에서 공격자는 VPN 취약점을 악용해 접근을 확보한 뒤 권한을 상승시켜 도메인 관리자(Domain Admin) 자격 증명을 탈취합니다. Mimikatz를 사용해 손상된 컴퓨터를 악성(rogue) DC로 등록하고, SIDHistory를 통해 은밀한 관리자 계정을 추가하는 등 AD에 악의적인 변경을 푸시합니다. 이러한 변경 사항은 경보를 발생시키지 않은 채 도메인 전체로 복제됩니다. 악성(rogue) DC의 흔적을 정리한 후 공격자는 장기간에 걸친 은밀한 접근을 유지하며 시간이 지나면서 민감한 환자 데이터를 유출하지만, 일반적인 보안 도구로는 탐지되지 않습니다.

DCShadow 공격의 예

DCShadow 공격의 실제 사례를 이해하면 보안 전문가들은 공격자가 복제 메커니즘을 어떻게 악용하는지, 어떤 징후를 확인해야 하는지, 그리고 이러한 위협에 대해 효과적인 방어를 어떻게 구축할 수 있는지에 대한 통찰을 얻을 수 있습니다.

DCShadow 공격의 결과

DCShadow 공격은 Active Directory 환경에 대한 고위험 위협으로, 심각한 결과를 초래합니다.

도메인 완전 장악

복제 메커니즘을 악용함으로써 DCShadow는 공격자가 합법적인 DC로 위장해 AD에 임의의 변경을 주입할 수 있도록 합니다. 이를 통해 권한을 변경하고, 권한이 높은 계정을 생성하며, 보안 설명자(security descriptor)를 수정할 수 있습니다. 공격이 성공적으로 실행되면 공격자는 도메인 관리자와 동일한 방식으로 도메인을 장악합니다.

SIEM 및 로그 기반 모니터링에서의 비가시성

DCShadow 공격은 기존 모니터링 도구의 가시성을 넘어서는 방식으로 작동할 수 있습니다. 공격은 MS-DRSR 같은 프로토콜을 사용해 정당한 DC 복제를 모방하므로, 변경은 복제 계층에서 이루어지며 표준 이벤트 로그를 트리거하지 않습니다. 그 결과, 고도화된 SIEM 플랫폼과 로그 기반 탐지 도구조차도 무단 수정 사항을 놓칠 수 있고, 공격자는 탐지되지 않은 상태로 자유롭게 활동할 수 있습니다.

관리자 비밀번호 재설정을 넘어 지속

방어자가 관리자 비밀번호를 재설정하거나 알려진 백도어를 제거하더라도, DCShadow를 사용하는 공격자는 수정된 복제 권한이나 악성 서비스 프린서펄 같은 형태로 AD에 이미 영구적인 변경 사항을 직접 삽입해 놓았을 수 있습니다. 이러한 은밀한 거점은 추적하기 어렵고, 일반적인 복구/대응 조치로는 쉽게 제거되지 않을 수 있습니다. 따라서 사고 대응이 수행된 이후에도 공격자는 다시 침투할 수 있습니다.

도메인 신뢰를 통해 권한을 확장할 잠재력

여러 도메인이 있거나 포리스트 간 신뢰 관계가 존재하는 환경에서는, DCShadow 공격을 해당 신뢰 경로를 악용하는 데 사용할 수 있습니다. 신뢰받는 계정에 영향을 주는 변경 사항을 주입하거나 신뢰 관련 속성을 변경함으로써, 공격자는 도메인 전반에 걸쳐 권한을 상승시켜 수평 이동을 수행하고, 저항을 최소화한 채 인프라의 추가 구역을 손상시킬 수 있습니다.

완전한 권한 상승과 인프라 백도어 삽입

DCShadow는 고수준 AD 권한을 조용히 부여하거나 수정할 수 있는 능력을 통해, 공격자가 완전한 권한 상승을 수행하도록 합니다. 또한 지속적인 권한을 심거나 민감한 AD 개체를 조작하거나 ACL 및 그룹 멤버십을 장기적인 은밀한 접근이 가능하도록 변경함으로써 인프라에 백도어를 심을 수도 있습니다. 이러한 변경 사항은 포렌식 수준의 조사 없이는 감사하거나 되돌리기 어렵습니다.

하이브리드 환경에서의 권한 남용

Microsoft Entra Connect와 같은 도구를 사용해 온프레미스 AD가 Microsoft Entra ID와 동기화되는 하이브리드 ID 환경에서는 DCShadow 공격이 로컬 도메인을 넘어 연쇄적인 영향을 미칠 수 있습니다. 공격자가 온프레미스 AD를 손상시키고 무단 변경을 수행하면, 구성에 따라 이러한 변경 사항이 자동으로 Microsoft Entra ID에 동기화됩니다. 그 결과 공격자는 Microsoft 365, Microsoft Entra 구독 또는 기타 연동된 SaaS 애플리케이션에서 더 높은 권한의 역할을 획득할 수 있습니다.

포리스트 전체 수준의 완전한 침해

Golden Ticket 또는 Pass-the-Ticket 같은 기법과 결합되면, DCShadow 공격은 포리스트 전체 수준의 완전한 침해로까지 확대될 수 있습니다. 이러한 강력한 조합을 통해 공격자는 Kerberos 티켓을 위조하는 동시에 AD 복제를 은밀하게 변경하여 지속성을 유지하고 권한을 상승시킬 수 있습니다. 이런 상황에서는 전체 AD 포리스트의 무결성이 위협받으며, 신뢰할 수 있는 유일한 복구 옵션으로 전체 포리스트를 다시 구축해야 하는 경우가 많습니다.

핵심 비즈니스 영역에 대한 영향

DCShadow 공격은 비즈니스의 핵심 영역 전반에 걸쳐 심각한 영향을 미칠 수 있습니다.

DCShadow 공격의 일반적인 표적: 누가 위험에 처해 있나요?

모든 Active Directory 환경은 DCShadow 공격의 위험에 노출될 수 있지만, 특정 유형의 조직은 아키텍처, 운영 규모 또는 데이터의 민감도 때문에 더 취약할 수 있습니다.

복잡한 AD 환경을 가진 대기업

광범위하고 다계층적인 AD 구조를 가진 기업은 도메인 컨트롤러와 신뢰 관계가 많을 수 있으며, 이로 인해 공격자는 악용할 수 있는 여러 진입 지점과 복제 경로를 확보할 수 있습니다.

과도한 권한 계정을 보유한 조직

특권 액세스가 제대로 통제되지 않거나 관리자 계정이 지나치게 많은 환경은 손쉬운 표적이 됩니다. 공격자는 이러한 계정을 더 쉽게 손상시켜 DCShadow 공격을 시작하고 지속성을 유지할 수 있습니다.

모니터링 및 로깅이 미흡한 기업

포괄적인 AD 복제 모니터링, SIEM 통합 또는 이상 탐지 메커니즘이 없는 기업은 위험도가 더 높습니다. DCShadow 공격은 종종 기존 로그를 우회하며, 조기 탐지를 위해서는 가시성이 필수적입니다.

정부 기관 및 주요 기반 시설

공공 부문 기관과 국가 중요 기반 시설(CNI) 운영자는 장기간 동안 은밀한 액세스를 유지하기 위해 DCShadow를 고도화된 지속 위협(APT) 캠페인의 일부로 사용할 수 있는 국가 지원 위협 행위자들의 빈번한 표적입니다.

포리스트 간 신뢰(Inter-Forest Trusts)가 있는 조직

신뢰 관계를 통해 여러 개의 AD 포리스트를 유지하는 기업은 특히 취약합니다. 한 포리스트가 침해되면 DCShadow 기법을 사용해 다른 포리스트 전반으로 권한을 상승시키는 데 악용될 수 있기 때문입니다.

가치 있는 지식재산권(IP)을 보유한 산업

항공우주, 제약, 기술 등 민감한 R&D 데이터를 보유한 분야는 고가치 표적입니다. 공격자는 경고를 유발하지 않으면서 IP를 유출하는 동시에, DCShadow를 사용해 은밀하게 액세스를 유지할 수 있습니다.

하이브리드/멀티클라우드 환경

온프레미스 AD와 Microsoft Entra ID 환경을 통합해 운영하는 조직은 영향이 장기화될 수 있습니다. DCShadow는 로컬 AD를 조작하는 데 사용될 수 있으며, 그 결과 승인되지 않은 변경 사항이 클라우드로 전파되어 침해 범위가 확대됩니다.

위험 평가

DCShadow 공격의 위험을 평가하려면 공격 가능성, 잠재적 영향, 사용된 기법의 고도성, 탐지의 어려움, 그리고 초래될 수 있는 결과의 심각도를 분석해야 합니다.

DCShadow 공격을 방지하는 방법

DCShadow 공격을 방지하려면, 특권 액세스를 제한하고 Active Directory 구성의 보안을 강화하며 승인되지 않은 복제 활동을 모니터링하는 데 초점을 둔 다층 방어 전략이 필요합니다. 다음 모범 사례는 공격 표면을 줄이고 탐지 및 대응 역량을 향상하는 데 도움이 됩니다.

Domain Admin 및 Enterprise Admin 멤버십 최소화

DCShadow 공격이 성공하려면 이러한 권한이 필요하므로, Domain Admin 또는 Enterprise Admin 권한과 같이 고도로 특권이 있는 계정을 보유한 사용자의 수를 제한하세요.

• Privileged Access Management (PAM)를 사용하여 필요할 때만 권한을 상승(상향)시켜 부여하세요.
• 사용하지 않거나 불필요한 관리자 계정을 감사하고 삭제하세요.
• 항상 유지되는 관리자 권한을 줄이고 노출 범위를 제한하기 위해 just-in-time (JIT) 액세스 모델을 사용하세요.

계층형 액세스 모델로 중요 계정 보호

Tier 0/1/2로 구분한 계층형 관리자 모델을 도입해 고권한 계정을 격리함으로써, 측면 이동 및 권한 상승의 위험을 줄이세요.

• Tier 0: 도메인 컨트롤러, 도메인 관리자 계정 — 완전히 격리
• Tier 1: 서버/워크스테이션 관리자 계정
• 2단계: 일반 사용자 환경

수준 간 자격 증명 유출을 방지하기 위해 각 티어마다 전용 계정과 워크스테이션을 사용하세요.

보안 관리 워크스테이션(SAWs) 도입

관리 작업에는 강화된 전용 워크스테이션을 사용하여 자격 증명 탈취 위험을 줄이고, Mimikatz 같은 도구가 노출된 엔드포인트에서 실행되지 않도록 하세요.

• SAWs에서 인터넷 브라우징 및 이메일 접근을 금지하세요.
• 전체 디스크 암호화를 활성화하고, 로컬 관리자 권한을 비활성화하며, 다중 인증(MFA)을 적용하세요.
• 무단 소프트웨어 또는 무단 접근 시도를 모니터링하세요.

AD 스키마 및 구성 변경 권한을 제한합니다

DCShadow는 악성 도메인 컨트롤러를 등록하려면 이러한 권한이 필요하므로, 디렉터리 스키마를 수정하거나 변경 사항을 복제할 수 있는 사람을 엄격한 권한으로 제어하세요.

• "Replicating Directory Changes" 및 "Replicating Directory Changes All" 권한을 제한하세요.
• 불필요한 스키마 관리자 역할을 비활성화하고, 이를 다시 활성화하려는 시도를 모니터링하세요.
• 그룹 정책을 사용하여 AD 스키마 또는 구성( Configuration ) 네이밍 컨텍스트에 대한 권한을 제한하세요.

SPN 생성 및 컴퓨터 개체 권한을 제한

조직 단위(OU)에 대한 권한이 잘못 구성되면 공격자가 악성(rogue) 머신을 만들고 SPN을 등록할 수 있습니다.

• 감독 없이 권한이 낮거나 일반 사용자가 서비스 사용자 이름(Service Principal Names, SPNs)을 등록하거나 도메인에 컴퓨터 개체를 생성/조인하지 못하게 하세요.
• ms-DS-MachineAccountQuota를 감사하고 제한하세요. 이 설정은 사용자가 도메인에 조인할 수 있는 머신 수를 제어합니다.
• ADRecon 또는 BloodHound 같은 도구를 사용해 SPN 등록을 이상 징후가 있는지 모니터링하세요.

호스트 기반 방화벽과 네트워크 분할 사용

적절한 분할과 방화벽 설정은 측면 이동과 복제 악용을 방지합니다.

• 도메인 컨트롤러를 나머지 네트워크와 분리하세요.
• 정상적인 도메인 컨트롤러 간에 필요한 RPC 및 LDAP 복제 포트만 허용하세요.
• 권한이 없는 호스트에서 들어오는 복제 트래픽을 차단하세요.
• 네트워크 장치에 ACL을 적용하여 도메인 컨트롤러로의/로부터의 통신을 제한하세요.

AD 변경 사항 및 복제 트래픽 감사

디렉터리 변경 사항(특히 복제 활동, 스키마 수정, 민감한 개체에 대한 권한 없는 변경)을 모니터링하고 기록하세요. 다음과 같은 비정상 이벤트를 확인하세요.

• 승인되지 않은 NTDS 설정 수정.
• Server-Reference 속성에 대한 예기치 않은 변경.

감사를 위해 이벤트 ID(예: 개체 권한 변경의 경우 4662)와 디렉터리 서비스 로그를 사용하세요.

실시간 위협 탐지 도구 배포

최신 보안 솔루션은 DCShadow 활동의 징후를 탐지할 수 있습니다.

• Microsoft Defender for Identity는 비정상적인 복제(Replication) 동작과 권한 상승(Privilege escalation)을 감지할 수 있습니다.
• SIEM 통합(예: Splunk, Sentinel)은 AD, 엔드포인트, 네트워크에서 수집한 로그를 상관 분석할 수 있습니다.
• 허니팟(hoenypot) 도메인 컨트롤러를 사용해 무단 복제(Replication) 시도를 감지하세요.

Mimikatz 및 PowerShell 사용을 격리하고 모니터링

DCShadow 공격은 일반적으로 Mimikatz와 고급 PowerShell 스크립팅을 포함합니다.

• AppLocker 또는 Windows Defender Application Control (WDAC)를 사용하여 승인되지 않은 스크립트 실행을 방지하세요.
• PowerShell Constrained Language Mode를 적용하고 스크립트 블록 로깅을 활성화하세요.
• Mimikatz와 관련된 알려진 YARA 시그니처 또는 행위 기반 탐지를 모니터링하세요.

정기적인 보안 감사 및 위생 점검을 수행하세요

공격자가 악용하기 전에 잘못된 구성이나 권한 상승을 식별할 수 있도록 AD 권한, 그룹 멤버십, 감사 정책을 정기적으로 검토하세요.

• PingCastle, ADACLScanner 또는 Purple Knight 같은 도구를 사용해 AD 보안 평가를 수행하세요.
• GPO, 위임된 권한, 그룹 멤버십, 그리고 특권 액세스 보고서를 검토하세요.
• AD 공격과 관련된 사고 대응 절차를 테스트하여 대응 준비 상태를 확인하세요.

Netwrix Support

Netwrix는 DCShadow 공격을 탐지하고 완화하는 강력한 도구를 제공합니다. PingCastle 및 Netwrix Threat Prevention와 같은 솔루션을 통해 조직은 의심스러운 활동을 식별하고 차단하는 능력을 강화할 수 있으며, Active Directory 환경의 보안과 복원력을 크게 향상시킬 수 있습니다.

Netwrix PingCastle

PingCastle은 널리 사용되는 AD 보안 감사 도구입니다. DCShadow 공격을 직접적으로 차단하진 않지만, 이러한 공격이 가능하게 만드는 조건을 파악하는 데 중요한 역할을 합니다.

• 과도한 권한을 식별합니다 — DCShadow를 시작하는 데 필요한 전제 조건인 Domain Admin, Enterprise Admin 또는 복제 권한을 가진 계정을 탐지합니다.
• 잘못된 구성을 강조합니다 — 스키마 관리자 역할, 취약한 권한 또는 복제 권한이 있는 계정에 대해 보고합니다.
• 위임 위험을 노출합니다 — 도메인 컨트롤러 또는 AdminSDHolder 같은 중요 개체에 대해 지나치게 허용적인 ACL을 찾아냅니다.
• 위험 점수화 — 공격 경로, 특권 노출, 구조적 취약점에 주목할 수 있도록 높은 수준의 보안 점수를 제공합니다.

Active Directory에서 과도한 권한, 잘못된 구성, 위임 위험을 파악하고 싶으신가요? 지금 다운로드하세요. Netwrix PingCastle 을 무료로 AD 보안 점수를 오늘 바로 확인하세요.

Netwrix Threat Prevention

Netwrix Threat Prevention은 Active Directory 환경에서 의심스러운 변경과 행위를 모니터링하고 탐지하며 경고할 수 있도록 지원합니다.

• AD 변경 사항 실시간 모니터링 — 무단 스키마 또는 복제 메타데이터 수정 여부를 감지하며, 이는 DCShadow 활동의 핵심 징후입니다.
• 능동적 방어 제어 — 승인되지 않은 복제(replication) 활동을 가로채 차단할 수 있습니다. 예를 들어, 악성(rogue) 도메인 컨트롤러 등록을 시도하거나 복제 메타데이터를 주입하려는 시도가 이에 해당합니다.
• 정책 집행 — 특정 사용자, 호스트 또는 프로세스가 특권(권한이 높은) 자격 증명을 보유하고 있더라도, 복제(replication)와 관련된 작업을 수행하지 못하도록 규칙을 구현합니다.
• 행위 기반 분석 — DCShadow에 선행하는, 특권 계정의 비정상적 사용 또는 측면 이동(lateral movement) 패턴을 식별합니다.
• 복제 이벤트 알림 — 인지되지 않은 도메인 컨트롤러 등록 또는 NTDS 설정 변경을 감시하도록 구성할 수 있습니다.

승인되지 않은 복제(replication) 시도를 차단하고 DCShadow 활동을 실시간으로 탐지하고 싶으신가요? free trial of Netwrix Threat Prevention today.

탐지, 완화 및 대응 전략

DCShadow 공격으로부터 효과적으로 방어하려면 사전 탐지, 전략적 완화, 그리고 명확하게 정의된 대응 절차를 종합적으로 적용해야 합니다.

탐지

다음 이벤트 ID를 모니터링하면 DCShadow 공격과 관련된 의심스러운 활동을 탐지하는 데 도움이 될 수 있습니다:

새로운 인사이트

• 네트워크 기반 탐지는 DCShadow 공격을 포착하는 가장 효과적인 방법 중 하나입니다. 조직은 비(非) DC 호스트에서 발생하는 DRSUAPI RPC 요청, 특히 DRSUAPI_REPLICA_ADD를 찾아야 합니다. 이러한 요청은 일반적으로 TCP 포트 135와 동적 RPC 포트(49152–65535)를 통해 전송되며, 보통은 정상적인 DC들 사이에서만 관찰됩니다. 승인되지 않은 소스에서 이러한 활동이 발생한다면 악의적인 복제 시도에 대한 강력한 징후입니다.
• 조기 경보를 위해 트립와이어 Service Principal Names (SPNs)가 설정된 허니팟 도메인 컨트롤러를 배포하세요. 이러한 미끼 시스템은 정상적인 DC를 흉내 내지만 실제 운영에는 사용되지 않습니다. 실제 서비스가 이들과 상호 작용하지 않기 때문에, 이들이 수신하는 복제 트래픽이나 SPN 쿼리는 의심스러운 것으로 플래그할 수 있습니다.

대응

DCShadow 공격을 완화하려면 AD를 강화하기 위한 선제적 접근, 관리자 권한의 제한, 복제 관련 활동에 대한 면밀한 모니터링이 필요합니다.

1. 관리자 액세스 제한

최소 권한 접근 제어를 구현하여 Domain Admin 또는 Enterprise Admin 권한을 가진 사용자의 수를 최소화하세요. 계층형 관리 모델(Tier 0/1/2)을 사용해 고가치 계정과 인프라를 분리하고, 하위 계층 계정이 중요 AD 구성 요소에 액세스하지 못하도록 하세요. 이를 통해 공격자가 DCShadow 공격을 실행하는 데 필요한 계정을 장악할 위험을 줄일 수 있습니다.

2. 위임 권한 축소

사용자가 컴퓨터를 도메인에 조인하거나 컴퓨터 개체를 생성/수정할 수 있도록 허용하는 위임 권한을 제한하세요. 부적절한 위임은 공격자가 악성(rogue) DC를 등록하거나 복제(replication) 설정을 변경할 수 있게 할 수 있습니다. Group Policy 및 ACL 검토를 사용하여 신뢰할 수 있는 계정만 이러한 권한을 갖도록 보장하고, 준수 여부를 정기적으로 감사(audit)하세요.

3. 방화벽 구성

중요 인프라(특히 DC)에 호스트 기반 방화벽을 구성하여 필요한 통신만 허용하세요. 이렇게 하면 수평 이동(lateral movement)을 제한하고, 공격자가 비-DC 호스트에서 복제와 관련된 트래픽을 시작하는 것을 방지할 수 있습니다. 알려진 시스템 간에 명시적으로 필요하지 않은 한 RPC 및 LDAP 포트를 제한하는 데 집중하세요.

4. 복제 트래픽 분리

네트워크 세분화를 사용해 도메인 컨트롤러 간의 복제 트래픽을 분리하세요. DC를 전용 VLAN에 배치하면 조직에서 복제 경로를 모니터링하고 제어할 수 있으며, 디렉터리 동기화에 승인되지 않은 시스템이 포함되지 않도록 보장할 수 있습니다.

5. SPN 및 DC 등록 감사

서비스 주체 이름(Service Principal Names, SPN)은 가짜(불법) DC를 포함하는 공격에서 자주 조작됩니다. 의심스럽거나 중복된 항목을 탐지하려면 SPN을 정기적으로 감사하고, AD에서 예상치 못한 NTDS Settings 또는 DC 개체 등록이 발생하는지 모니터링하세요. 자동화 도구를 사용해 이상 징후를 초기에 표시합니다.

6. 보안 관리자 워크스테이션(SAWs) 적용

Tier-0 자산(예: DC)과 관련된 모든 관리 작업은 SAW에서 수행하도록 요구하세요. 이러한 강화된 장치는 인터넷 접속 및 범용 사용으로부터 격리되어, 자격 증명이나 관리 도구가 손상된 뒤 DCShadow 공격에 사용될 가능성을 크게 줄여줍니다.

새로운 인사이트

• DCShadow 공격에 사용되는 것과 같은 무단 복제 시도를 방지하려면, 조직은 복제 트래픽을 필터링하고 제한하는 네트워크 수준의 제어를 구현해야 합니다. 여기에는 기본 거부(deny-by-default) 방식 적용이 포함되며, 특히 서로 다른 사이트 간에는 복제를 위해 명시적으로 승인된 DC만 통신이 허용되도록 해야 합니다.
• DCShadow 공격이 초래하는 위험을 완화하려면 Service Principal Names(SPN)의 생성과 등록을 모니터링하고 통제하는 것이 매우 중요합니다. 특히 GC/(Global Catalog)와 관련된 것과 E3514235-4B06-11D1-AB04-00C04FC2DCD2(디렉터리 복제 서비스인 Directory Replication Service(DRS)의 GUID)와 연관된 항목에 중점을 두어야 합니다.

대응

DC Shadow 공격은 AD에 대한 가장 은밀하고 위험한 위협 중 하나를 의미합니다. 이러한 공격은 탐지가 어렵고, 전체 AD 환경의 무결성을 손상시킬 수 있기 때문에 즉각적이고 체계적인 대응이 매우 중요합니다.

전체 장애 대응(Incident Response) 프로토콜을 활성화

DCShadow 공격은 DC의 동작을 교란하고 기존 로깅을 회피할 수 있는 심각한 침해와 특권 액세스를 의미합니다. 위협을 차단하고 피해로부터 복구하기 위해서는 기업 전체 차원의 조정된 대응이 필요합니다. 반드시:

• 장애 대응(Incident Response, IR) 팀, 보안 책임자, 그리고 관련 이해관계자에게 즉시 알리십시오.
• 심각도(Critical)로 격상하고 AD 위협 또는 공격에 특화된 전체 장애 대응(Incident Response, IR) 정책과 플레이북을 시작하십시오.
• 모든 AD 변경 사항을 동결합니다(스키마, 구성, 도메인 컨트롤러).
• 포렌식 증거 수집을 시작합니다(메모리 덤프, 디스크 이미지, 이벤트 로그).
• 법무, 준법감시, 비즈니스 연속성 팀과 조율합니다.

AD가 완전히 침해되었다고 가정합니다

DCShadow를 통해 수행된 무단 변경은 표준 로그에서 보이지 않을 수 있습니다. 상황을 해결하려면 다음을 수행해야 합니다:

• 전체 AD 포리스트를 신뢰하지 않는 것으로 취급하세요.
• 특권 계정 자격 증명(도메인 관리자, 엔터프라이즈 관리자)과 그룹 정책 개체가 변조되었을 수 있다고 가정하세요.
• Kerberos 티켓 노출, SIDHistory 남용, 복제 메타데이터 변조, 또는 백도어(예: 불법적인 관리자 권한이나 남아 있는 계정)에 대해 점검하세요.

영향을 받은 계정을 비활성화하고, 시스템을 격리하세요

측면 이동을 억제하고 악성 변경 사항의 추가 복제 또는 DCShadow 구성 요소의 재도입을 방지하기 위해 다음을 권장합니다:

• 침해된 것으로 확인된 모든 계정을 즉시 비활성화하세요. 특히 공격에 사용된 계정(관리자, 서비스 또는 복제 계정)을 우선으로 하십시오.
• 의심되는 시스템을 네트워크에서 분리하세요. 예:
  • 위조(rogue) SPN을 등록했거나 DC를 가장(impersonation)한 컴퓨터
  • 비정상적인 DRS 복제 동작을 보이는 호스트
• 영향을 받은 엔드포인트에서 의심스러운 RPC 및 DRS 트래픽을 차단하세요.

복제 로그와 메타데이터 검토

무엇이 변경되었는지, 누가 변경했는지, 언제 변경되었는지를 파악하여 침해의 범위를 정확하게 평가할 수 있습니다.

• 예를 들어 다음 도구를 사용하세요:
  • repadmin /showmeta – 민감한 개체에 대한 변경 사항의 타임스탬프 및 버전 번호 같은 메타데이터를 확인합니다.
  • repadmin /showobjmeta – 특정 개체의 복제 속성을 확인합니다.
  • 이벤트 ID: 4662, 5137, 4929 및 기타 디렉터리 서비스 감사 이벤트.
  • 삽입된 SPN 또는 탈취된 토큰에 대한 LSASS 메모리 분석.
• 다음에 집중:
  • 의심스러운 SPN(특히 E3514235-... , GC/ 또는 ldap/가 포함된 경우).
  • 이상한(비정상적인) 복제 파트너.
  • 시간/날짜 이상이 있는 개체 메타데이터 또는 알 수 없는 사용자에게 관리자가 부여된 것으로 보이는 기록.

신뢰할 수 있는(known-clean) AD 스냅샷 또는 백업에서 복구

롤백은 DCShadow가 수행한 변경을 되돌리는 가장 안전한 방법이며, 특히 지속적인 백도어가 있는 경우 더욱 그렇습니다.

• 지원되는 경우, 영향을 받은 개체를 권위 있는(공신력 있는) 방식으로 복구하기 위해 Volume Shadow Copy Service (VSS) 또는 System State 백업을 사용하세요.
• 전체 포리스트에 광범위한 영향이 있는 경우:
  • 신뢰할 수 있는 DC를 다시 구축하려면 Directory Services Restore Mode (DSRM)를 사용해 보세요.
  • 복원하기 전에 오프라인 맬웨어 스캔으로 백업을 확인하세요.
• 해시 또는 골든 백업을 사용해 복원된 개체를 검증하세요.

필요한 경우 도메인 또는 포리스트를 재구축하세요

일부 공격은 AD를 너무 깊게 손상시켜 신뢰를 복구하는 것이 불가능한 경우가 있습니다. 이럴 때는 처음부터 다시 구축하는(클린 슬레이트) 방법만이 완전한 복구와 확신을 얻는 유일한 경로입니다.

• 광범위한 신뢰 위반이 발생한 경우, 다음 사항에 대한 계획을 시작하세요:
  • 병렬로 새 AD 포리스트 구축
  • 적절한 스크러빙을 통해 정상이 확인된 시스템과 계정을 마이그레이션
  • 재구축 시 Red Forest 설계, 계층형 관리, 관리자 워크스테이션을 사용
• 손상된 도메인에서 모든 DC와 복제 구성 정보를 제거하세요.

산업별 영향

DCShadow 공격은 중앙 집중식 ID 인프라에 크게 의존하는 전 산업에 걸쳐 중대한 위험을 초래합니다. 이러한 산업은 민감한 데이터를 저장하고 엄격한 규제 요건 하에서 운영되기 때문에, 피해는 운영 측면에서 치명적일 수 있으며 법적으로도 중대한 결과를 초래할 수 있습니다.

공격의 진화와 향후 동향

DCShadow 공격이 계속 진화함에 따라, 향후 이 공격이 어디로 향할 수 있는지 이해하는 것이 중요합니다.

하이브리드 ID 환경에서의 강력한 위협

온프레미스 AD를 Microsoft Entra ID 또는 기타 ID 공급자와 통합하는 하이브리드 환경은 DCShadow에 여전히 취약합니다. DCShadow는 온프레미스 계층을 대상으로 하지만, 로컬에서 이루어진 악의적인 변경 사항이 상위로(업스트림) 클라우드 서비스와 동기화되어 침해의 범위가 확장될 수 있습니다. 이로 인해 DCShadow는 AD가 클라우드 기반 인증 및 액세스 제어를 위한 핵심 신뢰 권한으로 기능하는 연합(페더레이션) ID 환경에서 특히 위험합니다.

DCShadow 공격을 위한 자동화 스크립트

고급 공격자들은 현재 자동화 프레임워크를 활용해 DCShadow 공격을 설정하고 실행하고 있습니다. 수동 단계(예: SPN 등록, 권한 상승, 메타데이터 조작)를 줄이면 위협 행위자는 더 빠르고 더 일관되게 이러한 공격을 수행할 수 있으며, 침해 징후(IOC)도 더 적게 남길 수 있습니다. 또한 자동화는 복잡한 기술을 스크립트나 모듈형 공격 체인으로 패키징함으로써, 숙련도가 낮은 공격자도 이러한 기법을 사용할 수 있게 해줍니다.

AI 기반 권한 상승 도구와의 중첩(연계) 증가

공격자들은 AD 내의 관리 경로, 신뢰 관계, 잘못된 구성(미스컨피규레이션)을 파악하기 위해 AI 기반 정찰 도구를 점점 더 많이 사용하고 있습니다. 이러한 도구를 DCShadow와 결합하면, 악성(rogue) DC를 배포하기 위한 최적의 진입 지점을 정확히 찾아내거나, 계층형 관리자 모델에서 약한 고리(취약 지점)를 식별하거나, 나아가 파급 효과가 큰 복제 대상까지 선택할 수 있습니다. 자동화와 지능을 결합한 이러한 방식은 공격자가 기업 환경 내에서 정밀하게 움직일 수 있도록 해줍니다.

공급망 침해에서 무기화될 가능성이 높음

공격자는 DCShadow를 사용해 손상된 관리형 서비스 제공업체(Managed Service Providers, MSPs), 소프트웨어 벤더 또는 신원 제공업체를 표적으로 삼을 가능성이 큽니다. 즉, Active Directory가 신뢰와 보안에서 핵심 역할을 하는 모든 장소가 대상이 될 수 있습니다. 공격자는 AD 환경에 악의적인 변경을 주입함으로써 은밀한 지속성을 만들고, 자신에게 특권(권한) 있는 액세스를 부여하거나, 복제 경로를 오염시킬 수 있습니다. 공급망의 상호 연결성과 연합 ID(federated identity)의 특성을 활용하면 여러 조직에 걸친 광범위한 침해로 이어질 수 있습니다.

핵심 통계 & 인포그래픽

조직 전반에서 DCShadow 공격에 대한 정량화된 데이터는 상세 보고서에서 흔히 공개되지 않습니다. 대응 준비도 평가는 보통 정성적으로 이루어지거나, Active Directory 보안 태세에 대한 더 광범위한 설문조사에서 도출됩니다.

아래는 공격이 주목을 받기 시작한 시점과 탐지 방식이 어떻게 발전해 왔는지 같은 통계를 시각화하려는 인포그래픽입니다. 정확한 데이터가 없는 경우를 대비해 개념적인 업계 분석과 트렌드를 사용합니다:

인포그래픽은 다음의 핵심 내용을 제시합니다:

• 예상 공격 빈도 추세(2019–2023): DCShadow 공격의 빈도가 급격히 증가한 것으로 보이며, 이는 사이버 공격이 점점 더 정교해지고 있다는 흐름과도 일치합니다.
• IT 보안 전문가의 DCShadow 인지 수준(2023): 65%가 높은/보통 인지: 이 원형 차트는 2023년 기준으로 IT 보안 전문가의 약 65%가 DCShadow 공격에 대해 높은 수준 또는 보통 수준의 인지를 가지고 있는 것으로 추정됨을 보여줍니다. 이는 보안 업계의 약 3분의 1이 DCShadow의 세부적인 특징에 대해 최신 정보를 갖추지 못했을 수 있음을 시사합니다.
• DCShadow 대응이 가능한(Ready) 조직(2023): 30%: 이 수치는 개념적 추정치로, DCShadow 공격을 탐지하고 완화하기에 충분히 준비된 조직은 약 30%에 불과하다는 의미를 담고 있습니다. 이는 인지 수준과 실제 방어 역량 사이에 상당한 격차가 있음을 보여줍니다.

마무리 생각

DCShadow는 Active Directory를 침해하는 가장 은밀하고 기술적으로 정교한 방법 중 하나를 의미합니다. 신뢰할 수 있는 복제 메커니즘을 악용하여 표준 감사(감사 로깅)를 우회하면서 권한이 없는 변경 사항을 주입합니다. 이러한 은닉성과 Privileged Access에 대한 의존은 예방이 단순한 패치 적용보다 아키텍처 강화를 통한 보안 강화, 접근 제어, 그리고 세심한 모니터링에 더 가깝다는 뜻입니다. 조직은 제로 트러스트(Zero Trust) 관점을 채택하고, 계층화된 관리자 모델을 강제하며, 복제 동작에서의 이상 징후를 식별하기 위한 고급 탐지 도구를 배포해야 합니다.