DCSync 공격 해설: Active Directory 보안에 대한 위협

DCSync 공격이란 무엇인가요?

DCSync 공격은 위협 행위자가 Active Directory(AD) 환경에서 도메인 컨트롤러(DC)의 동작을 시뮬레이션하기 위해 사용하는 기법입니다. 이 공격은 Directory Replication Service Remote Protocol(MS-DRSR)의 합법적인 기능을 활용하여 도메인에서 민감한 데이터를 추출합니다.

공격자는 악성코드를 배포하거나 코드를 주입하는 대신, 도구(예: Mimikatz)를 사용해 DC인 것처럼 가장하고 자격 증명 데이터를 복제하도록 요청합니다. 특히 KRBTGT와 도메인 관리자 계정을 포함한 사용자 계정의 비밀번호 해시를 노립니다.

DCSync 공격은 보통 다음과 같은 목적을 가집니다.

• 비밀번호 해시 추출 — 공격자는 권한이 있는 사용자의 계정을 포함한 도메인 계정의 NTLM 비밀번호 해시를 가져옵니다. 이러한 해시를 오프라인에서 크랙하거나, 패스-더-해시 또는 Golden Ticket 공격에 직접 사용할 수 있습니다.
• 도메인 장악 — 공격자는 KRBTGT 계정 해시를 확보함으로써 Kerberos Ticket Granting Tickets( TGTs )를 위조할 수 있으며, 이를 통해 지속성(persistence)과 도메인에 대한 완전한 제어가 가능해집니다. 이로 인해 전체 AD 환경에 대해 장기적이고 은밀한 접근이 가능해집니다.

이 공격은 여러 가지 이유로 위험합니다.

• 악성코드가 필요 없음 — DCSync는 악성 바이너리에 의존하지 않습니다. 합법적인 기능을 악용하므로, 백신이나 EDR 도구가 탐지하기가 더 어려워집니다.
• 정상 트래픽을 모방 — 이 공격은 표준 Active Directory 복제 요청을 모방하므로, 정상적인 운영과 구분하기가 어렵습니다.
• APT 및 사이버 범죄 조직이 사용 — 고도화된 지속 위협(advanced persistent threat, APT) 그룹과 랜섬웨어 갱단은 권한을 상승시키고 지속성을 확보하기 위해 DCSync 공격을 자주 사용합니다.

DCSync 공격은 어떻게 작동하나요?

DCSync 공격은 정상적인 Active Directory 동작을 모방하는 일련의 은밀한 단계로 전개됩니다. 다음은 공격 과정을 단계별로 설명한 내용입니다.

1. 계정을 탈취합니다

공격자는 먼저 복제 권한이 있는 특권 계정에 액세스합니다. 이는 보통 다음 중 하나를 탈취하는 것을 의미합니다:

• 도메인 관리자(Domain Admin) 계정 또는
• 위임된 복제 권한이 있는 시스템 계정 또는
• "DS-Replication-Get-Changes" 및 "DS-Replication-Get-Changes-All" 권한이 있는 계정

이러한 권한을 통해 공격자는 DC의 복제 요청을 모방할 수 있습니다.

2. DC를 찾기

다음으로 공격자는 네트워크 내에서 접근 가능한 도메인 컨트롤러를 찾습니다. nltest,nslookup 같은 도구 또는 내장된 Windows 명령을 사용하면 DC를 식별하는 데 도움이 됩니다.

3. DC(도메인 컨트롤러)로 가장하기

다음과 같은 도구를 사용하여 공격자는 요청을 정당한 DC가 Active Directory 복제에 참여하는 것처럼 조작합니다.

• Mimikatz (lsadump::dcsync)
• Impacket의 secretsdump.py

4. 요청 데이터

공격자는 DRSUAPI 인터페이스를 사용하여 복제 요청을 보냅니다. 특히 GetNCChanges 함수는 정당한 DC-to-DC 복제에서 사용되는 것과 동일한 API 호출입니다.

5. 비밀번호 해시 추출

DC가 요청한 데이터(다음 항목 포함)를 응답합니다.

• NTLM 해시
• Kerberos 키
• KRBTGT 계정 해시(골든 티켓을 생성하는 데 핵심)

이 데이터는 비밀번호 크래킹, 신원 도용(임퍼네이션), 또는 패스-더-해시(pass-the-hash) 공격을 가능하게 합니다.

6. 후속 공격 실행

공격자는 비밀번호 해시를 확보하면 다음을 할 수 있습니다.

• 골든 티켓 위조(무제한, 장기 접속)
• Pass-the-Ticket 또는 Pass-the-Hash 공격을 수행합니다
• 권한을 상승시키거나 도메인 전반으로 측면 이동을 수행합니다

공격 흐름도

DCSync 공격 흐름은 위협 행위자가 정당한 Active Directory 복제 프로토콜을 악용해 암호 해시를 추출하고, 도메인에 대해 장기적이며 은밀한 제어를 확보하는 방법을 보여줍니다.

다음은 이 공격의 시각적 개념입니다.

조직의 관점에서 예시를 살펴보겠습니다.

중견 금융 서비스 회사에서 피싱 이메일이 도움데스크 기술자의 자격 증명을 탈취당하게 만듭니다. 공격자는 이 자격 증명을 사용해 Kerberoasting을 통해 권한을 상승시키고, 결국 Domain Admin 계정에 접근하게 됩니다. 이 접근 권한을 바탕으로 공격자는 내부 DNS를 사용해 DC를 식별한 뒤 Mimikatz의 DCSync 기능을 활용하여 복제 데이터를 요청합니다. 악의적인 의도를 알지 못한 DC는 KRBTGT 계정을 포함한 비밀번호 해시를 응답합니다. 이어서 공격자는 Golden Ticket을 생성하는데, 이는 조직 네트워크에 대해 제한 없이 장기간 접근할 수 있게 해줍니다. 그리고 여러 주에 걸쳐 민감한 고객 데이터를 경보를 일으키지 않고 조용히 유출합니다.

DCSync 공격의 예시

DCSync 공격은 공격자가 도메인 컨트롤러의 동작을 흉내 내어 Active Directory에서 민감한 자격 증명을 추출하는 강력한 포스트 익스플로잇 기법입니다. 아래는 DCSync 공격의 영향을 보여주는 실제 사례입니다.

DCSync 공격의 결과

DCSync 공격은 기업 보안에 심각한 위협이 됩니다. 한 번 성공하면 이러한 공격은 신원 및 접근 관리의 근간 자체를 훼손하여 광범위하고 장기적인 결과로 이어질 수 있습니다. 그 여파에는 비용이 많이 드는 사고 대응 노력, 업무 중단, 브랜드 신뢰도 손상, 그리고 민감한 정보를 보호하지 못한 데 따른 잠재적 법적 조치 또는 규제 벌금이 포함될 수 있습니다.

DCSync 공격의 일반적인 대상: 누가 위험에 처하는가?

DCSync 공격을 실행하기 위해 공격자는 네트워크 내의 특정 계정과 권한을 노립니다. 아래는 이러한 공격에 취약한 일반적인 대상에 대한 개요입니다.

고권한 계정

도메인 컨트롤러 컴퓨터 계정

기본값이 아닌 계정 또는 잘못 구성된 계정

위험 평가

DCSync 공격과 관련된 위험을 이해하려면 공격이 발생할 가능성, 잠재적 심각도, 사용된 기법의 정교함, 탐지의 어려움, 그리고 잠재적 영향을 평가해야 합니다.

DCSync 공격을 예방하는 방법

DCSync 공격을 방지하려면 엄격한 액세스 제어, 지속적인 모니터링, 그리고 Active Directory (AD) 환경의 전략적 세분화를 결합한 다각적인 접근이 필요합니다. 아래는 이러한 공격의 위험을 완화하기 위한 핵심 전략입니다.

최소 권한 적용

복제 권한은 반드시 필요한 계정에만 엄격히 제한하십시오. 특히 다음과 같은 확장 권한은 정기적으로 감사하고 불필요한 권한을 제거하세요:

• 디렉터리 변경 사항 복제
• 디렉터리 변경 사항 모두 복제
• 필터링된 집합의 디렉터리 변경 사항 복제

이러한 권한은 DCSync 공격에서 자주 악용됩니다.

감사 및 모니터링

무단 복제 요청을 탐지하기 위해 지속적인 모니터링을 구현하세요. Netwrix PingCastle 및 Netwrix Threat Manager 등을 활용해 복제 권한이 있는 기본값이 아닌 계정과 기타 위험한 구성을 검색하십시오. 정기적인 감사를 통해 그렇지 않으면 눈에 띄지 않을 수 있는 잘못된 구성을 파악할 수 있습니다.

ACE 제어

의도치 않은 권한을 방지하기 위해 Access Control Entries (ACEs)를 검토하고 관리하세요. 예를 들어 Enterprise Key Admins 그룹이 Domain Naming Context에 대해 실수로 전체 제어 권한을 가질 수 있으며, 이는 보안 위험을 초래할 수 있습니다. 각 보안 주체에 반드시 필요한 권한만 부여되도록 확인하십시오.

AD 티어(등급) 분리

계층화된 관리 모델을 도입해 고권한 계정을 일반 사용자 환경에서 사용하지 않도록 분리하세요. 이러한 분리는 보안이 덜한 워크스테이션에서 자격 증명이 노출될 위험을 최소화하고, 잠재적 침해를 효과적으로 차단하는 데 도움이 됩니다.

고급 탐지 메커니즘 구현

Security Information and Event Management (SIEM) 솔루션을 배포하여, 예기치 않은 Event ID 4662 항목과 같이 DCSync 공격을 시사하는 특정 이벤트를 모니터링하세요. 악성 활동을 의미할 수 있는 비(非) 도메인 컨트롤러 계정의 복제 요청을 탐지하는 데 집중하십시오.

Netwrix 지원

Netwrix는 DCSync 공격을 탐지하고 대응하기 위한 강력한 솔루션을 제공합니다. Netwrix Threat Manager와 Threat Prevention은 조직의 DCSync 공격 탐지 및 차단 능력을 강화하여, Active Directory 환경의 전반적인 보안 수준을 높여줍니다.

Netwrix Threat Manager: DCSync 동작 탐지

Netwrix Threat Manager 는 AD 복제 활동을 지속적으로 모니터링하여 DCSync 공격을 시사하는 패턴을 식별합니다. 특히 도메인 컨트롤러가 아닌 장비에서 발생한 비정상적인 복제 요청을 감지하고, 소스, 대상 계정, 복제 요청의 성격 등 의심스러운 활동에 대한 상세한 인사이트를 제공합니다. 실시간 탐지는 보안 팀이 잠재적 위협에 신속하게 대응할 수 있도록 해줍니다.

Netwrix Threat Prevention: 승인되지 않은 복제 차단

Netwrix Threat Prevention 은 승인되지 않은 복제 활동을 차단하기 위한 정책을 강제 적용함으로써 AD 환경을 사전에 보호합니다. DCSync와 유사한 동작이 감지되면, 문제가 되는 계정이나 워크스테이션이 추가 복제 작업을 수행하지 못하도록 자동으로 차단할 수 있습니다. 이러한 즉각적인 대응 메커니즘은 위협을 신속히 통제하는 데 도움이 되며, 장애 대응 팀이 문제를 조사하고 해결하는 데 필요한 소중한 시간을 확보해줍니다.

탐지, 완화 및 대응 전략

의심되는 DCSync 공격은 공격자가 도메인 컨트롤러를 사칭해 복제 권한을 사용하여 Active Directory에서 자격 증명을 추출하는 것을 포함합니다. 위협을 차단하기 위해서는 신속한 탐지와 대응이 매우 중요합니다.

초기 경고 신호

다음은 DCSync 공격을 조기에 탐지하기 위해 모니터링해야 할 핵심 징후입니다.

예상치 못한 복제 요청

보안 이벤트 ID 4662

이벤트 ID 4670 / 4624 / 4742 패턴

즉각적인 대응

DCSync 공격이 의심되거나 탐지되면 신속한 격리가 매우 중요합니다.

손상된 시스템 격리

• 영향을 받은 시스템을 즉시 네트워크에서 분리하세요.
• 복제 권한이 있는 비정상 계정을 일시 중지하세요(예: DS-Replication-Get-Changes-All).

권한 상승(고급 권한) 회수

다음에서 사용자 또는 서비스를 제거하세요:

• Administrators, Domain Admins, Enterprise Admins와 같은 Active Directory의 기본 보안 그룹.
• 디렉터리 변경을 Replicating Directory Changes 권한이 있는 계정입니다.

로그 감사 및 조사

도메인 컨트롤러의 로그를 검토하세요. 특히 다음 항목:

• 보안 이벤트 로그: 복제와 관련된 항목에 집중
• 디렉터리 서비스 로그
• Sysmon 로그: 프로세스 생성 및 네트워크 연결

장기적인 완화 전략

선제적 방어는 DCSync 위험을 크게 줄입니다.

AD 복제 권한 감사

• BloodHound 및 PowerView 같은 도구를 사용해 권한을 정기적으로 검토하세요.
• 권한이 있는 AD 그룹에 예상치 못한 구성원이 있는지 감사(audit)하세요.

기만(Deception) 메커니즘 배포

• 허니팟 계정이나 유인용 DC(도메인 컨트롤러) 개체를 배치하는 등 기만 기술을 사용하세요.
• Canarytokens 또는 ADDecoy 같은 도구를 사용해 무단 액세스를 탐지하세요.

계층형 관리 모델 구현

권한 수준에 따라 업무를 분리하세요(티어 0, 1, 2).

• 티어 0: 도메인 컨트롤러에 대한 직접 액세스
• 티어 1: 서버 관리
• 티어 2: 워크스테이션 지원

고급 감사(Enhanced Auditing) 활성화

• 고급 감사 정책 구성을 활성화하세요.
• 디렉터리 서비스 액세스, 권한 사용 및 개체 수정 사항을 추적하세요.

보안 복제 프로토콜

• 가능한 경우 DC가 아닌 장치에서 나가는 RPC 트래픽을 차단하세요.
• 방화벽 규칙을 사용하여 복제 통신이 알려진 DC 간에만 이루어지도록 제한하세요.

업종별 영향

DCSync 공격의 영향은 규제 요구사항, 데이터 민감도, 인프라 복잡성의 차이에 따라 업종 전반에서 매우 다양하게 나타날 수 있습니다. 금융, 의료, 정부, 기술 분야 등 어느 분야에서든 성공적인 DCSync 공격은 자격 증명 탈취, 데이터 침해, 컴플라이언스 위반, 운영 중단으로 이어질 수 있습니다.

공격 진화와 향후 트렌드

DCSync 공격 기법은 현대적인 공격자 도구 모음에서 중요한 구성 요소로 발전했습니다. 방어 조치가 개선되는 만큼 DCSync 전술도 계속해서 적응하고 있으며, 네이티브 시스템 역량에 더 깊게 통합되는 한편, 새롭게 등장하는 취약점을 활용해 최대의 효과를 노리고 있습니다.

Living-off-the-Land (LotL)

공격자는 점점 더 외부 바이너리를 배포하지 않고도 DCSync 공격을 수행하기 위해 기본 제공 Windows 도구와 내장 Active Directory 기능에 의존하고 있습니다. DRSR과 같은 표준 프로토콜로 복제 권한을 악용함으로써 위협 행위자는 일반적인 네트워크 동작에 자연스럽게 섞일 수 있습니다. 이러한 Living-off-the-Land (LotL) 방식은 포렌식 흔적을 줄이고, 기존의 서명 기반 탐지 메커니즘이 악성 활동을 식별하기 어렵게 만듭니다.

도구 세트 확장

Mimikatz는 여전히 DCSync를 실행하는 데 가장 잘 알려진 도구이지만, secretsdump.py 같은 Impacket의 대안과 새롭게 등장하는 레드 팀 프레임워크가 공격자의 무기를 확장해 왔습니다. 이러한 도구는 종종 모듈형이며 오픈 소스이고, 업데이트도 자주 이루어집니다. 따라서 탐지하고 차단하기가 더 어렵습니다. 이제 변형(버전)에는 기존 EDR 솔루션을 우회하는 난독화 및 스크립팅 기능이 포함되며, 업데이트된 보안 통제에도 적응합니다.

고급 탐지 회피

정교한 공격자는 단순히 DCSync를 악용하는 수준을 넘어, 이제 흔적을 감추기 위한 고급 전술을 구현하고 있습니다. 여기에는 Windows 이벤트 로깅을 비활성화하거나 조작하는 것, 암호화되었거나 터널링된 통신 채널을 사용하는 것, 그리고 DCSync를 다른 은밀한 기술과 연계하는 것이 포함됩니다. 일부 적대 행위자는 디스크 기록을 피하고 엔드포인트 모니터링 도구를 회피하기 위해, 메모리에서 직접 DCSync와 유사한 기능을 실행하기도 합니다.

트렌드 관찰

DCSync의 위력은 권한 상승(Privilege escalation) 취약점과 결합될 때 더욱 증폭됩니다. Zerologon(CVE-2020-1472) 및 PrintNightmare(CVE-2021-34527)와 같은 익스플로잇을 통해 공격자는 도메인 수준 권한으로의 접근을 빠르게 확장할 수 있으며, 장기간의 측면 이동(lateral movement) 없이도 DCSync에 필요한 전제 조건을 충족할 수 있습니다. 향후 익스플로잇 체인은 제로데이(Zero-day) AD 잘못된 설정 또는 공급망(supply chain) 결함에 의존하여 DCSync를 더 빠르고 은밀하게 트리거할 수 있습니다.

핵심 통계 & 인포그래픽

2024년에는 공개 보고에서 DCSync 기법과 연결된 고급 위협 행위자가 12곳이 넘는 것으로 나타났습니다.

예를 들어 2024년 12월, Arctic Wolf Labs는 Fortinet FortiGate 방화벽 장치를 표적으로 하는 정교한 사이버 공격 캠페인을 식별했습니다. 위협 행위자들은 의심되는 제로데이(Zero-day) 취약점을 악용해 해당 장치의 관리 인터페이스에 무단으로 접근했으며, 이를 통해 방화벽 구성(firewall configuration)을 변경하고 DCSync를 사용해 자격 증명(credentials)을 추출할 수 있었습니다.

DCSync 관련 사고로 가장 큰 영향을 받는 산업

위의 막대 그래프는 가장 큰 영향을 받은 산업을 보여줍니다:

• 정부와 금융이 상위에 있으며, 이는 고부가가치 데이터와 일반적으로 복잡한 AD 환경이 반영된 결과입니다.
• 헬스케어와 제조업도 상당한 노출 위험에 직면해 있는데, 이는 아마도 레거시 시스템과 제한적인 세분화 때문일 가능성이 큽니다.
• 교육과 기술 분야도 점점 더 표적이 되고 있는데, 이는 대개 개방형 네트워크와 연구 IP의 가치가 높기 때문입니다.

DCSync 관련 APT 사건 연표(2024)

꺾은선 그래프는 연중 사건 빈도를 보여줍니다:

• 사건 규모는 2분기와 3분기에 눈에 띄게 증가했으며, 8월(사건 4건)이 정점이었습니다.
• 4월, 7월, 10월의 급증은 권한 상승 익스플로잇(예: Zerologon 같은 레거시 취약점)을 포함하는 것으로 알려진 APT 캠페인 기간과 일치합니다.
• 이러한 계절적 패턴은 예산 편성 주기나 지정학적 사건이 발생하는 시기에 전략적으로 표적을 삼는다는 점을 시사합니다.

마무리 생각

DCSync 공격은 Active Directory 환경에 여전히 막강한 위협으로 남아 있습니다. 공격자는 도메인 컨트롤러를 가장해 악성코드를 배포하거나 도메인 컨트롤러에 직접 접근하지 않고도 민감한 자격 증명을 추출합니다. 합법적인 복제(replication) 프로토콜을 악용함으로써 공격자는 비밀스럽게 암호 해시를 수집하여 측면 이동, 권한 상승, 지속적인 접근을 가능하게 합니다. 이러한 위험을 완화하려면 조직은 복제 권한을 철저히 감사하고, 최소 권한의 원칙을 강제하며, 비정상적인 복제 활동에 대해 지속적으로 모니터링을 수행해야 합니다.