이미 읽은 비밀은 롤백할 수 없습니다

문서 금고에 귀중한 지적 재산이 들어 있다고 상상해 보십시오. 고용된 스파이가 금고를 열어 안에 있는 문서를 촬영하고, 다시 닫은 뒤 유유히 빠져나갑니다. 다음 날 아침, 금고는 전날 밤과 똑같아 보입니다. 같은 문, 같은 비밀번호, 움직인 것은 아무것도 없습니다. 되돌려 놓을 것이 없습니다. 복구 도구가 이해하는 용어로는 아무것도 도난당하지 않았기 때문입니다. 손실은 이미 사본의 형태로 건물을 빠져나갔습니다.

이것이 바로 대규모 Active Directory 공격군이 취하는 불편한 형태이며, 업계가 가장 즐겨 내세우는 방어 서사에 커다란 빈틈이 있는 이유입니다.

지난 10년간 Active Directory 보안 시장은 단 하나의 축을 두고 경쟁해 왔습니다. 바로 악성 변경을 얼마나 빨리 되돌릴 수 있는가입니다. 악성 쓰기를 탐지하고, 경고를 울린 다음, 알려진 정상 상태로 되돌립니다. 변조 방지 변경 추적과 자동화된 롤백이 그 제안의 전부입니다. 복구 이야기로서는 훌륭한 이야기이며, 복구는 실제로 중요합니다. 하지만 그것은 정작 중요한 지점을 양보하는 것입니다. 변경은 이미 일어났고, 어떤 변경은 일단 일어나고 나면 되돌릴 수 없습니다.

롤백하기 전에 이미 끝나버리는 Active Directory 공격

가장 빠른 AD 공격이 실제로 어떻게 진행되는지 생각해 보십시오. 랜섬웨어 조직은 CVE-2021-42278과 CVE-2021-42287의 근거가 되는 sAMAccountName 스푸핑 쌍인 noPac 같은 취약점을 연쇄적으로 악용해, 평범한 계정에서 몇 분 만에 도메인에 대한 완전한 통제권까지 올라갑니다. 공격자가 그 위치를 확보하고 나면, 그다음에 이어지는 기법들은 나중에 정리할 수 있는 시끄러운 파괴 행위가 아닙니다. 롤백이 회수할 무언가를 갖기도 전에 작업을 완료해 버리는 읽기와 위장 행위들입니다.

DCSync는 가장 명확한 사례이며, 앞서 소개한 금고 이야기와 정확히 대응됩니다. 디렉터리 자체의 복제 프로토콜을 악용해, 공격자는 도메인 컨트롤러에 계정 암호 해시를 요청하고, 마치 다른 컨트롤러인 것처럼 이를 받습니다. 복구 도구가 발견하고 되돌릴 수 있는, 변경된 개체가 디렉터리에 남지 않습니다. 굳이 말하자면 그 변경이란 이미 빠져나간 자격 증명의 사본입니다. 이후에 모든 암호를 재설정할 수 있고 마땅히 그래야 하지만, 그 시점에서는 도난을 막는 것이 아니라 도난 이후를 정리하고 있는 것입니다.

DCShadow는 반대 방향에서 작동합니다. 불법적이고 가짜인 도메인 컨트롤러를 등록한 뒤, 복제 채널을 통해 공격자가 선택한 변경 사항을 디렉터리에 주입하며, 모니터링이 감시하는 일반적인 쓰기 경로를 우회합니다. 이 경우 효과적인 통제는 가짜 복제가 시도되는 그 순간 이를 거부하므로, 주입된 변경 사항은 애초에 디렉터리에 들어가지 않으며 되돌릴 대상 자체가 존재하지 않습니다.

이번에는 그룹 정책 개체(GPO)에 대한 악성 편집을 생각해 보십시오. 정책을 읽는 모든 컴퓨터에 랜섬웨어 페이로드를 배포하는 유형이거나, 권한이 있는 그룹에 조용히 계정을 추가하는 경우입니다. 개체를 롤백하면 디렉터리 상태는 복원됩니다. 그러나 정책은 이미 배포되었고, 정책이 실어 나른 페이로드도 이미 실행되었습니다. 개체를 복원해도 이미 발생한 피해 범위에는 아무런 영향을 미치지 못합니다.

바로 이 지점에서 복구 서사는 한계에 부딪힙니다. 이 범주 전체에서 탐지와 롤백은 구조적으로 너무 늦게 도착하며, 예방은 같은 아이디어의 더 빠른 버전이 아니라 전혀 다른 원칙입니다. 탐지는 위험한 무언가가 이미 디렉터리에 도달했음을 확인해 줄 뿐입니다. 예방은 디렉터리가 그것을 받아들이기도 전에 작업을 막습니다.

탐지 대 예방: 하나의 GPO 공격을 두 가지 방식으로 따져보기

공격자가 서버에 연결된 GPO를 편집해 다음 정책 갱신 시점에 페이로드를 배포한다고 가정해 보십시오. 먼저 복구 모델에 따라 따져 보겠습니다. 악성 설정이 탐지되어 롤백되고, GPO는 이전 상태로 돌아갑니다. 서류상으로는 사건이 종결된 것입니다. 그러나 실제로는 편집과 롤백 사이의 시간대에 정책을 가져온 모든 컴퓨터가 이미 페이로드를 실행했으며, 개체를 아무리 복원해도 그 실행을 되돌릴 수는 없습니다.

이번에는 반대 방식으로 따져 보겠습니다. 해당 GPO에 대한 쓰기 작업은 인라인으로 평가되어 Active Directory가 이를 커밋하기 전에 거부됩니다. 정책은 애초에 변경되지 않으므로 배포되지도 않으며, 조사해야 할 페이로드 실행도 남지 않습니다. 같은 공격에 두 가지 방어 모델이 있지만, 정리할 것을 전혀 남기지 않는 쪽은 오직 하나뿐입니다.

왜 정답은 '빠른 탐지'가 아니라 '예방'인가

이 두 번째 결과는 쓰기 경로 자체에 자리 잡은 통제 수단에서만 얻을 수 있습니다. 이것이 바로 Netwrix Threat Manager 뒤에 있는 메커니즘입니다. 이 솔루션은 작업(중요 개체 및 GPO 변경, 권한 있는 그룹 수정, 복제 요청)을 인라인으로 평가해 디렉터리가 쓰기를 커밋하기 전에 그 발생 지점에서 차단합니다. 또한 기본 로깅이 비활성화되거나 지워진 경우에도 이러한 이벤트를 발생 지점에서 포착하므로, 공격자가 먼저 로그를 지워 통제 수단을 무력화할 수 없습니다. 바로 이 점이 더 강한 표현을 두른 '빠른 탐지'가 아니라 '예방'이라는 단어를 얻어낼 자격을 부여합니다.

이 중 어느 것도 예방이 탐지를 대체한다는 의미는 아닙니다. 어떤 공격은 사후에만 발견하고 대응할 수 있으며, 그렇지 않은 척하는 것은 유능한 CISO라면 누구나 던질 첫 번째 직설적인 질문 앞에서 무너집니다. 과도한 약속은 그에 걸맞은 반응을 부릅니다. 방어 가능한 입장은 슬로건보다 더 좁고 더 견고합니다. 결정론적으로 차단할 수 있는 변경에는 예방을 우선하고, 나머지 모든 것에는 탐지와 대응을 적용하는 것입니다.

이 모든 것의 밑바탕에는 일관된 세계관이 있습니다. 위험한 변경이 시도되는 바로 그 순간에 이를 차단해야 한다고 고집하는 것은, 접근 권한을 가진 자가 그것을 사용하는 바로 그 순간에 누구인지 알아야 한다고 고집하는 것의 복원력 측 대응물입니다. 둘 다 사후 정리가 아니라 행동이 일어나는 바로 그 순간에 대응할 것을 요구합니다.

이는 다시 훼손되지 않은 것처럼 보였던 그 금고로 우리를 돌려보냅니다. 롤백은 피해를 빠르게 되돌릴 수 있다는 약속입니다. 예방은 애초에 되돌릴 피해가 없었다는 보장입니다. Secret을 복사하거나, 컨트롤러를 위장하거나, 롤백하기도 전에 터져버리는 Active Directory 공격에 대해서는, 이 메커니즘이 실제로 지킬 수 있는 약속은 둘 중 하나뿐이며, 그것은 변경 사항이 결코 커밋되도록 두지 않는 통제 수단이 하는 약속입니다.