ESC8는 여전히 우리가 보는 가장 흔한 AD CS 발견입니다

“통계와 비교” 버튼을 통해 Netwrix PingCastle 공개 통계 사이트에 제출된 보고서에서 A-CertEnrollHttp는 2026년 11월 기준으로 6,487회 표시되었습니다. 이는 우리가 추적하는 다른 어떤 Active Directory Certificate Services (AD CS) 상승 경로보다 많습니다.

A-CertEnrollChannelBinding과 함께 ESC8을 다룹니다. ESC8은 잘 문서화되어 있으며 기본 설정이 안전하지 않기 때문에 여전히 흔합니다.

ESC8란 무엇인가요?

ESC8는 NTLM 인증을 AD CS 웹 등록 인터페이스에 중계하는 공격입니다. Certification Authority Web Enrollment 역할이 설치되고 해당 HTTP 엔드포인트(certsrv)가 Extended Protection for Authentication (EPA) 또는 채널 바인딩과 같은 보호 없이 NTLM 인증을 허용할 때, 공격자는 캡처한 NTLM 인증 시도를 해당 엔드포인트로 중계하여 다른 사람을 대신해 인증서를 요청할 수 있습니다.

공격자가 PetitPotam과 같은 기법을 사용해 도메인 컨트롤러를 강제로 자신에게 인증하게 하면, 해당 인증을 웹 등록 엔드포인트로 중계하여 그 도메인 컨트롤러로 인증되는 인증서를 받을 수 있습니다. 거기서부터는 DCSync 및 전체 도메인 침해로 이어집니다.

MITRE는 강제 및 중계 메커니즘에 대해 T1557(Adversary-in-the-Middle)으로, 공격자가 인증서를 손에 넣은 후 발생하는 일에 대해 T1649(Steal or Forge Authentication Certificates)로 추적합니다.

왜 ESC8이 이렇게 흔한가요?

Web Enrollment 역할을 설치하면 기본적으로 HTTP 및 NTLM 인증이 활성화되며, EPA가 적용된 HTTPS는 추가 구성이 필요합니다. 이 구성이 필요하다는 사실을 모르는 팀은 기본적으로 노출된 상태로 남아 있습니다.

아무도 인증서 등록을 NTLM 릴레이에 열어두기로 결정하지 않습니다. 누군가 CA를 설치하고 Web Enrollment를 활성화하며, 6개월 후에는 아무도 해당 역할이 실행 중이라는 것조차 기억하지 못하며 EPA 활성화가 필요하다는 사실은 더더욱 잊습니다.

이 발견은 강화된 환경에서도 나타나지만, ESC8에 대한 인식이 확산되면서 이제는 덜 자주 발생합니다.

공격자가 ESC8 인증서로 할 수 있는 일은 무엇인가요?

ESC8는 릴레이가 성공한 후 공격자가 보유하는 것 때문에 심각도가 높습니다. NTLM 세션은 빠르게 종료되지만 발급된 인증서는 만료되거나 누군가가 취소할 때까지 유효하며, 이는 보통 1년 이상입니다.

이 인증서는 프로토콜 전반에서 작동합니다. 공격자는 Kerberos 또는 Schannel(인증서 기반 TLS 로그인)으로 인증할 수 있으며, 이는 환경 내의 모든 NTLM 제한을 우회합니다.

강제 기법과 결합하면, 이 체인은 취약한 웹 등록 엔드포인트에 대한 네트워크 접근과 공격자가 인증을 강제할 수 있는 기계만 필요합니다. 이는 Domain Admin과 동등한 권한 접근으로 끝나는 경로에 대한 낮은 문턱입니다.

PingCastle는 ESC8을 어떻게 감지합니까?

PingCastle은 네트워크에서 발견한 각 인증 기관과 등록 서버를 검사합니다. 각 서버에 대해 웹 등록 페이지(certsrv/certrqxt.asp)와 Certificate Enrollment Service(CES) 엔드포인트 두 곳에 요청을 보냅니다. 둘 중 하나라도 일반 HTTP로 성공적으로 응답하면, PingCastle은 해당 도메인을 표시합니다. 네트워크 공격자가 암호화되지 않은 등록 엔드포인트로 NTLM 인증을 중계할 수 있기 때문입니다.

A-CertEnrollChannelBinding은 HTTPS 측면을 다룹니다. HTTPS를 허용하지만 채널 바인딩을 강제하지 않는 등록 엔드포인트를 표시하는데, 중계된 NTLM 세션이 여전히 HTTPS를 통해 통과할 수 있기 때문입니다.

등록을 중단하지 않고 ESC8을 어떻게 수정합니까?

Web Enrollment이 정말 필요합니까? 환경 내에서 certsrv 인터페이스를 통해 인증서 요청을 하는 사용자가 없다면 역할을 제거하세요. 이것이 가장 간단한 해결책이며 먼저 확인해야 할 사항입니다.

필요하다면 HTTPS만으로는 ESC8을 완전히 막을 수 없습니다. 등록 엔드포인트에도 EPA 또는 채널 바인딩이 적용되어야 합니다. 중계된 NTLM 세션이 HTTPS 연결을 통해 전달될 수 있기 때문입니다.AD CS에 대한 NTLM 릴레이 공격 완화에 관한 Microsoft 가이드(KB5005413)에서 구성 방법을 안내합니다.

기타 완화책: CA의 웹 인터페이스에 대한 네트워크 액세스를 제한하고, Kerberos로 충분한 경우 NTLM을 비활성화하며, 알려진 강제 기법에 대해 패치를 적용하세요. CA의 나머지 노출 부분은 위험한 AD CS 설정을 ESC8과 함께 검토하세요.

나의 추천

강화하기 전에 Web Enrollment가 필요한지 확인하는 것이 좋습니다. 필요하다면 HTTPS와 EPA를 요구하고 KB5005413을 따르십시오.

노출 여부를 확인하려면 무료 PingCastle 스캔을 실행하세요. 이 스캔은 ESC8을 직접 표시하며 AD CS 위험 영역 전체를 포함합니다. 보고서에서 "The certificate enrollment interface is accessible by unencrypted HTTP" 및 "Channel Binding is not enforced for the HTTPS Certificate Enrollment Interface"라는 두 가지 발견 항목을 찾아 ESC8 위험을 확인하세요.