Microsoft RAMP는 인증 기관의 경계에서 멈춥니다

Microsoft는 7월 14일 CVE-2026-54121을 패치했습니다. 연구원 H0j3n과 Aniq Fakhrul은 10일 후 작동하는 개념 증명을 발표하고 이를 Certighost라고 명명했습니다. AD CS 서버가 7월 누적 업데이트를 적용했다면 보호받는 것입니다. 아직 6월 빌드를 사용 중이라면 공개된 익스플로잇 코드에 노출된 상태입니다.

공격 자체는 짧습니다. 관리자 권한이 없는 일반 도메인 사용자가 자신이 제어하는 컴퓨터 계정의 속성을 조작하고, 인증 기관 내의 결함 있는 폴백 로직을 트리거하여 PKINIT를 통해 도메인 컨트롤러로 인증되는 서명된 인증서를 받습니다. 그 후, DCSync는 krbtgt 해시와 Golden Tickets를 포레스트 전체에서 위조할 수 있는 능력을 제공합니다. 이는 Active Directory와 통합된 Enterprise CA와 컴퓨터 계정을 생성하거나 제어할 수 있는 권한이 필요하며, 기본 머신 계정 할당량 10개는 모든 도메인 사용자에게 이를 부여합니다.

체인을 시작한 계정은 어느 시점에서도 권한이 상승된 적이 없습니다. 이것이 중요한 세부 사항인데, Microsoft의 privileged access 로드맵은 이 공격이 우회하는 위협 모델을 기반으로 구축되었기 때문입니다.

RAMP의 세 가지 이니셔티브 그룹

Rapid Modernization Plan은 특권 계정을 분리하고 관리하며, 해당 계정을 보유한 사용자의 자격 증명 경험을 개선하고 관리자 워크스테이션을 배포하라고 안내합니다. 그 아래에는 대부분의 보안 팀이 현재 작업 중인 세부 사항이 있습니다: Privileged Identity Management (PIM), 긴급 액세스 계정, 영향도에 따른 Microsoft Entra 역할 분류, 관리자용 MFA 및 비밀번호 없는 접근, 레거시 인증 차단, 그리고 Privileged Access Workstations.

대부분은 Microsoft Entra ID 작업입니다. RAMP가 온프레미스에서 요구하는 것은 별도의 관리자 계정, 해당 계정을 사용하는 사람들을 위한 전용 워크스테이션, 고유한 로컬 관리자 암호로 요약됩니다. Certighost는 AD CS의 결함입니다. 이 세 가지 중 어느 것도 영향을 주지 않습니다.

RAMP에는 인증 기관 이니셔티브가 포함되어 있지 않습니다. Microsoft는 이를 의도적으로 그렇게 설정했으며, 지침에서도 별도의 Privileged Access Management 배포 문서를 기반으로 그렇게 명시하고 있습니다. RAMP는 환경 내에서 누가 권한이 상승된 액세스를 보유하고 있는지 답합니다. CA가 인증서에 연결할 신원을 결정하는 방법은 별개의 문제입니다.

Certighost가 마지막이 아닐 것입니다

인증서 발급 무결성은 하나의 범주이며 계속해서 발생하고 있습니다. 알려진 대부분의 경로는 "Certified Pre-Owned" 이후 문서화된 ESC 공격 기법으로, 템플릿이나 CA 플래그가 권한 없는 사용자가 자신이 소유하지 않은 ID에 대한 인증서를 요청할 수 있도록 합니다. Certighost는 다른 형태입니다. 템플릿 구성은 중요하지 않습니다. 결함은 인증 기관의 요청 처리 로직에 있으며, 요청이 실제로 어떤 디렉터리 객체를 대상으로 하는지 해결하는 방식에 있습니다.

그 구분은 대응 방식에 중요합니다. 표준 권고인 인증서 템플릿 감사는 이것을 발견하지 못했을 것입니다.

고객들이 이 부분에서 오해하는 점

대부분의 고객은 누군가가 담당하고 있기 때문에 AD CS가 관리되고 있다고 생각합니다. 인증 기관은 PKI 또는 인프라 팀에 속해 있고, Identity 팀은 그것이 처리된 것으로 간주하며, 다른 보고 라인은 통제로 인식됩니다. ESC 경로 중 하나에 대해 구성 감사를 했는지 물으면 보통 알지 못했다는 답변이 돌아옵니다.

이를 소유한 팀은 가용성으로 평가받습니다. 발급은 성공하고, 갱신은 만료되지 않으며, 인증은 중단되지 않고, CA는 그들이 책임지는 모든 지표에서 건강합니다. 표준 사용자가 자신과 무관한 계정에 인증서를 등록해도 모든 지표에서 건강 상태가 유지되며, 바로 이 때문에 아무도 이를 발견하지 못합니다.

거버넌스는 붙잡을 것이 없습니다

RAMP의 제어는 특권 계정을 중심으로 활성화됩니다. Certighost는 CA가 해당 계정을 생성하는 인증서를 발급할 때까지 절대 만지지 않습니다.

PIM이 제어할 중간 계정도 없고 MFA가 인증을 요구할 관리자 인증도 없습니다. 권한 상승과 보상은 인증 기관의 요청 처리 내에서 단일 거래로 이루어지며, 공격자의 시작 계정은 다른 일반 도메인 사용자와 동일한 계층에 그대로 남아 있습니다. 스테이징 단계를 가능하게 하는 머신 계정 할당량도 RAMP 이니셔티브가 아닙니다.

RAMP는 Microsoft Defender for Identity (MDI)를 가리키며, MDI는 실제 인증서 적용 범위를 제공합니다. 보안 태세 평가는 알려진 권한 상승 경로에 대한 템플릿과 CA 설정을 평가하며, CA 자체를 검사하는 점검은 AD CS 서버에 MDI 센서가 필요합니다. 또한 이 기술에 대해 요청 패턴에서 작동하는 명명된 탐지 기능도 있습니다.

두 가지 모두 가치가 있습니다. 어느 것도 등록 요청을 거부하지 않습니다. 자세 평가란 주기적으로 읽는 구성 보고서이며, 탐지는 거래가 완료되는 동안 도착하는 경고입니다.

그래서 보안 팀은 RAMP를 처음부터 끝까지 완료하고 잘 수행하며 MDI를 함께 운영하면서도 인증서 요청을 평가하고 거부하는 제어는 전혀 없을 수 있습니다. Privileged Access Management 거버넌스와 인증 기관 무결성은 별개의 문제입니다. RAMP는 그중 하나를 해결하며, 완료된 롤아웃을 두 가지 모두에 대한 커버리지로 간주하는 것이 그 로드맵의 가장 흔한 오해라고 생각합니다.

누군가가 RAMP 작업을 마쳤다고 말하면, 제 첫 번째 질문은 인증 기관이 누구인지입니다. 그들이 알아봐야 한다면, 그것이 답입니다. RAMP는 올바른 로드맵이며, 완료했다는 것은 그들의 특권 계정이 관리되고 있다는 의미로, 이는 실제 진전이며 무의미한 것이 아닙니다. 단지 표준 사용자의 인증서 요청에서 이러한 계정 중 하나를 생성할 수 있는 시스템에 대해서는 아무 말도 하지 않습니다. 그 시스템을 모니터링하는 것이 기본입니다. 다음으로 원하는 것은 요청을 거부할 수 있는 무언가입니다.

등록 요청 차단

Netwrix Threat Prevention (NTP) 및 Netwrix Threat Manager (NTM)은 양측에서 작동합니다. 모니터링 측면에서 NTM은 Defender for Identity를 통해 RAMP가 지적하는 동일한 영역을 다루며, AD CS 오용 및 인증서 남용 패턴을 실시간으로 탐지합니다.

예방 측면이 그들을 구분합니다. NTP는 ESC1부터 ESC7 기술을 포함한 알려진 AD CS 남용 패턴에 따라 등록 요청을 평가하고, 인증서가 존재하기 전에 차단하여 인증서가 발급되었다는 기록을 생성하지 않습니다. 자세 평가로 템플릿이 잘못되었음을 알 수 있고, 탐지로 요청이 이상해 보였음을 알 수 있지만, 집행만이 세 가지 중 거래를 종료하는 유일한 방법입니다.

RAMP를 수행한 후 인증 기관을 확인하세요

RAMP를 따르세요. 요구하는 작업은 반드시 해야 할 작업입니다. AD CS 서버에 패치를 적용하고 그곳에 있는 동안 머신 계정 할당량을 0으로 설정하세요.

그런 다음 인증 기관을 확인하세요. RAMP가 거기로 보내주지 않을 것입니다. 템플릿을 감사하세요, 그리고 그 아래 더 어려운 질문을 하세요: 표준 계정이 자신과 무관한 신원을 주장하며 등록 요청을 제출할 때, 환경 내에서 그 요청을 평가하는 것은 무엇이며, 이를 막거나 단순히 기록만 하나요?