Kerberos 티켓 탈취·위조: 도메인 인증을 우회하는 5가지 기법 | T1558

개요

MITRE ID: T1558 | 전술: Credential Access | 플랫폼: Windows, Linux, macOS

Kerberos 티켓 탈취·위조는 공격자가 Windows 도메인 환경에서 정상적인 인증 과정을 우회하여 시스템에 접근하는 기법입니다. 공격자는 Kerberos 인증 티켓을 훔치거나 위조해서 비밀번호 없이도 도메인 리소스에 자유롭게 접근할 수 있게 됩니다.

현대 기업 환경에서 Active Directory는 필수 인프라인데, Kerberos는 여기서 핵심적인 인증 프로토콜 역할을 합니다. 그런데 이 시스템의 특성상 한 번 유효한 티켓을 얻으면 상당 기간 동안 재사용이 가능하거든요. 공격자들이 이 점을 노리는 거죠.

💡 쉬운 비유: 영화관 티켓을 생각해보세요. 정상적으로 구매하거나(정당한 인증), 위조하거나(Golden/Silver Ticket), 다른 사람 것을 훔치면(티켓 탈취) 모두 영화관에 들어갈 수 있잖아요. Kerberos 공격도 비슷한 원리입니다.

이 기법에는 다음과 같은 세부 기법들이 있습니다:

각 하위 기법의 상세 분석 은 개별 글에서 다룹니다.

Akira 랜섬웨어 그룹은 2024년 공격에서 스크립트를 사용해 Kerberos 인증 자격증명을 덤프하는 기법을 활용했습니다. 이들은 도메인 환경에 침투한 후 정상적인 Kerberos 티켓들을 수집해서 추가적인 시스템 접근에 활용했거든요.

특히 Akira는 지속적으로 공격 기법을 발전시키고 있는 그룹으로, 초기에는 데이터 탈취에만 집중하다가 최근에는 다시 암호화와 데이터 탈취를 병행하는 방식으로 전환했습니다. Kerberos 티켓 탈취는 이런 다단계 공격에서 핵심적인 역할을 하죠.

Kerberos 티켓은 기본적으로 10시간(TGT) 또는 7일(서비스 티켓) 동안 유효합니다. 한 번 획득하면 상당 기간 재사용할 수 있어서 공격자 입장에서는 매우 효율적이에요.

정상적인 Kerberos 트래픽과 구분하기 어렵습니다. 위조된 티켓이라도 암호화 서명이 올바르면 시스템에서는 정상 인증으로 인식하거든요.

Golden Ticket 같은 경우 도메인 관리자 권한으로 위조할 수 있어서, 한 번 성공하면 전체 도메인을 장악할 수 있습니다.

Kerberoasting처럼 일부 기법은 티켓을 수집한 후 오프라인에서 크래킹할 수 있어서 탐지 위험이 낮습니다.

탐지 포인트:

예방 조치: