HADES: Detecting Active Directory Attacks via Whole Network Provenance Analytics

다음은 "HADES: Whole Network Provenance Analytics 를 통한 Active Directory 공격 탐지" 논문에 대한 상세한 기술 요약입니다.

1. 문제 제기

Active Directory(AD) 는 현대 기업의 신원 및 액세스 관리의 핵심이므로, 고급 지속적 위협 (APT) 행위자들의 주요 표적이 됩니다. 공격자들은 탐지를 회피하기 위해 "Living-Off-the-Land Binaries(LOLBins)"와 "저속하고 은밀한 (low and slow)" 전략을 사용합니다.

• 기존 IDS 의 한계: 전통적인 침입 탐지 시스템 (IDS) 은 고립된 사건 분석이나 시그니처 매칭에 의존합니다. 이는 합법적인 도구 (LOLBins) 를 사용한 은밀한 공격에 취약하여 높은 오탐 (false-negative) 비율을 초래합니다.
• 기존 Provenance IDS(PIDS) 의 한계: 시스템 활동의 인과 관계를 그래프로 구축하는 provenance 기반 시스템은 오탐을 줄이지만, 현재는 단일 머신 (intra-machine) 추적에 국한되어 있습니다. 네트워크 내 여러 머신에 걸친 공격자의 추적이 불가능합니다.
• 의존성 폭발 (Dependency Explosion) 문제: 네트워크 연결이나 단순한 로그온 이벤트를 기반으로 단일 머신 내 provenance 그래프를 무작위로 연결하면 "의존성 폭발"이 발생합니다. 이는 인과관계가 아닌 상관관계로 가득 찬 방대한 그래프를 생성하여 공격의 실제 범위를 정확하게 추적하거나 권한 상승을 식별하는 것을 불가능하게 만듭니다.

2. 방법론: HADES 시스템

HADES 는 AD 환경에 특화된 2 단계 온디맨드 provenance 기반 침입 탐지 시스템입니다. 효율성을 보장하기 위해 이상 징후가 탐지될 때만 작동합니다.

1 단계: 경량 인증 이상 탐지

• 목표: 비용이 많이 드는 추적 프로세스를 트리거할 잠재적 AD 공격을 식별합니다.
• 메커니즘: 시스템은 도메인 컨트롤러와 호스트의 인증 및 로그온 로그를 분석하여 Kerberos 인증 흐름의 이상을 탐지합니다.
• 이상 패턴: 표준 6 단계 Kerberos 프로세스의 특정 편차를 식별합니다 (예: AS-REP Roasting, Kerberoasting, Pass-the-Ticket, Golden/Silver Ticket 공격).
• 출력: 이상 징후가 탐지되면 관련 엔티티 (사용자, 호스트) 와 의심되는 공격 유형을 포함하는 고급 공격 그래프 (High-Level Attack Graph) 를 생성합니다.

2 단계: 로그온 세션 기반 실행 파티셔닝 및 추적

이는 HADES 의 핵심 혁신입니다. HADES 는 네트워크 패킷을 기반으로 그래프를 연결하는 대신 로그온 세션 ID를 사용하여 진정한 인과 관계를 확립합니다.

• 로그온 세션 기반 파티셔닝: Windows 는 모든 성공적인 인증에 고유한 로그온 세션 ID 를 할당합니다. HADES 는 이를 사용하여 시스템 활동을 파티셔닝하여, 동일한 진짜 신원에 속한 활동만 연결되도록 보장합니다.
• 과제 극복:
  • 원격 액세스 유형 추론: RDP, SMB, SSH, PowerShell 등 다양한 액세스 유형은 로그온 이벤트를 다르게 생성합니다. HADES 는 액세스 유형을 추론하여 세션 데이터를 올바르게 해석합니다.
  • 세션 ID 재할당: RDP(빠른 사용자 전환) 나 Web-Shell 액세스와 같은 경우, 새로운 활동이 기존 시스템 세션 ID(예: 0x3e7) 로 잘못 레이블링될 수 있습니다. HADES 는 잘못된 의존성을 방지하기 위해 이러한 활동을 올바른 공격자 세션 ID 로 재할당합니다.
  • 세션 연결: 동일한 사용자가 생성한 권한 있는 UAC 세션과 표준 세션과 같은 관련 세션을 연결하여 완전한 추적을 보장합니다.
• 추적 프로세스:
  1. 전방 추적: 액세스된 호스트의 로그온 세션 내 시스템 활동을 추적합니다.
  2. 크로스-머신 추적: 인증 로그를 사용하여 현재 세션을 공격 머신의 소스 세션 (후방) 과 다른 머신의 후속 세션 (전방) 과 연결합니다.
  3. 출력: 횡적 이동과 권한 상승을 포함한 전체 공격 체인을 보여주는 저급 전체 네트워크 공격 그래프 (Low-Level Whole Network Attack Graph) 를 생성합니다.

위협 점수 및 트라이에이지

HADES 는 다음 기준에 따라 위협 점수를 계산하여 경보를 우선순위화합니다:

1. 자격 증명 액세스: 기술의 빈도 및 심각도 (예: lsass.exe 액세스).
2. AD 발견: 정찰 단계의 빈도.
3. 권한 상승: 토큰 승격 탐지.
4. 맥락: 도메인 관리자 관여 및 특정 공격 유형 (예: Golden Ticket 은 Silver Ticket 보다 가중치가 높음) 에 대한 가중치 요소.

3. 주요 기여

1. AD 를 위한 최초의 크로스-머신 PIDS: HADES 는 기업 AD 환경에서 정확한 인과 관계 기반 크로스-머신 provenance 추적을 수행하는 최초의 시스템입니다.
2. 로그온 세션 기반 실행 파티셔닝: Windows 로그온 세션 ID 를 활용하여 의존성 폭발 문제를 해결하고, 동시 사용자 세션으로 인한 노이즈와 잘못된 의존성을 필터링하는 새로운 개념입니다.
3. 경량 이상 탐지 모델: AD 인증 흐름에 대한 심층 분석에 기반한 탐지 모델로, 필요할 때만 추적 시스템을 트리거합니다.
4. 종합적 경보 트라이에이지: AD 공격 패턴 (발견 → 자격 증명 액세스 → 횡적 이동) 에서의 통찰력을 통합하여 경보를 심각도별로 순위 매기는 알고리즘입니다.
5. 견고한 구현: 코드 계측 없이 RDP 세션 재사용, UAC 권한 분리, 다양한 원격 액세스 유형과 같은 복잡한 시나리오를 처리하는 프로토타입입니다.

4. 평가 결과

저자들은 APT29(Golden Ticket), WizardSpider(Kerberoasting), Oilrig(Pass-the-Hash) 의 세 가지 MITRE ATT&CK 모의 계획에서 파생된 데이터셋을 사용하여 HADES 를 평가했습니다.

• SIEM 규칙 (Elastic, Sigma, Chronicle) 과의 비교:
  • 오탐: HADES 는 오픈 소스 SIEM 규칙 대비 오탐을 98% 감소시켰습니다. SIEM 규칙은 LOLBins 에 취약하여 수천 개의 잘못된 경보를 생성했습니다.
  • 오탐 (False Negatives): HADES 는 모든 실제 공격을 탐지한 반면, 일부 SIEM 규칙은 지나치게 구체적인 규칙으로 인해 특정 공격 사례를 놓쳤습니다.
• 상용 탐지기 (CAD) 와의 비교:
  • 상용 제품은 오탐이 전혀 없었으나, 오탐 (False Negative) 비율이 매우 높아 평가에 사용된 세 가지 공격 유형을 모두 놓쳤습니다. 벤더는 Pass-the-Hash 에 대한 탐지 로직에 알려진 문제가 있으며 시스템 로그 가시성이 부족했다고 확인했습니다.
• 성능:
  • 1 단계: 이벤트당 35ms 미만에 이상 징후를 탐지합니다.
  • 2 단계: 경보당 45 초 미만에 위협 점수가 포함된 전체 네트워크 공격 그래프를 생성합니다.

5. 의의

• 격차 해소: HADES 는 provenance 분석의 높은 정밀도와 현대 기업 네트워크에서의 크로스-머신 가시성 필요성 사이의 격차를 해소합니다.
• 운영 효율성: 온디맨드 2 단계 방식을 사용하여 지속적인 전체 네트워크 추적의 계산 비용을 피함으로써 대규모 배포를 가능하게 합니다.
• 실행 가능한 정보: 이 시스템은 설명 가능할 뿐만 아니라 맥락이 풍부한 공격 그래프를 생성하여 보안 운영 센터 (SOC) 가 공격의 전체 범위 (초기 액세스부터 횡적 이동까지) 를 이해하고 위협 심각도에 따라 대응을 우선순위화할 수 있도록 합니다.
• APT 에 대한 방어: 기존 시그니처 기반 시스템이 포착하지 못하는 합법적인 도구를 사용하는 "저속하고 은밀한 (low and slow)" APT 의 특성을 구체적으로 다룹니다.