A Risk-Based Framework for Hardening Active Directory Infrastructure Against Credential Theft and Privilege Escalation

대부분의 대규모 조직의 디지털 심장부에는 모든 것에 대한 마스터 키 역할을 하는 중앙 시스템이 존재합니다. 이 시스템은 누가 로그인할 수 있는지, 어떤 파일을 열 수 있는지, 그리고 어떤 컴퓨터를 제어할 수 있는지를 관리합니다. 액티브 디렉토리(Active Directory)라고 알려진 이 시스템은 Windows 기반 네트워크의 정체성(identity)을 형성하는 토대입니다. 이 시스템은 왕국의 열쇠를 쥐고 있기 때문에 공격자들에게 가장 가치 있는 목표가 되기도 합니다. 악의적인 행위자가 비밀번호를 훔치거나 시스템을 속여 과도한 권한을 얻게 되면, 그들은 한 컴퓨터에서 다른 컴퓨터로 은밀하게 이동하며 민감한 데이터를 훔치거나 기업 전체를 자신의 시스템으로부터 차단할 수 있습니다. 수년 동안 보안 팀은 비밀번호 변경이나 특정 설정 활성화와 같은 긴 목록의 개별적인 해결책을 적용하여 이 시스템을 보호하려고 노력해 왔습니다. 그러나 이러한 노력은 종종 자신들의 작업이 얼마나 잘 작동하고 있는지 측정하거나 어떤 해결책이 가장 중요한지 결정하는 명확한 계획이 부족했습니다.

일련의 독립 연구자들은 단순한 체크리스트에서 벗어나 구조적이고 위험 기반의 접근 방식으로 문제를 바라보는 새로운 방식을 제안했습니다. 그들은 보안 조치를 다섯 가지 별개의 영역으로 조직하여, 이 디지털 정체성 시스템을 보호하는 것을 일회성 과업이 아닌 지속적인 프로세스로 취급하는 프레임워크를 개발했습니다. 통제 항목을 권한 관리, 비밀번호 보호, 중앙 서버 보안, 의심스러운 활동 감시, 그리고 복구 준비와 같은 카테고리로 그룹화함으로써, 연구자들은 조직이 실제로 얼마나 안전한지를 점수화하는 방법을 만들었습니다. 그들의 연구는 기업이 변화를 적용하기 전후에 이 점수를 측정함으로써, 자신들의 방어력을 얼마나 개선했는지 정확히 파악하고 가장 위험한 약점부터 우선순위를 정할 수 있다는 점을 시사합니다.

연구자들은 먼저 공격자들이 이러한 시스템에 침입하는 가장 흔한 방식들을 식별하는 것부터 시작했습니다. 그들은 범죄자들이 흔히 캐시된 비밀번호나 타인을 사칭할 수 있게 해주는 비밀 디지털 티켓을 훔치는 것으로 시작한다는 것을 발견했습니다. 일단 이러한 자격 증명을 확보하면, 그들은 관리자 계정이 너무 많은 컴퓨터에 접근 권한을 가지고 있거나 불필요한 권한을 가진 서비스 계정과 같은 시스템의 취약점을 찾습니다. 이를 통해 그들은 일반 사용자의 단계에서 전체 시스템 관리자로 올라가는 권력의 사다리를 타고 올라가며, 결국 전체 네트워크를 관리하는 중앙 서버를 장악하게 됩니다. 위협은 여기서 끝나지 않습니다. 공격자들은 또한 네트워크를 가로질러 옆으로 이동하며 다른 기기들을 감염시키고, 회사가 복구를 시도하더라도 할 수 없도록 백업 시스템을 표적으로 삼기도 합니다. 연구자들은 재난 이후 시스템을 복구하기 위한 명확한 계획이 없다면, 조직이 운영을 마비시키는 장기간의 중단 사태를 겪을 수 있다고 언급했습니다.

이러한 위험에 대응하기 위해 연구팀은 '위험 기반 액티브 디렉토리 강화 프레임워크(Risk-Based Active Directory Hardening Framework)'라는 체계를 도입했습니다. 이 시스템은 네트워크 보안 작업을 다섯 가지 특정 도메인으로 나눕니다. 첫 번째 도메인은 관리 권한을 가진 자를 거버넌스(통제)하는 데 중점을 둡니다. 연구자들은 시스템을 관리해야 하는 모든 사람이 항상 모든 통제권을 가질 필요는 없다고 주장합니다. 대신, 그들은 권한을 여러 단계로 분리하여 가장 강력한 계정은 가장 중요한 기기에서만 사용되도록 하고, 탈취될 위험이 있는 일반 워크스테이션에서는 절대 사용되지 않도록 할 것을 제안합니다. 두 번째 도메인은 비밀번호와 디지털 키와 같은 실제 자격 증명을 보호하는 것을 다룹니다. 여기에는 강력하고 고유한 비밀번호 사용, 민감한 작업에 대한 2차 인증 요구, 그리고 사람보다는 소프트웨어 프로그램이 사용하는 계정을 세심하게 관리하는 것이 포함됩니다.

세 번째 도메인은 연구자들이 가장 중요한 자산이라고 부르는 중앙 서버 자체를 강화하는 데 집중합니다. 이 서버들은 최신 보안 패치를 지속적으로 적용해야 하며, 누가 로그인할 수 있는지에 대한 엄격한 규칙을 가져야 하고, 불필요한 연결을 차단하는 방화벽에 의해 보호되어야 합니다. 네 번째 도메인은 모니터링과 탐지에 관한 것입니다. 안전한 시스템은 내부에서 무슨 일이 일어나고 있는지 볼 수 있어야 합니다. 이 프레임워크는 사용자가 설정을 변경하거나 특이한 장소에서 로그인할 때마다 추적하기 위해 고급 로깅을 설정하고, 이 기록들을 중앙 시스템으로 전송하여 보안 팀에 의심스러운 행동을 즉시 알릴 것을 권장합니다. 마지막 도메인은 복구 준비 태세입니다. 이는 최악의 상황이 발생했을 때, 조직이 검증된 안전한 백업을 보유하고 있으며 침해된 부분에 의존하지 않고 정체 시스템을 재구축할 수 있는 명확한 계획을 갖추고 있음을 보장합니다.

이 접근 방식이 효과적인지 테스트하기 위해 연구자들은 각 5개 도메인을 1점에서 5점 사이의 척도로 평가하는 점수 모델을 만들었습니다. 1점은 통제 항목이 누락되었거나 일관성이 없음을 의미하며, 5점은 자동화되고 측정되며 지속적으로 개선되고 있음을 의미합니다. 그들은 이 모델을 가상의 시나리오에 적용하여 조직이 취약한 보안 태세에서 강력한 태세로 어떻게 이동할 수 있는지 보여주었습니다. 이 예시에서 조직은 모니터링과 계정 거버넌스 같은 영역에서 낮은 점수로 시작했습니다. 관리 계정을 분리하고 고급 로깅을 활성화하는 등 프레임워크의 권장 사항을 구현한 후, 그들의 점수는 크게 향상되었습니다. 가장 큰 진전은 모니터링 분야에서 나타났는데, 조직은 무엇이 일어나고 있는지에 대한 가시성이 거의 없는 상태에서 의심스러운 활동을 조기에 포착할 수 있는 견고한 시스템을 갖춘 상태로 발전했습니다.

이 연구는 가장 큰 개선은 종종 네트워크에서 무엇이 일어나고 있는지 단순히 아는 것에서 온다는 점을 강조합니다. 많은 조직은 제한된 가시성 속에서 운영되며, 공격자가 이미 컴퓨터 사이를 이동하거나 중요한 설정을 변경했다는 사실조차 인지하지 못합니다. 점수 모델을 사용함으로써 보안 팀은 정확히 어디에 약점이 있는지 파악하고 그곳에 노력을 집중할 수 있습니다. 예를 들어, 복구 준비 태세 점수가 낮다면 팀은 백업 복구 프로세스를 즉시 테스트해야 한다는 것을 알게 됩니다. 만약 특권 계정 거버넌스 점수가 낮다면, 시스템에 대한 완전한 통제권을 가진 사람의 수를 줄여야 한다는 것을 알게 됩니다. 이 방법은 추상적인 보안 조언을 구체적이고 측정 가능한 행동으로 바꾸어 리더십에게 보고할 수 있게 합니다.

연구자들은 이 프레임워크가 마법 같은 해결책이라기보다 개선을 위한 가이드임을 인정합니다. 그들은 비밀번호 규칙을 강화하거나 오래된 통신 방식을 비활성화하는 것과 같은 일부 보안 조치가 때때로 해당 방식에 의존하는 오래된 소프트웨어에 문제를 일으킬 수 있다고 지적합니다. 따라서 그들은 조직이 이러한 변화를 단계적으로 시행하고 관련된 모든 사람과 명확하게 소통할 것을 제建議합니다. 또한 그들은 점수는 그 근거가 되는 증거만큼 가치가 있다는 점을 강조합니다. 팀은 단순히 점수를 추측해서는 안 되며, 구성 파일, 감사 보고서, 백업 테스트 기록 등을 통해 자신들의 통제 항목이 실제로 작동하고 있음을 증명해야 합니다.

궁극적으로, 이 연구는 디지털 정체의 보호를 혼란스러운 과업 목록에서 규율 있고 측정 가능한 프로그램으로 변모시키는 방법을 제공합니다. 보안 노력을 명확한 도메인으로 조직하고 간단한 점수 체계를 사용함으로써, 조직은 시간이 지남에 따라 진행 상황을 추적하고 어디에 자원을 투입할지 정보에 입각한 결정을 내릴 수 있습니다. 이 프레임워크는 실무적인 보안 작업을 확립된 표준과 일치시켜, 기업이 단순한 설정의 집합이 아니라 현대의 사이버 위협에 맞설 수 있는 회복력 있는 시스템을 구축하도록 돕습니다. 저자들은 향ar 연구가 이 모델을 실제 환경에 적용하여 더 많은 데이터를 수집해야 한다고 제안하지만, 현재의 결과는 가장 중요한 디지털 자산을 강화하고자 하는 모든 조직에 명확한 경로를 제공합니다.