Pass-the-Hash / Pass-the-Ticket: 원리와 실전

윈도우 인증은 평문 비밀번호가 아니라 그 비밀번호에서 파생된 해시(NTLM) 또는 티켓(Kerberos)으로 이루어진다는 게 핵심이다. 그래서 평문 비밀번호를 몰라도 해시/티켓만 있으면 그 계정으로 "인증된 것처럼" 행동할 수 있다.

NTLM 인증과 Pass-the-Hash

NTLM은 챌린지-리스폰스 방식이다. 서버가 평문 비밀번호를 직접 검증하는 게 아니라, 클라이언트가 NTLM 해시로 챌린지 값을 암호화한 응답을 검증한다. 그래서 해시만 있으면 그 계산을 그대로 할 수 있어서 평문이 애초에 필요없다.

# Mimikatz로 메모리(lsass.exe)에서 NTLM 해시 덤프
mimikatz # sekurlsa::logonpasswords

# 덤프한 해시로 다른 시스템에 인증 (평문 비밀번호 없이)
impacket-psexec -hashes :<NTLM해시> administrator@target

Kerberos와 Pass-the-Ticket / Golden Ticket

Kerberos는 TGT(Ticket Granting Ticket)를 발급받아 그걸로 서비스 티켓을 받는 구조다. TGT 자체를 탈취해서 재사용하는 게 Pass-the-Ticket이다. 여기서 한 발 더 나가서 도메인의 모든 인증을 담당하는 krbtgt 계정의 해시까지 탈취하면, 도메인의 어떤 계정으로도 위조된 TGT(Golden Ticket)를 무한정 발급할 수 있다 — 도메인 전체 장악을 뜻한다.

mimikatz # kerberos::golden /user:fake /domain:corp.local /sid:S-1-5-21-... /krbtgt:<hash> /ticket:golden.kirbi

왜 막기 어려운가

NTLM/Kerberos 설계 자체가 "해시/티켓 재사용 가능"을 전제로 하기 때문에, 패치 하나로 막을 수 있는 버그가 아니라 아키텍처 문제다. 그래서 방어는 탐지·제한 위주로 접근한다.

방어

• LAPS로 로컬 관리자 비밀번호를 계정마다 다르게, 주기적으로 로테이션 — 로컬 admin 해시 하나가 조직 전체에 재사용되는 걸 막는다
• 도메인 관리자 계정을 일반 워크스테이션에 로그인시키지 않는 티어링(Tiering) 모델
• krbtgt 계정 비밀번호를 정기적으로 2회 순환해서 기존 Golden Ticket을 무효화
• SIEM에서 비정상 로그온 패턴(다른 지리적 위치, 짧은 시간 내 다수 시스템 로그인)을 탐지하는 룰 구성