313. 내부 확장·측면 이동 — Pass-the-Hash·티켓 재사용 탐지

목록 보기

313/450

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 13/50편 (전체 313/450)
학습 단계: 인증·자격증명 기반 이동
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

1. 개념

Pass-the-Hash(PtH)·티켓 재사용은 평문 비밀번호 대신 인증 자격 자료(해시·Kerberos 티켓)를 그대로 사용해 인증하는 기법입니다. 비밀번호를 크래킹하지 않고도 탈취한 해시·티켓으로 바로 측면 이동합니다. 주로 Windows/AD 환경이지만, 혼합 환경·Linux 통합 인증(Kerberos·SSSD)에서도 발생합니다.

인증 자격 자료 재사용
 Pass-the-Hash: NTLM 해시로 인증(평문 불필요) — Windows/AD
 Pass-the-Ticket: Kerberos TGT/TGS 티켓 재사용
 Linux 연계: SSSD/Kerberos 통합 환경, keytab 탈취
 특징: 평문 비밀번호 입력 없이 인증 성공

핵심: 해시·티켓으로 비밀번호 없이 인증 → 측면 이동

Linux 환경에서도 Kerberos 통합(AD 연동)·keytab 파일 탈취로 티켓 재사용이 가능합니다. 비정상 티켓 요청·keytab 접근이 신호입니다.

2. 왜 중요한가

PtH·티켓 재사용은 평문 비밀번호 없이 인증해, 비밀번호 변경으로도 막기 어렵습니다.
혼합 환경·AD 연동 Linux(SSSD·Kerberos)에서도 티켓 재사용이 발생합니다.
keytab 파일 탈취·비정상 Kerberos 티켓 요청이 Linux 측 신호입니다.

3. 핵심 명령어 / 설정

기법	자격 자료	환경
Pass-the-Hash	NTLM 해시	Windows/AD
Pass-the-Ticket	Kerberos 티켓	AD/혼합
keytab 탈취	서비스 키탭	Linux/AD
overpass-the-hash	해시→티켓	AD
정상 SSO	정상 티켓	정상

4. 실습 (실습 예시)

# PtH·티켓 재사용 탐지 (분석 방법)
# keytab 파일 접근(탈취 전조)
sudo ausearch -k cred_access,lateral -i --start recent 2>/dev/null | grep -E '\.keytab|krb5' | tail
# 비정상 Kerberos 티켓 요청(klist·kinit 비정상 사용)
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep -E 'comm="(kinit|klist|kadmin)"' | grep -vE 'auid=(svc|root-admin)'
# AD 연동 환경: 비정상 TGS 요청은 DC 로그와 상관

5. 정상 상태

$ (keytab 접근) (없음 또는 정상 서비스)
$ (Kerberos 도구) (없음 또는 정상 SSO)

keytab 접근·Kerberos 도구 사용이 정상 서비스·SSO에 그치는, 티켓 재사용 흔적이 없는 상태가 정상입니다.

6. 이상 상태

$ (keytab 접근)
comm="cp" /etc/krb5.keytab → /tmp (keytab 탈취)
$ (Kerberos 도구)
comm="kinit" auid=www-data (서비스 계정의 비정상 티켓 요청)

/etc/krb5.keytab을 /tmp로 복사 → keytab 탈취(티켓 재사용 준비)
www-data(웹 계정)의 kinit → 비정상 Kerberos 티켓 획득
keytab 탈취·비정상 티켓 요청 → 티켓 재사용 측면 이동 → 정탐

7. 로그 분석 (분석 방법)

PtH·티켓 재사용 분석입니다(가상의 예시).

[탈취] /etc/krb5.keytab 복사 (또는 AD 환경 NTLM 해시)
   ↓ (재사용)
[티켓 획득] kinit -k -t 탈취keytab (비밀번호 없이)
   ↓
[측면 이동] 획득 티켓으로 다른 호스트/서비스 인증
   = 평문 비밀번호 없이 인증 성공
[추적] keytab 접근 + 비정상 kinit + 티켓 기반 인증

관찰	해석
keytab 복사	자격 자료 탈취
비정상 kinit	티켓 획득
티켓 인증	비번 없는 이동
비밀번호 무관	변경 무력

keytab 접근 + 비정상 티켓 요청이 재사용의 Linux 측 지표입니다.

8. SOC 관제 포인트

PtH·티켓 재사용은 해시·티켓으로 비밀번호 없이 인증하는 측면 이동입니다.
Linux도 AD 연동(Kerberos·SSSD·keytab)에서 티켓 재사용이 발생합니다.
keytab 탈취·비정상 Kerberos 티켓 요청이 핵심 신호이며, AD 환경은 DC 로그와 상관합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_g,lateral,">
  <rule id="106120" level="13">
    <if_sid>106000</if_sid>
    <field name="audit.proctitle" type="pcre2">\.keytab|kinit\s+-k|cp\s+.*krb5\.keytab</field>
    <description>keytab 탈취·비정상 Kerberos 티켓 요청(티켓 재사용)</description>
    <mitre><id>T1550.003</id><id>T1558</id></mitre>
  </rule>
</group>

AD 연동 환경에서는 Windows DC 이벤트(4768/4769 비정상 TGT/TGS)와 Linux keytab 접근을 상관합니다. 정상 서비스 keytab 사용은 예외 처리합니다.

10. 대응 방법

초기 확인 — keytab 접근·비정상 Kerberos 티켓 요청·티켓 기반 인증을 확인합니다.
범위 확인 — 자격 자료 탈취·비밀번호 없는 인증·AD DC 로그 연계를 확인합니다.
증거 확보 — keytab 접근·Kerberos 이벤트·인증 로그를 보존합니다.
차단/조치 — 티켓 재사용 정탐이면 keytab 재발급·티켓 폐기(KRBTGT 등 AD 연계)·계정 조사를 진행합니다.
재발 방지 — keytab·Kerberos 기반 티켓 재사용 탐지를 운영합니다.

11. 핵심 정리

기법	자격 자료
Pass-the-Hash	NTLM 해시
Pass-the-Ticket	Kerberos 티켓
keytab 탈취	서비스 키탭
overpass-the-hash	해시→티켓
면접 포인트	"PtH·티켓 재사용은 비번 없는 인증 — Linux는 keytab·Kerberos, AD DC 로그 상관"