Windows / Active Directory 보안
조치 필요 (읽기 즉시 실행)
NOW:../field-journal/precedent-pentest.md읽기NOW: 도메인/AD 테스트는 반드시 명시적 권한 범위를 확인해야 함 (DC 포함, 중독/중계 허용 여부)NOW: case-init; network_profile 및 금지 동작 명시NEXT: tool-index (impacket/certipy/bloodhound 등은 수동으로 많음)ACT: 신원 열거와 BloodHound 그래프로 시작하며, 먼저 파괴적 공격을 하지 않음
적용 시나리오
- 도메인 침투, Kerberoasting, AS-REP, 위임
- AD CS (ESC1–ESC8 등) 인증서 공격
- BloodHound / SharpHound 공격 경로
- NTLM 중계 / Coercer 강제 인증
- 로컬 권한 상승에서 도메인 경로 (Potato 등을 점프 호스트로 사용)
attack-chain과의 관계
- 외부에서 도메인 컨트롤러까지 다단계 → PRIMARY는 여전히
attack-chain/일 수 있음, 이 스킬은 AD 전문 - 이미 도메인 내부에서 신원 중심 공격 → PRIMARY = 이 스킬
워크플로우
1. 열거
# 예시 Impacket / 내장 (자격 증명과 권한 필요)
nxc smb <range> -u user -p pass
bloodhound-python -d domain.local -u user -p pass -c All -ns <DC>
2. 일반적인 경로 (그래프 먼저, 실행은 나중에)
□ Kerberoast / AS-REP → 오프라인 크랙
□ ACL 남용 (GenericAll/WriteDacl)
□ 위임 (비제한/제한/리소스 기반)
□ AD CS 템플릿 오류 → Certipy
□ 중계: LLMNR/NBT-NS + ntlmrelayx (권한 확인)
3. 자격 증명 및 횡적 이동
□ secretsdump / lsassy / mimikatz (엄격한 권한 및 정리)
□ PtH / PtT / 골든 티켓은 권한이 있는 레드팀 범위 내에서만
□ 모든 단계 Evidence 기록; 고위험 작업은 사용자 확인
도구 체인
| 도구 | 용도 |
|---|---|
| BloodHound / SharpHound | 경로 그래프 |
| Certipy | AD CS |
| Impacket / NetExec | 횡적 이동 및 열거 |
| Rubeus / Mimikatz | 티켓 및 자격 증명 (권한 있음) |
| Coercer / Responder | 강제 인증 / 중독 |
참고
references/ad-attack-paths.md../pentest-tools/references/network-attack-defense.md../attack-chain/- seeds:
field-journal/seed-005_ad-certipy-esc1.mdseed-007_ntlm-relay-coercer.mdseed-013_kerberoasting-spn.md
라우팅 컨텍스트
상위: MASTER R24
하위: 보고서 docs-generator; EDR 연구 필요 edr-bypass-re
MUST NOT: 권한 없는 DCSync / 골든 티켓을 프로덕션에서 사용
작업 완료 자가 점검
- 먼저 그래프/열거를 수행한 후 공격을 진행했는가?
- 재현 가능한 명령어를 기록하고 탈식별화했는가?
- 범위 금지 항목을 준수했는가?
- 체크리스트?