3.5 최신 방어 관점과 복습¶
버전 변화, PowerShell 관찰, Credential Guard, SMB 정책을 복습합니다.
Post-Exploitation 목차 · 교재 기반 강의 · 보충 자료 확인: 2026-10-27
18. 최신 자료와 비교했을 때 보충해야 할 내용¶
첫째, 교재의 실행 모델은 기초로 유효하지만 현재 기능 전체를 설명하지는 않습니다.
공식 릴리스 노트상 2026년 6월에 4.13이 출시되었고, 현재 릴리스 페이지도 4.13을 최신으로 표시합니다. 4.13에는 Beacon Interpreter, BOF-PE 지원, Payload Store 등이 추가되었습니다. 따라서 “확장 코드는 항상 전통적인 .o BOF 또는 기존 fork & run 방식뿐이다”라고 이해하면 범위가 좁습니다. 공식 릴리스 페이지, 공식 릴리스 노트
4.11에는 비동기 BOF 실행이 추가되었고, 4.12에는 GUI와 REST API 등의 변경이 있었습니다. 교재의 메뉴 모양, 실행 제약, 작업 관리 방식은 설치 버전의 help와 대조하는 습관이 필요합니다. 공식 릴리스 이력
둘째, powershell.exe가 없다는 사실만으로 PowerShell 활동이 없다고 판단하면 안 됩니다.
PowerShell은 다른 프로세스에서 호스팅될 수 있습니다. Microsoft 문서상 Script Block Logging은 자동화로 호출된 스크립트 처리도 기록할 수 있고, 지원되는 Windows PowerShell 환경에서는 AMSI와 연계됩니다. 실제 가시성은 버전과 설정에 따라 달라집니다. PowerShell 보안 기능
따라서 방어 관점에서는 프로세스 이름 외에 엔진 로딩, 스크립트 기록, 실행 관계를 함께 조사해야 합니다.
셋째, 메모리 실행은 디스크 흔적 감소와 관련될 수 있지만, 무흔적을 의미하지 않습니다.
Sysmon은 구성에 따라 프로세스 생성, 네트워크 연결, 모듈 로딩, 프로세스 접근, 일부 원격 스레드 생성, 파이프 생성·연결 등을 기록할 수 있습니다. 다만 모든 이벤트가 기본 활성화되거나 모든 주입 기법을 포괄하는 것은 아닙니다. Microsoft Sysmon 문서
이 자료에서 도출할 수 있는 학습 방향은 명령 하나의 이름보다 여러 관찰 결과의 관계를 보는 것입니다. 예컨대 예상하지 못한 프로세스 생성과 런타임 로딩, 통신을 함께 살펴보는 방식입니다.
넷째, 관리자 권한과 자격 증명 접근 가능성을 동일시하면 안 됩니다.
Credential Guard는 VBS를 이용해 일부 인증 비밀을 격리합니다. 지원 조건을 만족하는 Windows 11 22H2 이후 및 Windows Server 2025 환경에서는 기본 활성화가 적용될 수 있지만, 에디션·라이선스·하드웨어·기존 정책 조건을 확인해야 합니다. Credential Guard 공식 설명
이는 클립보드나 화면에 표시되는 모든 비밀을 보호한다는 뜻은 아닙니다. 보호 대상과 데이터가 존재하는 위치를 구분해야 합니다.
다섯째, SMB 정책의 기본값이 달라졌습니다.
Microsoft의 현재 문서에 따르면:
| 환경 | 기본 SMB 서명 요구 |
|---|---|
| Windows 11 24H2 Enterprise·Pro·Education | 인바운드·아웃바운드 |
| Windows Server 2025 | 아웃바운드 |
| Windows 11 24H2 Home | 두 방향 모두 기본 요구하지 않음 |
SMB 서명은 메시지의 무결성과 인증 관련 보호이며, 암호화와는 구분됩니다. 오래된 실습 이미지에서의 네트워크 동작이 최신 시스템에서도 그대로 재현된다고 가정하면 안 됩니다. Microsoft SMB signing 문서
19. 이 장을 이해했는지 확인하는 문제¶
-
download한 파일이 운영자 PC에 바로 보이지 않는 이유는 무엇인가요?
먼저 Team Server로 전송되기 때문입니다. Client로 가져오는 단계가 따로 있습니다. -
shell whoami /user와run whoami /user는 왜 다른가요?
전자는cmd.exe를 경유하고 후자는 프로그램을 직접 실행합니다. -
BOF의 오류가 Beacon을 종료시킬 수 있는 이유는 무엇인가요?
전통적인 inline BOF는 Beacon과 같은 프로세스 주소 공간에서 실행되기 때문입니다. -
spawn은 권한 상승 명령인가요?
새 세션 생성 자체가 권한 상승을 의미하지는 않습니다. -
powershell-import의 경로는 대상 PC의 경로인가요?
교재에서는 Client가 실행되는 운영자 컴퓨터의 경로입니다. -
jobkill 0의0은 PID인가요?
Beacon의 작업 ID입니다. -
printscreen이 사용자 작업에 영향을 줄 수 있는 이유는 무엇인가요?
클립보드를 사용하고 내용을 변경·삭제할 수 있기 때문입니다. -
powerpick이면 PowerShell 로그가 남지 않나요?
그렇게 보장할 수 없습니다. 실행 파일과 엔진, 로깅 기능은 구분해야 합니다. -
관리자면 모든 프로세스·자격 증명에 접근할 수 있나요?
아닙니다. 토큰, 접근 권한, 보호 프로세스, 격리 기능 등의 조건이 있습니다. -
명령을 배우면서 항상 함께 확인할 것은 무엇인가요?
어디서 실행되는지, 누구의 권한인지, 어떤 상태를 바꾸는지, 결과가 어디로 가는지입니다.