래터럴 무브먼트: 내부 침투 확산 경로와 방어 전략
래터럴 무브먼트의 인증정보 탈취, 원격 서비스 악용, 내부 확산 경로와 네트워크 분할·탐지 전략을 정리한다.
2026-08-14 · 최초 발행 2025-06-28
초기 침투 뒤 공격자가 노리는 내부 이동
래터럴 무브먼트(Lateral Movement)는 공격자가 최초 침투한 시스템을 발판으로 삼아 네트워크의 다른 시스템으로 이동하는 기법이다. 이 과정에서 권한을 넓히고, 데이터가 있는 자산을 찾으며, 지속적인 접근 경로를 마련한다. 데이터 유출이나 시스템 장악 같은 최종 목표에 이르는 중간 단계이기도 하다.
공격 체인에서는 초기 침투(Initial Access) 이후 권한 상승과 맞물려 나타난다. 한 시스템에서 확보한 접근 권한이 네트워크 전반으로 이어질 수 있기 때문에, 단일 엔드포인트의 침해 여부만으로는 영향을 판단하기 어렵다.
인증정보와 원격 관리 기능이 이동 경로가 될 때
계정 인증정보는 내부 이동의 직접적인 수단이 된다. 패스워드 덤핑에서는 mimikatz, WCE(Windows Credential Editor) 등의 도구를 사용해 LSASS(Local Security Authority Subsystem Service) 메모리에서 인증정보를 추출한다. 패스 더 해시(Pass-the-Hash)는 실제 비밀번호 대신 NTLM 해시로 인증하는 방식이다.
sekurlsa::pth /user:administrator /domain:company.local /ntlm:e19ccf75ee54e06b06a5907af13cef42
패스 더 티켓(Pass-the-Ticket)은 탈취한 Kerberos 티켓으로 다른 시스템에 접근한다. 골든 티켓과 실버 티켓 공격도 이 범주에 속한다.
원격 관리 목적으로 제공된 서비스 역시 악용될 수 있다. WMI(Windows Management Instrumentation)는 시스템 관리 기능이지만 원격 명령 실행 경로가 될 수 있다.
wmic /node:192.168.1.100 /user:admin process call create "cmd.exe /c ipconfig > C:\temp\output.txt"
PowerShell Remoting은 PowerShell로 원격 명령을 실행하며, PsExec은 Sysinternals 도구를 통해 원격 명령 실행에 사용된다.
Enter-PSSession -ComputerName server01 -Credential domain\admin
psexec \\target-pc -u domain\user -p password cmd.exe
내부 서비스의 취약점도 수평 이동을 가능하게 한다. SMB(Server Message Block)에서는 EternalBlue(MS17-010)와 같은 취약점이 내부 파일 공유 시스템 악용에 연결될 수 있다. RDP(Remote Desktop Protocol)의 BlueKeep(CVE-2019-0708) 같은 취약점은 원격 데스크톱 인증 우회 또는 인증정보 재사용에 활용될 수 있다.
PowerShell Empire, Covenant, Cobalt Strike는 C2(Command and Control) 기능을 통해 자동화된 래터럴 무브먼트, 내부 네트워크 스캐닝, 자동 공격 기능을 제공한다.
정찰부터 권한 확장까지 반복되는 흐름
내부 이동은 새 시스템을 발견하고 접근 가능한 계정과 권한을 파악하는 과정으로 시작한다. 인증정보를 획득해 원격 접근을 시도한 뒤, 새 시스템에서 로컬 관리자 권한을 얻으면 같은 흐름이 다시 반복된다.
내부 정찰에서는 네트워크 구조와 호스트, 서비스를 식별한다. ping sweep, nmap, net view, nltest /dclist 등이 예시다. 이어 사용자 및 서비스 계정의 관계와 권한을 매핑한다.
net user /domain
net group "Domain Admins" /domain
그 뒤 앞서 언급한 기법으로 인증정보를 획득하고 활용한다. 접근에 성공한 시스템에서는 로컬 관리자 권한을 확보해 더 많은 시스템으로 이동 범위를 넓힌다.
침해 사례에서 드러난 확산 방식
2013년 Target 데이터 유출 사건에서는 협력업체 HVAC 시스템 침투가 공격 벡터가 됐고, 공격자는 POS 시스템으로 이동해 카드 정보를 탈취했다. 약 4천만 고객 정보가 유출됐다.
2017년 NotPetya 랜섬웨어는 우크라이나 회계 소프트웨어 MeDoc의 악성 업데이트로 초기 침투했다. EternalBlue(SMB 취약점)와 credential harvesting 기법을 사용했고, WMIC, PsExec, SMB 취약점을 활용해 수평적으로 확산됐다. 전 세계 피해는 약 100억 달러로 추정됐다.
2020년 SolarWinds 공급망 공격에서는 SolarWinds Orion 소프트웨어 업데이트가 변조됐다. 공격자는 ADFS(Active Directory Federation Services) 토큰 서명 인증서를 획득했으며, SAML 토큰 위조(Golden SAML), 도메인 트러스트 관계 악용, 정상 관리 도구 악용(Living off the Land)을 사용했다. 미국 정부기관과 주요 기업을 포함해 18,000개 이상 기관이 영향을 받았다.
이동 자체를 제한하고 흔적을 남기는 통제
네트워크 세분화(Network Segmentation)는 내부 네트워크에서의 이동을 제한하는 통제다. VLAN 분리, 내부 방화벽 설치, 제로 트러스트 아키텍처 적용이 여기에 포함된다.
권한 관리는 최소 권한 원칙(Principle of Least Privilege)에서 출발한다. 사용자와 서비스에는 필요한 최소한의 권한만 부여하고, 관리자 계정 사용을 제한하며 모니터링한다. PAM(Privileged Access Management) 솔루션과 JIT(Just-In-Time) 접근 제어도 권한 관리 자동화에 활용할 수 있다.
인증 통제에서는 모든 중요 서비스와 접근에 MFA를 적용하고, 복잡성 요구와 정기적 변경을 포함한 패스워드 정책을 강화한다. LSASS 메모리 보호(RunAsPPL)와 자격 증명 가드(Credential Guard) 활성화도 인증정보 보호 수단이다.
탐지 체계는 UEBA(User and Entity Behavior Analytics)를 통한 이상 행동 탐지, EDR/XDR 솔루션을 통한 엔드포인트 및 의심 프로세스 활동 모니터링, 허니팟(Honeypot)을 통한 공격자 유인과 탐지로 구성할 수 있다. 특히 다음 신호는 내부 이동을 조사할 단서가 된다.
- 비정상적인 시간대의 인증 시도
- 동일 계정의 다중 시스템 로그인
- 일반적이지 않은 도구 사용(PsExec, mimikatz 등)
- WMI/PowerShell 원격 실행 명령
- 비정상적인 SMB/RDP 트래픽 패턴
- 관리자 그룹 멤버십 변경
대응 체계에 포함할 운영 활동
래터럴 무브먼트가 탐지됐을 때의 조치 절차를 문서화하고, 격리 및 복구 전략을 준비해야 한다. 정기적인 침투 테스트와 레드팀 연습으로 내부 이동을 시뮬레이션하며 취약점을 지속적으로 개선할 수 있다.
위협 헌팅(Threat Hunting)은 내부 네트워크의 이상 징후를 선제적으로 찾는 활동이다. 지속적인 모니터링과 분석이 뒷받침돼야 한다. 최신 APT(Advanced Persistent Threat) 공격은 더 정교한 래터럴 무브먼트 기법을 활용하므로, 보안 담당자는 대응 전략을 계속 개선해야 한다.