🛡️ ESCepcion

Active Directory Certificate Services 감사 도구

ESCepcion은 Active Directory Certificate Services(AD CS) 인프라에서 취약점 감사 및 평가를 위한 오픈 소스 도구입니다. 기업 및 하이브리드 환경에서 거짓 양성(false positive)을 엄격히 줄이는 데 초점을 맞추고 권한 상승 경로(ESC) 탐지를 자동화하도록 설계되었습니다.

다른 도구와 달리 ESCepcion은 Active Directory의 어떤 개체도 악용하거나 수정하거나 쓰지 않습니다. 모든 작업은 LDAP를 통한 읽기 전용 쿼리와 MS-RRP를 통한 선택적 레지스트리 읽기(--deep-scan 사용 시)에만 기반합니다.

🆚 ESCepcion vs. Certipy / Certify

커뮤니티에는 Certipy 및 Certify와 같은 훌륭한 참조 도구가 있으며, 이들의 주요 초점은 Red Team 운영과 능동적 악용(인증서 요청, 발급, 인증 강제 등)에 맞춰져 있습니다.

ESCepcion은 이들을 대체하려는 것이 아니라 방어적 관점에서 보완하려는 도구입니다: Certipy/Certify가 악용 및 기술적 영향 입증을 위한 무기고라면, ESCepcion은 오직 수동적 감사와 거짓 양성 검증에 집중합니다. ESCepcion은 LDAP 구성 데이터, ACL 권한, 레지스트리 검증을 자동으로 교차 분석하여 우선순위가 매겨진 보고서를 생성하고, 바로 수정(remediation)할 수 있도록 합니다.

🎯 주요 특징

• 포괄적 탐지: 가장 중요한 취약점 커버리지 (ESC1 - ESC16, CVE-2022-26923, CVE-2024-49019 등).
• Shadow Credentials (CBA): msDS-KeyCredentialLink의 안전하지 않은 위임을 강력하게 탐지하여 실제 위험과 합법적 구성(Windows Hello for Business, FIDO2)을 구분합니다.
• 거짓 양성 방지: 결정적 상태. 모든 발견 사항은 EXPLOITABLE, NEAR_MISS, POTENTIAL, NOT_SCANNED, SAFE로 엄격히 분류되어 모호함을 방지합니다.
• 공격 체인 (Combo Chains): 여러 취약점이 결합되어 도메인을 손상시키는 복합 벡터(DDCC)의 자동 식별.

🧠 위험 모델 (DDCC 및 L1–L5)

ESCepcion은 기존의 심각도 점수를 넘어서는 독자적인 위험 모델을 사용합니다:

• L1–L5: 각 발견 사항을 기술적 취약점 유형만이 아니라 공격자의 실질적 이득(예: 권한 있는 신원 위장, 인증서 발급(minting))을 기준으로 매핑합니다.
• DDCC (Dynamic Domain Compromise Chains): 연결된 발견 사항이 표준 사용자 계정에서 도메인 전체 손상으로 이어지는 실질적인 경로를 형성하는지 판단합니다.

우리의 위험 모델에 대한 전체 문서는 다음에서 확인할 수 있습니다: 🔗 hackwarts12.github.io/ESCepcion/risk-model

⚙️ 요구 사항

• Python 3.8+
• requirements.txt에 나열된 Python 종속성 (impacket, ldap3 등의 라이브러리 포함).

🚀 설치

저장소를 클론하고 필요한 Python 종속성을 설치하세요:

git clone https://github.com/TU-USUARIO/ESCepcion.git
cd ESCepcion
pip install -r requirements.txt

(선택 사항) 특정 PowerShell 환경이 있다면 install.ps1을 실행할 수 있습니다.

💻 사용법

도메인 컨트롤러에 대해 인증된 기본 스캔을 실행하려면:

python main.py -d midominio.local -dc-ip 192.168.1.100 -u usuario -p 'contraseña'

심층 스캔 (권장)

--deep-scan 매개변수를 추가하여 MS-RRP(원격 레지스트리)를 통한 추가 검증을 실행하고 특정 ESC 커버리지에 대한 더 높은 신뢰 수준을 얻으세요:

python main.py -d midominio.local -dc-ip 192.168.1.100 -u usuario -p 'contraseña' --deep-scan

기타 인증 방법

NTLM 해시를 사용한 인증 (Pass-the-Hash):

python main.py -d midominio.local -dc-ip 192.168.1.100 -u usuario -H 'LMHASH:NTHASH'

📊 보고서 (Output)

ESCepcion은 각 스캔 후 두 개의 파일을 생성합니다:

1. HTML 대시보드: 다음을 포함하는 대화형 보고서:

   • 보안 태세 점수(0–100).
   • Attack Chain 시각화 및 Combo Chains 상관관계.
   • 각 발견 사항별 완화를 위한 정확한 명령어가 포함된 개별 수정(remediation) 플레이북.
   • 어떤 ESC가 평가되었고 어떤 ESC에 --deep-scan이 필요한지 보여주는 커버리지 맵.

2. JSON 파일: 다음에 이상적인 구조화된 출력:

   • SIEM 도구와의 직접 통합.
   • 과거 diff 추적 기반의 수정(remediation) 추적.
   • BloodHound 그래프와 호환되는 PKI 데이터.

📁 프로젝트 구조

ESCepcion/
├── main.py                # CLI principal de la herramienta
├── auth/                  # Módulos de conexión (LDAP, RPC, etc.)
├── modules/               # Módulos de chequeo (ESC1-16, Shadow Credentials, etc.)
├── utils/                 # Utilidades (Generador de reportes, Parseo de ACLs)
├── output/                # Directorio donde se generan los reportes JSON/HTML
│
# Archivos de Frontend (Landing Page / Documentación)
├── index.html             # Página principal Web
├── styles.css             # Estilos corporativos de la web
└── risk-model.html        # Documentación interactiva del modelo de riesgos

🎓 연구 크레딧

ESCepcion의 추론 및 탐지 로직은 사이버 보안 커뮤니티의 뛰어난 연구 작업을 기반으로 크게 구축되었습니다:

• Will Schroeder & Lee Christensen (SpecterOps) — Certified Pre-Owned (2021), ESC1–ESC8 벡터에 대한 기초 연구.
• Oliver Lyak — Certipy 제작자, ESC9, ESC10, ESC16 벡터 연구.
• Jonas Bülow Knudsen — ESC13 및 ESC14에 대한 연구 (2024).
• Justin Bollinger (TrustedSec) — ESC15, EKUwu 및 CVE-2024-49019에 대한 연구 (2024).

📜 법적 고지 및 라이선스

승인된 보안 테스트에만 사용하십시오. ESCepcion은 감사에 대한 명시적이고 서면화된 승인이 있는 인프라에서만 독점적으로 사용해야 합니다.

이 프로젝트는 MIT 라이선스에 따라 배포됩니다. 자세한 내용은 LICENSE 파일을 참조하세요.