Misconfiguration Manager

MM-cropped

교정 빠른 시작

알려지고 문서화된 공격 기법 목록과 이에 대응하는 방어 기법을 검토하여 환경에 존재할 수 있는 문제와 이를 교정하는 방법을 파악합니다
- 이 프로젝트 소개를 참고하세요
ConfigManBearPig를 실행하고 결과를 BloodHound에서 무료로 시각화합니다
- 이 연습 안내를 참고하세요
또는 MisconfigurationManager.ps1을 실행합니다
- 이 연습 안내를 참고하세요
식별된 잘못된 구성을 위한 완화 조치를 구현합니다
- 이 연습 안내(또는 이 녹화 영상(슬라이드))을 참고하세요

개요

이 저장소는 알려진 모든 Microsoft Configuration Manager(일명 MCM, ConfigMgr, System Center Configuration Manager 또는 SCCM) 트레이드크래프트와 관련 방어 및 강화 지침을 위한 중앙 지식 기반 역할을 합니다. 우리의 목표는 SCCM 트레이드크래프트를 이해하기 쉽게 만들고 방어자가 SCCM 공격 경로 관리를 단순화하도록 돕는 동시에, 공격 보안 전문가에게 이 불분명한 공격 표면을 교육하는 것입니다. 백서의 정적인 성격을 넘어서도록 설계된 이 살아있는 저장소는 알려진 SCCM 잘못된 구성과 그 악용을 문서화하고, 관련성과 유용성을 높이기 위한 커뮤니티의 지속적인 기여를 장려합니다.

우리는 빠르게 진화하는 SCCM 위협 환경에 대한 인식을 높이기 위해 이 저장소를 큐레이션했으며, MITRE ATT&CK 프레임워크에서 영감을 받되 몇 가지 변형을 두었습니다. 또한 Push Security의 SaaS 공격 기법 매트릭스와 Will Schroeder 및 Lee Chagolla-Christensen의 Certified Pre-Owned 백서에서도 큰 영향을 받았습니다.

우리의 접근 방식은 알려진 적대자의 전술을 목록화하는 것을 넘어 침투 테스트, 레드 팀 운영, 보안 연구 영역의 기여를 포함하도록 확장됩니다. SpecterOps에서 우리는 이 저장소에 강조된 많은 잘못된 구성을 실제 환경에서 활용했으며, 다른 것들은 실험실 환경에서 입증된 실험적이고 탐구적인 연구 프로젝트를 나타냅니다.

이 프로젝트는 또한 우리가 알고 있는 모든 SCCM 공격 및 방어 리소스를 위한 중앙 참조 지점 역할을 합니다.

우리는 입증된 것과 탐구적인 SCCM 중심의 공격 기법 및 방어 전략과 리소스를 이 프로젝트에 제출하고, 이 저장소의 내용에 대한 피드백과 권장 사항을 제공하도록 여러분을 공개적으로 초대합니다.

프로젝트에 대한 더 많은 소개는 우리의 블로그와 컨퍼런스 발표를 참고하세요:

이 프로젝트를 사용하는 방법

아래의 SCCM 공격 매트릭스와 SCCM 공격 및 방어 매트릭스를 참고하세요. 이 매트릭스는 공격 기법을 MITRE ATT&CK 프레임워크 전술과 탐지 및 예방 전략에 매핑합니다.

공격 보안 실무자는 알려지고 문서화된 공격 기법 목록을 검토하는 것도 도움이 될 수 있으며, 이 목록은 각 기법에 필요한 보안 컨텍스트와 네트워크 접근을 식별합니다.

방어자와 IT 관리자는 알려지고 문서화된 방어 기법 목록을 검토하는 것이 도움이 될 수 있으며, 이 목록은 각 항목의 구현에 가장 관련될 것으로 생각되는 관리자 역할을 식별합니다.

특정하고 대부분 기본 조건에서 계층 구조가 어떻게 완전히 침해될 수 있는지 궁금하신가요? TAKEOVER 기법 목록을 확인하세요.

기법 설명에 사용된 용어가 익숙하지 않다면 SCCM에서 일반적으로 사용되는 용어의 정의를 포함하는 용어집 페이지를 참고하세요.

실험실 환경에서 이러한 기법을 테스트하거나 SCCM 공격 및 방어에 대해 더 알고 싶다면, 우리가 알고 있는 모든 SCCM 실험실 및 공격/방어 리소스에 대한 링크를 포함하는 리소스 페이지를 참고하세요. 이 중 많은 리소스가 이 저장소의 정보에 영감을 주고 정보를 제공했습니다.

우리는 이 저장소에 포함된 많은 잘못된 구성을 감사하는 스크립트를 포함했습니다. 스크립트와 사용 방법에 대한 자세한 내용은 우리의 블로그 글을 참고하세요.

우리가 놓친 것이 있거나 이전 작업에 대한 크레딧이 누락된 경우, 저희에게 연락하거나 풀 리퀘스트를 제출해 주시면 기꺼이 업데이트하겠습니다.

SCCM 공격 매트릭스| 초기 접근 | 실행 | 지속성 | 권한 상승 | 방어 회피 | 자격 증명 접근 | 탐색 | 측면 이동 | 수집 | 명령 및 제어 | 유출 |

| :----------------------------------------------------------------------: | :------------------------------------------------------------------------: | :---------------------------------------------------------------------------------: | :----------------------------------------------------------------------------------------------: | :------------------------------------------------------------------------: | :---------------------------------------------------------------------------------------: | :----------------------------------------------------------------------------------: | :----------------------------------------------------------------------------------------------: | :-----------------------------------------------------------------: | :-----------------: | :-----------------------------------------------------------------: | | PXE 자격 증명 | 앱 배포 | 앱 배포 | 사이트 시스템으로 릴레이 (SMB) | 앱 배포 | PXE 자격 증명 | LDAP 열거 | 사이트 DB로 릴레이 (MSSQL) | CMPivot | | CMPivot | | | 스크립트 배포 | 스크립트 배포 | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |

SCCM 공격 및 방어 매트릭스

SCCM 공격 및 방어 매트릭스는 전체 너비로 보기 위한 CSV 파일로 유지 관리되며, 매핑에 대한 권위 있는 정보원으로 사용됩니다.매트릭스 최신 기준: 2026-02-09

분류 체계 개요

릴리스 시점 기준으로, TAKEOVER-1부터 TAKEOVER-9까지는 시스템 기본값과 SCCM 계층 구조 테스트 경험을 바탕으로 한 우리의 의견상 발생 가능성이 높은 순서대로 나열되어 있습니다. 추가 항목은 릴리스 날짜 순으로 이어집니다.

TAKEOVER를 제외한 나머지 기법들은 특별한 순서 없이 번호가 매겨져 있습니다. 번호가 높거나 낮다고 해서 해당 항목의 중요도, 발생 가능성, 또는 우선순위에 대한 우리의 의견을 나타내지 않습니다.

공격 기법

CRED

CRED 명칭으로 분류된 기법은 주로 자격 증명 접근을 악용합니다. CRED 기법은 우리가 가장 흔히 목격한 유형이며, 종종 계층 구조의 직접적인 탈취나 도메인 침해로 이어집니다.

ELEVATE

ELEVATE 명칭으로 분류된 기법은 로컬 또는 도메인 권한 상승에 사용될 수 있습니다. 경우에 따라 이러한 기법은 계층 구조 탈취 프리미티브를 위해 다른 기법과 연계될 수 있습니다.

EXEC

EXEC 명칭으로 분류된 기법은 SCCM의 내장 기능을 통해 원격 대상에서 명령, 스크립트, 코드 등을 실행하는 데 사용될 수 있습니다.

RECON

RECON 명칭으로 분류된 기법은 SCCM 인프라에 대한 정찰 수행 또는 SCCM을 이용한 추가 정찰 수행과 관련됩니다.

TAKEOVER

TAKEOVER 명칭으로 분류된 기법은 SCCM 계층 구조를 침해하는 데 필요한 다양한 단계를 설명합니다.

COERCE

COERCE 명칭으로 분류된 기법은 SCCM 계정(시스템 또는 사용자)으로부터 NTLM 인증을 강제로 유도하는 다양한 방법을 설명합니다.

방어 기법

CANARY

CANARY 명칭으로 분류된 방어 전략은 공격자가 높은 정확도의 탐지를 유발하도록 속일 수 있는 기만 전략을 설명합니다.

DETECT

DETECT 명칭으로 분류된 방어 전략은 공격 기법을 탐지하기 위한 전략을 설명합니다. 경우에 따라 더 강력한 탐지를 위해 여러 DETECT 전략이 필요할 수 있습니다.

PREVENT

PREVENT 명칭으로 분류된 방어 전략은 공격 기법의 하나 이상의 측면을 완화하기 위한 구성 변경을 설명합니다. 경우에 따라 공격 기법을 완전히 완화하기 위해 여러 PREVENT 전략이 필요할 수 있습니다.

참고: 프로덕션 환경에서 구성하기 전에 모든 변경 사항을 적절하고 철저하게 테스트할 것을 강력히 권장합니다. 이 저장소의 작성자와 기여자는 어떠한 호환성 문제에 대해서도 책임지지 않습니다. 본인의 책임 하에 가이드로 사용하십시오.

기여자

Duane Michael, Chris Thompson, Garrett Foster가 이 프로젝트의 주요 작성자이며, 다음 분들이 기여했습니다:

질문이 있거나 기여에 관심이 있으시면 Twitter로 연락하시거나 BloodHoundGang Slack의 #sccm 채널에 참여해 주십시오!

인기

Misconfiguration-Manager