보안 계정 관리자(Security Account Manager, 약칭 SAM)는 마이크로소프트 윈도우 운영 체제에서 사용자 계정의 비밀번호와 관련 보안 정보를 저장하고 관리하는 데이터베이스 파일이다. 윈도우 NT, 윈도우 2000, 윈도우 XP, 윈도우 비스타, 윈도우 7, 윈도우 8.1, 윈도우 10 및 윈도우 11 등 다양한 윈도우 버전에서 사용된다.
SAM은 로컬 사용자 및 원격 사용자의 인증에 사용된다. 윈도우 2000 서비스 팩 4(SP4)부터는 원격 사용자 인증에 액티브 디렉터리(Active Directory)가 사용되며, SAM은 주로 로컬 계정 인증을 담당한다. SAM 데이터베이스는 레지스트리 하이브 형태로 존재하며, 일반적으로 %SystemRoot%\System32\config\SAM 경로에 위치하고 HKLM\SAM에 마운트된다. 이 파일을 열람하려면 SYSTEM 권한이 필요하다.
사용자의 비밀번호는 SAM 내에 LM 해시 또는 NTLM 해시 형태로 저장된다. 보안 강화를 위해 마이크로소프트는 윈도우 NT 4.0에서 SYSKEY 기능을 도입하여 디스크에 저장된 SAM 파일을 부분적으로 암호화하였다. SYSKEY는 윈도우 10 버전 1709부터 보안상의 문제와 악용 사례 등으로 인해 제거되었다.
SAM 파일은 윈도우가 실행 중일 때는 커널이 배타적 파일 잠금을 유지하므로 이동하거나 복사할 수 없다. 그러나 메모리상의 SAM 내용을 덤프하는 기법(pwdump 등)을 통해 비밀번호 해시를 추출하여 오프라인 공격에 활용할 수 있는 취약점이 존재한다. 또한 2021년 7월에는 윈도우 10 및 윈도우 11에서 낮은 권한의 사용자가 SAM 파일을 포함한 민감한 레지스트리 데이터베이스 파일에 접근할 수 있는 취약점이 공개된 바 있다.
보안 계정 관리자는 윈도우 운영 체제의 계정 인증 및 접근 통제 구조에서 핵심적인 구성 요소로, 정보 보안 분야에서 계정 관리와 관련된 공격 및 방어 기법을 논의할 때 자주 언급되는 개념이다.
