다음을 통해 공유

온-프레미스 공격으로부터 Microsoft 365 보호

  • 아티클

많은 고객이 프라이빗 회사 네트워크를 Microsoft 365에 연결하여 사용자, 디바이스, 애플리케이션에 이점을 제공합니다. 위협 행위자가 잘 문서화된 여러 가지 방법으로 이러한 개인 네트워크를 손상시킬 수 있습니다. Microsoft 365는 환경을 클라우드로 현대화하는 데 투자한 조직을 위한 일종의 신경계 역할을 합니다. 온-프레미스 인프라 손상으로부터 Microsoft 365를 보호하는 것이 중요합니다.

이 문서에서는 온-프레미스 손상으로부터 Microsoft 365 클라우드 환경을 보호하도록 시스템을 구성하는 방법을 보여 줍니다.

  • Microsoft Entra 테넌트 구성 설정입니다.
  • Microsoft Entra 테넌트를 온-프레미스 시스템에 안전하게 연결하는 방법입니다.
  • 온-프레미스 손상으로부터 클라우드 시스템을 보호하는 방식으로 시스템을 운영하는 데 필요한 절충안입니다.

Microsoft는 이 문서의 지침을 강력히 구현하도록 권장합니다.

온-프레미스 환경의 위협 소스

Microsoft 365 클라우드 환경은 광범위한 모니터링 및 보안 인프라를 활용합니다. Microsoft 365는 기계 학습 및 휴먼 인텔리전스를 사용하여 전 세계 트래픽을 확인합니다. 공격을 신속하게 감지하고 거의 실시간으로 다시 구성할 수 있도록 해 줍니다.

하이브리드 배포는 온-프레미스 인프라를 Microsoft 365에 연결할 수 있습니다. 이러한 배포에서 많은 조직은 중요한 인증 및 디렉터리 개체 상태 관리 결정을 위해 온-프레미스 구성 요소에 신뢰를 위임합니다. 위협 행위자가 온-프레미스 환경을 손상하는 경우 이러한 신뢰 관계는 Microsoft 365 환경을 손상시킬 수 있는 기회가 됩니다.

두 가지 주요 위협 벡터는 페더레이션 신뢰 관계와 계정 동기화입니다. 두 벡터 모두 공격자에게 클라우드에 대한 관리 액세스 권한을 부여할 수 있습니다.

  • SAML(Security Assertions Markup Language) 인증과 같은 페더레이션 트러스트 관계를 사용하여 온-프레미스 ID 인프라를 통해 Microsoft 365에 인증합니다. SAML 토큰 서명 인증서가 손상되면 페더레이션을 통해 해당 인증서를 가진 모든 사용자가 클라우드의 모든 사용자를 가장할 수 있습니다. 이 벡터를 완화하려면 가능한 경우 Microsoft 365 인증을 위해 페더레이션 트러스트 관계를 사용하지 않도록 설정하는 것이 좋습니다. 또한 인증에 Microsoft Entra를 사용하도록 온-프레미스 페더레이션 인프라를 사용하는 다른 애플리케이션을 마이그레이션하는 것이 좋습니다.
  • 계정 동기화 사용하여 자격 증명을 포함한 권한 있는 사용자 또는 Microsoft 365에서 관리 권한이 있는 그룹을 수정합니다. 이 벡터를 완화하려면 동기화된 개체가 Microsoft 365 사용자 이외의 권한을 보유하지 않도록 하는 것이 좋습니다. 직접 또는 신뢰할 수 있는 역할 또는 그룹에 포함하여 권한을 제어할 수 있습니다. 해당 개체에 신뢰할 수 있는 클라우드 역할 또는 그룹의 직접 또는 중첩된 할당이 없는지 확인하세요.

온-프레미스 손상으로부터 Microsoft 365 보호

온-프레미스 위협을 해결하려면 다음 다이어그램에서 보여 주는 네 가지 원칙을 준수하는 것이 좋습니다.

다음 목록에 설명된 대로 Microsoft 365를 보호하기 위한 참조 아키텍처를 보여 주는 다이어그램

  1. Microsoft 365 관리자 계정을 완전히 격리합니다. 이는 다음과 같아야 합니다.

    해당 관리자 계정은 사용이 제한된 계정입니다. ‘온-프레미스 계정에는 Microsoft 365에 대한 관리자 권한이 없어야 합니다.’

    자세한 내용은 Microsoft Entra IDMicrosoft 365에 대한 관리자 역할 및 역할 정보를 참조하세요.

  2. Microsoft 365에서 디바이스를 관리합니다. Microsoft Entra 조인 및 클라우드 기반 MDM(모바일 장치 관리)을 사용하여 온-프레미스 디바이스 관리 인프라에 대한 종속성을 제거합니다. 종속성은 디바이스 및 보안 제어를 손상할 수 있습니다.

  3. Microsoft 365에 대해 상승된 권한이 있는 온-프레미스 계정이 없는지 확인합니다. 일부 계정은 NTLM, LDAP(Lightweight Directory Access Protocol) 또는 Kerberos 인증이 필요한 온-프레미스 애플리케이션에 액세스합니다. 해당 계정은 조직의 온-프레미스 ID 인프라에 있어야 합니다. 권한 있는 클라우드 역할 또는 그룹에 서비스 계정과 함께 이러한 계정을 포함하지 않도록 합니다. 이러한 계정의 변경 내용이 클라우드 환경의 무결성에 영향을 주지 않는지 확인합니다. 권한이 있는 온-프레미스 소프트웨어는 Microsoft 365 권한이 있는 계정 또는 역할에 영향을 미치지 않습니다.

  4. Microsoft Entra 클라우드 인증을 사용하여 온-프레미스 자격 증명에 대한 종속성을 제거합니다. 항상 피싱 방지 인증 방법(예: 비즈니스용 Windows Hello, macOS용 플랫폼 자격 증명, FIDO2(Passkeys), Microsoft Authenticator 암호 또는 인증서 기반 인증)을 사용합니다.

특정 보안 권장 사항

다음 섹션에서는 이 문서의 원칙을 구현하는 방법에 대한 지침을 제공합니다.

권한이 있는 ID 분리

Microsoft Entra ID에서는 관리자와 같은 권한이 있는 역할을 가진 사용자가 나머지 환경을 빌드하고 관리하는 데 신뢰의 핵심입니다. 손상의 영향을 최소화하기 위해 다음 사례를 구현합니다.

  • Microsoft Entra ID 및 Microsoft 365 권한이 있는 역할에 대해 클라우드 전용 계정을 사용합니다.
  • 권한이 있는 액세스 디바이스를 배포하여 Microsoft 365 및 Microsoft Entra ID를 관리합니다. 디바이스 역할 및 프로필을 참조하세요.
  • 권한 있는 역할이 있는 모든 사용자 계정에 대한 Just-In-Time 액세스를 위해 Microsoft Entra PIM(Privileged Identity Management)을 배포합니다. 역할을 활성화하려면 피싱 방지 인증이 필요합니다.
  • 필요한 작업을 수행하는 데 필요한 최소 권한을 허용하는 관리자 역할을 부여합니다. Microsoft Entra ID의 작업별 최소 권한 역할 참조.
  • 위임 및 여러 역할을 동시에 포함하는 효과적인 역할 할당 환경을 사용하려면 Microsoft Entra 보안 그룹 또는 Microsoft 365 그룹을 사용하는 것이 좋습니다. 이러한 클라우드 그룹을 전체적으로이라고 부릅니다.
  • 역할 기반 액세스 제어를 사용하도록 설정합니다. Microsoft Entra 역할 할당을참조하세요. Microsoft Entra ID에서 관리 단위를 사용하여 역할의 범위를 조직의 특정 부분으로 제한합니다.
  • 자격 증명을 저장하기 위해 온프레미스 비밀번호 저장소가 아닌 비상 접근 계정을 배포합니다. Microsoft Entra ID에서 응급 액세스 계정 관리 참조.

자세한 내용은 권한 있는 액세스 보안 및 Microsoft Entra ID의 관리자에 대한 보안 액세스 사례를 참조하세요.

클라우드 인증 사용

자격 증명은 주요 공격 벡터입니다. 자격 증명을 더욱 안전하게 만들려면 다음 방법을 구현합니다.

  • 암호 없는 인증을 배포합니다. 암호 없는 자격 증명을 배포하여 암호 사용을 최대한 줄입니다. 클라우드에서 기본적으로 이러한 자격 증명을 관리하고 유효성을 검사할 수 있습니다. 자세한 내용은 Microsoft Entra ID의 피싱 방지 암호 없는 인증 배포 시작을 참조하세요. 다음 인증 방법 중에서 선택합니다.

  • 다단계 인증을 배포합니다. 자세한 내용은 Microsoft Entra 다단계 인증 배포 계획을 참조하세요. Microsoft Entra 다단계 인증을 사용하여 강력한 자격 증명을 여러 개를 프로비저닝합니다. 이렇게 하면 클라우드 리소스에 액세스할 때 온-프레미스 암호 외에도 Microsoft Entra ID에서 관리되는 자격 증명이 필요합니다. 자세한 내용은 자격 증명 관리를 사용하여 복원력 빌드 및 Microsoft Entra ID를 사용하여 복원력 있는 액세스 제어 관리 전략 만들기를 참조하세요.

  • 디바이스에서 SSO를 현대화합니다. Windows 11, macOS, Linux 및 모바일 디바이스의 최신 SSO(Single Sign-On) 기능을 활용합니다.

  • 고려 사항. 하이브리드 계정 암호 관리에는 암호 보호 에이전트 및 비밀번호 쓰기 저장 에이전트와 같은 하이브리드 구성 요소가 필요합니다. 공격자가 온-프레미스 인프라를 손상하는 경우 이러한 에이전트가 있는 컴퓨터를 제어할 수 있습니다. 이 취약성은 클라우드 인프라를 손상시키지 않습니다. 권한 있는 역할에 클라우드 계정을 사용하면 이러한 하이브리드 구성 요소가 온-프레미스 손상으로부터 보호되지 않습니다.

    Microsoft Entra의 기본 암호 만료 정책은 동기화된 온-프레미스 계정의 계정 암호를 만료 안 됨으로 설정합니다. 온-프레미스 Active Directory 암호 설정을 사용하여 이 설정을 완화할 수 있습니다. Active Directory 인스턴스가 손상되고 동기화가 비활성화된 경우, CloudPasswordPolicyForPasswordSyncedUsersEnabled 옵션을 설정하여 암호를 반드시 변경하거나 암호를 사용하지 않고 피싱 방지 인증방법으로 전환하십시오.

클라우드에서 사용자 액세스 프로비저닝

‘프로비저닝’은 애플리케이션 또는 ID 공급자에서 사용자 계정 및 그룹 만들기를 의미합니다.

프로비저닝 아키텍처의 다이어그램은 클라우드 HR, Microsoft Entra B2B, Azure 앱 프로비저닝 및 그룹 기반 라이선스와 Microsoft Entra ID의 상호 작용을 보여줍니다.

다음의 프로비저닝 방법을 권장합니다.

  • 클라우드 HR 앱에서 Microsoft Entra ID로 프로비전합니다. 이 프로비저닝을 통해 온-프레미스 손상을 격리할 수 있습니다. 이러한 격리는 클라우드 HR 앱에서 Microsoft Entra ID로의 joiner-mover-leaver 주기를 방해하지 않습니다.

  • 클라우드 애플리케이션. 가능하면 온-프레미스 프로비저닝 솔루션 대신 Microsoft Entra ID에서 앱 프로비저닝을 배포하세요. 이 방법은 온-프레미스 위반의 악의적인 공격자 프로필로부터 일부 SaaS(Software-as-a-Service) 앱을 보호합니다.

  • 외부 ID. Microsoft Entra 외부 ID B2B 협업 을 사용하여 파트너, 고객 및 공급업체와의 외부 협업을 위해 온프레미스 계정에 대한 의존성을 줄입니다. 다른 ID 공급자와의 직접 페더레이션을 신중하게 평가합니다. B2B 게스트 계정은 다음과 같은 방법으로 제한하는 것이 좋습니다.

    • 디렉터리의 검색 그룹 및 기타 속성에 대한 게스트 액세스를 제한합니다. 외부 공동 작업 설정을 사용하여 구성원이 아닌 그룹을 읽는 게스트의 기능을 제한합니다.
    • Azure Portal에 대한 액세스를 차단합니다. 드물게 필요한 예외를 만들 수 있습니다. 모든 게스트 및 외부 사용자를 포함하는 조건부 액세스 정책을 만듭니다. 그런 다음 액세스를 차단하는 정책을 구현합니다.

  • 연결이 끊긴 포리스트. Microsoft Entra 클라우드 프로비저닝을 사용하여 연결이 끊긴 포리스트에 연결합니다. 이 방법을 사용하면 온-프레미스 위반의 영향을 넓히는 포리스트 간 연결 또는 트러스트를 설정할 필요가 없습니다. 추가 정보는 Microsoft Entra Connect 클라우드 동기화을 참조하십시오.

  • 고려 사항. 하이브리드 계정을 프로비저닝하는 데 사용하는 경우 Microsoft Entra ID-클라우드-HR 시스템은 온-프레미스 동기화를 통해 Active Directory에서 Microsoft Entra ID로 데이터 흐름을 완료합니다. 동기화가 중단되면 Microsoft Entra ID에서 새 직원 레코드를 사용할 수 없습니다.

협업 및 액세스에 클라우드 그룹 사용

클라우드 그룹을 사용하여 온-프레미스 인프라에서 협업과 액세스를 분리할 수 있습니다.

  • 공동 작업. 최신 협업을 위해 Microsoft 365 그룹 및 Microsoft Teams를 사용합니다. 기존 온-프레미스 배포 목록을 서비스에서 해제하고, 배포 목록을Outlook의 Microsoft 365 그룹으로 업그레이드하십시오.
  • 액세스. Microsoft Entra 보안 그룹 또는 Microsoft 365 그룹 사용하여 Microsoft Entra ID로 애플리케이션에 대한 액세스 권한을 부여합니다. 온-프레미스 애플리케이션에 대한 액세스를 제어하려면 Microsoft Entra Cloud Sync사용하여 Active Directory에 그룹을 프로비전하는 것이 좋습니다.
  • 라이선스. 그룹 기반 라이선스를 사용하여 클라우드 전용 그룹을 사용하여 Microsoft 서비스에 프로비전합니다. 이 메서드는 온-프레미스 인프라에서 그룹 멤버 자격 제어를 분리합니다.

온프레미스 환경에서의 침해 시 멤버 자격 인수를 방지하기 위해, 액세스에 사용되는 그룹의 소유자를 권한 있는 ID로 간주하십시오. 인수에는 직접 온-프레미스 그룹 멤버 자격 조작 또는 Microsoft 365 동적 그룹 멤버 자격에 영향을 줄 수 있는 온-프레미스 특성 조작이 포함됩니다.

클라우드에서 장치 관리

Microsoft Entra 기능을 사용하여 디바이스를 안전하게 관리합니다.

모바일 디바이스 관리 정책을 사용하여 Microsoft Entra에 연결된 Windows 11 워크스테이션을 배포합니다. 완전히 자동화된 프로비저닝 환경을 위해 Windows Autopilot 사용하도록 설정합니다. Microsoft Entra 조인 구현계획을 참조하세요.

  • 배포된 최신 업데이트와 함께 Windows 11 워크스테이션을 사용합니다.

    • Windows 10 이하를 실행하는 컴퓨터의 사용을 중단해 주십시오.
    • 서버 운영 체제가 있는 컴퓨터를 워크스테이션으로 배포하지 마세요.

  • Microsoft Intune Windows, macOS, iOS, Android 및 Linux를 비롯한 모든 디바이스 관리 워크로드의 권한으로 사용합니다.

  • 권한 있는 액세스 디바이스를 배포합니다. 자세한 내용은 디바이스 역할 및 프로필을 참조하세요.

워크로드, 애플리케이션, 리소스

이 섹션에서는 워크로드, 애플리케이션 및 리소스에 대한 온-프레미스 공격으로부터 보호하기 위한 권장 사항을 제공합니다.

  • 온프레미스 싱글 사인 온(SSO) 시스템. 모든 온-프레미스 페더레이션 및 웹 액세스 관리 인프라를 사용 중단합니다. Microsoft Entra ID를 사용하도록 애플리케이션을 구성합니다. 페더레이션에 AD FS를 사용하는 경우 애플리케이션 인증을 AD FS에서 Microsoft Entra ID로 마이그레이션하는 단계 이해를 참조하세요.
  • 최신 인증 프로토콜을 지원하는 SaaS 및 라인 오브 비즈니스 애플리케이션 Microsoft Entra ID에서 단일 로그인 기능을 사용합니다. 온-프레미스 손상의 위험을 줄이기 위해 인증에 Microsoft Entra ID를 사용하도록 앱을 구성합니다.
  • 레거시 애플리케이션. Microsoft Entra Private Access사용하여 최신 인증을 지원하지 않는 레거시 애플리케이션에 대한 인증, 권한 부여 및 원격 액세스를 사용하도록 설정할 수 있습니다. 첫 번째 단계로 Microsoft Entra Private Access 빠른 액세스를 사용하여 내부 네트워크에 대한 최신 액세스를 사용하도록 설정합니다. 이 단계에서는 조건부 액세스의 보안 기능을 사용하여 VPN 일회성 구성을 빠르고 쉽게 바꿀 수 있는 방법을 제공합니다. 다음으로, TCP 기반 또는 UDP 기반 애플리케이션에 대한 앱별 액세스를 구성합니다.
  • 조건부 액세스. 피싱 방지 MFA 및 디바이스 규정 준수와 같은 보안 제어를 적용하도록 SaaS, LOB 및 레거시 애플리케이션에 대한 조건부 액세스 정책을 정의합니다. 자세한 내용은 Microsoft Entra 조건부 액세스 배포 계획에 대해 읽어보세요.
  • 액세스 수명 주기. Microsoft Entra ID 거버넌스를 사용하여 애플리케이션 및 리소스에 대한 액세스 수명 주기를 제어하여 최소 권한 액세스를 구현합니다. 사용자가 작업을 수행해야 하는 경우에만 정보 및 리소스에 대한 액세스 권한을 부여합니다. SaaS, LOB 및 레거시 애플리케이션을 Microsoft Entra ID 거버넌스와 통합합니다. Microsoft Entra ID 권한 관리는 액세스 요청 워크플로, 액세스 할당, 검토 및 만료를 자동화합니다.
  • 애플리케이션 및 워크로드 서버. 서버가 필요한 애플리케이션 또는 리소스를 Azure IaaS(Infrastructure-as-a-Service)로 마이그레이션할 수 있습니다. Microsoft Entra Domain Services 사용함으로써 Active Directory의 온-프레미스 인스턴스에 대한 신뢰성과 종속성을 제거합니다. 분리를 위해 Microsoft Entra 도메인 서비스에 사용되는 가상 네트워크가 회사 네트워크에 연결되어 있지 않은지 확인합니다. 자격 증명 계층화를 사용합니다. 애플리케이션 서버는 일반적으로 계층 1 자산으로 간주합니다. 자세한 내용은 엔터프라이즈 액세스 모델을 참조하세요.

조건부 액세스 정책

Microsoft Entra 조건부 액세스를 사용하여 신호를 해석하고 이를 통해 인증 결정을 내립니다. 자세한 내용은 조건부 액세스 배포 계획을 참조하세요.

Monitor

온-프레미스 손상으로부터 Microsoft 365를 보호하도록 환경을 구성한 후 환경을 사전에 모니터링합니다. 자세한 내용은 Microsoft Entra 모니터링이 무엇인지을 참조하세요.

조직과 관련된 시나리오 외에도 다음과 같은 주요 시나리오를 모니터링합니다.

  • 의심스러운 활동. 의심스러운 작업이 있는지 모든 Microsoft Entra 위험 이벤트를 모니터링합니다. 방법: 위험 조사를 참조하세요. Microsoft Entra ID Protection은 본래 Microsoft Defender for Identity와 통합됩니다. 위치 기반 신호의 소음 검색을 방지하기 위해 네트워크 명명된 위치를 정의합니다. 조건부 액세스 정책에서 위치 조건 사용을 참조하세요.

  • UEBA(사용자 및 엔터티 동작 분석) 경고입니다. UEBA를 사용하여 변칙 검색에 대한 인사이트를 얻습니다. Microsoft Defender for Cloud Apps는 클라우드의 UEBA를 제공합니다. 위험 사용자 조사를 참조하세요. Microsoft Defender for Identity에서 온-프레미스 UEBA를 통합할 수 있습니다. 클라우드용 Microsoft Defender 앱은 Microsoft Entra ID 보호에서 신호를 읽습니다. 엔터티 동작 분석을 활성화하여 고급 위협을 탐지하도록 설정하세요.

  • 긴급 접근 계정 활동. 응급 액세스 계정을 사용하는 모든 액세스를 모니터링합니다. Microsoft Entra ID에서 응급 액세스 계정 관리 참조. 조사에 대한 경고를 만듭니다. 이 모니터링에는 다음 작업이 포함되어야 합니다.

    • 로그인
    • 자격 증명 관리
    • 그룹 멤버 자격에 대한 모든 업데이트.
    • 애플리케이션 할당

  • 권한 있는 역할 활동 Microsoft Entra PIM(Privileged Identity Management)에서 생성한 보안 경고를 구성하고 검토합니다. 사용자가 직접 할당될 때마다 경고를 생성하여 PIM 외부의 권한 있는 역할에 대한 직접 할당을 모니터링합니다.

  • Microsoft Entra 테넌트 전역 구성. 테넌트 전체 구성에 변경 내용이 발생하면 시스템에서 경고를 생성해야 합니다. 다음 변경 내용을 포함(제한하지 않음).

    • 사용자 지정 도메인이 업데이트됨
    • Microsoft Entra B2B가 허용 목록 및 차단 목록으로 변경됩니다.
    • Microsoft Entra B2B는 직접 페더레이션이나 소셜 로그인과 같은 방법을 통해 SAML 신원 공급자를 포함한 허용되는 신원 공급자에 대한 변경 사항을 적용합니다.
    • 조건부 액세스 또는 위험 정책 변경

  • 애플리케이션 및 서비스 주체 개체

    • 조건부 액세스 정책이 필요할 수 있는 새 애플리케이션 또는 서비스 주체
    • 서비스 주체에 추가된 자격 증명
    • 애플리케이션 동의 작업

  • 사용자 지정 역할

    • 사용자 지정 역할 정의에 대한 업데이트
    • 새로 만든 사용자 지정 역할

이 항목에 대한 포괄적인 지침은 Microsoft Entra 보안 작업 가이드확인하세요.

로그 관리

안정적인 도구 세트를 지원하기 위해 로그 스토리지 및 보존 전략, 디자인 및 구현을 정의합니다. 예를 들어 Microsoft Sentinel, 일반적인 쿼리, 조사 및 포렌식 플레이북과 같은 SIEM(보안 정보 및 이벤트 관리) 시스템을 고려합니다.

  • Microsoft Entra 로그. 진단, 로그 보존, SIEM 수집 등 설정 관련 모범 사례를 일관되게 준수하여 생성된 로그 및 신호를 수집합니다.

  • Microsoft Entra ID는 Azure Monitor와 여러 ID 로그의 통합을 제공합니다. 자세한 내용은 Azure Monitor의 Microsoft Entra 활동 로그과 Copilot을 사용하여 위험한 사용자를 조사하세요.

  • 하이브리드 인프라 운영 체제 보안 로그. 노출 영역의 영향으로 인해 모든 하이브리드 ID 인프라 운영 체제 로그를 계층 0 시스템으로 보관하고 신중하게 모니터링합니다. 다음 요소를 포함합니다.

    • Microsoft Entra Private Access 및 Microsoft Entra 애플리케이션 프록시용 프라이빗 네트워크 커넥터.
    • 비밀번호 쓰기 저장 에이전트.
    • 암호 보호 게이트웨이 컴퓨터.
    • Microsoft Entra 다단계 인증 RADIUS 확장이 있는 NPS(네트워크 정책 서버)
    • Microsoft Entra Connect.
    • ID 동기화를 모니터링하려면 Microsoft Entra Connect Health를 배포해야 합니다.

이 항목에 대한 포괄적인 지침을 위해, 인시던트 대응 플레이북을 확인하고, Copilot을 사용하여 위험한 사용자를 조사하세요.

다음 단계