공격으로부터 도메인 컨트롤러 보호
법칙 3: 컴퓨터에 적이 물리적 제약없이 액세스할 수 있다면, 그 컴퓨터는 더 이상 당신 것이 아니다. - 불변의 10가지 보안 법칙(2.0 버전).
도메인 컨트롤러는 엔터프라이즈가 서버, 워크스테이션, 사용자 및 애플리케이션을 효과적으로 관리할 수 있도록 하는 서비스 및 데이터를 제공하는 것 외에도 AD DS(Active Directory Domain Services) 데이터베이스에 대한 물리적 스토리지를 제공합니다. 도메인 컨트롤러에 대한 액세스 권한이 부여되면 악의적인 사용자가 AD DS 데이터베이스를 수정, 손상 또는 파괴할 수 있으며, 더 나아가 Active Directory에서 관리하는 모든 시스템 및 계정을 삭제할 수 있습니다.
도메인 컨트롤러는 AD DS 데이터베이스의 모든 항목에서 읽고 쓸 수 있으므로 도메인 컨트롤러의 손상은 알려진 좋은 백업을 사용하여 복구하고 손상이 허용된 간격을 닫을 수 없다면 Active Directory 포리스트를 다시 신뢰할 수 있는 것으로 간주할 수 없다는 것을 의미합니다.
공격자의 준비, 도구 및 기술에 따라 돌이킬 수 없는 손상은 며칠 또는 몇 주가 아닌 몇 분에서 몇 시간 안에 완료할 수 있습니다. 중요한 것은 공격자가 Active Directory에 대한 권한 있는 액세스 권한을 가지고 있는 시간이 아니라 권한 있는 액세스가 획득되는 시점 동안 공격자가 계획한 양입니다. 도메인 컨트롤러를 손상하면 멤버 서버, 워크스테이션 및 Active Directory를 파괴하는 가장 직접적인 경로를 제공할 수 있습니다. 이러한 위협 때문에 도메인 컨트롤러는 일반 인프라보다 별도로 더 엄격하게 보호되어야 합니다.
도메인 컨트롤러에 대한 물리적 보안
이 섹션에서는 도메인 컨트롤러를 물리적으로 보호하는 방법에 대한 정보를 제공합니다. 도메인 컨트롤러는 데이터 센터, 지사 또는 원격 위치에서 물리적 또는 가상 머신일 수 있습니다.
데이터 센터 도메인 컨트롤러
물리적 도메인 컨트롤러
데이터 센터에서 물리적 도메인 컨트롤러는 일반 서버 모집단과 별개인 전용 보안 랙 또는 케이지에 설치해야 합니다. 가능하면 도메인 컨트롤러는 TPM(신뢰할 수 있는 플랫폼 모듈) 칩으로 구성해야 하며 도메인 컨트롤러 서버의 모든 볼륨은 BitLocker 드라이브 암호화를 통해 보호되어야 합니다. BitLocker는 일반적으로 성능 오버헤드를 약간 늘리지만, 디스크가 서버에서 제거되더라도 디렉터리가 손상되지 않도록 보호합니다. 또한 BitLocker를 사용하면 부팅 파일 수정으로 인해 서버가 복구 모드로 부팅되어 원래 이진 파일을 로드할 수 있으므로 루트킷과 같은 공격으로부터 시스템을 보호할 수 있습니다. 도메인 컨트롤러가 소프트웨어 RAID, 직렬 연결 SCSI, SAN/NAS 스토리지 또는 동적 볼륨을 사용하도록 구성된 경우 BitLocker를 구현할 수 없으므로, 가능하면 항상 도메인 컨트롤러에서는 로컬로 연결된 스토리지(하드웨어 RAID 포함 여부에 관계없음)를 사용해야 합니다.
가상 도메인 컨트롤러
가상 도메인 컨트롤러를 구현하는 경우 도메인 컨트롤러가 환경의 다른 가상 머신과는 별도의 물리적 호스트에서도 실행되도록 해야 합니다. Microsoft가 아닌 가상화 플랫폼을 사용하는 경우에도 Windows Server의 Hyper-V에 가상 도메인 컨트롤러를 배포하는 것이 좋습니다. 이 구성은 최소한의 공격 표면을 제공하며 나머지 가상화 호스트에서 관리되지 않고 호스트하는 도메인 컨트롤러로 관리할 수 있습니다. 가상화 인프라 관리를 위해 SCVMM(System Center Virtual Machine Manager)을 구현하는 경우 도메인 컨트롤러 가상 머신이 있는 실제 호스트 및 도메인 컨트롤러 자체에 대한 관리를 권한 있는 관리자에게 위임할 수 있습니다. 또한 스토리지 관리자가 가상 머신 파일에 액세스하지 못하도록 가상 도메인 컨트롤러의 스토리지를 분리하는 것도 고려해야 합니다.
참고 항목
가상화된 도메인 컨트롤러를 동일한 물리적 가상화 서버(호스트)에서 덜 중요한 다른 가상 머신과 공동 배치하려는 경우 Hyper-V의 보호된 VM과 같은 역할 기반 업무 분리를 적용하는 솔루션을 구현하는 것이 좋습니다. 이 기술은 악의적이거나 단서 없는 패브릭 관리자(가상화, 네트워크, 스토리지 및 백업 관리자 포함)에 대한 포괄적인 보호를 제공합니다. 원격 증명 및 보안 VM 프로비저닝을 통해 실제 신뢰 루트를 활용하고 전용 물리적 서버와 동등한 수준의 보안을 효과적으로 보장합니다.
분기 위치
분기의 실제 도메인 컨트롤러
여러 서버가 있지만 데이터 센터 서버가 보호되는 정도까지 물리적으로 보호되지 않는 위치에서는 모든 서버 볼륨에 대해 TPM 칩 및 BitLocker 드라이브 암호화를 사용하여 물리적 도메인 컨트롤러를 구성해야 합니다. 도메인 컨트롤러를 분기 위치의 잠긴 방에 저장할 수 없는 경우 해당 위치에 RODC(읽기 전용 도메인 컨트롤러)를 배포하는 것이 좋습니다.
분기의 가상 도메인 컨트롤러
가능하면 사이트의 다른 가상 머신과는 다른 물리적 호스트의 지사에서 가상 도메인 컨트롤러를 실행해야 합니다. 가상 도메인 컨트롤러가 가상 서버 모집단의 나머지 부분과 별도의 물리적 호스트에서 실행할 수 없는 지점의 경우 가상 도메인 컨트롤러가 최소한 실행되는 호스트와 가능한 경우 모든 호스트에서 TPM 칩 및 BitLocker 드라이브 암호화를 구현해야 합니다. 지점의 크기와 실제 호스트의 보안에 따라 지점 위치에 RODC를 배포하는 것이 좋습니다.
제한된 공간 및 보안이 있는 원격 위치
인프라에 단일 물리적 서버만 설치할 수 있는 위치가 포함된 경우 가상화 워크로드를 실행할 수 있는 서버를 설치하고 서버의 모든 볼륨을 보호하도록 BitLocker 드라이브 암호화를 구성해야 합니다. 서버의 한 가상 머신은 RODC로 실행되어야 하며 다른 서버는 호스트에서 별도의 가상 머신으로 실행됩니다. RODC 배포 계획에 대한 정보는 읽기 전용 도메인 컨트롤러 계획 및 배포 가이드에 제공됩니다. 가상화 도메인 컨트롤러의 배포 및 보안 자세한 내용은 Hyper-V에서 도메인 컨트롤러 실행을 참조하세요. Hyper-V의 보안 강화, 가상 머신 관리 위임 및 가상 머신 보호에 대한 자세한 지침은 Microsoft 웹 사이트의 Hyper-V 보안 가이드 솔루션 가속기를 참조하세요.
도메인 컨트롤러 운영 체제
조직 내에서 지원되는 최신 버전의 Windows Server에서 모든 도메인 컨트롤러를 실행해야 합니다. 조직은 도메인 컨트롤러 모집단에서 레거시 운영 체제의 서비스 해제 우선순위를 지정해야 합니다. 도메인 컨트롤러를 최신 상태로 유지하고 레거시 도메인 컨트롤러를 제거하는 우선 순위를 지정해야 하므로 새로운 기능과 보안을 활용할 수 있습니다. 이 기능은 레거시 운영 체제를 실행하는 도메인 컨트롤러가 있는 도메인 또는 포리스트에서 사용할 수 없습니다.
참고 항목
보안에 민감한 단일 용도 구성의 경우 Server Core 설치 옵션에 운영 체제를 배포하는 것이 좋습니다. 공격 노출 영역 최소화, 성능 향상 및 사용자 오류 가능성 감소와 같은 여러 이점을 제공합니다. 모든 작업과 관리는 원격으로, 보안 수준이 높은 전용 엔드포인트(예: 특권 액세스 워크스테이션(PAW) 또는 보안 관리 호스트)에서 수행할 것을 권장합니다.
도메인 컨트롤러의 보안 구성
GPO를 사용하여 적용할 도메인 컨트롤러에 대한 초기 보안 구성 기준을 만드는 데 도구를 사용할 수 있습니다. 이러한 도구는 Microsoft 운영 체제 설명서의 보안 정책 설정 관리 섹션 또는 Windows용 DSC(원하는 상태 구성)에 설명되어 있습니다.
RDP 제한
포리스트의 모든 도메인 컨트롤러 OU에 연결하는 그룹 정책 개체는 권한 있는 사용자와 시스템(점프 서버 등)에서만 RDP 연결을 허용하도록 구성해야 합니다. 사용자 권한 설정과 WFAS(Windows Firewall with Advanced Security) 구성을 사용하는 Windows 방화벽의 조합을 통해 제어를 수행할 수 있습니다. 이러한 제어 수단은 정책이 일관되게 적용되도록 GPO를 사용하여 구현할 수 있습니다. 정책이 바이패스되는 경우, 다음에 그룹 정책을 새로 고치면 시스템이 적절한 구성으로 돌아갑니다.
도메인 컨트롤러에 대한 패치 및 구성 관리
직관적이지 않은 것처럼 보일 수 있으나, 일반 Windows 인프라와 별도로 도메인 컨트롤러와 기타 중요한 인프라 구성 요소를 패치하는 것을 고려해야 합니다. 인프라의 모든 컴퓨터에 대한 엔터프라이즈 구성 관리 소프트웨어를 사용하는 경우 시스템 관리 소프트웨어의 손상은 해당 소프트웨어에 의해 관리되는 모든 인프라 구성 요소를 손상시키거나 삭제하는 데 사용될 수 있습니다. 도메인 컨트롤러에 대한 패치와 시스템 관리를 일반 모집단과 분리하면 도메인 컨트롤러에 설치된 소프트웨어의 양을 줄일 뿐만 아니라 해당 관리를 엄격하게 제어할 수 있습니다.
도메인 컨트롤러에 대한 인터넷 액세스 차단
Active Directory 보안 평가의 일부로 수행되는 검사 중 하나는 도메인 컨트롤러에서 웹 브라우저를 사용하고 구성하는 것입니다. 도메인 컨트롤러에서 웹 브라우저를 사용하면 안 됩니다. 수천 개의 도메인 컨트롤러를 분석한 결과 권한 있는 사용자가 Internet Explorer를 사용하여 조직의 인트라넷 또는 인터넷을 검색하는 수많은 사례가 나타났습니다.
Windows 인프라에서 가장 강력한 컴퓨터 중 하나에서 인터넷 또는 감염된 인트라넷을 검색하면 조직의 보안에 특별한 위험이 발생합니다. 맬웨어에 감염된 "유틸리티"를 다운로드하거나 다운로드하여 드라이브를 통해 공격자는 Active Directory 환경을 완전히 손상시키거나 파괴하는 데 필요한 모든 항목에 액세스할 수 있습니다.
도메인 컨트롤러에서 웹 브라우저 시작은 정책 및 기술 컨트롤을 사용하여 제한해야 합니다. 도메인 컨트롤러에 대한 일반 인터넷 액세스도 엄격하게 제어해야 합니다.
Microsoft는 모든 조직이 ID 및 액세스 관리에 대한 클라우드 기반 접근 방식으로 이동하고 Active Directory에서 Microsoft Entra ID로 마이그레이션하도록 권장합니다. Microsoft Entra ID는 디렉터리를 관리하고, 온-프레미스 및 클라우드 앱에 대한 액세스를 가능하게 하고, 보안 위협으로부터 ID를 보호하기 위한 완전한 클라우드 ID 및 액세스 관리 솔루션입니다. Microsoft Entra ID는 다단계 인증, 조건부 액세스 정책, ID 보호, ID 거버넌스 및 Privileged Identity Management와 같은 ID를 보호하는 데 도움이 되는 강력하고 세분화된 보안 통제 수단 모음을 제공합니다.
대부분의 조직은 클라우드로 전환하는 동안 하이브리드 ID 모델에서 작동하며, 여기서 온-프레미스 Active Directory 일부 요소는 Microsoft Entra Connect를 사용하여 동기화됩니다. 이 하이브리드 모델은 모든 조직에 존재하지만 Microsoft는 Microsoft Defender for Identity를 사용하여 온-프레미스 ID에 대한 클라우드 기반 보호를 권장합니다. 도메인 컨트롤러 및 AD FS 서버에서 Defender for Identity 센서를 구성하면 프록시 및 특정 엔드포인트를 통해 클라우드에 대한 안전한 단방향 연결을 사용할 수 있습니다. 이 프록시 연결을 구성하는 방법에 대한 전체 설명은 Defender for Identity에 대한 기술 설명서에서 찾을 수 있습니다. 이 엄격하게 제어된 구성은 이러한 서버를 클라우드 서비스에 연결하는 위험을 완화하고 조직에서 Defender for Identity가 제공하는 보호 기능의 증가로 이익을 얻을 수 있도록 합니다. 또한 이러한 서버는 서버용 Microsoft Defender와 같은 클라우드 기반 엔드포인트 검색으로 보호되는 것이 좋습니다.
Active Directory의 온-프레미스 전용 구현을 유지하기 위해 규정 또는 기타 정책 기반 요구 사항이 있는 조직의 경우 도메인 컨트롤러와의 인터넷 액세스를 완전히 제한하는 것이 좋습니다.
경계 방화벽 제한
도메인 컨트롤러에서 인터넷에 대한 아웃바운드 연결을 차단하도록 경계 방화벽을 구성해야 합니다. 도메인 컨트롤러는 사이트 경계를 넘어 통신해야 할 수도 있지만 Active Directory 도메인 및 트러스트에 대한 방화벽을 구성하는 방법에 제공된 지침에 따라 사이트 간 통신을 허용하도록 경계 방화벽을 구성할 수 있습니다.
도메인 컨트롤러에서 웹 검색 방지
AppLocker 구성, "블랙홀" 프록시 구성 및 WFAS 구성의 조합을 사용하여 도메인 컨트롤러가 인터넷에 액세스하지 못하게 하고 도메인 컨트롤러에서 웹 브라우저를 사용하지 못하도록 할 수 있습니다.