Active Directory 보안 모범 사례: 최적의 방법 10가지
관리되지 않는 Active Cloud Directory는 취약하며 위협 행위자에게 노출되어 있습니다. 오늘날 흔히 발생하는 공격으로부터 인프라를 보호하는 데 유용한 팁 10가지를 소개합니다. 놓치지 말고 최신 정보를 확인하세요.
Active Directory (AD)는 공격자에게 가치가 높은 표적입니다. 공격자는 권한을 높이고 접근 범위를 넓히기 위해 AD 침해를 자주 시도합니다. 하지만 AD는 운영상 필수적이어서 기업 전반의 사용자가 쉽게 접근할 수 있어야 하므로 보안 유지가 매우 어렵습니다. Microsoft에 따르면 매일 9,500만 개가 넘는 AD 계정이 공격받고 있으며, 이는 문제의 심각성을 보여줍니다.
AD 보호는 어렵지만 결코 불가능하지 않습니다—적절한 도구와 전술만 있으면 됩니다. 다음은 오늘날 가장 흔한 공격 전술로부터 AD를 더욱 효과적으로 보호하기 위한 팁 10가지입니다.
1. 권한, 위임 관리자, 서비스 및 네트워크 세션 열거 방지 및 탐지
공격자는 경계 방어를 뚫고 네트워크 내부에 거점을 확보하면 가치 있는 자산과 접근 경로를 찾기 위해 정찰을 수행합니다. 이때 AD를 표적으로 삼는 것이 효과적인 방법 중 하나입니다. 해당 활동을 정상적인 업무 활동으로 위장할 수 있어 탐지될 가능성이 낮기 때문입니다.
권한, 위임 관리자 및 서비스 계정에 대한 열거를 탐지하고 방지하면 보안 팀은 공격 초기 단계에서 공격자의 존재를 알아챌 수 있습니다. 엔드포인트에 기만용 도메인 계정과 자격 증명을 배포하면 공격자를 혼란에 빠뜨리고, 보안 팀이 공격자를 유인용 자산으로 유도해 대응할 수도 있습니다.
2. 권한 계정 노출 식별 및 해결
사용자는 업무용 컴퓨터에 자격 증명을 저장하는 경우가 많습니다. 실수로 저장하기도 하고, 대개 편의를 위해 의도적으로 저장하기도 합니다. 공격자는 이를 알고 저장된 자격 증명을 표적으로 삼아 네트워크 환경에 접근합니다. 적절한 자격 증명을 확보하면 접근 범위가 크게 넓어지므로, 침입자는 언제나 권한을 높이고 접근 범위를 확대하려 합니다.
기업은 권한 계정의 노출을 식별하고 잘못된 설정을 수정하며 저장된 자격 증명, 공유 폴더 및 기타 취약점을 제거해 공격자의 쉬운 네트워크 진입 경로를 차단할 수 있습니다.
3. “Golden Ticket” 및 “Silver Ticket” 공격 방어 및 탐지
Pass-the-Ticket (PTT) 공격은 공격자가 네트워크 내부에서 횡적으로 이동하고 권한을 높이는 데 사용하는 가장 강력한 기법 중 하나입니다. Kerberos는 상태를 유지하지 않는 설계 방식 때문에 악용하기 쉬워 공격자가 시스템 내에서 티켓을 손쉽게 위조할 수 있습니다. “Golden Ticket”과 “Silver Ticket”은 공격자가 도메인을 침해하고 도메인 내 지속성을 확보하는 데 사용하는 가장 심각한 PTT 공격 유형 두 가지입니다.
이에 대응하려면 취약한 Kerberos Ticket Granting Ticket (TGT)과 컴퓨터 서비스 계정을 탐지하고, PTT 공격으로 이어질 수 있는 잘못된 설정을 식별해 경고해야 합니다. 또한 Singularity Identity와 같은 제품은 엔드포인트에서 위조 티켓 사용을 차단할 수 있습니다.
4. Kerberoasting, DCSync 및 DCShadow 공격 방어
“Kerberoasting” 공격은 공격자가 권한 있는 접근 권한을 쉽게 확보하는 방법이며, DCSync와 DCShadow 공격은 기업 도메인 내 지속성을 유지하는 데 사용됩니다.
보안 팀은 AD를 지속적으로 평가하고 AD 공격을 실시간으로 분석하며, 공격으로 이어지는 잘못된 설정에 대해 경고할 수 있어야 합니다. 또한 엔드포인트의 보호 기능을 활용해 공격자가 표적 계정을 발견하지 못하도록 차단하면 이러한 침입을 억제할 수 있습니다.
5. 도메인 공유에서 자격 증명 수집 방지
공격자는 Sysvol 또는 Netlogon과 같은 도메인 공유의 스크립트나 그룹 정책 파일에 저장된 일반 텍스트 암호 또는 복원 가능한 암호를 흔히 표적으로 삼습니다.
다음과 같은 솔루션 와 같은 솔루션은 이러한 비밀번호를 탐지하는 데 도움을 주어, 공격자가 이를 표적으로 삼기 전에 방어자가 노출을 조치할 수 있게 합니다. 와 같은 제품은 이러한 암호를 탐지해 공격자가 표적으로 삼기 전에 보안 팀이 노출 문제를 해결하도록 지원합니다. 또한 솔루션의 메커니즘과 같은 기능은 운영 중인 AD에 기만용 Sysvol 그룹 정책 객체를 배포할 수도 있어, 공격자를 운영 자산에서 다른 곳으로 오도함으로써 추가로 방해하는 데 도움이 됩니다.의 메커니즘은 운영 AD에 기만용 Sysvol 그룹 정책 개체를 배포할 수 있습니다. 공격자를 실제 운영 자산에서 다른 곳으로 유도해 공격을 더욱 방해합니다.
싱귤래리티™ 아이덴티티
Active Directory 및 Entra ID를 위한 종합적인 솔루션으로 실시간으로 공격을 탐지하고 대응하세요.
6. 숨겨진 권한 SID가 있는 계정 식별
공격자는 Windows Security Identifier (SID) 삽입 기법으로 SID “history” 특성을 악용해 AD 환경 내에서 횡적으로 이동하고 권한을 더욱 높일 수 있습니다.
이를 방지하려면 SID history 특성에 널리 알려진 권한 SID 값이 설정된 계정을 탐지하고 보고해야 합니다.
7. 중요 개체에 대한 위험한 접근 권한 위임 탐지
위임은 사용자 또는 컴퓨터 계정이 다른 계정을 가장할 수 있도록 하는 AD 기능입니다. 예를 들어 사용자가 웹 서버에서 호스팅되는 웹 애플리케이션을 호출하면, 애플리케이션은 사용자의 자격 증명을 가장해 다른 서버에서 호스팅되는 리소스에 접근할 수 있습니다. 제약 없는 위임이 활성화된 도메인 컴퓨터는 사용자 자격 증명을 가장해 도메인의 다른 모든 서비스에 접근할 수 있습니다. 공격자는 이 기능을 악용해 네트워크의 여러 영역에 접근할 수 있습니다.
AD 취약점과 위임으로 인한 노출을 지속적으로 모니터링하면 보안 팀은 공격자가 악용하기 전에 취약점을 식별하고 해결할 수 있습니다.
8. 위임이 활성화된 권한 계정 식별
위임과 관련해, 제약 없는 위임이 설정된 권한 계정은 Kerberoasting 및 Silver Ticket 공격으로 직접 이어질 수 있습니다. 기업은 위임이 활성화된 권한 계정을 탐지하고 보고할 수 있어야 합니다.
권한 사용자, 위임 관리자 및 서비스 계정의 전체 목록을 확보하면 보안 팀이 잠재적인 취약점을 파악할 수 있습니다. 이 경우 위임 자체가 반드시 나쁜 것은 아닙니다. 운영상 필요한 경우가 많지만, 보안 팀은 Singularity Identity와 같은 도구로 공격자가 해당 계정을 발견하지 못하도록 차단할 수 있습니다.
9. AdminSDHolder ACL의 권한 없는 사용자 식별
Active Directory Domain Services (AD DSs)는 AdminSDHolder 개체와 Security Descriptor propagator (SDProp) 프로세스를 사용해 권한 사용자와 그룹을 보호합니다. AdminSDHolder 개체에는 기본 제공 권한 AD 그룹에 속한 보안 주체의 권한을 제어하는 고유한 Access Control List (ACL)이 있습니다. 공격자는 횡적 이동을 위해 AdminSDHolder에 계정을 추가하고, 다른 보호 대상 계정과 동일한 권한을 부여할 수 있습니다.
조직은 다음과 같은 도구로 이러한 활동을 방지할 수 있습니다: Singularity Identity Posture Management를 사용해 AdminSDHolder ACL에 비정상적인 계정이 있는지 탐지하고 알림을 받으세요.
10. 기본 도메인 정책 또는 기본 도메인 컨트롤러 정책의 최근 변경 사항 확인
조직은 AD에서 그룹 정책을 사용해 환경별 보안 설정을 정의하고 다양한 운영 구성을 관리합니다. 이러한 정책은 관리자 그룹을 구성하고 시작 및 종료 스크립트를 포함하는 경우가 많습니다. 관리자는 각 수준에서 조직이 정한 보안 요구 사항을 적용하고, 소프트웨어를 설치하고, 파일 및 레지스트리 권한을 설정합니다. 하지만 공격자도 이러한 정책을 변경해 네트워크 내 도메인에 지속적으로 접근할 수 있습니다.
기본 그룹 정책의 변경 사항을 모니터링하면 공격자를 신속하게 발견하고 보안 위험을 줄이며 AD에 대한 권한 있는 접근을 차단할 수 있습니다.
조직 전반의 ID 위험 감소
Active Directory 및 Entra ID를 위한 종합적인 솔루션으로 실시간으로 공격을 탐지하고 대응하세요.
적합한 도구 도입
공격자가 AD를 노릴 때 흔히 사용하는 전술을 이해해야 효과적으로 방어할 수 있습니다. Singularity Identity Posture Management와 Singularity Identity를 개발하면서 다양한 공격 경로를 검토하고, 공격을 탐지하고 저지할 최적의 방법을 찾아냈습니다.
이러한 도구를 도입하면 기업은 취약점을 효과적으로 파악하고 악의적인 활동을 조기에 탐지하며 보안 사고에 대응할 수 있습니다 침입자가 권한을 높여 소규모 공격을 대규모 침해로 확대하기 전에 말입니다. AD 보호는 쉽지 않지만, 오늘날의 AD 보호 도구를 활용하면 충분히 해낼 수 있습니다.
Active Directory 보안 모범 사례 FAQ
Active Directory 보안은 Microsoft Active Directory 환경을 사이버 위협으로부터 보호하기 위한 조치와 실무 관행입니다. 사용자 계정, 컴퓨터 및 권한을 중앙에서 관리해 네트워크 내 리소스에 누가 접근할 수 있는지 제어합니다. 사용자의 신원을 확인하고, 접근 후 수행할 수 있는 작업을 결정하는 관문 역할을 합니다.
여기에는 인증, 권한 부여, 접근 제어 및 모니터링이 포함되며, 권한이 없는 사용자가 시스템과 데이터를 변경하지 못하도록 막습니다.
공격자가 AD에 침투하면 사실상 조직 전체를 장악할 수 있으므로 Active Directory 보안은 매우 중요합니다. AD는 네트워크 전반의 모든 시스템, 애플리케이션 및 민감한 데이터에 대한 접근을 제어합니다. AD가 침해되면 대규모 데이터 유출, 시스템 손상, 심지어 네트워크 전체의 중단으로 이어질 수 있습니다.
현재 Azure AD를 겨냥한 공격은 연간 250억 건에 달합니다. 이 핵심 시스템을 보호하지 못하면 위협 행위자는 권한을 높이고 네트워크 내부에서 측면 이동하며 랜섬웨어를 배포하거나 자격 증명을 탈취할 수 있습니다. 그 피해는 비즈니스 운영을 마비시키고 막대한 재정적 손실로 이어질 수 있습니다.
권한 있는 사용자 수를 최소화하고 개인별 권한 대신 그룹을 통해 접근 권한을 부여하세요. 최신 보안 요구 사항을 반영한 강력한 암호 정책을 적용하고 모든 관리자 계정에 MFA를 의무화하세요. Print Spooler와 같이 불필요한 서비스를 끄고, SMBv1을 비활성화하며, 가능한 곳에서는 NTLM을 제한하세요. 정기적인 보안 평가로 휴면 계정을 찾아 공격 경로가 되기 전에 제거하세요.
권한 있는 그룹의 변경 사항과 로그인 실패를 중심으로 AD의 의심스러운 활동을 지속적으로 모니터링하세요. 도메인 컨트롤러의 물리적 보안을 유지하고 적절한 백업 및 복구 계획을 마련하세요.
MFA는 암호 외에 추가 확인 단계를 더해 AD 보안을 크게 강화합니다. 공격자가 피싱이나 무차별 대입 공격으로 자격 증명을 훔쳐도 모바일 앱이나 하드웨어 토큰 같은 두 번째 인증 요소 없이는 접근할 수 없습니다. MFA는 자동화된 공격의 99.9% 이상을 차단하고, 자격 증명이 유출된 경우에도 침해 위험을 98.56% 낮춥니다.
Microsoft Authenticator, FIDO2 키, 생체 인식 및 SentinelOne과 같은 플랫폼을 활용해 위협 행위자의 계정 침해를 더 어렵게 만들 수 있습니다. MFA는 사고 발생 시 포렌식 분석을 위한 감사 기록도 강화합니다.
AD 보안 체크리스트는 현재 보안 상태를 점검하고 삭제해야 할 오래된 계정을 식별하는 것부터 시작해야 합니다. 비밀번호 정책을 검토하고 강화한 다음, 무차별 대입 공격을 차단하기 위한 계정 잠금 정책을 적용합니다. 모든 특권 계정에 다중 인증을 도입하고 최소 권한 원칙에 따른 안전한 접근 제어 정책을 수립해야 합니다. 정기적인 패치 관리 체계를 마련하고 취약성 평가와 AD 감사를 실시하여 구성 문제를 찾아내세요.
도메인 관리자 그룹 변경 및 인증 실패와 같은 주요 이벤트에 대해 적절한 로깅과 모니터링을 활성화하세요. 보안 정책을 문서화하고, 직원에게 모범 사례를 교육하며, AD 복구 절차를 정기적으로 테스트하세요.
보안 로그에서 특정 이벤트 ID, 특히 로그인 실패(4625), 계정 잠금(4740) 및 권한 상승 시도(4672)를 모니터링해야 합니다. 도메인 관리자 및 엔터프라이즈 관리자와 같은 권한 있는 그룹의 무단 변경도 주시하세요. 이는 보안 침해의 신호인 경우가 많습니다. 단일 IP 주소에서 여러 차례 로그인에 실패하거나 일반적인 근무 시간 외에 로그인하는 등 비정상적인 로그인 패턴에 대한 실시간 알림을 설정하세요.
그룹 정책 변경, 관리자 계정의 암호 재설정 및 도메인 컨트롤러 설정 변경 사항을 모니터링하세요. SentinelOne으로 이러한 활동을 추적하고 탐지 및 알림을 자동화하세요
다음에 대해 더 알아보기 ID 보안
보안 운영을 혁신할 준비가 되셨나요?
SentinelOne AI SIEM이 귀사의 SOC를 자율적으로 운영되는 강력한 조직으로 어떻게 전환할 수 있는지 알아보세요. 지금 문의하여 맞춤형 데모를 요청하고 보안의 미래를 직접 확인해 보세요.
