Active Directory: 모든 Windows 로그인이 의존하는 디렉터리

핵심 내용

1. 정신적 모델: 도메인 컨트롤러는 디렉터리를 저장 및 복제하고, Kerberos는 인증을 위해 단기 티켓을 발행하며, 그룹 정책은 컴퓨터와 사용자에게 설정을 푸시합니다. 디렉터리 스키마는 되돌리기 어렵기 때문에 스키마 변경 사항을 주의해서 처리하세요.
2. 그룹 정책은 드라이브 매핑, 보안 기준(LAPS 관리 로컬 관리자 암호, 자격 증명 보호), 소프트웨어 배포 및 화면 보호기 잠금 등의 차량 드라이버 도구입니다. GPO 우선 순위는 결정적이지만 복잡하므로 문서화 및 단계적 GPO 연결을 통해 비용보다 시간을 훨씬 더 절약할 수 있습니다.
3. 보안 태세는 자산 생존 가능성을 결정합니다. 권한 있는 계층화(이메일이나 웹에 접근하지 않는 별도의 관리자 계정), 시간 제한이 있는 승격된 그룹, 레거시 프로토콜 차단(가능한 경우 NTLM, 절대적으로 SMBv1)은 10년 동안 공개적으로 악용된 권한 에스컬레이션 경로를 제거합니다.
4. DNS는 거래의 일부이며 다음을 보호하는 서비스입니다. AD 통합 영역, TTL 규율 및 중복 이름 위생; 손상된 AD DNS는 다른 모든 곳에서 애플리케이션 오류처럼 보이는 증상을 나타냅니다.
5. 하이브리드 현실: Entra Connect를 통해 Entra ID(클라우드)와 AD가 함께 동기화됩니다. 비밀번호 해시 동기화 대 통과 인증, 클라우드 측의 조건부 액세스 정책 및 하이브리드 조인 장치 상태 기존 메커니즘과 새 메커니즘에는 모든 곳에서 기본 신뢰가 아닌 명시적인 보안 모델이 필요합니다.
6. 운영 원칙: DC 시간 동기화는 정확성 속성(Kerberos가 5분 이상 차이로 중단됨), FSMO 역할 문서화, 복원 테스트된 백업(권한 있는 복원은 다름), 복제 실패 및 의심스러운 이벤트 ID 모니터링, 이벤트 로그 수집과 Sentinel 또는 Wazuh 클래스 SIEM 후크로 루프를 닫습니다.

현장 노트

우리의 관행을 형성한 AD 사건: 매일 이메일을 확인하고 피싱을 하고 클릭 한 번으로 공격자에게 도메인 관리자 권한을 부여한 하나의 관리자 계정. 그 후 관리자 계정과 Windows LAPS를 계층화하는 데는 한 달 간의 인내심이 필요했습니다. 이후 아무데도 가지 않은 측면 이동 시도로 두 번 자신을 정당화하는 것을 저장했습니다.

자주 묻는 질문