관리

관리란 비즈니스에 필요한 서비스 수준을 충족하기 위해 IT(정보 기술) 시스템을 모니터링, 유지 관리 및 운영하는 관행입니다. 이러한 작업을 수행하려면 이러한 시스템 및 애플리케이션의 매우 광범위한 집합에 대한 권한 있는 액세스가 필요하기 때문에 관리에서 가장 큰 영향을 미치는 보안 위험 중 일부를 도입합니다. 공격자는 관리 권한이 있는 계정에 액세스하면 대상 데이터의 대부분 또는 전부에 액세스할 수 있으므로 관리 보안이 가장 중요한 보안 영역 중 하나가 될 수 있습니다.

예를 들어 Microsoft는 클라우드 시스템 및 IT 시스템에 대한 관리자 보호 및 교육에 상당한 투자를 합니다.

A screenshot of a cell phone Description automatically generated

Microsoft에서 권장하는 관리 권한 핵심 전략은 사용 가능한 컨트롤을 사용하여 위험을 줄이는 것입니다.

위험 노출 감소(범위 및 시간) – 최소 권한의 원칙은 요청 시 권한을 제공하는 최신 컨트롤을 사용하여 가장 잘 수행됩니다. 이렇게 하면 다음을 통해 관리 권한 노출을 제한하여 위험을 제한할 수 있습니다.

  • 범위JEA(Just Enough Access) 는 필요한 관리 작업에 필요한 권한만 제공합니다(한 번에 여러 시스템 또는 모든 시스템에 직접적이고 즉각적인 권한을 가지는 것과 거의 필요하지 않습니다).

  • 시간JIT(Just-In-Time) 접근 방식은 필요한 만큼 필요한 권한을 제공했습니다.

  • 나머지 위험 완화 – 가장 일반적인 위험 피싱 및 일반 웹 검색에서 관리자 계정을 격리하고, 워크플로를 단순화 및 최적화하고, 인증 의사 결정을 강화하고, 차단 또는 조사할 수 있는 일반적인 기준 동작에서 변칙을 식별하는 등의 위험을 줄이기 위해 예방 및 검색 컨트롤의 조합을 사용합니다.

Microsoft는 권한 있는 액세스 권한이 있는 계정의 완화 우선 순위를 지정하기 위한 참조로 사용할 수 있는 권한 있는 액세스를 보호하기 위한 관리 계정 보호 모범 사례 및 게시된 우선 순위 로드맵을 캡처하고 문서화했습니다.

중요한 영향 관리자 수 최소화

중요한 비즈니스 영향을 미칠 수 있는 권한에 가장 적은 수의 계정 부여

각 관리자 계정은 공격자가 대상으로 지정할 수 있는 잠재적 공격 노출 영역을 나타내므로 해당 권한으로 계정 수를 최소화하면 전체 조직 위험을 제한하는 데 도움이 됩니다. 경험을 통해 멤버 자격이 적극적으로 제한되고 관리되지 않는 경우 사람들이 역할을 변경함에 따라 시간이 지남에 따라 이러한 권한 있는 그룹의 멤버 자격이 자연스럽게 증가합니다.

관리자에게 문제가 발생할 경우 비즈니스 연속성을 보장하면서 이 공격 노출 영역 위험을 줄이는 방법을 사용하는 것이 좋습니다.

  • 비즈니스 연속성을 위해 권한 있는 그룹에 두 개 이상의 계정 할당

  • 두 개 이상의 계정이 필요한 경우 원래 두 계정을 포함하여 각 멤버에 대한 근거를 제공합니다.

  • 각 그룹 멤버에 대한 멤버 자격 & 근거를 정기적으로 검토합니다.

관리자를 위한 관리되는 계정

조직의 정책 적용을 따르도록 엔터프라이즈 디렉터리에서 모든 중요한 영향 관리자를 관리해야 합니다.

@Hotmail.com, @live.com, @outlook.com 같은 Microsoft 계정과 같은 소비자 계정은 조직의 정책과 규정 요구 사항을 준수할 수 있도록 충분한 보안 가시성과 제어를 제공하지 않습니다. Azure 배포는 엔터프라이즈 관리 테넌트로 성장하기 전에 작고 비공식적으로 시작하는 경우가 많기 때문에 일부 소비자 계정은 나중에 원래 Azure 프로젝트 관리자, 사각지대 만들기 및 잠재적 위험과 같은 관리 계정으로 유지됩니다.

관리자를 위한 별도의 계정

모든 중요한 영향 관리자는 관리 작업에 대해 별도의 계정을 가지고 있는지 확인합니다(전자 메일, 웹 검색 및 기타 생산성 작업에 사용하는 계정과 비교).

피싱 및 웹 브라우저 공격은 관리 계정을 포함하여 계정을 손상시키는 가장 일반적인 공격 벡터를 나타냅니다.

중요한 권한이 필요한 역할이 있는 모든 사용자에 대해 별도의 관리 계정을 만듭니다. 이러한 관리 계정의 경우 Office 365 메일(라이선스 제거)과 같은 생산성 도구를 차단합니다. 가능하면 임의 웹 검색(프록시 및/또는 애플리케이션 컨트롤 포함)을 차단하면서 관리 작업에 필요한 Azure Portal 및 기타 사이트로의 검색에 대한 예외를 허용합니다.

대기 액세스 없음/Just-In-Time 권한

중요한 영향 계정에 대해 영구적인 "대기" 액세스 권한을 제공하지 않습니다.

영구적 권한은 공격자가 계정을 사용하여 피해를 입힐 수 있는 시간을 늘려 비즈니스 위험을 높입니다. 임시 권한으로 인해 계정을 대상으로 하는 공격자는 관리자가 이미 계정을 사용하고 있는 제한된 시간 내에 작동하거나 권한 상승(환경에서 검색 및 제거될 가능성이 높아집니다)을 시작하도록 강제합니다.

다음 방법 중 하나를 사용하여 필요한 경우에만 필요한 권한을 부여합니다.

  • Just-In-Time - Azure AD Privileged Identity Management(PIM) 또는 타사 솔루션을 사용하도록 설정하여 중요한 영향 계정에 대한 권한을 얻기 위해 승인 워크플로를 따라야 합니다.

  • 깨기 유리 - 거의 사용되지 않는 계정의 경우 긴급 액세스 프로세스를 따라 계정에 액세스합니다. 이는 전역 관리자 계정의 멤버와 같은 정기적인 운영 사용이 거의 필요하지 않은 권한에 선호됩니다.

긴급 액세스 또는 '비상' 계정

응급 상황에서 관리 액세스 권한을 얻기 위한 메커니즘이 있는지 확인합니다.

드물긴 하지만 모든 정상적인 관리 액세스 수단을 사용할 수 없는 극단적인 상황이 발생하는 경우도 있습니다.

Azure AD에서 응급 액세스 관리 계정 관리의 지침을 따르고 보안 작업에서 이러한 계정을 주의 깊게 모니터링하도록 하는 것이 좋습니다.

관리자 워크스테이션 보안

관리자가 높은 보안 보호 및 모니터링을 통해 워크스테이션을 사용하는 데 중요한 영향을 주도록 합니다.

피싱과 같은 검색 및 이메일을 사용하는 공격 벡터는 저렴하고 일반적입니다. 이러한 위험으로부터 중요한 영향을 미치는 관리자를 격리하면 이러한 계정 중 하나가 손상되어 비즈니스 또는 업무에 실질적으로 손상을 입힐 수 있는 주요 인시던트의 위험이 크게 낮아집니다.

에서 사용할 수 있는 옵션에 따라 관리자 워크스테이션 보안 수준을 선택합니다. https://aka.ms/securedworkstation

  • 매우 안전한 생산성 디바이스(향상된 보안 워크스테이션 또는 특수 워크스테이션)
    일반 검색 및 생산성 작업을 계속 허용하는 더 높은 보안 워크스테이션을 제공하여 중요한 영향 관리자를 위해 이 보안 여정을 시작할 수 있습니다. 이 단계를 중간 단계로 사용하면 중요한 영향 관리자와 이러한 사용자 및 해당 워크스테이션을 지원하는 IT 직원 모두에 대해 완전히 격리된 워크스테이션으로 쉽게 전환할 수 있습니다.

  • 권한 있는 액세스 워크스테이션(특수 워크스테이션 또는 보안 워크스테이션)
    이러한 구성은 피싱, 브라우저 및 생산성 애플리케이션 공격 벡터에 대한 액세스를 크게 제한하므로 중요한 영향 관리자에게 이상적인 보안 상태를 나타냅니다. 이러한 워크스테이션은 일반 인터넷 검색을 허용하지 않으며 Azure Portal 및 기타 관리 사이트에 대한 브라우저 액세스만 허용합니다.

중요한 영향 관리자 종속성 – 계정/워크스테이션

중요한 영향 계정 및 해당 워크스테이션에 대한 온-프레미스 보안 종속성을 신중하게 선택합니다.

클라우드 자산의 주요 손상이 되기 위해 온-프레미스에서 유출되는 주요 인시던트의 위험을 포함하려면 온-프레미스 리소스가 클라우드의 계정에 심각한 영향을 미치는 제어 수단을 제거하거나 최소화해야 합니다. 예를 들어 온-프레미스 Active Directory를 손상시키는 공격자는 Azure, AWS(Amazon Web Services), ServiceNow 등의 리소스와 같은 계정에 의존하는 클라우드 기반 자산에 액세스하고 손상할 수 있습니다. 공격자는 온-프레미스 도메인에 가입된 워크스테이션을 사용하여 관리되는 계정 및 서비스에 액세스할 수도 있습니다.

중요한 영향 계정에 대한 보안 종속성이라고도 하는 온-프레미스 제어 수단에서 격리 수준을 선택합니다.

  • 사용자 계정 – 중요한 영향 계정을 호스트할 위치 선택

    • 네이티브 Azure AD 계정 -*온-프레미스 Active Directory와 동기화되지 않은 네이티브 Azure AD 계정 만들기

    • 온-프레미스 Active Directory 동기화(클라우드 ID 공급자에서 온-프레미스 관리자 계정 없음 참조- 온-프레미스 Active Directory에서 호스트되는 기존 계정을 활용하는 것이 좋습니다.

  • 워크스테이션 – 중요한 관리자 계정에서 사용하는 워크스테이션을 관리하고 보호하는 방법을 선택합니다.

    • 네이티브 클라우드 관리 & 보안(권장) - 워크스테이션을 Azure AD & 에 조인하여 Intune 또는 다른 클라우드 서비스를 사용하여 워크스테이션을 관리/패치합니다. Microsoft Defender ATP 또는 온-프레미스 기반 계정에서 관리되지 않는 다른 클라우드 서비스를 Windows 보호하고 모니터링합니다.

    • 기존 시스템으로 관리 - 기존 AD 도메인 & 조인은 기존 관리/보안을 활용합니다.

이는 클라우드 자산에서 온-프레미스 자산으로 피벗하는 역위험을 완화하는 관리 섹션의 클라우드 ID 공급자에 대한 클라우드 ID 공급자에 대한 온-프레미스 관리자 계정 없음 지침과 관련이 있습니다.

관리자를 위한 암호 없는 또는 다단계 인증

모든 중요한 영향 관리자가 암호 없는 인증 또는 MFA(다단계 인증)를 사용하도록 요구합니다.

공격 방법은 암호만으로는 계정을 안정적으로 보호할 수 없는 지점으로 발전했습니다. Microsoft Ignite 세션에 잘 설명되어 있습니다.

관리 계정 및 모든 중요 계정은 다음 인증 방법 중 하나를 사용해야 합니다. 이러한 기능은 가장 높은 비용/공격 난이도(가장 강력한/선호 옵션)에서 가장 낮은 비용/공격하기 어려운 옵션에 따라 기본 설정 순서로 나열됩니다.

  • 암호 없는(예: Windows Hello)
    https://aka.ms/HelloForBusiness

  • 암호 없는(Authenticator 앱)
    </azure/active-directory/authentication/howto-authentication-phone-sign-in>

  • 다단계 인증
    </azure/active-directory/authentication/howto-mfa-userstates>

SMS 문자 메시지 기반 MFA는 공격자가 우회하는 데 매우 저렴해졌으므로 사용하지 않는 것이 좋습니다. 이 옵션은 암호만 사용하는 것보다 더 강력하지만 다른 MFA 옵션보다 훨씬 약합니다.

관리자에 대한 조건부 액세스 적용 - 제로 트러스트

모든 관리자 및 기타 중요한 영향 계정에 대한 인증에는 제로 트러스트 전략을 지원하기 위한 주요 보안 특성의 측정 및 적용이 포함되어야 합니다.

Azure Admin 계정을 손상시키는 공격자는 심각한 피해를 입힐 수 있습니다. 조건부 액세스는 Azure 관리에 대한 액세스를 허용하기 전에 보안 위생을 적용하여 해당 위험을 크게 줄일 수 있습니다.

조직의 위험 요구 사항 및 운영 요구 사항을 충족하는 Azure 관리에 대한 조건부 액세스 정책을 구성합니다.

  • 지정된 작업 네트워크에서 다단계 인증 및/또는 연결 필요

  • Microsoft Defender ATP를 사용하여 디바이스 무결성 필요(Strong Assurance)

세분화된 사용자 지정 권한 방지

개별 리소스 또는 사용자를 구체적으로 참조하는 권한 방지

특정 권한은 새로운 유사한 리소스에 의도를 전달하지 않으므로 불필요한 복잡성과 혼란을 야기합니다. 그런 다음 보안 및 솔루션 민첩성 모두에 부정적인 영향을 미치는 "중단"에 대한 두려움 없이 유지 관리하거나 변경하기 어려운 복잡한 레거시 구성에 누적됩니다.

특정 리소스별 권한을 할당하는 대신 다음 중 하나를 사용합니다.

  • 엔터프라이즈 수준의 권한에 대한 관리 그룹

  • 구독 내 사용 권한에 대한 리소스 그룹

특정 사용자에게 권한을 부여하는 대신 Azure AD의 그룹에 대한 액세스 권한을 할당합니다. 적절한 그룹이 없는 경우 ID 팀과 협력하여 그룹을 만듭니다. 이렇게 하면 그룹 구성원을 외부적으로 Azure에 추가 및 제거하고 사용 권한이 최신인지 확인하는 동시에 메일 그룹 등의 다른 용도로 그룹을 사용할 수 있습니다.

기본 제공 역할 사용

가능한 경우 기본 제공 역할을 사용하여 사용 권한을 할당합니다.

사용자 지정은 복잡성으로 이어져 혼란을 증가시키고 자동화를 더 복잡하고, 도전적이고, 취약하게 만듭니다. 이러한 요소는 모두 보안에 부정적인 영향을 줍니다.

대부분의 일반적인 시나리오를 포함하도록 설계된 기본 제공 역할을 평가하는 것이 좋습니다. 사용자 지정 역할은 강력하고 때로는 유용한 기능이지만 기본 제공 역할이 작동하지 않는 경우를 위해 예약되어야 합니다.

중요한 영향 계정에 대한 수명 주기 관리 설정

관리자가 조직을 떠날 때 관리 계정을 사용하지 않도록 설정하거나 삭제하는 프로세스가 있는지 확인합니다(또는 관리 직책을 퇴사).

자세한 내용은 액세스 검토를 사용하여 사용자 및 게스트 사용자 액세스 관리를 참조하세요.

중요한 영향 계정에 대한 공격 시뮬레이션

현재 공격 기술을 사용하여 관리자에 대한 공격을 정기적으로 시뮬레이션하여 교육하고 권한을 부여합니다.

사람들은 방어의 중요한 부분, 특히 중요한 영향 계정에 액세스 할 수있는 직원입니다. 이러한 사용자(및 이상적으로 모든 사용자)에게 공격을 방지하고 저항할 수 있는 지식과 기술을 갖추도록 하면 전반적인 조직 위험을 줄일 수 있습니다.

Office 365 공격 시뮬레이션 기능 또는 다양한 타사 제품을 사용할 수 있습니다.

다음 단계

Microsoft의 추가 보안 지침은 Microsoft 보안 설명서를 참조하세요.