엔드포인트 보안 강화

Question

안녕하세요, 지난 분기에 한 직원이 피싱 이메일에서 악성 실행 파일을 다운로드하는 바람에 저희 회사는 경미한 랜섬웨어 위협을 겪었습니다. 이에 따라 현재 Active Directory 정책을 재구성하고 있습니다. 원격 엔드포인트에서 승인되지 않은 스크립트와 실행 파일이 실행되는 것을 완전히 차단하기 위해, 지금 당장 어떤 그룹 정책 개체(GPO) 보안 설정을 최우선으로 고려해야 할까요?

Answer 1

안녕하세요,

그룹 정책(GPO)을 통해 엔드포인트 보안을 강화하려면 여러 계층의 제한 정책을 함께 적용하는 것이 가장 효과적입니다.

먼저, 승인되지 않은 실행 파일 및 스크립트를 차단하기 위해 AppLocker 또는 Windows Defender Application Control (WDAC) 정책을 활성화하는 것을 권장합니다. 이러한 기능을 사용하면 신뢰할 수 있는 게시자(Publisher), 경로(Path), 또는 파일 해시(Hash)를 기준으로 허용 규칙을 정의할 수 있어, 승인된 애플리케이션만 실행되도록 제한할 수 있습니다.

다음으로, Software Restriction Policies (SRP) 또는 PowerShell Constrained Language Mode를 우선적으로 구성하여 스크립트 실행을 제한하는 것이 좋습니다. 이를 통해 악성 .ps1 또는 .vbs 파일이 사용자 세션에서 실행되는 것을 방지할 수 있습니다. 또한 랜섬웨어가 자주 실행되는 위치인 %TEMP% 및 %APPDATA%와 같은 임시 폴더에서 애플리케이션이 실행되지 않도록 GPO 설정을 구성하는 것도 중요합니다.

추가로, Microsoft Defender Antivirus의 Controlled Folder Access 기능을 활성화하고, Intune 또는 Security Compliance Toolkit 템플릿을 활용하여 강력한 엔드포인트 보안 기준(Baseline)을 적용하는 것을 권장합니다. 이러한 보안 조치를 함께 적용하면 다계층 방어 체계가 구축되어 승인되지 않은 코드 실행 위험을 크게 줄일 수 있습니다.

위 단계를 적용해 보신 후 환경에서 어떤 결과가 나타나는지 알려주시기 바랍니다. 이 답변이 도움이 되었다면 **"Accept Answer"**를 눌러 주시면 감사하겠습니다.

Jason 드림.