관리
관리는 비즈니스에서 요구하는 서비스 수준을 충족하기 위해 IT(정보 기술) 시스템을 모니터링, 유지 관리 및 운영하는 방법입니다. 이러한 작업을 수행하려면 매우 광범위한 시스템 및 애플리케이션에 대한 권한 있는 액세스가 필요하므로 관리에서 가장 높은 영향의 보안 위험 중 일부를 소개합니다. 공격자는 관리 권한이 있는 계정에 액세스하면 대상 데이터의 대부분 또는 전부에 액세스할 수 있으므로 관리 보안이 가장 중요한 보안 영역 중 하나라는 것을 알고 있습니다.
예를 들어 Microsoft는 클라우드 시스템 및 IT 시스템에 대한 관리자 보호 및 교육에 상당한 투자를 합니다.
Microsoft에서 권장하는 관리 권한에 대한 핵심 전략은 사용 가능한 컨트롤을 사용하여 위험을 줄이는 것입니다.
위험 노출(범위 및 시간) 감소 – 최소 권한의 원칙은 요청 시 권한을 제공하는 최신 컨트롤을 사용하여 수행하는 것이 가장 좋습니다. 이렇게 하면 다음을 통해 관리 권한 노출을 제한하여 위험을 제한할 수 있습니다.
범위 – JEA(Just Enough Access)는 필수 관리 작업에 필요한 권한만 제공합니다. 즉, 한 번에 여러 시스템 또는 모든 시스템에 즉시 권한을 부여하는 것은 거의 불필요합니다.
시간 – JIT(Just-In-Time) 접근 방식은 필요한 만큼 필요한 권한을 제공했습니다.
나머지 위험 완화 – 관리자 계정을 가장 일반적인 위험 피싱 및 일반 웹 검색으로부터 격리, 워크플로 간소화 및 최적화, 인증 결정에 대한 보증 강화, 차단하거나 조사할 수 있는 일반적인 기준 동작의 비정상 상태 파악 등 예방 및 감지 컨트롤의 조합을 사용하여 위험을 줄입니다.
Microsoft는 권한 있는 액세스 권한이 있는 계정에 대한 완화의 우선 순위를 지정하기 위한 참조로 사용할 수 있는 권한 있는 액세스를 보호하기 위한 관리 계정 보호 모범 사례 및 게시된 우선 순위 로드맵을 캡처하고 문서화했습니다.
위험 영향 관리자 수 최소화
중요한 비즈니스 영향을 미칠 수 있는 권한에 가장 적은 수의 계정 부여
각 관리자 계정은 공격자가 대상으로 할 수 있는 잠재적 공격 노출 영역을 나타내므로 해당 권한이 있는 계정 수를 최소화하면 조직의 전반적인 위험을 제한하는 데 도움이 됩니다. 경험을 통해 멤버 자격이 적극적으로 제한되고 관리되지 않는 경우 사용자가 역할을 변경함에 따라 시간이 지남에 따라 이러한 권한 있는 그룹의 멤버 자격이 자연스럽게 증가합니다.
관리자에게 무슨 일이 생길 경우 비즈니스 연속성을 보장하는 동시에 이 공격 노출 위험을 줄이는 것이 좋습니다.
비즈니스 연속성을 위해 권한 있는 그룹에 두 개 이상의 계정을 할당합니다.
계정이 둘 이상 필요한 경우 원래 두 개를 포함하여 각 멤버에 대한 근거를 제공합니다.
각 그룹 멤버에 대한 멤버 자격과 근거를 정기적으로 검토합니다.
관리자를 위한 관리되는 계정
조직의 정책 적용을 따르기 위해 엔터프라이즈 디렉터리에서 모든 중요한 영향 관리자를 관리해야 합니다.
@Hotmail.com, @live.com, @outlook.com 같은 Microsoft 계정과 같은 소비자 계정은 조직의 정책 및 규정 요구 사항을 준수하기 위한 충분한 보안 가시성과 제어를 제공하지 않습니다. Azure 배포는 엔터프라이즈 관리 테넌트로 성장하기 전에 작고 비공식적으로 시작하는 경우가 많기 때문에 일부 소비자 계정은 나중에 관리 계정으로 다시 기본 있습니다(예: 원래 Azure 프로젝트 관리자, 사각지대 만들기 및 잠재적 위험).
관리자용 별도 계정
모든 중요한 영향 관리자에게 관리 작업에 대한 별도의 계정이 있도록 확인합니다(전자 메일, 웹 검색 및 기타 생산성 작업에 사용하는 계정과 비교).
피싱 및 웹 브라우저 공격은 관리 계정을 포함하여 계정을 손상시킬 수 있는 가장 일반적인 공격 벡터를 나타냅니다.
중요한 권한이 필요한 역할이 있는 모든 사용자에 대해 별도의 관리 계정을 만듭니다. 이러한 관리 계정의 경우 Office 365 전자 메일(라이선스 제거)과 같은 생산성 도구를 차단합니다. 가능하면 Azure Portal 및 관리 작업에 필요한 다른 사이트로의 검색에 대한 예외를 허용하면서 임의의 웹 검색(프록시 및/또는 애플리케이션 컨트롤 포함)을 차단합니다.
고정 액세스 없음/Just-in-time 권한
중요한 영향 계정에 대해 영구 "고정" 액세스를 제공하지 않습니다.
영구 권한은 공격자가 계정을 사용하여 손상을 입힐 수 있는 시간을 늘려 비즈니스 위험을 높입니다. 임시 권한으로 인해 계정을 대상으로 하는 공격자는 관리자가 이미 계정을 사용하고 있는 제한된 시간 내에 작업하거나 권한 상승(환경에서 검색 및 제거될 가능성이 높아집니다)을 시작하도록 합니다.
다음 방법 중 하나를 사용하여 필요한 경우에만 필요한 권한을 부여합니다.
Just-In-Time - Microsoft Entra PIM(Privileged Identity Management) 또는 타사 솔루션을 사용하도록 설정하여 중요한 영향 계정에 대한 권한을 얻기 위해 승인 워크플로를 따라야 합니다.
Break glass – 거의 사용되지 않는 계정의 경우 비상 액세스 프로세스를 따라 계정에 액세스합니다. 이는 전역 관리자 계정의 멤버와 같은 정기적인 운영 사용이 거의 필요하지 않은 권한에 선호됩니다.
긴급 액세스 또는 'Break Glass' 계정
응급 상황 발생 시 관리 액세스 권한을 얻기 위한 메커니즘이 있는지 확인합니다.
드물긴 하지만 모든 정상적인 관리 액세스 수단을 사용할 수 없는 극단적인 상황이 발생하는 경우도 있습니다.
Microsoft Entra ID의 응급 액세스 관리 계정 관리 지침에 따라 보안 작업이 이러한 계정을 주의 깊게 모니터링하도록 하는 것이 좋습니다.
워크스테이션 보안 관리
관리자가 높은 보안 보호 및 모니터링을 통해 워크스테이션을 사용하는 데 중요한 영향을 주도록 합니다.
피싱과 같은 검색 및 이메일을 사용하는 공격 벡터는 저렴하고 일반적입니다. 이러한 위험으로부터 중요한 영향 관리자를 격리하면 이러한 계정 중 하나가 손상되어 비즈니스 또는 업무에 실질적으로 손상을 입힐 수 있는 주요 인시던트의 위험이 크게 낮아집니다.
에서 사용할 수 있는 옵션에 따라 관리자 워크스테이션 보안 수준을 선택합니다. https://aka.ms/securedworkstation
매우 안전한 생산성 디바이스(강화된 보안 워크스테이션 또는 특수 워크스테이션)
일반 검색 및 생산성 작업을 계속 허용하는 더 높은 보안 워크스테이션을 제공하여 중요한 영향 관리자를 위해 이 보안 여정을 시작할 수 있습니다. 이를 중간 단계로 사용하면 중요한 영향 관리자와 이러한 사용자 및 워크스테이션을 지원하는 IT 직원 모두에 대해 완전히 격리된 워크스테이션으로의 전환을 용이하게 할 수 있습니다.권한 있는 액세스 워크스테이션(특수 워크스테이션 또는 보안 워크스테이션)
이러한 구성은 피싱, 브라우저 및 생산성 애플리케이션 공격 벡터에 대한 액세스를 크게 제한하므로 중요한 영향 관리자에게 이상적인 보안 상태를 나타냅니다. 이러한 워크스테이션은 일반적인 인터넷 검색을 허용하지 않으며 Azure Portal 및 기타 관리 사이트에 대한 브라우저 액세스만 허용합니다.
중요한 영향 관리자 종속성 – 계정/워크스테이션
중요한 영향 계정 및 워크스테이션에 대한 온-프레미스 보안 종속성을 신중하게 선택합니다.
클라우드 자산의 주요 손상이 되기 위해 온-프레미스에서 유출되는 주요 인시던트의 위험을 포함하려면 온-프레미스 리소스가 클라우드의 중요한 영향 계정에 대한 제어 수단을 제거하거나 최소화해야 합니다. 예를 들어 온-프레미스 Active Directory를 손상시키는 공격자는 Azure, AWS(Amazon Web Services), ServiceNow 등의 리소스와 같은 계정에 의존하는 클라우드 기반 자산에 액세스하고 손상시킬 수 있습니다. 또한 공격자는 온-프레미스에 가입된 워크스테이션을 사용하여 기본 관리되는 계정 및 서비스에 액세스할 수 있습니다.
중요한 영향 계정에 대한 보안 종속성이라고도 하는 온-프레미스 제어 수단으로부터 격리 수준을 선택합니다.
사용자 계정 – 중요한 영향 계정을 호스트할 위치 선택
네이티브 Microsoft Entra 계정 -*온-프레미스 Active Directory와 동기화되지 않은 네이티브 Microsoft Entra 계정 만들기
온-프레미스 Active Directory 동기화(권장되지 않음) - 온-프레미스 Active Directory에서 호스트되는 기존 계정을 활용합니다.
워크스테이 션 – 중요한 관리자 계정에서 사용하는 워크스테이션을 관리하고 보호하는 방법을 선택합니다.
네이티브 클라우드 관리 및 보안(권장) - 워크스테이션을 Microsoft Entra ID에 조인하고 Intune 또는 기타 클라우드 서비스를 사용하여 워크스테이션을 관리/패치합니다. Windows Microsoft Defender ATP 또는 온-프레미스 기반 계정으로 관리되지 않는 다른 클라우드 서비스를 사용하여 보호하고 모니터링합니다.
기존 시스템으로 관리 - 기존 AD 조인은 기존 관리/보안을 활용합니다기본.
관리자용 암호 없는 인증 또는 다단계 인증
모든 중요한 영향 관리자가 암호 없는 인증 또는 MFA(다단계 인증)를 사용하도록 요구합니다.
공격 방법은 암호만으로는 계정을 안정적으로 보호할 수 없을 정도로 발전했습니다. Microsoft Ignite 세션에 잘 설명되어 있습니다.
관리이상 계정 및 모든 중요 계정은 다음 인증 방법 중 하나를 사용해야 합니다. 이러한 기능은 가장 높은 비용/공격 난이도(가장 강력한/선호 옵션)에서 가장 낮은 비용/공격 어려운 옵션에 따라 기본 설정 순서로 나열됩니다.
암호 없음(예: Windows Hello)
https://aka.ms/HelloForBusiness암호 없는(Authenticator 앱)
</azure/active-directory/authentication/howto-authentication-phone-sign-in>다단계 인증
</azure/active-directory/authentication/howto-mfa-userstates>
SMS 문자 메시지 기반 MFA는 공격자가 우회하는 데 매우 저렴해졌으므로 이를 사용하지 않는 것이 좋습니다. 이 옵션은 암호만으로도 여전히 강력하지만 다른 MFA 옵션보다 훨씬 약합니다.
관리자에 대한 조건부 액세스 적용 - 제로 트러스트
모든 관리자 및 기타 중요한 영향 계정에 대한 인증에는 제로 트러스트 전략을 지원하기 위한 주요 보안 특성의 측정 및 적용이 포함되어야 합니다.
Azure 관리 계정을 손상시키는 공격자는 심각한 피해를 입힐 수 있습니다. 조건부 액세스는 Azure 관리에 대한 액세스를 허용하기 전에 보안 조치를 적용하여 위험을 크게 줄일 수 있습니다.
조직의 위험 요구 사항 및 운영 요구 사항을 충족하는 Azure 관리에 대한 조건부 액세스 정책을 구성합니다.
지정된 작업 네트워크에서 Multifactor Authentication 및/또는 연결 필요
Microsoft Defender ATP를 사용하여 디바이스 무결성 필요(Strong Assurance)
세분화된 사용자 지정 권한 방지
개별 리소스 또는 사용자를 구체적으로 참조하는 권한은 피합니다.
특정 권한은 새로운 유사한 리소스에 의도를 전달하지 않으므로 불필요한 복잡성과 혼란을 야기합니다. 그러면 보안 및 솔루션 민첩성 모두에 부정적인 영향을 주는 "중단"에 대한 두려움 없이 기본 달성하거나 변경하기 어려운 복잡한 레거시 구성으로 누적됩니다.
특정 리소스별 권한을 할당하는 대신 다음 중 하나를 사용합니다.
엔터프라이즈 수준 권한에 대한 관리 그룹
구독 내 사용 권한에 대한 리소스 그룹
특정 사용자에게 권한을 부여하는 대신 Microsoft Entra ID의 그룹에 대한 액세스 권한을 할당합니다. 적절한 그룹이 없는 경우 ID 팀과 협력하여 그룹을 만듭니다. 이렇게 하면 Azure 외부에 그룹 구성원을 추가 및 제거하고 사용 권한이 최신인지 확인하는 동시에 메일 그룹 등의 다른 용도로 그룹을 사용할 수 있습니다.
기본 제공 역할 사용
가능하면 권한을 할당하기 위해 기본 제공 역할을 사용합니다.
사용자 지정은 복잡성으로 이어져 혼란을 증가시키고 자동화를 더 복잡하고 도전적이고 취약하게 만듭니다. 이러한 요소는 모두 보안에 부정적인 영향을 줍니다.
가장 일반적인 시나리오를 포함하도록 설계된 기본 제공 역할을 평가하는 것이 좋습니다. 사용자 지정 역할은 강력하고 경우에 따라 유용한 기능이지만 기본 제공 역할이 작동하지 않는 경우에만 이 역할을 예약해야 합니다.
중요한 영향 계정에 대한 수명 주기 관리 설정
관리자 직원이 조직을 떠날 때(또는 관리 위치를 벗어날 때) 관리 계정을 사용하지 않도록 설정하거나 삭제하는 프로세스가 있는지 확인합니다.
자세한 내용은 액세스 검토를 사용하여 사용자 및 게스트 사용자 액세스 관리를 참조하세요.
중요한 영향 계정에 대한 공격 시뮬레이션
현재 공격 기술을 사용하여 관리 사용자에 대한 공격을 정기적으로 시뮬레이션하여 교육하고 권한을 부여합니다.
사용자는 중요한 영향 계정에 액세스할 수 있는 보안의 중요한 한 부분입니다. 이러한 사용자(이상적으로는 모든 사용자)가 공격을 피하고 저항할 수 있는 지식과 기술을 갖추게 하면 전반적인 조직 위험을 줄일 수 있습니다.
Office 365 공격 시뮬레이션 기능 또는 다양한 타사 제품을 사용할 수 있습니다.
다음 단계
Microsoft의 추가 보안 지침은 Microsoft 보안 설명서를 참조 하세요.