포리스트
Active Directory(AD) 포리스트는 공통 스키마, 구성 및 트러스트 관계를 공유하는 도메인의 모음입니다. 리소스를 관리 및 구성하기 위한 계층 구조를 제공하여 중앙 집중형 관리를 지원하며 한 조직 내 여러 도메인 전체에서 보안 인증을 지원합니다.
포리스트 관리
포리스트를 추가하는 방법:
-
Tenable Identity Exposure에서 시스템> 포리스트 관리를 클릭합니다.
-
오른쪽에 있는 포리스트 추가를 클릭합니다.
포리스트 추가 창이 표시됩니다.
-
이름 상자에 포리스트 이름을 입력합니다.
- 계정 섹션에 Tenable Identity Exposure에서 사용하는 계정에 대해 다음과 같은 정보를 입력합니다.
- 로그인: 서비스 계정의 이름을 입력합니다. 형식: 사용자 주체 이름, 예를 들어 “[email protected]”(Kerberos 인증과의 호환성을 위해 권장) 또는 NetBIOS(예: “DomainNetBIOSName\SamAccountName”).
- 비밀번호: 서비스 계정의 비밀번호를 입력합니다.
-
추가를 클릭합니다.
메시지가 표시되어 새 포리스트가 추가되었다고 확인합니다.
포리스트를 편집하는 방법:
-
Tenable Identity Exposure에서 시스템> 포리스트 관리를 클릭합니다.
-
포리스트 목록에서 수정하려는 포리스트를 가리키고 오른쪽에 있는
아이콘을 클릭합니다.포리스트 편집 창이 표시됩니다.
-
필요에 따라 수정합니다.
-
편집을 클릭합니다.
메시지가 표시되어 Tenable Identity Exposure에서 포리스트를 업데이트했다고 확인합니다.
서비스 계정 보호
Tenable에서는 사용자 계정 제어(UAC) 특성을 올바로 설정하여 보안을 유지하기 위해 서비스 계정을 보호하도록 권장합니다. 이렇게 해야 위임을 방지하고 사전 인증을 필수로 설정하며 더 강력한 암호화를 사용하고 비밀번호 만료 및 요구 사항을 적용하고 승인된 비밀번호 변경만 허용할 수 있습니다. 이러한 조치를 취하면 무단 액세스와 잠재적인 보안 침해 위험을 완화하고 조직 시스템과 데이터의 무결성을 보장할 수 있습니다.
Windows 정책 편집기를 사용하여 설정을 수정하는 방법:
사용자 계정 제어 설정은 Windows의 로컬 보안 정책 편집기나 그룹 정책 편집기(적절한 관리자 권한이 있어야 함)를 사용해 수정하면 됩니다.
-
편집기에서 로컬 정책 > 보안 옵션으로 이동하여 다음과 같은 설정을 찾아 구성합니다(이 내용은 Windows 버전에 따라 다를 수 있음).
-
"네트워크 액세스: 네트워크 인증을 위한 비밀번호 및 자격 증명 저장 허용 안 함": 사용으로 설정합니다.
-
"계정: Kerberos 사전 인증 필수 아님": 사용 중지로 설정합니다.
-
"네트워크 보안: Kerberos에 대해 허용된 암호화 유형 구성": "이 계정에 Kerberos DES 암호화 유형 사용" 옵션을 선택하면 안 됩니다.
-
"계정: 최대 비밀번호 기간": 비밀번호 만료 기간을 설정합니다(예: PasswordNeverExpires = FALSE가 되도록 30일, 60일, 90일 등이어야 함).
-
"계정: 로컬 계정의 빈 비밀번호 사용을 콘솔 로그온으로만 제한": 사용 중지로 설정합니다.
-
"대화형 로그온: 캐시할 이전 로그온 수(도메인 컨트롤러를 사용할 수 없는 경우)": 원하는 값(예: "10")으로 설정해 사용자가 자신의 비밀번호를 변경하도록 허용합니다.
-
Powershell을 사용하여 설정을 수정하는 방법:
-
AD를 호스팅하는 컴퓨터에서 적절한 관리 권한으로 PowerShell을 열고 다음과 같은 명령을 실행합니다.
복사Set-ADAccountControl -Identity <AD_ACCOUNT> -AccountNotDelegated $true -UseDESKeyOnly $false -DoesNotRequirePreAuth $false -PasswordNeverExpires $false -PasswordNotRequired $false -CannotChangePassword $false
여기에서 <AD_ACCOUNT>는 수정하려는 Active Directory 계정의 이름입니다.