공격 지표 설치

1. Tenable Identity Exposure에서 왼쪽 메뉴 표시줄의 시스템을 클릭하고 구성 탭을 클릭합니다.

   구성 창이 표시됩니다.

2. 공격 지표를 클릭합니다.

   IoA 구성 창이 표시됩니다.

   

3. (1) 도메인 구성에서 절차 보기를 클릭합니다.

   절차 창이 열립니다.

   

4. 향후 자동 업데이트 아래에서:

   • 기본 옵션인 사용으로 설정하면 향후 사용자가 Tenable Identity Exposure에서 IoA 구성을 수정할 때마다 Tenable Identity Exposure에서 자동으로 해당 구성을 업데이트합니다. 이렇게 하면 지속적인 보안 분석도 보장됩니다.

   • 이 옵션을 비활성화하면 메시지가 표시되어 향후 자동 업데이트를 받을 것인지 물어봅니다. 절차 보기를 클릭하고 사용으로 설정합니다.

5. 다운로드를 클릭하여 각 도메인에 대해 실행할 스크립트를 다운로드합니다(Register-TenableIOA.ps1).

6. 다운로드를 클릭하여 도메인에 대한 구성 파일(TadIoaConfig-AllDomains.json)을 다운로드합니다.

7. 를 클릭하여 도메인을 구성할 Powershell 명령을 복사합니다.

8. 절차 창 바깥을 클릭하여 창을 닫습니다.

9. 관리자 권한으로 PowerShell 터미널을 열고 명령을 실행하여 IoA에 대한 도메인 컨트롤러를 구성합니다.

   참고: IoA를 설치하고 도메인을 쿼리하는 데 사용하는 서비스 계정에 Tenable Identity Exposure(구 Tenable.ad) GPO 폴더의 쓰기 권한이 있어야 합니다. 설치 스크립트가 이 권한을 자동으로 추가합니다. 이 권한을 제거하면 Tenable Identity Exposure에 오류 메시지가 표시되며 자동 업데이트가 더 이상 작동하지 않습니다. 자세한 내용은 공격 지표 설치 스크립트을 참조하십시오.

1. IoA 구성 창의 IoA 설정 아래에서 구성하려는 IoA를 선택합니다.

   

   팁: Zerologon Exploitation 공격 지표(IoA)는 2020년부터 시작되었습니다. 모든 도메인 컨트롤러(DC)가 최근 3년 이내에 업데이트를 받은 경우, 이 취약성으로부터 보호됩니다. 이 취약성으로부터 DC를 보호하기 위한 필수 패치를 확인하려면 Microsoft의 Netlogon 권한 상승 취약성 정보를 참조하십시오. DC의 보안을 확인하고 나면 이 IoA를 안전하게 비활성화하여 불필요한 알림을 받지 않도록 할 수 있습니다.
   

2. 저장을 클릭합니다.

   • 향후 자동 업데이트를 사용으로 설정한 경우, Tenable Identity Exposure에서 새 구성을 저장하고 자동으로 업데이트합니다. 이 업데이트가 적용되려면 몇 분 걸립니다.

   • 향후 자동 업데이트를 사용으로 설정하지 않은 경우, 절차 창이 나타나서 IoA에 대한 도메인을 구성하는 방법:(으)로 안내합니다.

1. 그룹 정책 관리에서 새 Tenable Identity Exposure GPO가 생겼으며 도메인 컨트롤러 OU에 연결되는지 확인합니다.

   

2. C:\Windows\SYSVOL\sysvol\alsid.corp\Policies\{GUID}\Machine\IOA 경로로 이동해서 모든 도메인 컨트롤러에 대해 .gz 파일이 존재하는지 확인한 다음, IoA를 테스트하십시오.

   

1. 파일 관리자에서 \\<DNS-NAME>\sysvol\<DNS-NAME>\Policies\{<GPO-ID>}\Machine\으로 이동합니다.

2. TenableADEventsListenerConfiguration.json 파일을 마우스 오른쪽 버튼으로 클릭한 다음, 속성을 선택합니다.

3. 보안 탭을 선택하고 고급을 클릭합니다.

4. 유효 액세스 탭을 클릭합니다.

5. 사용자 선택을 클릭합니다.

6. <TENABLE-SERVICE-ACCOUNT-NAME>유형에서 확인을 클릭합니다.

7. 유효 액세스 보기를 클릭합니다.

8. Tenable 서비스 계정의 "쓰기" 권한이 활성 상태인지 확인합니다.

   

아니면, PowerShell을 사용해도 됩니다.

• 다음 명령을 실행하십시오.

복사

Install-Module -Name NTFSSecurity -RequiredVersion 4.2.3

복사

Get-NTFSEffectiveAccess -Path \\<DNS-NAME>\sysvol\<DNS-NAME>\Policies\{<GPO-ID>}\IOA\ -Account <TENABLE-SERVICE-ACCOUNT-NAME>

공격의 오탐 및 미탐을 피하려면 IoA를 환경에 따라 보정해야 합니다. 그러려면 Active Directory의 크기에 따라 이를 맞추거나 알려진 도구를 허용 목록에 추가하는 등의 조처가 필요합니다.

1. 선택하는 옵션 또는 권장하는 값에 관한 자세한 정보는Tenable Identity Exposure공격 지표 참조 가이드를 참조하십시오.

2. 지표 사용자 지정에 설명된 대로 보안 프로필에서 각 IoA에 옵션과 값을 적용합니다.

배포 중에 다음과 같은 오류 메시지가 표시될 수 있습니다.