공격 지표 제거

필수 역할: 로컬 시스템의 관리자.

공격 지표(IoA) 모듈을 제거하려면 명령을 실행하여 Tenable Identity Exposure 정리라는 새 그룹 정책 개체(GPO)를 만듭니다.

제거 프로세스는 기본적으로 이 새 GPO를 사용하여 이전에 설치한 GPO와 그 SYSVOL 파일, 레지스트리 설정, 고급 로깅 정책과 WMI 필터를 정리합니다.

참고: 처음 GPO 이름을 변경한 경우, 제거 프로그램에서 어느 GPO를 제거해야 하는지 알 수 있도록 이름을 전달해야 합니다. 새 GPO 이름을 전달하려면 -GpoDisplayName 매개 변수를 사용하십시오.

IoA 모듈을 제거하는 방법:

명령줄 인터페이스에서 다음과 같은 명령을 실행하여 IoA 모듈을 제거합니다.
복사
```
Register-TenableIOA.ps1 -Uninstall
```
이 새 GPO를 도메인 전체에 복제합니다. 스크립트는 복제 완료를 위해 4시간의 지연을 적용합니다.
다음과 같은 명령을 실행하여 정리 GPO를 삭제합니다.
복사
```
Remove-GPO -Guid <GUID> -Domain "<DOMAIN>"
```

선택 사항: 다음 명령을 실행하여 GPO가 더 이상 존재하지 않는지 확인합니다.

복사

(Get-ADDomainController -Filter *).Name | Foreach-Object {Get-GPO -Name "Tenable.ad cleaning"} | Select Displayname| measure

이제 IoA가 완전히 제거되었습니다. 그러나 또 다른 GPO가 해당 IoA를 정의하지 않으면 레지스트리 항목이 지속될 가능성이 있습니다. 대규모 컴퓨터 정찰 IoA가 사용한 레지스트리 항목은 아래를 참조하십시오(구체적인 IoA 구성에 따라 다를 수 있음).

HKLM\MACHINE\System\CurrentControlSet\Control\Lsa\MSV1_0\AuditReceivingNTLMTraffic(값: 2)
HKLM\MACHINE\System\CurrentControlSet\Control\Lsa\MSV1_0\RestrictSendingNTLMTraffic(값: 1)
HKLM\MACHINE\System\CurrentControlSet\Services\Netlogon\Parameters\AuditNTLMInDomain(값: 7)

이러한 레지스트리 항목을 제거하려면 모든 도메인 컨트롤러에서 다음 PowerShell 스크립트를 실행하십시오.

복사

Remove-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Lsa\MSV1_0" -Name "AuditReceivingNTLMTraffic"
Remove-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Lsa\MSV1_0" -Name "RestrictSendingNTLMTraffic"
Remove-ItemProperty -Path "HKLM:\System\CurrentControlSet\Services\Netlogon\Parameters" -Name "AuditNTLMInDomain"

SYSVOL에서 오래된 GPO 폴더를 수동으로 제거

상황에 따라, IoA GPO를 다시 설치할 때 Microsoft 기능으로 인해 오래된 폴더가 SYSVOL 디렉터리에 남아 있을 가능성이 있습니다. 디렉터리 수신기가 이러한 오래된 폴더를 IoA 폴더로 인식하면 탐지가 실패할 수 있습니다.

다음 절차를 수행하여 오래된 IoA GPO 폴더를 완전히 제거하면 다시 설치 중에 탐지 문제가 발생하지 않도록 할 수 있습니다.