멤버 추가

설명

소스 보안 주체는 자기 자신(검증된 쓰기 권한) 또는 다른 누구라도(속성 쓰기 권한) 대상 그룹의 멤버에 추가하여 해당 그룹에 주어진 액세스 권한을 유리하게 이용할 수 있습니다.

이 작업을 수행하는 악의적인 보안 주체는 '멤버 관계' 공격 관계를 만들게 됩니다.

악용

소스 보안 주체를 침해하는 공격자는 '넷 그룹/도메인'과 같은 네이티브 Windows 명령, 'Add-ADGroupMember'와 같은 PowerShell, 'Active Directory 사용자 및 컴퓨터'와 같은 관리 도구 또는 PowerSploit와 같은 전용 해커 도구 등을 통해 대상 그룹의 '멤버' 특성을 편집하기만 하면 됩니다.

수정

소스 보안 주체에게 대상 그룹에 멤버를 추가할 권한이 필요하지 않은 경우, 이 권한을 반드시 제거해야 합니다.

대상 그룹의 보안 설명자를 수정하는 방법:

  1. 'Active Directory 사용자 및 컴퓨터'에서 속성 > 보안을 마우스 오른쪽으로 클릭합니다.

  2. '멤버 쓰기', '모든 속성 쓰기', '전체 제어', '모든 확인된 쓰기', '자신을 멤버로 추가/제거' 등의 권한을 제거합니다.

참고: 한 그룹은 Active Directory 트리에서 수준이 더 높은 개체로부터 권한을 상속할 수 있습니다.

참고 항목