Tenable Identity Exposure 2024 온프레미스 릴리스 정보

Tenable Identity Exposure 버전 3.59.8에는 다음과 같은 버그 수정이 포함됩니다.

• 공격 지표(IoA)

  • 새로운 기본 모드와 적극적 모드 — 기본 모드는 간소한 설정을 선호하는 고객을 위해 설계된 것으로, 구성 시간을 최소화하고 오탐을 줄여 불필요한 알림 노이즈를 줄입니다. 이 항목은 다음 IoA에 해당합니다.

    • DCSync

    • 의심스러운 DC 비밀번호 변경

    • 골든 티켓

    • NTDS 추출

    • OS 자격 증명 덤핑: LSASS 메모리

    • 로컬 관리자의 열거

    • SAMAccountName 가장

  • 위험한 Kerberos 위임 — Tenable Identity Exposure에서는 "위임에 대한 보호 없음"을 이유로 컴퓨터를 일탈로 플래그하지 않고, 모든 기존 일탈을 해결합니다.

• 위험 노출 지표(IoE)

  • 새로운 IoE

  • 섀도 자격 증명 — "Windows Hello for Business" 기능 및 그와 관련된 키 자격 증명에서 섀도 자격 증명의 백도어와 구성 오류를 탐지하는 새 IoE입니다.

  • 관리형 서비스 계정 위험한 구성 오류 — 관리형 서비스 계정이 적절하게 배포 및 구성되었는지 확인하는 새 IoE입니다.

  • 권한 있는 인증 사일로 구성 — AD 관리자를 도와 계층 0 계정에 대한 인증 사일로를 설치하고 설정합니다.

  • RSOP 기반 IoE — Tenable Identity Exposure에서는 성능을 강화하기 위해 실시간 RSoP(Resultant Set of Policy) 검사를 제외합니다. 대신, 30분마다 RSoP 보안 검사를 한 번씩 예약하는데 이렇게 하면 RSoP 프로세스 중에 필요한 관련 검사를 더 잘 관리할 수 있습니다. 자세한 내용은 RSOP 기반 위험 노출 지표를 참조하십시오.

  • 섀도 자격 증명 — "Windows Hello for Business" 기능 및 그와 관련된 키 자격 증명에서 섀도 자격 증명의 백도어와 구성 오류를 탐지하는 새 IoE입니다.

  • KRBTGT 계정의 마지막 비밀번호 변경 — Windows Hello for Business(클라우드 트러스트 배포)의 krbtgt_AzureAD 계정 지원이 추가되었습니다.

  • 해독 가능한 비밀번호 — 이제 특성 msDS-PasswordReversibleEncryptionEnabled를 사용해 PSO가 정의한 해독 가능한 비밀번호 유효성 검사를 포함합니다.

  • 로컬 관리 계정 관리 — 새로운 Windows LAPS 지원입니다. "LAPS 버전 설치됨"이라는 새 옵션을 도입하고, 사용자 선택에 따라 LAPS 버전 구성의 유효성을 검사합니다.

• 프록시— Tenable Identity Exposure 설치 또는 업그레이드 중 프록시 연결을 정의하는 기능입니다. 이 프록시 연결을 이용하면 온프레미스 환경이 Tenable One 기능과 호환되도록 해줍니다.

• SMB 서명 적용 — Tenable Identity Exposure에서 도메인 컨트롤러 및 기타 서버에 SMB 서명이 적절하게 적용되도록 보장합니다. 이 개선 사항은 "기본 도메인 컨트롤러 정책" 매개 변수를 확인하고 다른 서버에서 GPO가 정확하게 구성되었는지 확인합니다.

• 이제 이메일 알림은 유효한 암호화 프로토콜, 구체적으로 TLS 1.2와 1.3만 지원합니다. Secure Relay에서 사용이 중단된 SMTP 암호화 표준(예: SSLv3)을 사용하도록 재정의한 고객의 경우 해당 재정의를 제거해야 합니다. 허용되는 값은 서버 버전에 따른 자동 스위칭용으로 'Tls12', 'Tls13' 또는 'TLS12,Tls13'뿐입니다. 지원되지 않는 값을 사용하면 릴레이가 시작되지 않습니다.

• 새로운 10시간 "지연 시간"을 사용하면 이 기간에 정상 사용자를 허용 목록에 추가할 수 있어 오탐 수를 줄일 수 있습니다.

• IoA 설정— 이벤트 분석을 트리거하기 전에 이벤트 수집 기간을 선택하는 기능입니다. 값은 30초에서 9분까지로 제한됩니다.

• Active Directory — Tenable Identity Exposure에서 관리하는 AD 개체의 크기 한도를 늘렸습니다.

• 위험 노출 지표

  • 위험한 Kerberos 위임 — 새로운 이유를 통해, 제한된 위임(msDS-AllowedToDelegateTo)이 사용하는 특성이 존재하지 않는 서비스 주체 이름(SPN)을 언급하는 계정을 모두 보고합니다.

  • 사용자 기본 그룹 IoE — 권한이 부족해 primaryGroupID 특성이 비어 있는 것으로 표시되는 모든 계정에 대한 추가적인 이유가 보고됩니다.

  • 만료되지 않는 비밀번호를 사용하는 계정 — 권한 있는 사용자와 일반 사용자를 구분하는 새로운 이유입니다.

  • 충돌하는 보안 주체 — 사용자, 컴퓨터 또는 그룹과 같은 중복된(충돌하는) 개체가 없는지 검사하는 새로운 IoE입니다.

  • 오래된 비밀번호를 사용하는 사용자 계정, 사용하지 않는 OS를 실행하는 컴퓨터, 휴면 계정 — 권한 있는 사용자와 일반 사용자를 구분하는 새로운 이유 두 가지를 추가했습니다.

  • 컴퓨터 강화 GPO가 없는 도메인

    • 모든 도메인 컴퓨터에서 null 세션이 명시적으로 사용 중지되었는지 확인하는 새로운 검사입니다.

    • 도메인 컨트롤러(SYSVOL/NETLOGON 공유)에 대하여 구성된 강화된 UNC 경로와 관련된 새로운 검사를 도입했습니다.

    • 모든 도메인 컨트롤러에서 Print Spooler 서비스가 사용 중지되었는지 확인하는 새로운 검사입니다.

  • 사용자 계정의 Kerberos 구성 — 스마트 카드가 있는 사용자는 AS-REP Roasting 공격의 영향을 받지 않으로 더 이상 이들을 고려하지 않았습니다.

  • 위험한 Kerberos 위임 — 새로운 이유가 Microsoft Entra Connect 계정(AZUREADSSOACC)에 대한 Kerberos 위임의 현재 구성을 탐지합니다.

Tenable Identity Exposure 버전 3.77에는 다음과 같은 버그 수정이 포함됩니다.

Tenable Identity Exposure 버전 3.59.7에는 다음과 같은 버그 수정이 포함됩니다.

Tenable Identity Exposure 버전 3.42.19에는 다음과 같은 버그 수정이 포함됩니다.

• OpenSSL 3.0 지원 — 이번 릴리스는 OpenSSL을 버전 3.0.x로 업그레이드합니다. 따라서 SHA1로 서명한 X.509 인증서는 더 이상 보안 수준 1 이상에서 효과가 없습니다. TLS의 기본값은 보안 수준 1이므로, SHA1로 서명한 인증서는 인증 서버 또는 클라이언트에서 신뢰할 수 없는 항목이 됩니다.

  이 변경 사항에 대응하여 인증서를 업그레이드해야 합니다. OpenSSL 3.0을 사용하도록 인증서를 업데이트하지 않고 설치를 계속하면, Tenable Identity Exposure 설치 프로그램에서 다음과 같은 오류 메시지를 권장 수정 사항과 함께 표시합니다.

  

  

  

• 자세한 내용은 OpenSSL 3.0 릴리스 정보를 참조하십시오.

• 버전 3.59.5로 업그레이드하려면 Tenable Identity Exposure 사용자 가이드의 업그레이드 요구 사항 및 절차를 참조하십시오.

Tenable Identity Exposure 버전 3.59.5에는 다음과 같은 버그 수정이 포함됩니다.