Active Directory 서비스 계정을 관리하고 보호하는 방법

일반적인 Active Directory 환경 에는 다양한 유형의 계정이 있습니다. 여기에는 사용자 계정, 컴퓨터 계정 및 서비스 계정이라는 특별한 유형의 계정이 포함됩니다.

서비스 계정은 특정 목적을 수행하고 환경에서 서비스와 애플리케이션을 제공하는 특별한 유형의 계정입니다. 서비스 계정은 해커가 사이버 보안 공격의 표적으로 삼는 대상이기도 합니다.

그렇다면 서비스 계정이란 무엇입니까? 로컬 시스템에서는 어떤 권한을 갖고 있나요? 서비스 계정과 관련된 사이버 보안 위험은 무엇입니까? IT 관리자는 Active Directory에서 서비스 계정에 사용되는 취약하고 만료 불가능한 암호를 어떻게 찾을 수 있습니까?

이 기사에서 Quantrimang은 위의 질문에 대해 귀하와 함께 답변할 것입니다.

Windows 서비스란 무엇입니까?

위에서 언급한 것처럼 특정 Active Directory 계정은 ADDS(Active Directory 도메인 서비스) 내에서 다양한 용도로 사용됩니다. 대부분의 조직이 해당 환경의 Windows Server 에 있는 Windows 서비스를 실행하기 위해 만들고 사용하는 특수 목적 계정 유형인 서비스 계정으로 Active Directory 계정을 할당할 수 있습니다 .

서비스 계정의 역할을 이해하려면 Windows 서비스가 무엇인지 알아야 합니다. Windows 서비스는 Microsoft Windows 운영 체제 (클라이언트와 서버 모두)의 구성 요소로, 서버가 실행되는 동안 장기 실행 프로세스를 실행하고 실행할 수 있도록 해줍니다.

최종 사용자가 실행하는 응용 프로그램과 달리 Windows 서비스는 시스템에 로그인한 최종 사용자가 실행하지 않습니다. 서비스는 백그라운드에서 실행되며 서비스의 구성된 동작에 따라 Windows가 시작될 때 시작됩니다.

Windows 서비스 계정이란 무엇입니까?

최종 사용자가 대화형으로 실행하지는 않지만 Windows 서비스에는 특별한 권한이 있는 사용자별 컨텍스트에서 서비스를 실행할 수 있는 계정이 필요합니다.

다른 프로세스와 마찬가지로 Windows 서비스에도 보안 식별자가 있습니다. 이 식별자는 로컬 호스트와 네트워크 전체에서 상속되는 권리와 권한을 식별합니다.

이 보안 식별자를 사용하면 서비스 계정이 네트워크 전체에서 실행 중인 로컬 시스템을 손상시킬 수 있다는 점을 기억해야 합니다. 모범 사례, 서비스와 관련된 낮은 권한을 따르면 계정은 서비스 계정에 로컬 서버 또는 네트워크 전반에 대한 과도한 권한이 부여되지 않도록 보장합니다.

Windows 서비스는 로컬 Windows 사용자 계정, Active Directory 도메인 사용자 계정 또는 특수 LocalSystem 계정으로 실행될 수 있습니다. 그렇다면 이 세 가지 유형의 계정의 차이점은 무엇입니까?

• 로컬 Windows 사용자 계정 : 로컬 Windows 사용자는 클라이언트 운영 체제의 SAM 로컬 데이터베이스 또는 로컬 Windows Server에만 존재하는 사용자입니다. 이 계정은 로컬 용도로만 사용되며 어떤 방식으로든 Active Directory와 관련이 없습니다. 서비스에 로컬 Windows 계정을 사용하는 경우 몇 가지 제한 사항이 있습니다. 여기에는 Kerberos에서 상호 인증을 지원할 수 없다는 점과 서비스가 디렉터리를 사용할 수 있는 경우 문제가 포함됩니다. 그러나 Windows 서비스 로컬 계정은 로컬 Windows 시스템을 손상시킬 수 없습니다. 서비스 계정으로 사용하는 경우 로컬 Windows 사용자가 제한됩니다.
• Active Directory 도메인 사용자 계정 : ADDS에 있는 도메인 사용자 계정은 Windows 서비스에 대해 선호되는 계정 유형입니다. 이를 통해 Windows 및 ADDS에 포함된 다양한 보안 기능을 활용할 수 있습니다. Active Directory 사용자는 자신이 속한 그룹에 부여된 권한뿐만 아니라 모든 로컬 및 네트워크 전체 권한을 가정할 수 있습니다. 게다가 Kerberos에 대한 상호 인증도 지원할 수 있습니다. Windows 서비스에 사용되는 Active Directory 도메인 사용자 계정은 관리 그룹의 구성원이 되어서는 안 됩니다. Windows 서비스를 실행하기 위해 도메인 계정을 선택하면 서비스가 시작되는 로컬 컴퓨터에서 서비스 권한으로 로그인할 수 있는 권한이 부여됩니다.
• LocalSystem 계정 : LocalSystem 계정을 양날의 검으로 사용하십시오. Windows 서비스용 LocalSystem 계정의 장점은 서비스가 Windows 시스템에 무제한으로 액세스할 수 있도록 하여 Windows 구성 요소와의 상호 작용 문제를 방지하는 데 도움이 된다는 것입니다. 그러나 이 서비스는 시스템을 손상시키거나 사이버 공격의 대상이 될 수 있기 때문에 보안상 큰 단점이자 단점이기도 합니다. 해커가 제어하는 ​​경우 LocalSystem에서 실행되는 Windows 서비스는 시스템 전체에 걸쳐 관리자 액세스 권한을 갖게 됩니다.

Windows 서비스 계정은 Active Directory 환경에서 중요한 계정입니다. Windows 서비스를 실행하기 위한 올바른 사용자 계정을 선택하면 서비스가 올바르게 작동하고 적절한 권한을 갖도록 하는 데 도움이 됩니다. 그렇다면 Active Directory에서 어떤 행동이 사이버 보안 위험을 증가시킬 수 있습니까?

사이버 보안 위험을 증가시키는 행동

관리 부담을 줄이기 위해 서비스 계정 비밀번호는 만료되지 않도록 설정되는 경우가 많습니다. 일부 기관 및 조직에서는 여러 서비스 계정에 동일한 비밀번호를 사용하기도 합니다. 이렇게 하면 너무 많은 비밀번호를 기억할 필요가 없습니다.

그러나 위의 두 가지 동작은 Active Directory 환경에서 네트워크 보안 위험을 증가시킵니다. 첫째, 비밀번호가 만료되지 않으면 시스템은 오랫동안 동일한 비밀번호를 유지하게 되어 유출 위험이 매우 높습니다. 둘째, 하나의 계정에서만 비밀번호가 유출되면 동일한 비밀번호를 공유하면 전체 시스템이 공격을 받게 됩니다.

그렇다면 조직과 기업은 위의 문제를 어떻게 해결할 수 있습니까?

Specops Password Auditor로 서비스 계정을 관리하고 유지하세요.

Specops Password Auditor는 Active Directory 계정 보안 문제를 해결하는 데 도움이 되는 무료 도구입니다. 서비스 계정을 포함해 비밀번호가 만료되지 않거나 서로 중복되지 않도록 설정된 계정을 빠르게 식별할 수 있습니다.

아래 스크린샷에서 Specops Password Auditor가 문제를 지적한 것을 볼 수 있습니다.

• 비밀번호 유출
• 비밀번호가 동일합니다.
• 비밀번호는 만료되지 않습니다.

Specops Password Auditor에는 계정 문제를 자세히 나열하는 다양한 카테고리도 있습니다. 다음은 만료되지 않는 비밀번호를 사용하는 계정에 대한 세부정보입니다.

Specops Password Auditor를 사용하면 Active Directory 계정 보안 문제를 쉽게 식별하고 해결할 수 있습니다. 사용해 보고 싶다면 아래 링크에서 Specops Password Auditor를 다운로드할 수 있습니다.

• Specops 비밀번호 감사기 다운로드

귀하의 성공을 기원하며 Quantrimang에 대한 다른 훌륭한 팁을 참조하도록 초대합니다: