원격 자격 증명 가드는 원격 데스크톱 자격 증명을 보호합니다.

모든 시스템 관리자는 원격 데스크톱 연결을 통해 자격 증명을 확보하는 것과 관련하여 하나의 진정한 관심사를 가지고 있습니다. 이는 멀웨어가 데스크톱 연결을 통해 다른 컴퓨터로 이동하여 데이터에 잠재적 위협을 가할 수 있기 때문입니다. 그래서 Windows OS가 원격 데스크톱에 연결하려고 할 때 "신뢰할 수없는 컴퓨터에 연결하면 PC를 신뢰하는지 확인하십시오"라는 경고가 깜박입니다. 이 게시물에서는 Windows 10 v1607 에 소개 된 Remote Credential Guard 기능이 Windows 10 Enterprise 에서 원격 데스크톱 자격 증명을 보호하는 데 도움이 될 수있는 방법을 알아 봅니다. > 및 Windows Server 2016 .

Windows 10의 원격 자격 증명 가드

이 기능은 심각한 상황에 이르기 전에 위협을 제거하도록 설계되었습니다. Kerberos 요청을 연결을 요청하는 장치로 리디렉션하여 원격 데스크톱 연결을 통해 자격 증명을 보호 할 수 있습니다. 또한 원격 데스크톱 세션을위한 싱글 사인온 (SSO) 경험을 제공합니다.

대상 장치가 손상되는 불행한 경우 자격 증명 및 자격 증명 파생물이 대상 장치로 전송되지 않으므로 사용자의 자격 증명이 노출되지 않습니다.

Remote Credential Guard의 운영 방식은 Credential Guard를 제외하고 로컬 시스템의 Credential Guard가 제공하는 보호 기능과 매우 유사하며 Credential Manager를 통해 저장된 도메인 자격 증명을 보호합니다.

-

1. 관리자 자격 증명에는 높은 권한이 있으므로 보호해야합니다. 원격 자격 인증을 사용하면 자격 증명이 네트워크를 통해 대상 장치로 자격 증명을 전달하지 못하도록 보호 할 수 있습니다.
2. 조직의 지원 부서 직원은 도메인에 가입되어 침입 당할 수있는 장치에 연결해야합니다. 원격 자격 인증을 통해 헬프 데스크 직원은 RDP를 사용하여 맬웨어에 대한 자격 증명을 손상시키지 않고 대상 장치에 연결할 수 있습니다.

하드웨어 및 소프트웨어 요구 사항

원격 자격 인증을 원활하게 작동 시키려면 원격 데스크톱 클라이언트 및 서버를 만납니다.

1. 원격 데스크톱 클라이언트 및 서버를 Active Directory 도메인에 가입해야합니다.
2. 두 장치 모두 동일한 도메인에 가입하거나 원격 데스크톱 서버를 클라이언트 장치의 도메인과 트러스트 관계가 있어야합니다.
3. Kerberos 인증이 설정되어 있어야합니다.
4. 원격 데스크톱 클라이언트는 Windows 10, 버전 1607 또는 Windows Server 2016 이상을 실행해야합니다.
5. 원격 데스크톱 범용 Windows 플랫폼 응용 프로그램은 원격 자격증 명 보안을 지원하지 않으므로 원격 데스크톱 고전 Windows 응용 프로그램을 사용하십시오.

레지스트리를 통해 원격 자격증 명 검사 활성화

대상 장치에서 원격 자격증 명 보호를 활성화하려면 Re

HKEY_LOCAL_MACHINE System CurrentControlSet Control Lsa

DisableRestrictedAdmin 라는 새 DWORD 값을 추가하십시오. 레지스트리 편집기를 닫습니다. 권한이 부여 된 CMD에서 다음 명령을 실행하여 원격 자격 증명을 활성화 할 수 있습니다.

0

REG add HKLM SYSTEM CurrentControlSet Control Lsa / v DisableRestrictedAdmin / d 0 / t REG_DWORD

그룹 정책을 사용하여 원격 자격 증명 가드 켜기

클라이언트 장치에서 원격 자격 증명 가드를 사용할 수 있습니다. 그룹 정책 설정 또는 원격 데스크톱 연결에서 매개 변수 사용

그룹 정책 관리 콘솔에서 컴퓨터 구성> 관리 템플릿> 시스템> 자격 증명 위임 으로 이동합니다.

원격 서버에 자격 증명 위임 제한 을 두 번 클릭하여 속성 상자를 엽니 다.

다음 제한 모드 사용 상자에서 원격 인증 가드 필요 다른 옵션 제한된 관리자 모드 도 있습니다. 그 의미는 Remote Credential Guard를 사용할 수 없으면 Restricted Admin 모드를 사용한다는 것입니다. Remote Credential Guard 또는 Restricted Admin 모드는 일반 텍스트로 자격 증명을 원격 데스크톱 서버에 보내지 않습니다.

허용 `

원격 자격증 명 선호도 `옵션을 선택하여 원격 자격증 명 보류 확인을 클릭하고 그룹 정책 관리 콘솔을 종료합니다.

이제 명령 프롬프트에서

gpupdate.exe를 실행합니다 / force 를 사용하여 그룹 정책 개체가 적용되었는지 확인합니다. 원격 데스크톱 연결에 대한 매개 변수와 함께 원격 자격 증명 가드 사용

조직에서 그룹 정책을 사용하지 않는 경우 remoteGuard 매개 변수

mstsc.exe / remoteGuard

원격 자격 인증을 사용할 때주의해야 할 사항

원격 자격 증명을 사용하여 연결할 수 없습니다. Azure Active Directory에 연결된 장치.

1. Remo 데스크톱 자격증 명 Guard는 RDP 프로토콜과 만 작동합니다.
2. 원격 자격증 명 Guard는 장치 클레임을 포함하지 않습니다. 예를 들어, 리모트에서 파일 서버에 액세스하려고하고 파일 서버에 디바이스 클레임이 필요한 경우, 액세스가 거부됩니다.
3. 서버와 클라이언트는 Kerberos를 사용하여 인증해야합니다.
4. 도메인에는 트러스트가 있어야합니다 관계 또는 클라이언트와 서버가 모두 동일한 도메인에 가입되어 있어야합니다.
5. 원격 데스크톱 게이트웨이가 원격 자격 증명 가드와 호환되지 않습니다.
6. 대상 장치로 자격 증명이 유출되지 않습니다. 그러나 대상 장치는 여전히 자체적으로 Kerberos 서비스 티켓을받습니다.
7. 마지막으로 장치에 로그인 한 사용자의 자격 증명을 사용해야합니다. 저장된 자격 증명이나 자신과 다른 자격 증명을 사용하는 것은 허용되지 않습니다.
8. 자세한 내용은 Technet.