한빛출판네트워크

by 폴 로비쇼, Managing the Windows 2000 Registry의 저자 액티브 디렉토리는 우리가 좋아하는 보안 계정 관리자(SAM: Security Accounts Manager) 데이터베이스와는 많이 다르다. SAM은 도메인 계정 정보를 저장하고 관리하기 위해 윈도우 NT에서 사용하는 메커니즘이다. 하지만 윈도우 2000에서는 SAM의 기능이 많이 줄었다. 로컬 머신 계정을 관리할 때에 사용되기는 하지만, 도메인 계정은 액티브 디렉토리를 통해 저장되거나 복사되고, 통제된다. 여기에는 장점과 단점이 있지만, 자세히 설명하지 않겠다. 이 글에서는 언뜻 보기에는 분명하지 않지만 중요한 변화사항에 대해 초점을 맞출 것이다. 재해 복구에서 사용하기 위해 디자인된 새로운 부트 모드에서 네트워크의 보안이 어떤 영향을 받았는지 설명하겠다.

		Managing the Windows 2000 Registry

디렉토리 서비스 복구(DSR: Directory Services Restore) 모드 액티브 디렉토리는 윈도우 2000에서 핵심적인 부분이지만, 사용자와 시스템 컴포넌트에서 디렉토리 데이터를 수정하고 질의(query)하며, 덧붙이거나 제거하기 위한 커다란 데이터베이스 및 관련 서비스와 인터페이스일 뿐이다. 이것은 사실 좋은 소식이다. 윈도우 NT에서는 도메인 SAM 데이터베이스가 손상되면, 그 영향을 받는 서버를 부트할 수 없었고, 처음부터 복구해야만 했었다. 하지만 윈도우 2000에서는 디렉토리 서비스 복구 모드라는 특별한 부트 모드를 사용할 수 있다. 부팅 중에 F8 키를 누르면 DSR 모드로 부팅할 수 있다. 그렇게 하면 유닉스에서 단일 사용자 모드로 부팅하는 것과 비슷해 진다. 시스템은 정상적으로 시작하지만, 디렉토리 서비스는 시작하지 않는다. 따라서 디렉토리 데이터베이스, 서비스, 백업에서의 설정 등을 복구할 수 있으며, 준비가 되었을 때에만 이러한 서비스를 다시 시작할 수 있다. 하지만 DSR 모드로 부팅해도, 로그온(log on)은 해야 한다. 액티브 디렉토리를 사용할 수 없기 때문에, 당신이 제공하는 인증은 윈도우 NT에서 사용하는 SAM 데이터베이스와 같은 타입에 대해 유효화된다. 이는 디스크에 SAM 데이터베이스가 여전히 남아있다는 것을 의미한다. 이러한 원시-SAM은 윈도우 NT 도메인에서 윈도우 2000으로 옮기거나 윈도우 2000 도메인을 새로 만들 때 생긴다. 여기에는 DSR 모드에 로그온할 때 사용되는 관리자 계정이나 내장된 사용자나 그룹을 위한 인증이 포함되어 있다.

	네트워크의 보안은 재해 복구를 위해 설계된 새로운 부트 모드(DSR)의 영향을 받는다.

SAM은 지키기 어렵다?! 보통 이것은 대단한 일로 생각되지 않는다. 결국, 서버가 DSR 모드로 부팅되지 않으면 SAM 컨텐츠에 프로그램적으로 접근할 수 없다는 것이다. 하지만 SAM 파일이 존재한다는 것 자체가 외부에서 물리적으로 침입하여 SAM 파일을 훔칠 수 있다는 것을 뜻한다(SAM 파일은 %systemroot%￦system32￦config￦SAM에 저장되어 있다). 그리고 l0phtcrack 같은 패스워드 크랙 툴을 사용하여 실행할 지도 모른다. 일반적으로 이것은 네트워크에 있어서 나쁜 소식이다. DSR 모드를 사용하려면 SAM이 반드시 필요하기 때문에, DSR 모드에서 SAM을 없앨 수 없다. 따라서 보안을 좀더 강화할 방법을 찾아야 할 것이다. 귀중한 자료를 보호하려면 SAM 데이터베이스를 사용하는 것이 좋기는 하지만, DSR SAM의 보안을 강화하기 위해 해야 할 작업이 몇 가지 있다. 첫 번째 단계는 아주 명백한 것이지만 많은 사람들이 그것을 간과한다. 서버의 물리적 보안을 철저히 하라! 보안의 세계에서는 누군가가 컴퓨터에 물리적으로 접근한다면, 꼼짝없이 당하고 만다. 마음만 먹으면 위협하고, 훔치기 위한 방법은 많이 있다. 돈을 투자하여 잠금장치(lock) 등 물리적 보안을 강화할 수 있는 것을 마련하고, 백업 미디어에 안전장치를 하는 것도 잊지 말자(SAM 데이터베이스는 윈도우 2000 시스템 상태의 일부분으로서 백업되어 있다).

	DSR 모드를 사용하려면 SAM이 반드시 필요하기 때문에, DSR 모드에서 SAM을 없앨 수 없다. 따라서 보안을 좀더 강화할 방법을 찾아야 할 것이다.

두 번째 방법은 아주 간단하다. 여러 계정에서 동일한 패스워드를 사용하지 말라는 것이다. 특히, 도메인 관리자 계정(액티브 디렉토리에 저장되어 있음)과 DSR 관리자 계정(SAM에 저장되어 있음)에서는 다른 패스워드를 사용하라. 사람들이 보통 이런 방법을 사용하지만, 이것은 아주 중요하다. 어떤 사람이 SAM에 침입한다 해도, DSR 모드에서만 사용할 수 있고 액티브 디렉토리 전체에 접근할 수 없게 해야 할 것이다. 세 번째로, 적절한 그룹 정책 객체를 사용하여 SAM 파일을 감사(audit)할 것을 권한다. 물론 감사 기능을 켜놓으려면 수상한 접근이 있는지 감시하기 위해 이벤트 로그를 정기적으로 체크해야 한다. 이 시점에서 아마 SYSKEY 툴을 생각하고 있을 지도 모르겠다(이에 대해서는 Managing the Windows Registry 9장에서 다루고 있다). 하지만 그것은 생각하지 말자. SYSKEY를 DSR SAM에 적용할 방법이 없으며, SYSKEY 자체가 항상 윈도우 2000에 있기 때문이다. 마지막 위험 누군가가 SAM에 침입해서 라기 보다 DSR 패스워드를 잊었기 때문에 서비스 중단이 생기는 경우가 더 많다. 예를 들어서 당신만 패스워드를 알고 있는데, 당신이 여행을 떠났을 때 서버를 복구해야 할 일이 생기면 어떻게 되겠는가? 패스워드를 안전하면서도 접근 가능하도록 패스워드를 저장하는 프로세스를 만들어야 할 것이다. 내가 좋아하는 방법 중 하나는 20개 이상의 난수 문자열을 만들고, 문자열을 반으로 나누어서 각각을 봉투에 넣어 봉해 놓는다. 봉투 자체는 자물쇠가 달린 저금통이나 CEO의 금고 등 안전한 장소에 나누어 보관한다. 요약 DSR 모드를 사용하면 해결되는 문제보다 새로 생기는 문제가 더 많다고 생각할 지도 모르겠다. 하지만 나는 그렇게 생각하지 않는다. 실패한 서버에 있는 디렉토리를 복구하는 능력은 매우 중요하다. 왜냐하면, 이러한 작업이 가능할 경우 다운된 박스를 다시 회복하기가 훨씬 쉽기 때문이다. 하지만 여기에는 주의 사항이 몇 가지 있다. 이제 주의사항을 살펴보았으니, DSR SAM을 안전하게 유지하고 서버 실패와 보안의 위협을 덜 받을 수 있을 것이다. 폴 로비쇼는 경험 많은 소프트웨어 개발자이다. 『Managing the Windows 2000 Registry』, 『 Managing the Windows NT Registry』, 『Managing Microsoft Exchange Server』 등 책을 많이 지었다.