Windows 권한·공유와 원격 관리

01SID·액세스 토큰·보안 설명자로 권한을 표현한다

• 계정·SIDWindows 계정과 그룹은 SID라는 식별자로 구별한다.
• 액세스 토큰·SID로그인 후 만들어진 액세스 토큰은 사용자 SID, 그룹 SID, 권한 등의 정보를 담고 프로세스가 객체에 접근할 때 사용된다.
• 보안 설명자·DACL파일·폴더·레지스트리 같은 객체의 보안 설명자는 소유자와 DACL/SACL 등을 가질 수 있다.
• DACL·거부 ACEDACL은 허용·거부 ACE의 목록이고 SACL은 감사 등과 관련된다.
• 계정같은 표시 이름의 계정을 지웠다가 새로 만들면 이전과 다른 SID가 될 수 있으므로 이름만 같다고 옛 파일 권한이 자동 이어지지는 않는다.
• 토큰보안 그룹에 추가된 뒤 기존 프로세스 토큰이 즉시 전부 갱신되는 것도 아니다.
• 토큰·권한파일 소유자, 관리자 그룹 소속, 현재 프로세스가 실제 가진 토큰과 활성 권한을 구분해야 UAC 승격과 접근 결과를 설명할 수 있다.

02DACL 평가와 상속, 공유 권한의 조합

• 권한·토큰접근 검사는 요청한 읽기·쓰기·삭제 같은 권한을 토큰의 SID들과 ACE 목록에 대입한다.
• ACE·상속ACE 순서와 상속 여부가 중요하며 일반적인 정규 순서에서는 명시적 거부·허용, 상속된 항목들이 규칙에 따라 배열된다.
• ACE 순서와 판정모든 상황을 단순히 deny가 항상 이긴다는 한 문장으로 대체하면 요청 비트와 평가 순서를 놓친다.
• 빈 DACL빈 DACL은 아무 허용 항목이 없지만 DACL 자체가 없는 상태와는 다르다.
• ACE부모 폴더의 ACE가 자식 파일·폴더에 어떻게 이어질지는 상속 플래그와 보호 상태에 달려 있다.
• 권한·NTFSSMB 공유로 파일에 접근하면 공유 수준 권한과 NTFS 객체 권한을 모두 만족해야 한다.
• 접근 경로별 권한로컬 파일 접근과 네트워크 공유 접근은 거치는 조건이 다르므로 한 화면에서 Full Control을 주었다는 사실만으로 모든 경로를 설명할 수 없다.

whoami /user
whoami /groups
icacls C:\Study
Get-Acl -LiteralPath C:\Study | Format-List

교육용 예시. 실제 요청·발송·설정 변경을 실행한 결과가 아니다.

06RDP 연결 허용과 NLA·로그온 권리

• 원격 데스크톱 세션RDP는 원격 데스크톱 세션을 제공한다.
• RDP·계정서버의 RDP 기능과 리스너·방화벽, 계정 인증, 원격 대화형 로그온 권리가 함께 맞아야 한다.
• SIDRemote Desktop Users 그룹 SID S-1-5-32-555를 사용하면 운영체제 언어별 그룹 이름 차이를 피할 수 있다.
• 접속 권한과 관리자 그룹일반 RDP 사용자에게 항상 Administrators 가입이 필요한 것은 아니다.
• NLANLA는 전체 원격 데스크톱 세션을 만들기 전에 인증을 요구하는 기능이다. UserAuthentication=1이 NLA 요구 설정이며 SecurityLayer=0/1/2는 각각 RDP 보안·협상·TLS 계층 선택이라 같은 값이 아니다.
• 계정그룹 멤버여도 Deny log on through Remote Desktop Services 같은 정책, 계정 만료, 도메인 인증 조건으로 거부될 수 있다.
• 계정·RDPGuacamole 웹 포털의 로그인 계정과 대상 Windows의 RDP 계정도 별개다.

$rdpGroup = Get-LocalGroup -SID 'S-1-5-32-555'
Get-LocalGroupMember -Group $rdpGroup.Name
$rdpPath = 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp'
Get-ItemProperty -Path $rdpPath -Name UserAuthentication,SecurityLayer

교육용 예시. 실제 요청·발송·설정 변경을 실행한 결과가 아니다.

07WinRM의 리스너·인증·PowerShell endpoint

• WinRMWinRM은 WS-Management 기반 원격 관리 경로이며 HTTP 5985와 HTTPS 5986 리스너가 일반적으로 사용된다.
• HTTPS 인증서 조건HTTPS 리스너의 인증서는 접속 이름과 용도·신뢰 체인이 맞아야 한다.
• Enable-PSRemotingEnable-PSRemoting은 서비스 시작 하나만 하는 작업이 아니라 세션 구성과 리스너·방화벽 등에도 영향을 줄 수 있다.
• HTTP 리스너의 잔존HTTPS 리스너를 추가했다고 기존 HTTP가 자동으로 제거되는 것은 아니다.
• Kerberos 인증Kerberos 인증은 도메인·DNS·SPN·시간 조건에 의존하고 NTLM·Basic·인증서 매핑·CredSSP는 각기 다른 인증·위임 특성을 가진다.
• BasicBasic은 자체적으로 자격 증명을 암호화하지 않으므로 TLS가 필요하다.
• CredSSPCredSSP는 자격 증명 위임을 수반하므로 두 번째 호스트로 접근하는 double-hop 요구와 함께 이해한다.
• TrustedHostsTrustedHosts 설정은 인증서 검증을 대신하는 전역 신뢰 저장소가 아니며 접속 성공과 endpoint에서 허용되는 작업 권한도 별개다.

Get-Service WinRM
winrm enumerate winrm/config/Listener
Get-ChildItem WSMan:\localhost\Service\Auth
Get-PSSessionConfiguration

교육용 예시. 실제 요청·발송·설정 변경을 실행한 결과가 아니다.

08로컬 보안 정책과 도메인 정책의 실제 적용

• 계정계정 정책, 사용자 권리, 서비스 보안과 ACL은 서로 다른 정책 영역이다.
• seceditsecedit /export는 로컬 보안 데이터베이스의 정책을 INF로 내보내며 Windows의 모든 설정이나 도메인 GPO 전체를 백업하는 명령은 아니다.
• gpresultgpresult와 Resultant Set of Policy는 도메인·로컬 정책이 합쳐져 실제 적용된 출처를 파악하는 관점을 제공한다.
• GPO로컬에서 바꾼 값이 나중의 GPO 갱신으로 다시 바뀔 수 있으므로 레지스트리 숫자만 고정해서 관리하면 적용 주체를 잃는다.
• Export와 Configure/export는 읽어 내보내는 작업이고 /configure는 해당 영역의 권한과 정책을 변경할 수 있는 작업이라 결과가 다르다.
• 계정·SID아래 예시는 사용자 권리 영역만 내보내는 교육용 명령이며 출력에는 계정 SID 등이 포함될 수 있어 공개 게시용 파일과는 분리한다.

secedit /export /cfg C:\SecurityBackup\user-rights.inf /areas USER_RIGHTS
gpresult /r
# 출력 경로는 미리 준비된 관리용 디렉터리를 가정한다.

교육용 예시. 실제 요청·발송·설정 변경을 실행한 결과가 아니다.

09WinRM과 관리 경계

• WinRM·PowerShellWinRM과 PowerShell 원격 관리는 명령 기반 관리에 사용되며 데스크톱 화면을 제공하는 RDP와 목적이 다르다.
• 계정·권한인증 방식, 연결 대상의 신뢰, 전송 보호와 실행 계정의 권한을 함께 구성해야 한다.
• 연결 문제연결 문제를 해결하기 위해 광범위한 신뢰 대상이나 암호화되지 않은 인증을 허용하면 관리 경계가 약해진다.
• 원격 관리 접근원격 관리 접근은 필요한 관리망과 주체로 제한하고 성공·실패 기록을 확인한다.

10토큰과 DACL로 요청 권한을 확인하기

• 토큰프로세스의 스레드가 파일 읽기를 요청하면 시스템은 요청 주체의 접근 토큰과 객체의 접근 통제 정보를 사용한다. 일반적으로 프로세스의 토큰을 사용하지만 다른 사용자를 가장하는 경우에는 해당 스레드의 가장 토큰이 관련된다.
• 토큰·SID토큰에는 사용자와 그룹 SID 등이 있고 DACL의 ACE는 어느 SID에 어떤 접근을 허용하거나 거부할지 표현한다.

  • 로그인 화면에 보이는 이름만으로 현재 작업의 실제 보안 주체를 확정하지 않는다.
• DACL·ACEDACL 판정에서는 적용되는 ACE를 순서대로 조사하며 필요한 권한이 허용됐는지, 거부됐는지, 끝까지 허용되지 않았는지를 판단한다.
• 상속·ACE명시적 설정과 상속, 권장 ACE 정렬이 실제 결과에 영향을 주므로 거부가 언제나 무조건 모든 허용을 뒤집는다고만 외우면 부정확하다.
• DACLDACL이 없는 경우와 존재하지만 항목이 없는 경우도 다르다. 일반 파일 작업에서도 소유권·특권 등 추가 조건이 관계할 수 있으므로 도식은 기본적인 읽기 요청의 DACL 판정만 보여 준다.

1. 요청 범위 결정읽기 등 실제 요청한 권한을 확인한다.
2. 실제 주체 확인프로세스 또는 가장 토큰의 SID를 사용한다.
3. ACE 순서 검사적용되는 허용·거부 항목을 순서대로 조사한다.
4. 결과 결정필요한 권한이 허용됐는지, 거부됐는지 또는 허용되지 않았는지 판단한다.

11원격 연결 성공과 파일 접근 성공 분리하기

• 공유 권한·NTFSSMB 공유에서는 네트워크 공유 권한과 NTFS 권한이 함께 제한한다.
• NTFS공유에서 읽기를 허용해도 NTFS가 읽기를 허용하지 않으면 파일을 읽을 수 없다.

  • 반대로 로컬 접근은 그 네트워크 공유 경로를 거치지 않으므로 같은 사용자의 로컬 결과와 원격 결과가 다를 수 있다.
• 권한·상속그룹을 통해 받은 권한과 상속을 포함한 유효 권한을 확인하고, 원격 요청이 기대한 계정으로 인증됐는지도 대조한다.
• RDP·NLARDP에서는 포트 접근·NLA 인증·로그온 허용·세션 생성·세션 안의 작업 권한을 분리한다.
• 원격 접속과 권한 상승바탕화면이 열려도 관리자 권한 작업이 자동 허용되는 것은 아니다.
• WinRMWinRM도 연결 사용자 인증과 원격 실행 권한, 전송 보호를 따로 확인해야 한다.
• 연결 오류연결 오류를 없애기 위해 신뢰 대상을 무제한으로 넓히거나 인증 보호를 끄면 잘못된 대상을 신뢰할 수 있다.
• 오류의 주체·시각·동작오류 시각과 실제 보안 주체, 거부된 작업을 기록하고 관련 이벤트를 단계별로 대조한다.