DSRM(디렉터리 서비스 복원 모드):Windows Server 도메인 컨트롤러에 대한 보안 부팅

작성자:

라훌 아와티

게시일:2023년 8월 14일

DSRM(디렉터리 서비스 복원 모드)은 Windows Server 도메인 컨트롤러를 위한 안전 모드 부팅 옵션입니다. DSRM을 사용하면 관리자는 AD(Active Directory) 데이터베이스를 복구, 복구 또는 복원할 수 있습니다. DSRM에서 도메인 컨트롤러를 다시 시작하면 오프라인 상태가 되어 일반 서버로만 작동합니다.

DSRM은 Windows 운영 체제의 안전 모드와 유사합니다. 그러나 Windows Server 도메인 컨트롤러에서만 사용할 수 있습니다. DSRM 모드는 다음 버전의 Windows Server에서 사용할 수 있습니다.

윈도우 서버 2022.
윈도우 서버 2019.
윈도우 서버 2016.
윈도우 서버 2012 R2.
윈도우 서버 2008 R2.
윈도우 서버 2008.
윈도우 서버 2003.

DSRM의 주요 목적은 시스템 관리자가 시스템에 로그인하여 AD 데이터베이스를 복원하거나 복구할 수 있도록 돕는 것입니다. DSRM을 사용하려면 관리자는 비밀번호를 사용하여 DSRM 로컬 관리자 계정을 만들어야 합니다. 서버 부팅 중 DSRM을 사용하여 도메인 컨트롤러에 로그인해야 하고 시스템 오류 또는 오류가 발생한 후 AD 백업을 복원해야 할 때 해당 계정을 사용해야 합니다. 도메인 컨트롤러를 배포하는 동안 관리자 계정 암호는 거의 변경되지 않습니다. 그러나 Ntdsutil 도구를 사용하여 서버를 다시 시작하지 않고도 도메인의 모든 서버에 대해 재설정할 수 있습니다.

DSRM과 안전 모드

Windows Server 도메인 컨트롤러의 경우 DSRM은 안전 모드와 동일하지 않습니다. DSRM은 컨트롤러가 안전 모드에서 시작을 시도했지만 시작할 수 없을 때 사용됩니다. 일반적으로 DSRM은 AD가 손상된 경우에만 필요하며 관리자가 일반 AD 자격 증명을 사용하여 로그온하는 것을 허용하지 않습니다. 이러한 상황에서는 AD가 정상적으로 부팅되지 않으므로 특히 AD 도메인 전체 또는 포리스트 전체 복원을 수행할 때 DSRM이 필요합니다.

관리자를 위한 DSRM 계정에 로그인하는 프로세스

DSRM에서 도메인 컨트롤러를 다시 시작하려면 관리자는 DSRM 관리자 계정에 로그인해야 합니다. 프로세스는 다음 단계로 구성됩니다:

DSRM을 부팅하고 사용자 전환> 다른 사용자를 클릭합니다.
로그온 계정 이름으로 .\Administrator를 입력하세요.
Ntdsutil 명령줄 도구를 사용하여 .\Administrator 계정의 DSRM 비밀번호를 재설정합니다.
AD 서버가 작동하지 않는 경우 비밀번호 분실 복구 도구를 사용하여 DSRM 비밀번호를 재설정하세요.

DSRM 계정에 로그인할 때 초기 로그온 프롬프트에 계정 이름이 MyDomain\Administrator로 표시될 수 있습니다. 그러나 이 방법은 작동하지 않으므로 관리자는 먼저 사용자 전환을 클릭하고 .\Administrator라는 이름을 수동으로 입력해야 합니다.

BIOS 전원 공급 자체 테스트 화면 후 Windows 로고가 나타나기 전에 F8 키를 반복적으로 눌러 DSRM에서 수동 부팅도 가능합니다. 이렇게 하면 디렉터리 서비스 복원 모드 또는 DS 복원 모드와 같은 고급 부팅 옵션이 포함된 텍스트 메뉴가 열립니다. 관리자는 옵션을 선택하고 Enter 키를 눌러 DSRM을 시작할 수 있습니다.

DSRM(디렉터리 서비스 복원 모드):Windows Server 도메인 컨트롤러에 대한 보안 부팅

도메인 컨트롤러는 대규모 조직이 네트워크 액세스 인증 및 권한 부여를 보호하는 데 도움이 되지만 비용이 발생합니다.

Windows Server에서 DSRM 관리자 비밀번호를 재설정하는 프로세스

AD가 Windows Server에 설치되고 도메인 컨트롤러의 승격 프로세스 중에 설치 마법사는 관리자에게 DSRM 암호를 선택하라는 메시지를 표시합니다. 이 비밀번호는 나중에 문제가 발생할 경우를 대비해 관리자에게 데이터베이스에 대한 백도어를 제공합니다. 암호는 DSRM에서 유지 관리 및 복구 작업을 수행하는 데에도 필수적입니다. 그러나 도메인이나 서비스에 대한 액세스는 제공하지 않습니다.

관리자가 DSRM 암호를 잊어버린 경우 Ntdsutil 명령줄 도구를 사용하여 변경할 수 있습니다. 이 도구는 Windows 2000부터 Microsoft Windows의 일부였던 Setpwd 유틸리티와 통합되어 있습니다. Windows Server에서 DSRM 관리자 암호를 재설정하는 절차는 다음과 같습니다.

시작> 실행을 클릭하고 Ntdsutil을 입력한 다음 확인을 클릭합니다.
Ntdsutil 명령 프롬프트에서 set dsrm 비밀번호를 입력합니다.
DSRM 명령 프롬프트에서 현재 서버의 비밀번호를 재설정하려면 null 서버에서 비밀번호 재설정을 입력하고, 다른 서버에서 비밀번호를 재설정하려면 servername 서버에서 비밀번호 재설정을 입력하세요.
새 비밀번호를 입력하세요.
DSRM 명령 프롬프트에 q를 입력하세요.
Ntdsutil 명령 프롬프트에서 다시 q를 입력하여 종료합니다.

DSRM 암호는 관리자가 현재 작업 중인 서버 또는 도메인의 다른 도메인 컨트롤러에 대해 재설정될 수 있습니다. 비밀번호가 변경될 때마다 Windows 이벤트 ID(4794)가 생성되므로 승인된 다른 관리자가 이러한 시도를 확인하고 관리자가 아닌 사용자나 악의적인 사용자가 시도했는지 확인할 수 있습니다.

DSRM의 보안 위험

DSRM 관리자 계정의 비밀번호는 악의적인 침입자가 악용하여 조직에 큰 보안 위험을 초래할 수 있습니다. 예를 들어 위협 행위자는 암호를 사용하여 도메인 컨트롤러에 대한 영구 백도어를 만들 수 있습니다. 이 백도어를 통해 그들은 기업 네트워크의 지속성을 유지하고 언제든지 AD에 액세스하여 민감한 리소스 및 데이터에 접근할 수 있습니다. 또한 Windows의 로컬 루프 멀티캐스트 이름 확인 기능을 사용하여 AD에서 자격 증명을 훔치고 권한 있는 서비스 계정을 조작하며 트래픽 패킷을 가로챌 수도 있습니다.

어떤 경우에는 해커가 공개 취약성을 이용하거나 사회 공학을 통해 권한 있는 계정 해시를 훔치거나 권한을 높일 수도 있습니다. 잊어버리거나 분실했거나 기본 DSRM 관리자 계정 암호는 맬웨어 공격, 경량 디렉터리 액세스 프로토콜(Lightweight Directory Access Protocol) 정찰, 심지어 도메인 지배의 위험도 증가시킵니다. AD에 대한 무제한 액세스로 인해 공격자는 조직의 백업 프로세스를 손상시키고 ntds.dit 파일에서 모든 AD 데이터를 추출할 수도 있습니다.

이러한 위험을 방지하려면 관리자 사용자는 DSRM 계정 비밀번호를 정기적으로 업데이트해야 합니다. 또한 기본 비밀번호를 사용해서는 안 됩니다. 각 도메인 컨트롤러에 대해 고유한 계정 비밀번호를 설정하는 것도 중요합니다.

DSRM 관리자 계정 암호를 안전하게 유지하기 위한 기타 모범적인 보안 관행에는 다음이 포함됩니다.

레지스트리에서 HKLM\System\CurrentControlSet\Control\Lsa\DsrmAdminLogonBehavior 레지스트리 키 값을 1로 설정합니다.
레지스트리에서 HKLM\System\CurrentControlSet\Control\Lsa\DsrmAdminLogonBehavior 레지스트리 키 값이 2로 설정되지 않았는지 확인하세요.
Windows 이벤트 ID 4794를 모니터링하고 발생 시 관리자에게 알리도록 경고를 설정합니다.

AD의 일반적인 문제를 해결하는 데 사용할 수 있는 기술과 복제 문제 해결에 대한 팁을 알아보세요.