대부분의 시스템 관리자에게 원격 데스크톱(Remote Desktop)은 Windows에서 가장 많이 사용되는 기능 중 하나입니다. 하지만 이 기능이 아무리 편리하더라도 "이 PC를 신뢰하는지 확인" 옵션을 선택할 때마다 원격 데스크톱 자격 증명이 노출되어 시스템이 침해될 위험이 있습니다. 특히 원격 시스템이 낯설거나 어떤 방식으로든 감염된 경우 이러한 위험이 더욱 커집니다.
이러한 문제를 해결하기 위해 Microsoft는 원격 Credential Guard 기능을 도입했습니다. 이 기능을 활성화하면 Windows가 Kerberos 요청을 요청한 시스템으로 올바르게 다시 리디렉션하여 자격 증명을 보호할 수 있습니다. 아래에서 Windows 10에서 원격 Credential Guard 기능을 활성화해 원격 데스크톱을 안전하게 보호하는 세 가지 방법을 소개합니다.
그룹 정책 편집기에서 원격 Credential Guard 활성화
Windows 그룹 정책 편집기를 사용하는 것은 원격 Credential Guard를 활성화하는 가장 쉬운 방법 중 하나입니다. 시작하려면 gpedit.msc를 검색하고 Enter 키를 누릅니다.
위 작업을 수행하면 Windows 그룹 정책 편집기가 열립니다. 왼쪽 창에서 "컴퓨터 구성 → 관리 템플릿 → 시스템 → 자격 증명 위임"으로 이동합니다.
"원격 서버에 대한 자격 증명 위임 제한" 정책을 찾아 두 번 클릭합니다.
정책을 두 번 클릭하면 정책 설정 창이 열립니다. 여기서 "사용" 라디오 버튼을 선택하면 옵션 영역에 새로운 선택지가 나타납니다. 드롭다운 메뉴에서 "원격 Credential Guard 필요" 옵션을 선택한 후 "확인" 버튼을 클릭하여 변경 사항을 저장합니다.
완료되면 그룹 정책 편집기에 다음과 같이 표시됩니다.
시스템을 재시작하면 설정이 적용됩니다. 재시작을 원하지 않는다면 관리자 권한으로 명령 프롬프트를 열고 아래 명령을 실행하여 그룹 정책 설정을 강제로 업데이트할 수 있습니다.
GPUpdate.exe /force
레지스트리 편집기에서 원격 Credential Guard 활성화
Windows 레지스트리 편집기를 사용하고 싶다면 새 값을 추가하는 것만으로 동일한 작업을 수행할 수 있습니다. "Win + R" 키를 누르고 regedit를 입력한 후 Enter 키를 누릅니다.
위 작업을 수행하면 Windows 레지스트리 편집기가 열립니다. 왼쪽 패널에서 아래 경로로 이동합니다.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
해당 위치로 이동한 후 오른쪽 패널을 마우스 오른쪽 버튼으로 클릭하고 "새로 만들기 → DWORD(32비트) 값" 옵션을 선택합니다.
새 DWORD 값이 생성됩니다. 새 값의 이름을 "DisableRestrictedAdmin"으로 지정하고 Enter 키를 누릅니다.
이제 새 값을 두 번 클릭하여 값 편집 창을 엽니다. 값 데이터가 "0"으로 설정되어 있는지 확인한 후 "확인" 버튼을 클릭하여 변경 사항을 저장합니다.
변경 사항을 적용하려면 시스템을 재시작하기만 하면 됩니다.
명령 프롬프트에서 활성화
원격 Credential Guard를 시스템 전체에 영구적으로 활성화하는 대신, 명령 프롬프트를 사용하여 필요할 때마다 개별 연결에만 이 기능을 적용할 수도 있습니다.
이렇게 하려면 명령 프롬프트를 연 후 아래 명령을 입력하여 새 원격 데스크톱 연결을 시작합니다. /remoteGuard 매개변수가 해당 연결에 대해서만 원격 Credential Guard를 활성화합니다.
mstsc.exe /remoteGuard
위 방법들을 사용하여 Windows에서 원격 Credential Guard 기능을 활성화한 경험이나 생각이 있다면 댓글로 공유해 주세요.