이번 포스트에서는 그룹 정책(Group Policy)을 사용하여 Windows 11/10에서 Credential Guard를 활성화하는 방법을 알아보겠습니다. Credential Guard는 Windows 11/10에서 제공되는 핵심 보안 기능 중 하나로, 도메인 자격 증명(domain credentials)의 해킹을 방지하여 해커가 기업 네트워크를 장악하는 것을 막아줍니다.
Windows 11/10에서 Credential Guard 활성화하기
Credential Guard는 Windows 11/10 Enterprise(기업용) 에디션에서만 사용할 수 있는 기능입니다. 따라서 Pro 또는 Education 버전을 사용 중이라면 해당 기능을 이용할 수 없습니다. 또한, 시스템이 Secure Boot와 64비트 가상화를 지원해야 합니다.
그룹 정책 편집기 설정 방법
Credential Guard를 활성화하려면 먼저 실행(Run) 창을 열고 gpedit.msc를 입력한 후 Enter 키를 눌러 그룹 정책 편집기를 실행합니다.
그다음 아래 경로로 이동합니다:
컴퓨터 구성 > 관리 템플릿 > 시스템 > Device Guard
가상화 기반 보안 켜기(Turn On Virtualization Based Security) 항목을 두 번 클릭하고 사용(Enabled)을 선택합니다.
다음으로 옵션(Options) 영역의 플랫폼 보안 수준(Platform Security Level) 상자에서 Secure Boot 또는 Secure Boot 및 DMA 보호(Secure Boot and DMA Protection)를 선택합니다.
Credential Guard 구성(Credential Guard Configuration) 상자에서는 UEFI 잠금과 함께 사용(Enabled with UEFI lock)을 클릭한 후 확인을 누릅니다.
원격으로 Credential Guard를 비활성화할 가능성을 남겨두고 싶다면 잠금 없이 사용(Enabled without lock)을 선택하세요.
적용(Apply)/확인(OK)을 클릭하고 편집기를 종료한 뒤, 시스템을 재시작하면 설정이 완료됩니다.
Credential Guard 사용 시 주의사항
Credential Guard는 직접적인 해킹 시도나 자격 증명 정보를 노리는 악성코드로부터 보호해 줍니다. 다만, Credential Guard를 적용하기 전에 이미 자격 증명 정보가 유출되었다면, 해커가 동일 도메인 내 다른 컴퓨터에서 해당 해시 키(hash key)를 사용하는 것까지 막을 수는 없습니다.
또한 Windows 11/10의 Remote Credential Guard 기능은 원격 데스크톱(Remote Desktop) 접속 시 사용되는 자격 증명을 추가로 보호해 줍니다.