Windows 10 Enterprise 보안: Credential Guard 및 Device Guard

요약: "Windows 10 Enterprise Ready Security의 2가지 새로운 기능: Credential Guard 및 Device Guard에 대한 개요"

Device Guard 및 Credential Guard란 무엇입니까?

Device Guard 및 Credential Guard는 VBS(Virtualization-Based Security)입니다. HVCI(Hypervisor Code Integrity) 드라이버 및 Windows 10 Enterprise/Education 버전 운영 체제와 호환되는 BIOS를 사용하는 LSA(Local Security Authority) 기능이 포함되어 있습니다. Microsoft VLA(Volume License Agreement)가 적용되는 컴퓨터에서만 사용할 수 있습니다.

Credential Guard는 가상화 기반 보안을 사용하여 비밀(자격 증명)을 격리하여 권한 있는 시스템 소프트웨어만 액세스할 수 있도록 합니다. 이러한 비밀에 무단으로 액세스하면 자격 증명 도난 공격으로 이어질 수 있습니다. Credential Guard는 NTLM(NT LAN Manager Protocol) 비밀번호 해시 및 Kerberos 허용 티켓을 보호하여 이러한 공격을 방지합니다. Credential Guard는 가상화 기반 보안을 사용하여 비밀을 격리하여 권한 있는 시스템 소프트웨어만 액세스할 수 있도록 합니다. Credential Guard는 Device Guard에 종속되지 않습니다.

Device Guard는 엔터프라이즈 관련 하드웨어와 소프트웨어 보안 기능을 결합한 것입니다. 이 두 기능을 함께 구성하면 신뢰할 수 있는 애플리케이션만 실행할 수 있도록 디바이스를 잠급니다. 신뢰할 수 있는 애플리케이션이 아니라면 실행할 수 없습니다. 디바이스를 잠그도록 구성할 수 있습니다. 그러면 코드 무결성 정책에 정의된 신뢰할 수 있는 애플리케이션만 디바이스에서 실행할 수 있습니다. Device Guard는 VBS(Virtualization Based Security)에 종속됩니다.

페이지 맨 위

작동 방식

Windows 10 Enterprise/Education의 가상화 기반 보안 기능은 UEFI, 보안 부팅, TPM(Trusted Platform Module) 2.0과 같은 다양한 보안 요소를 활용합니다. Dell은 업데이트된 BIOS 및 HVCI 호환 드라이브를 갖추고 있어야 하는 일부 Precision, Latitude 및 OptiPlex 컴퓨터를 확인했습니다.

UEFI 펌웨어 버전 2.3.1 이상: UEFI가 잠겨 있으므로 Device Guard 보안을 손상시킬 수 있도록 UEFI 설정을 변경할 수 없습니다. (부팅 순서, 부팅 항목, 보안 부팅, 가상화 확장, IOMMU, Microsoft UEFI CA)

페이지 맨 위

Credential Guard

• 하드웨어 보안: Credential Guard는 보안 부팅 및 가상화를 포함한 플랫폼 보안 기능을 활용하여 파생된 도메인 자격 증명의 보안을 강화합니다.
• 지능적이고 지속적인 위협에 대한 보호 강화: 가상화 기반 보안을 사용하여 파생된 도메인 자격 증명을 보호하면 많은 표적 공격에 사용되는 자격 증명 도난 공격 기법과 툴을 차단할 수 있습니다.
  • 가상화 기반 보안은 운영 체제에서 관리자 권한으로 실행되는 멀웨어로부터 사용자 비밀을 보호합니다.
• 관리 용이성: 그룹 정책, 명령 프롬프트의 WMI, Windows PowerShell을 이용해 Credential Guard를 관리할 수 있습니다.

Credential Guard로 파생된 도메인 자격 증명 보호 

페이지 맨 위

Device Guard

• 안티바이러스 솔루션과 같은 기존 방식만으로는 새로운 공격에 대한 방어 능력이 충분하지 않습니다. (서명 기반 탐지 기능으로 멀웨어 차단) 특히 매일 생성되는 수천 개의 새로운 악성 파일을 고려하면 더욱 그렇습니다.
• 안티바이러스 또는 기타 보안 솔루션으로 차단되지 않는 한 Windows 10 Enterprise의 Device Guard는 앱을 신뢰할 수 있는 모드에서 변경됩니다. 바로 기업에서 설정하는 승인된 앱만 운영 체제가 신뢰하는 모드로 변경되는 것입니다. 사용자는 코드 무결성 정책을 생성하여 이렇게 신뢰할 수 있는 앱을 지정할 수 있습니다.

Device Guard를 관리하는 4가지 방법

• 그룹 정책: Windows 10은 조직에 대해 구성 가능한 코드 무결성 정책을 구성 및 배포할 수 있는 관리 템플릿을 제공합니다. 또한 이 템플릿을 사용하면 활성화하고 배포할 하드웨어 기반 보안 기능을 지정할 수 있습니다. 이러한 설정을 기존 GPO(Group Policy Object)와 함께 관리할 수 있어 Device Guard 기능의 구현이 보다 단순해집니다.
• Microsoft System Center Configuration Manager: System Center Configuration Manager를 사용하면 카탈로그 파일의 배포 및 관리를 단순화할 수 있습니다. 코드 무결성 정책 및 하드웨어 기반 보안 기능을 포함하여 버전 제어도 가능합니다.
• Windows PowerShell
• Microsoft Intune

페이지 맨 위

자주 묻는 질문

Windows 10 Enterprise SKU란 무엇입니까?
Windows 10 Enterprise SKU는 Microsoft 볼륨 라이선스 고객에게만 제공되는 다른 Windows OS 버전입니다. Windows 10 Professional 라이선스를 구매한 고객의 경우, Windows 10 Enterprise로 업그레이드하면 추가 기능을 얻을 수 있습니다. Windows 10 Enterprise에는 Professional 또는 Home SKU에서 사용할 수 없는 두 가지 보안 기능이 포함되어 있습니다. 바로 Credential Guard와 Device Guard 기능입니다. Windows OS SKU 간의 자세한 기능 비교

Device Guard 및 Credential Guard란 무엇입니까?
Device Guard 및 Credential Guard는 현재 Windows 10 Enterprise에서만 사용할 수 있는 새로운 보안 기능입니다. Device Guard는 엔터프라이즈 관련 하드웨어와 소프트웨어 보안 기능을 결합한 것입니다. 이 두 기능을 함께 구성하면 신뢰할 수 있는 애플리케이션만 실행할 수 있도록 디바이스를 잠급니다. 신뢰할 수 있는 애플리케이션이 아니라면 실행할 수 없습니다. Credential Guard는 가상화 기반 보안을 사용하여 비밀(자격 증명)을 격리하여 권한 있는 시스템 소프트웨어만 액세스할 수 있도록 합니다. 이러한 비밀에 무단으로 액세스하면 자격 증명 도난 공격으로 이어질 수 있습니다. Credential Guard는 NTLM 비밀번호 해시와 Kerberos 허용 티켓을 보호하여 이러한 공격을 방지합니다.

VBS(Virtualization Based Security)란 무엇입니까?
VBS란 하이퍼바이저를 이용해 커널 및 OS의 다른 부분을 보호하는 것입니다. VBS를 사용하면 설정 및 배포하는 기본 커널 모드 코드 무결성 정책 또는 코드 무결성 정책이 더욱 강력해집니다.

코드 무결성의 가상화 기반 보호가 활성화되었는지 어떻게 확인해야 합니까?
가장 간단한 방법은 시스템 정보 앱(msinfo32)을 실행하는 것입니다. 다음 줄을 찾습니다. "Device Guard Security Services Running." 다음과 같은 내용을 보고해야 합니다. "Hypervisor enforced Code Integrity." 관리 툴을 사용하여 검토할 수 있는 WMI(Windows Management Instrumentation)도 있습니다.

컴퓨터가 Win10 Enterprise Ready가 아닌 경우에도 해당 컴퓨터에서 Win10 Enterprise를 실행할 수 있습니까?
예, Win10 Pro와 함께 구매했다면 가능합니다. 볼륨 라이선스 고객은 언제든지 해당 컴퓨터를 Windows 10 Enterprise로 업그레이드할 수 있습니다. Device Guard 및 Credential Guard를 제외한 모든 Enterprise 추가 기능이 제대로 작동합니다. 이는 이 두 가지 보안 기능이 Microsoft 요구 사항을 준수하려면 BIOS, 드라이버 및 프로세서 기능이 필요하기 때문입니다.

내 Dell 컴퓨터에서 Device Guard 및 Credential Guard를 활성화하기 위한 요구 사항은 무엇입니까?
Device Guard 및 Credential Guard를 활성화하도록 컴퓨터를 업그레이드하려는 고객은 다음 세 가지 기준을 충족해야 합니다.

1. Latitude/OptiPlex/Precision/Venue 디바이스는 Win10 Enterprise Ready여야 합니다. BIOS 및 드라이버가 Enterprise Ready를 지원하는 버전으로 업데이트되었는지 확인합니다. 플랫폼별 BIOS/HVCI 드라이버 준비에 대한 자세한 내용은 플랫폼 목록을 참조하십시오.
2. 구성에서 DG/CG 지원 프로세서를 사용해야 합니다. 프로세서가 DG/CG를 지원한다는 것은 인텔 VT-x 및 VT-d 기능을 지원한다는 의미입니다. 이러한 기능은 Windows 10에서 Device Guard 및 Credential Guard를 지원하기 위한 필수 요구 사항입니다. 프로세서가 인텔 VT-x 및 VT-d를 지원하는지 확인하려면 다음 링크를 참조하십시오. 인텔® 제품 사양
3. 고객은 Microsoft 볼륨 라이선스를 보유하고 있어야 합니다. Win10 Enterprise는 OEM SKU가 아닙니다. 고객은 Microsoft에서만 직접 Win10 Enterprise 비트를 얻을 수 있습니다.

세부 요구 사항:

Windows 10 1607에 대한 추가 요구 사항

Microsoft에서 직접 구입한 Win10 Enterprise용 Microsoft 볼륨 라이선스가 있어야 합니다(Dell 에서 제공하는 Windows 10 Pro SKU에서 업그레이드하는 고객 포함). Dell은 Windows 10 Enterprise를 OEM SKU로 제공하지 않습니다.

Device Guard를 배포하려면 다음을 참조하십시오. Windows Defender Device Guard 배포 가이드 Credential Guard를 배포하려면 다음을 참조하십시오. Credential Guard에 대한 요구 사항 및 배포 계획 지침 

Device Guard 및 Credential Guard를 위해 지정해야 하는 BIOS 설정은 무엇입니까?
이러한 옵션을 활성화해야 합니다. 지원되는 BIOS 목록에 최신 BIOS가 나열되어 있는지 확인합니다.

Device Guard 및 Credential Guard는 어떻게 검증합니까?
Device Guard 및 Credential Guard 검증 툴을 사용할 수 있습니다.

• 컴퓨터에서 Device Guard 또는 Credential Guard를 실행할 수 있는지 확인
• Device Guard 또는 Credential Guard 비활성화 및 활성화

툴을 실행하기 전에 PowerShell에서 올바른 실행 정책을 활성화했는지 확인합니다. (아래의 그림 1. 참조)

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

그림 1. - PowerShell의 실행 정책 예시

검증 방법: DG_Readiness.ps1 –Capable -[DG/CG/HVCI] -AutoReboot

활성화 방법: DG_Readiness.ps1 –Enable -[DG/CG] –AutoReboot

비활성화 방법: DG_Readiness.ps1 –Disable -[DG/CG] -AutoReboot

컴퓨터가 Device Guard 또는 Credential Guard로 미리 구성되어 있습니까?
아니요. Dell은 검증된 컴퓨터가 BIOS 펌웨어 및 HVCI 드라이버 규정을 완전히 준수하고 있는지를 확인합니다. 그러면 사용자가 Device Guard 또는 Credential Guard를 컴퓨터에서 활성화할 수 있습니다. 위의 활성화 스위치 또는 배포 가이드의 단계별 절차에 따라 기능을 활성화해야 합니다(리소스 섹션 참조).

HVCI 드라이버 준비란 무엇이며, 가지고 있는 드라이버가 적합한지 어떻게 알 수 있습니까?
HVCI는 Hipervisor Code Integrity를 뜻합니다. Windows 10의 HVCI 서비스는 커널 모드에서 실행되는 코드가 안전하게 설계되어 신뢰할 수 있는지를 확인합니다. 제로 데이 및 취약성 악용 보호 기능을 제공합니다. 드라이버를 포함한 모든 소프트웨어가 커널 모드에서 실행되며 메모리를 안전하게 할당하고 의도한 대로 작동하도록 보장합니다.

DGReadiness 툴 사용:

검증 방법: DG_Readiness.ps1 –Capable –HVCI -AutoReboot

참고: Dell은 Dell 지원 드라이버의 드라이버 준비 상태를 확인했습니다. 컴퓨터에 다른 타사 드라이버를 설치하는 경우 해당 드라이버가 HVCI와 호환되는지 확인해야 합니다. Windows 10에서 Device Guard와의 드라이버 호환성

Device Guard 및 Credential Guard를 지원하는 Dell 컴퓨터는 무엇입니까?
Dell Skylake 및 KabyLake 세대 컴퓨터에서 Device Guard 및 Credential Guard를 활성화하려면 호환되는 BIOS 및 HVCI(Hypervisor Code Integrity) 호환 드라이버가 모두 필요합니다.

다음은 Dell에서 이 기능 집합을 지원하는 모든 컴퓨터입니다. 아래 표에는 각 플랫폼의 드라이버 버전과 BIOS 버전이 나열되어 있습니다.

프로세서가 vPro인 경우 DG/CG를 사용할 수 있다는 의미입니까?
예. 또한 일부 비 vPro 프로세서도 DG/CG(VT-x/VT-d)를 사용할 수 있습니다. 프로세서가 인텔 VT-x 및 VT-d를 지원하는지 확인하려면 다음 링크를 참조하십시오. 인텔® 제품 사양

페이지 맨 위

자료

• Windows 11 Enterprise 보안: Credential Guard 및 Device Guard
• Device Guard 배포 가이드
• Windows Defender Credential Guard 하드웨어 요구 사항
• Windows Defender Device Guard 하드웨어 요구 사항

페이지 맨 위