도메인 컨트롤러는 Windows Server 2019를 실행합니다. 보안 부서에서는 헬프데스크 관리자 계정이 NTLM으로 인증하는 것을 방지하고, 자격 증명 위임을 차단하며, 정상적인 로그인 기능을 유지하면서 Kerberos를 강력한 암호화로 제한하기를 원합니다. 이러한 헬프데스크 계정에 대해 무엇을 해야 할까요? (두 가지 선택)

Protected Users 보안 그룹에 계정을 추가하면 NTLM 인증을 방지하고, 자격 증명 위임을 차단하며, Kerberos 강력한 암호화를 자동으로 적용합니다. 이는 헬프데스크 관리자 계정에 대한 보안 요구 사항을 충족하는 가장 효과적인 방법입니다. 계정에서 AES128HMACSHA1 및 AES256HMACSHA1 암호화 유형을 활성화하고 암호 변경을 요구하는 것은 Kerberos 암호화 강도를 높여 보안을 강화합니다. 'Account is sensitive and cannot be delegated' 플래그는 위임을 차단하지만 NTLM을 방지하거나 강력한 Kerberos 암호화를 강제하지 않습니다. 'Network security: Restrict NTLM: Deny all' GPO는 도메인 전체에 적용되어 정상적인 로그인 기능을 방해할 수 있습니다. Kerberos RC4 지원 비활성화는 강력한 암호화를 강제하지만 NTLM 방지나 위임 차단에는 직접적인 영향을 주지 않습니다.