모의 침투 테스트를 통해 도메인 관리자 계정이 pass-the-hash 공격에 취약하다는 것이 밝혀졌습니다. 위협 행위자가 도메인 관리자 계정을 사용하는 것을 막기 위한 최선의 전략은 다음 중 무엇이었을까요?

권한 있는 액세스 관리(PAM) 솔루션은 도메인 관리자 계정과 같은 중요한 계정의 자격 증명을 안전하게 저장하고 관리하며, 사용 시점에만 일시적으로 접근을 허용하고 세션을 모니터링하여 pass-the-hash와 같은 공격으로부터 보호하는 가장 효과적인 방법입니다. 다른 옵션들은 다음과 같은 이유로 최선이 아닙니다. 각 도메인 관리자 계정의 암호 규정 준수 여부를 매주 감사하는 것은 사후 조치이며, 이미 탈취된 해시를 사용하는 공격을 막지 못합니다. 도메인 컨트롤러 액세스를 모니터링하는 IDS 정책을 생성하는 것은 공격 시도를 탐지할 수 있지만, 공격 자체를 예방하지는 못합니다. 그룹 정책을 사용하여 암호 만료를 강제하는 것은 암호의 주기적인 변경을 유도하지만, 이미 탈취된 해시를 사용하는 공격에 대한 직접적인 방어책이 아닙니다.