조직에서 Tier 0 관리자를 위해 PAW(Privileged Access Workstation)를 구현하고 있습니다. 요구 사항: Tier 0 계정은 PAW에서만 로그인해야 하며, PAW는 인터넷을 탐색하거나 이메일 클라이언트를 실행할 수 없어야 합니다. 어떤 두 가지 구성을 구현해야 할까요?

Tier 0 계정이 PAW에서만 로그인하도록 하려면, 각 관리자 계정의 'Log On To…' 속성을 구성하여 해당 PAW 컴퓨터 계정만 지정해야 합니다. 이는 계정이 다른 워크스테이션에 로그인하는 것을 방지합니다. 인터넷 탐색 및 이메일 클라이언트 실행을 막으려면, PAW OU에 GPO를 적용하여 WDAC(Windows Defender Application Control) 또는 AppLocker를 사용하여 해당 애플리케이션을 차단해야 합니다. 또한, 아웃바운드 Windows 방화벽 규칙을 구성하여 관리 및 업데이트에 필요한 엔드포인트(예: 도메인 컨트롤러, WSUS/프록시)로의 통신만 허용해야 합니다. Tier 0 관리자 그룹을 모든 사용자 워크스테이션의 로컬 Administrators 그룹에 추가하는 것은 보안 원칙에 위배되며, PAW와 표준 사용자 PC를 동일한 OU에 배치하는 것은 정책 관리를 복잡하게 만들고 보안 격리를 약화시킵니다. Internet Explorer Enhanced Security Configuration은 제한적인 보호를 제공하며, 이메일을 허용하는 것은 요구 사항에 위배됩니다.