Configuration Manager 클라이언트에 대한 보안 및 개인 정보

적용 대상: Configuration Manager(현재 분기)

이 문서에서는 Configuration Manager 클라이언트에 대한 보안 및 개인 정보 보호 정보를 설명합니다. 또한 Exchange Server 커넥터에서 관리하는 모바일 디바이스에 대한 정보도 포함됩니다.

클라이언트에 대한 보안 지침

Configuration Manager 사이트는 Configuration Manager 클라이언트를 실행하는 디바이스의 데이터를 허용합니다. 이 동작은 클라이언트가 사이트를 공격할 수 있는 위험을 초래합니다. 예를 들어 형식이 잘못된 인벤토리를 보내거나 사이트 시스템을 오버로드하려고 시도할 수 있습니다. 신뢰하는 디바이스에만 Configuration Manager 클라이언트를 배포합니다.

다음 보안 지침을 사용하여 불량 또는 손상된 디바이스로부터 사이트를 보호합니다.

IIS를 실행하는 사이트 시스템과의 클라이언트 통신에 PKI(공개 키 인프라) 인증서 사용

• 사이트 속성으로 HTTPS에 대해서만사이트 시스템 설정을 구성합니다. 자세한 내용은 보안 구성을 참조하세요.

• UsePKICert CCMSetup 속성을 사용하여 클라이언트를 설치합니다.

• CRL( 인증서 해지 목록 )을 사용합니다. 클라이언트와 통신 서버가 항상 액세스할 수 있는지 확인합니다.

모바일 디바이스 클라이언트 및 일부 인터넷 기반 클라이언트에는 이러한 인증서가 필요합니다. 인트라넷의 모든 클라이언트 연결에 대해 이러한 인증서를 권장합니다.

Configuration Manager 인증서 사용에 대한 자세한 내용은 인증서 계획을 참조하세요.

신뢰할 수 있는 도메인에서 클라이언트 컴퓨터를 자동으로 승인하고 다른 컴퓨터를 수동으로 검사 승인

PKI 인증을 사용할 수 없는 경우 승인은 Configuration Manager 관리할 신뢰할 수 있는 컴퓨터를 식별합니다. 계층에는 클라이언트 승인을 구성하는 다음 옵션이 있습니다.

• 수동
• 신뢰할 수 있는 도메인의 컴퓨터에 대한 자동
• 모든 컴퓨터에 대해 자동

가장 안전한 승인 방법은 신뢰할 수 있는 도메인의 멤버인 클라이언트를 자동으로 승인하는 것입니다. 이 옵션에는 연결된 Microsoft Entra 테넌트에서 클라우드 도메인 가입 클라이언트가 포함됩니다. 그런 다음 다른 모든 컴퓨터를 수동으로 검사 승인합니다. 신뢰할 수 없는 컴퓨터가 네트워크에 액세스하지 못하도록 다른 액세스 제어가 없는 한 모든 클라이언트를 자동으로 승인하는 것은 권장되지 않습니다.

컴퓨터를 수동으로 승인하는 방법에 대한 자세한 내용은 디바이스 노드에서 클라이언트 관리를 참조하세요.

클라이언트가 Configuration Manager 계층 구조에 액세스하지 못하도록 차단에 의존하지 마세요.

차단된 클라이언트는 Configuration Manager 인프라에서 거부됩니다. 클라이언트가 차단된 경우 사이트 시스템과 통신하여 정책을 다운로드하거나, 인벤토리 데이터를 업로드하거나, 상태 또는 상태 메시지를 보낼 수 없습니다.

차단은 다음 시나리오를 위해 설계되었습니다.

• 클라이언트에 OS를 배포할 때 손실되거나 손상된 부팅 미디어를 차단하려면
• 모든 사이트 시스템에서 HTTPS 클라이언트 연결을 허용하는 경우

사이트 시스템에서 HTTP 클라이언트 연결을 허용하는 경우 차단을 사용하여 신뢰할 수 없는 컴퓨터로부터 Configuration Manager 계층 구조를 보호하지 마세요. 이 시나리오에서 차단된 클라이언트는 새 자체 서명된 인증서 및 하드웨어 ID를 사용하여 사이트에 다시 연결할 수 있습니다.

인증서 해지는 잠재적으로 손상된 인증서에 대한 기본 방어선입니다. CRL(인증서 해지 목록)은 지원되는 PKI(공개 키 인프라)에서만 사용할 수 있습니다. Configuration Manager 클라이언트를 차단하면 계층 구조를 보호하기 위한 두 번째 방어선이 제공됩니다.

자세한 내용은 클라이언트를 차단할지 여부를 참조하세요.

사용자 환경에 가장 적합한 가장 안전한 클라이언트 설치 방법 사용

• 도메인 컴퓨터의 경우 그룹 정책 클라이언트 설치 및 소프트웨어 업데이트 기반 클라이언트 설치 방법이 클라이언트 강제 설치보다 더 안전합니다.

• 액세스 제어를 적용하고 컨트롤을 변경하는 경우 이미징 및 수동 설치 방법을 사용합니다.

• 클라이언트 강제 설치와 함께 Kerberos 상호 인증을 사용합니다.

모든 클라이언트 설치 방법 중 클라이언트 푸시 설치는 많은 종속성 때문에 가장 안전하지 않습니다. 이러한 종속성에는 로컬 관리 권한, Admin$ 공유 및 방화벽 예외가 포함됩니다. 이러한 종속성의 수와 유형은 공격 표면을 증가합니다.

클라이언트 푸시를 사용하는 경우 사이트는 연결을 설정하기 전에 NTLM으로의 대체를 허용하지 않음으로써 Kerberos 상호 인증을 요구할 수 있습니다. 이러한 향상된 기능은 서버와 클라이언트 간의 통신을 보호하는 데 도움이 됩니다. 자세한 내용은 클라이언트 푸시를 사용하여 클라이언트를 설치하는 방법을 참조하세요.

다양한 클라이언트 설치 방법에 대한 자세한 내용은 클라이언트 설치 방법을 참조하세요.

가능한 경우 Configuration Manager 최소 보안 권한이 필요한 클라이언트 설치 방법을 선택합니다. 클라이언트 배포 이외의 용도로 사용할 수 있는 권한으로 보안 역할이 할당된 관리 사용자를 제한합니다. 예를 들어 자동 클라이언트 업그레이드를 구성하려면 관리자에게 모든 보안 권한을 부여하는 전체 관리자 보안 역할이 필요합니다.

각 클라이언트 설치 방법에 필요한 종속성 및 보안 권한에 대한 자세한 내용은 컴퓨터 클라이언트에 대한 필수 구성 요소를 참조하세요.

클라이언트 강제 설치를 사용해야 하는 경우 클라이언트 푸시 설치 계정을 보호합니다.

클라이언트 푸시 설치 계정은 Configuration Manager 클라이언트를 설치하는 각 컴퓨터에서 로컬 관리자 그룹의 구성원이어야 합니다. 도메인 관리자 그룹에 클라이언트 푸시 설치 계정을 추가하지 마세요. 대신 전역 그룹을 만든 다음 해당 전역 그룹을 클라이언트의 로컬 관리자 그룹에 추가합니다. 제한된 그룹 설정을 추가하여 로컬 관리자 그룹에 클라이언트 푸시 설치 계정을 추가하는 그룹 정책 개체 를 만듭니다 .

보안을 강화하려면 각각 제한된 수의 컴퓨터에 대한 관리 액세스 권한이 있는 여러 클라이언트 푸시 설치 계정을 만듭니다. 하나의 계정이 손상된 경우 해당 계정에 액세스 권한이 있는 클라이언트 컴퓨터만 손상됩니다.

이미징 클라이언트 전에 인증서 제거

OS 이미지를 사용하여 클라이언트를 배포하는 경우 이미지를 캡처하기 전에 항상 인증서를 제거합니다. 이러한 인증서에는 클라이언트 인증을 위한 PKI 인증서 및 자체 서명된 인증서가 포함됩니다. 이러한 인증서를 제거하지 않으면 클라이언트가 서로 가장할 수 있습니다. 각 클라이언트에 대한 데이터를 확인할 수 없습니다.

자세한 내용은 OS를 캡처하는 작업 순서 만들기를 참조하세요.

Configuration Manager 클라이언트가 인증된 인증서 복사본을 가져오는지 확인합니다.

Configuration Manager 신뢰할 수 있는 루트 키 인증서

다음 명령문이 모두 true이면 클라이언트는 Configuration Manager 신뢰할 수 있는 루트 키를 사용하여 유효한 관리 지점을 인증합니다.

• Configuration Manager Active Directory 스키마를 확장하지 않았습니다.
• 클라이언트는 관리 지점과 통신할 때 PKI 인증서를 사용하지 않습니다.

이 시나리오에서 클라이언트는 신뢰할 수 있는 루트 키를 사용하지 않는 한 관리 지점이 계층 구조에 대해 신뢰할 수 있는지 확인할 방법이 없습니다. 신뢰할 수 있는 루트 키가 없으면 숙련된 공격자가 클라이언트를 불량 관리 지점으로 안내할 수 있습니다.

클라이언트가 PKI 인증서를 사용하지 않고 Active Directory 글로벌 카탈로그에서 신뢰할 수 있는 루트 키를 다운로드할 수 없는 경우 클라이언트를 신뢰할 수 있는 루트 키로 미리 프로비전합니다. 이 작업을 수행하면 불량 관리 지점으로 리디렉션할 수 없습니다. 자세한 내용은 신뢰할 수 있는 루트 키 계획을 참조하세요.

사이트 서버 서명 인증서

클라이언트는 사이트 서버 서명 인증서를 사용하여 사이트 서버가 관리 지점에서 다운로드한 정책에 서명했는지 확인합니다. 이 인증서는 사이트 서버에서 자체 서명하고 Active Directory Domain Services 게시됩니다.

클라이언트가 Active Directory 글로벌 카탈로그에서 이 인증서를 다운로드할 수 없는 경우 기본적으로 관리 지점에서 다운로드합니다. 관리 지점이 인터넷과 같은 신뢰할 수 없는 네트워크에 노출되면 클라이언트에 사이트 서버 서명 인증서를 수동으로 설치합니다. 이 작업을 수행하면 손상된 관리 지점에서 변조된 클라이언트 정책을 다운로드할 수 없습니다.

사이트 서버 서명 인증서를 수동으로 설치하려면 CCMSetup client.msi 속성 SMSSIGNCERT를 사용합니다.

클라이언트가 연락하는 첫 번째 관리 지점에서 신뢰할 수 있는 루트 키를 다운로드하는 경우 자동 사이트 할당을 사용하지 마세요.

새 클라이언트가 불량 관리 지점에서 신뢰할 수 있는 루트 키를 다운로드하는 위험을 방지하려면 다음 시나리오에서 자동 사이트 할당만 사용합니다.

• 클라이언트는 Active Directory Domain Services 게시된 Configuration Manager 사이트 정보에 액세스할 수 있습니다.

• 신뢰할 수 있는 루트 키를 사용하여 클라이언트를 미리 프로비전합니다.

• 엔터프라이즈 인증 기관의 PKI 인증서를 사용하여 클라이언트와 관리 지점 간에 신뢰를 설정합니다.

신뢰할 수 있는 루트 키에 대한 자세한 내용은 신뢰할 수 있는 루트 키 계획을 참조하세요.

중요한 소프트웨어 업데이트를 배포할 수 있을 만큼 유지 관리 기간이 충분한지 확인합니다.

디바이스 컬렉션에 대한 유지 관리 기간은 Configuration Manager 이러한 디바이스에 소프트웨어를 설치할 수 있는 시간을 제한합니다. 유지 관리 기간을 너무 작게 구성하면 클라이언트가 중요한 소프트웨어 업데이트를 설치하지 않을 수 있습니다. 이 동작은 소프트웨어 업데이트가 완화하는 모든 공격에 클라이언트를 취약하게 만듭니다.

쓰기 필터를 사용하여 Windows Embedded 디바이스의 공격 노출 영역을 줄이기 위해 보안 예방 조치를 취합니다.

Windows Embedded 디바이스에서 쓰기 필터를 사용하도록 설정하면 모든 소프트웨어 설치 또는 변경 내용이 오버레이에만 적용됩니다. 이러한 변경 내용은 디바이스가 다시 시작되면 유지되지 않습니다. Configuration Manager 사용하여 쓰기 필터를 사용하지 않도록 설정하는 경우 이 기간 동안 포함된 디바이스는 모든 볼륨의 변경에 취약합니다. 이러한 볼륨에는 공유 폴더가 포함됩니다.

Configuration Manager 이 기간 동안 컴퓨터를 잠그므로 로컬 관리자만 로그인할 수 있습니다. 가능하면 다른 보안 예방 조치를 취하여 컴퓨터를 보호합니다. 예를 들어 방화벽에 대한 제한을 사용하도록 설정합니다.

유지 관리 기간을 사용하여 변경 내용을 유지하는 경우 이러한 창을 신중하게 계획합니다. 쓰기 필터가 비활성화되는 시간을 최소화하지만 소프트웨어 설치 및 다시 시작을 완료할 수 있을 만큼 충분히 길게 만듭니다.

소프트웨어 업데이트 기반 클라이언트 설치와 함께 최신 클라이언트 버전 사용

소프트웨어 업데이트 기반 클라이언트 설치를 사용하고 사이트에 이후 버전의 클라이언트를 설치하는 경우 게시된 소프트웨어 업데이트를 업데이트합니다. 그런 다음 클라이언트는 소프트웨어 업데이트 지점에서 최신 버전을 받습니다.

사이트를 업데이트하면 소프트웨어 업데이트 지점에 게시된 클라이언트 배포용 소프트웨어 업데이트가 자동으로 업데이트되지 않습니다. Configuration Manager 클라이언트를 소프트웨어 업데이트 지점에 다시 게시하고 버전 번호를 업데이트합니다.

자세한 내용은 소프트웨어 업데이트 기반 설치를 사용하여 Configuration Manager 클라이언트를 설치하는 방법을 참조하세요.

신뢰할 수 있고 제한된 액세스 디바이스에서 BitLocker PIN 항목만 일시 중단

클라이언트 설정을 다시 시작할 때 BitLocker PIN 항목 일시 중단 을 신뢰하고 물리적 액세스가 제한된 컴퓨터의 경우 Always 로만 구성합니다.

이 클라이언트 설정을 Always로 설정하면 Configuration Manager 소프트웨어 설치를 완료할 수 있습니다. 이 동작은 중요한 소프트웨어 업데이트를 설치하고 서비스를 다시 시작하는 데 도움이 됩니다. 공격자가 다시 시작 프로세스를 가로채면 컴퓨터를 제어할 수 있습니다. 컴퓨터를 신뢰하고 컴퓨터에 대한 물리적 액세스가 제한된 경우에만 이 설정을 사용합니다. 예를 들어 이 설정은 데이터 센터의 서버에 적합할 수 있습니다.

이 클라이언트 설정에 대한 자세한 내용은 클라이언트 설정 정보를 참조하세요.

PowerShell 실행 정책을 무시하지 마세요.

PowerShell 실행 정책에 대한 Configuration Manager 클라이언트 설정을 바이패스로 구성하면 Windows에서 서명되지 않은 PowerShell 스크립트를 실행할 수 있습니다. 이 동작을 통해 클라이언트 컴퓨터에서 맬웨어를 실행할 수 있습니다. organization 이 옵션이 필요한 경우 사용자 지정 클라이언트 설정을 사용합니다. 서명되지 않은 PowerShell 스크립트를 실행해야 하는 클라이언트 컴퓨터에만 할당합니다.

이 클라이언트 설정에 대한 자세한 내용은 클라이언트 설정 정보를 참조하세요.

모바일 디바이스에 대한 보안 지침

경계 네트워크에 등록 프록시 지점 및 인트라넷의 등록 지점 설치

Configuration Manager 등록하는 인터넷 기반 모바일 디바이스의 경우 경계 네트워크에 등록 프록시 지점과 인트라넷의 등록 지점을 설치합니다. 이 역할 분리는 등록 지점을 공격으로부터 보호하는 데 도움이 됩니다. 공격자가 등록 지점을 손상하는 경우 인증을 위한 인증서를 가져올 수 있습니다. 모바일 디바이스를 등록하는 사용자의 자격 증명을 도용할 수도 있습니다.

무단 액세스로부터 모바일 디바이스를 보호하도록 암호 설정 구성

Configuration Manager 등록한 모바일 디바이스의 경우: 모바일 디바이스 구성 항목을 사용하여 암호 복잡성을 PIN으로 구성합니다. 최소한 기본 최소 암호 길이를 지정합니다.

Configuration Manager 클라이언트가 설치되어 있지 않지만 Exchange Server 커넥터에서 관리하는 모바일 디바이스의 경우: 암호 복잡성이 PIN이 되도록 Exchange Server 커넥터에 대한 암호 설정을 구성합니다. 최소한 기본 최소 암호 길이를 지정합니다.

신뢰하는 회사에서 서명한 애플리케이션만 실행할 수 있습니다.

신뢰할 수 있는 회사에서 서명한 경우에만 애플리케이션을 실행할 수 있도록 하여 인벤토리 정보 및 상태 정보의 변조를 방지합니다. 디바이스에서 서명되지 않은 파일을 설치하도록 허용하지 않습니다.

Configuration Manager 등록한 모바일 디바이스의 경우: 모바일 디바이스 구성 항목을 사용하여 보안 설정 서명되지 않은 애플리케이션을 금지로 구성합니다. 서명되지 않은 파일 설치를 신뢰할 수 있는 원본으로 구성합니다.

Configuration Manager 클라이언트가 설치되지 않았지만 Exchange Server 커넥터에서 관리하는 모바일 디바이스의 경우: 서명되지 않은 파일 설치 및 서명되지 않은 애플리케이션이 금지되도록 Exchange Server 커넥터에 대한 애플리케이션설정을 구성합니다.

사용하지 않을 때 모바일 디바이스 잠금

모바일 디바이스가 사용되지 않을 때 잠금을 설정하여 권한 상승 공격을 방지하는 데 도움이 됩니다.

Configuration Manager 등록한 모바일 디바이스의 경우: 모바일 디바이스 구성 항목을 사용하여 모바일 디바이스가 잠기기 몇 분 전에 암호 설정 유휴 시간을 구성합니다.

Configuration Manager 클라이언트가 설치되어 있지 않지만 Exchange Server 커넥터에서 관리하는 모바일 디바이스의 경우: 모바일디바이스가 잠기기 몇 분 전에 유휴 시간을 설정하도록 Exchange Server 커넥터에 대한 암호 설정을 구성합니다.

모바일 디바이스를 등록할 수 있는 사용자 제한

모바일 디바이스를 등록할 수 있는 사용자를 제한하여 권한 상승을 방지합니다. 권한 있는 사용자만 모바일 디바이스를 등록할 수 있도록 기본 클라이언트 설정이 아닌 사용자 지정 클라이언트 설정을 사용합니다.

모바일 디바이스에 대한 사용자 디바이스 선호도 지침

다음 시나리오에서 Configuration Manager 등록된 모바일 디바이스가 있는 사용자에게 애플리케이션을 배포하지 마세요.

• 모바일 디바이스는 둘 이상의 사용자가 사용합니다.

• 디바이스는 사용자를 대신하여 관리자가 등록합니다.

• 디바이스는 사용 중지한 다음 디바이스를 다시 등록하지 않고 다른 사람에게 전송됩니다.

디바이스 등록은 사용자 디바이스 선호도 관계를 만듭니다. 이 관계는 등록을 수행하는 사용자를 모바일 디바이스에 매핑합니다. 다른 사용자가 모바일 디바이스를 사용하는 경우 원래 사용자에게 배포된 애플리케이션을 실행할 수 있으므로 권한 상승이 발생할 수 있습니다. 마찬가지로 관리자가 사용자의 모바일 디바이스를 등록하는 경우 사용자에게 배포된 애플리케이션은 모바일 디바이스에 설치되지 않습니다. 대신 관리자에게 배포된 애플리케이션이 설치될 수 있습니다.

Configuration Manager 사이트 서버와 Exchange Server 간의 연결 보호

Exchange Server 온-프레미스인 경우 IPsec을 사용합니다. 호스트된 Exchange는 HTTPS와의 연결을 자동으로 보호합니다.

Exchange 커넥터에 대한 최소 권한 원칙 사용

Exchange Server 커넥터에 필요한 최소 cmdlet 목록은 Configuration Manager 및 Exchange를 사용하여 모바일 디바이스 관리를 참조하세요.

macOS 디바이스에 대한 보안 지침

보안 위치에서 클라이언트 원본 파일 저장 및 액세스

macOS 컴퓨터에 클라이언트를 설치하거나 등록하기 전에 Configuration Manager 이러한 클라이언트 원본 파일이 변조되었는지 여부를 확인하지 않습니다. 신뢰할 수 있는 원본에서 이러한 파일을 다운로드합니다. 안전하게 저장하고 액세스합니다.

인증서의 유효 기간 모니터링 및 추적

macOS 컴퓨터에 사용하는 인증서의 유효 기간을 모니터링하고 추적합니다. Configuration Manager 이 인증서의 자동 갱신을 지원하지 않거나 인증서가 곧 만료되도록 경고합니다. 일반적인 유효 기간은 1년입니다.

인증서를 갱신하는 방법에 대한 자세한 내용은 macOS 클라이언트 인증서 수동으로 갱신을 참조하세요.

SSL에 대해서만 신뢰할 수 있는 루트 인증서 구성

권한 상승으로부터 보호하려면 SSL 프로토콜에 대해서만 신뢰할 수 있도록 신뢰할 수 있는 루트 인증 기관에 대한 인증서를 구성합니다.

Mac 컴퓨터를 등록하면 Configuration Manager 클라이언트를 관리하는 사용자 인증서가 자동으로 설치됩니다. 이 사용자 인증서는 신뢰 체인에 신뢰할 수 있는 루트 인증서를 포함합니다. 이 루트 인증서의 신뢰를 SSL 프로토콜로만 제한하려면 다음 절차를 사용합니다.

1. Mac 컴퓨터에서 터미널 창을 엽니다.

2. 다음 명령을 입력합니다. sudo /Applications/Utilities/Keychain\ Access.app/Contents/MacOS/Keychain\ Access

3. 키 집합 액세스 대화 상자의 키 집합 섹션에서 시스템을 선택합니다. 그런 다음 범주 섹션에서 인증서를 선택합니다.

4. Mac 클라이언트 인증서에 대한 루트 CA 인증서를 찾아 엽니다.

5. 루트 CA 인증서에 대한 대화 상자에서 신뢰 섹션을 확장한 다음 다음을 변경합니다.

   1. 이 인증서를 사용하는 경우: Always Trust 설정을 시스템 기본값 사용으로 변경합니다.

   2. SSL(Secure Sockets Layer) : Always Trust로 지정된 값을 변경하지 않습니다.

6. 대화 상자를 닫습니다. 메시지가 표시되면 관리자의 암호를 입력한 다음 설정 업데이트를 선택합니다.

이 절차를 완료한 후에는 루트 인증서만 신뢰하여 SSL 프로토콜의 유효성을 검사합니다. 이제 이 루트 인증서로 신뢰할 수 없는 다른 프로토콜로는 S/MIME(보안 메일), EAP(Extensible Authentication) 또는 코드 서명이 있습니다.

클라이언트의 보안 문제

다음 보안 문제에는 완화가 없습니다.

상태 메시지가 인증되지 않음

관리 지점은 상태 메시지를 인증하지 않습니다. 관리 지점에서 HTTP 클라이언트 연결을 수락하면 모든 디바이스가 상태 메시지를 관리 지점으로 보낼 수 있습니다. 관리 지점에서 HTTPS 클라이언트 연결만 허용하는 경우 디바이스에는 유효한 클라이언트 인증 인증서가 있어야 하지만 상태 메시지를 보낼 수도 있습니다. 관리 지점은 클라이언트에서 받은 잘못된 상태 메시지를 삭제합니다.

이 취약성에 대한 몇 가지 잠재적인 공격이 있습니다.

• 공격자는 상태 메시지 쿼리를 기반으로 하는 컬렉션의 멤버 자격을 얻기 위해 가짜 상태 메시지를 보낼 수 있습니다.
• 모든 클라이언트는 상태 메시지로 인해 관리 지점에 대한 서비스 거부를 시작할 수 있습니다.
• 상태 메시지가 상태 메시지 필터 규칙에서 작업을 트리거하는 경우 공격자는 상태 메시지 필터 규칙을 트리거할 수 있습니다.
• 공격자는 보고 정보를 부정확하게 만드는 상태 메시지를 보낼 수 있습니다.

정책은 대상이 아닌 클라이언트로 대상을 변경할 수 있습니다.

공격자가 한 클라이언트를 대상으로 하는 정책을 완전히 다른 클라이언트에 적용하는 데 사용할 수 있는 몇 가지 방법이 있습니다. 예를 들어 신뢰할 수 있는 클라이언트의 공격자는 잘못된 인벤토리 또는 검색 정보를 보내 컴퓨터가 속해서는 안 되는 컬렉션에 컴퓨터를 추가할 수 있습니다. 그런 다음 해당 클라이언트는 해당 컬렉션에 대한 모든 배포를 받습니다.

공격자가 정책을 직접 수정하지 못하도록 하는 컨트롤이 있습니다. 그러나 공격자는 OS를 다시 포맷하고 다시 배포하고 다른 컴퓨터로 보내는 기존 정책을 사용할 수 있습니다. 이 리디렉션된 정책은 서비스 거부를 만들 수 있습니다. 이러한 유형의 공격에는 정확한 타이밍과 Configuration Manager 인프라에 대한 광범위한 지식이 필요합니다.

클라이언트 로그는 사용자 액세스를 허용합니다.

모든 클라이언트 로그 파일은 읽기 권한이 있는 사용자 그룹과 데이터를 쓸 수 있는 액세스 권한이 있는 특수 대화형 사용자를 허용합니다. 자세한 로깅을 사용하도록 설정하면 공격자가 로그 파일을 읽고 규정 준수 또는 시스템 취약성에 대한 정보를 찾을 수 있습니다. 클라이언트가 사용자의 컨텍스트에 설치하는 소프트웨어와 같은 프로세스는 낮은 권한의 사용자 계정으로 로그에 기록해야 합니다. 이 동작은 공격자가 낮은 권한 계정으로 로그에 쓸 수도 있다는 것을 의미합니다.

가장 심각한 위험은 공격자가 로그 파일에서 정보를 제거할 수 있다는 것입니다. 관리자는 감사 및 침입 검색을 위해 이 정보가 필요할 수 있습니다.

컴퓨터를 사용하여 모바일 디바이스 등록을 위해 설계된 인증서를 가져올 수 있습니다.

Configuration Manager 등록 요청을 처리하는 경우 컴퓨터가 아닌 모바일 디바이스에서 시작된 요청을 확인할 수 없습니다. 요청이 컴퓨터에서 온 경우 PKI 인증서를 설치하여 Configuration Manager 등록할 수 있습니다.

이 시나리오에서 권한 상승 공격을 방지하려면 신뢰할 수 있는 사용자만 모바일 디바이스를 등록하도록 허용합니다. 사이트에서 디바이스 등록 활동을 주의 깊게 모니터링합니다.

차단된 클라이언트는 여전히 관리 지점으로 메시지를 보낼 수 있습니다.

더 이상 신뢰하지 않는 클라이언트를 차단하지만 클라이언트 알림에 대한 네트워크 연결을 설정한 경우 Configuration Manager 세션의 연결을 끊지 않습니다. 차단된 클라이언트는 클라이언트가 네트워크에서 연결을 끊을 때까지 관리 지점으로 패킷을 계속 보낼 수 있습니다. 이러한 패킷은 작은 유지 패킷일 뿐입니다. 이 클라이언트는 차단 해제될 때까지 Configuration Manager 관리할 수 없습니다.

자동 클라이언트 업그레이드는 관리 지점을 확인하지 않습니다.

자동 클라이언트 업그레이드를 사용하는 경우 클라이언트를 관리 지점으로 이동하여 클라이언트 원본 파일을 다운로드할 수 있습니다. 이 시나리오에서 클라이언트는 관리 지점을 신뢰할 수 있는 원본으로 확인하지 않습니다.

사용자가 macOS 컴퓨터를 처음 등록하면 DNS 스푸핑으로 인한 위험이 있습니다.

등록 중에 macOS 컴퓨터가 등록 프록시 지점에 연결하는 경우 macOS 컴퓨터에 신뢰할 수 있는 루트 CA 인증서가 이미 있을 가능성은 거의 없습니다. 이 시점에서 macOS 컴퓨터는 서버를 신뢰하지 않으며 사용자에게 계속하라는 메시지를 표시합니다. 불량 DNS 서버가 등록 프록시 지점의 FQDN(정규화된 도메인 이름)을 확인하는 경우 macOS 컴퓨터를 불량 등록 프록시 지점으로 보내 신뢰할 수 없는 원본에서 인증서를 설치할 수 있습니다. 이러한 위험을 줄이려면 DNS 지침에 따라 사용자 환경에서 스푸핑을 방지합니다.

macOS 등록은 인증서 요청을 제한하지 않습니다.

사용자는 새 클라이언트 인증서를 요청할 때마다 macOS 컴퓨터를 다시 등록할 수 있습니다. Configuration Manager 여러 요청에 대해 검사 않거나 단일 컴퓨터에서 요청된 인증서 수를 제한하지 않습니다. 불량 사용자는 명령줄 등록 요청을 반복하는 스크립트를 실행할 수 있습니다. 이 공격으로 인해 네트워크 또는 발급 CA(인증 기관)에서 서비스 거부가 발생할 수 있습니다. 이러한 위험을 줄이려면 이러한 유형의 의심스러운 동작에 대해 발급 CA를 주의 깊게 모니터링합니다. 이 동작 패턴을 보여 주는 모든 컴퓨터는 Configuration Manager 계층 구조에서 즉시 차단합니다.

초기화 승인은 디바이스가 성공적으로 초기화되었는지 확인하지 않습니다.

모바일 디바이스에 대한 초기화 작업을 시작하고 Configuration Manager 초기화를 승인하면 Configuration Manager 메시지를 성공적으로 보냈습니다. 디바이스가 요청에 따라 작동했는지 는 확인하지 않습니다.

Exchange Server 커넥터에서 관리하는 모바일 디바이스의 경우 초기화 승인은 디바이스가 아닌 Exchange에서 명령을 받았는지 확인합니다.

옵션을 사용하여 Windows Embedded 디바이스에서 변경 내용을 커밋하는 경우 계정이 예상보다 빨리 잠기게 될 수 있습니다.

Windows Embedded 디바이스가 Windows 7 이전 OS 버전을 실행하고 Configuration Manager 쓰기 필터를 사용하지 않도록 설정한 상태에서 사용자가 로그인을 시도하는 경우 Windows는 계정이 잠기기 전에 구성된 잘못된 시도 횟수의 절반만 허용합니다.

예를 들어 계정 잠금 임계값 에 대한 도메인 정책을 6번의 시도로 구성합니다. 사용자가 암호를 세 번 잘못 입력하면 계정이 잠깁니다. 이 동작은 서비스 거부를 효과적으로 만듭니다. 사용자가 이 시나리오에서 포함된 디바이스에 로그인해야 하는 경우 잠금 임계값이 감소할 가능성에 대해 주의하세요.

클라이언트에 대한 개인 정보

Configuration Manager 클라이언트를 배포할 때 Configuration Manager 기능에 대해 클라이언트 설정을 사용하도록 설정합니다. 기능을 구성하는 데 사용하는 설정은 Configuration Manager 계층 구조의 모든 클라이언트에 적용할 수 있습니다. 이 동작은 내부 네트워크에 직접 연결되거나, 원격 세션을 통해 연결되거나, 인터넷에 연결되어 있는지와 동일합니다.

클라이언트 정보는 SQL Server Configuration Manager 사이트 데이터베이스에 저장되며 Microsoft로 전송되지 않습니다. 정보는 사이트 유지 관리 작업 90일마다 오래된 검색 데이터 삭제 에 의해 삭제될 때까지 데이터베이스에 유지됩니다. 삭제 간격을 구성할 수 있습니다.

일부 요약 또는 집계 진단 및 사용 현황 데이터가 Microsoft로 전송됩니다. 자세한 내용은 진단 및 사용량 현황 데이터를 참조하세요.

Microsoft의 데이터 수집에 대해 자세히 알아보고 Microsoft 개인정보처리방침에서 사용할 수 있습니다.

클라이언트 상태

Configuration Manager 클라이언트의 활동을 모니터링합니다. Configuration Manager 클라이언트를 주기적으로 평가하고 클라이언트 및 해당 종속성과 관련된 문제를 해결할 수 있습니다. 클라이언트 상태 기본적으로 사용하도록 설정됩니다. 클라이언트 활동 검사에 서버 쪽 메트릭을 사용합니다. 클라이언트 상태 자체 검사, 수정 및 클라이언트 상태 정보를 사이트로 보내는 데 클라이언트 쪽 작업을 사용합니다. 클라이언트는 구성한 일정에 따라 자체 검사를 실행합니다. 클라이언트는 검사 결과를 Configuration Manager 사이트로 보냅니다. 이 정보는 전송 중에 암호화됩니다.

클라이언트 상태 정보는 SQL Server Configuration Manager 데이터베이스에 저장되며 Microsoft로 전송되지 않습니다. 정보는 사이트 데이터베이스에 암호화된 형식으로 저장되지 않습니다. 이 정보는 클라이언트 상태 설정에 대해 클라이언트 상태 기록 보존에 대해 구성된 값에 따라 삭제될 때까지 데이터베이스에 유지됩니다. 이 설정의 기본값은 31일마다입니다.

Exchange Server 커넥터에 대한 개인 정보

Exchange Server 커넥터는 ActiveSync 프로토콜을 사용하여 온-프레미스 또는 호스트된 Exchange Server 연결하는 디바이스를 찾아 관리합니다. Exchange Server 커넥터에서 찾은 레코드는 SQL Server Configuration Manager 데이터베이스에 저장됩니다. 정보는 Exchange Server 수집됩니다. 모바일 디바이스가 Exchange Server 보내는 추가 정보는 포함되지 않습니다.

모바일 디바이스 정보는 Microsoft로 전송되지 않습니다. 모바일 디바이스 정보는 SQL Server Configuration Manager 데이터베이스에 저장됩니다. 정보는 사이트 유지 관리 작업 90일마다 오래된 검색 데이터 삭제 에 의해 삭제될 때까지 데이터베이스에 유지됩니다. 삭제 간격을 구성합니다.

Microsoft의 데이터 수집에 대해 자세히 알아보고 Microsoft 개인정보처리방침에서 사용할 수 있습니다.