[ 2021년 1분기 ]원격데스크톱(RDP)터널링 공격분석 및 대응방법
2 네트워크 기반 보안대책
(1) 네트워크 기반 예방
○ 원격 연결 : 연결을 위해 RDP가 필요한 경우 지정된 점프 박스 또는 중앙 집중식 관리 서버에서 시작되도록 연결을 적용한다. 
○ 도메인 계정 : 권한 있는 계정(예 : 도메인 관리자) 및 서비스 계정에 대해 "원격 데스크톱 서비스를 통한 로그온 거부" 보안 설정을 사용한다. 이러한 유형의 계정은 공격자가 측면 이동하는데 악용될 수 있다.
(2) 네트워크 기반 탐지
○ 방화벽 규칙 : 기존 방화벽 규칙을 검토하여 포트포워딩에 대한 취약 영역을 식
별해야 한다. 포트포워딩의 사용 가능성 외에도 네트워크에서 내부 시스템 간의 통신에 대한 모니터링을 수행해야 한다. 내부 시스템 간의 통신은 필요한 경우를 제외하고 차단하기 위해 방화벽 규칙을 적용할 수 있다.
○ 네트워크 트래픽 : 검사 대상 포트에서 통신하는 모든 트래픽이 보이는 것은 아니다. 예를 들어, 위협 행위자는 TCP 포트 80 또는 443을 사용하여 원격 서버와의
RDP 터널을 설정할 수 있다. 네트워크 트래픽을 자세히 조사하면 실제로 HTTP 또는 HTTPS가 아니라 전혀 다른 트래픽임을 알 수 있다. 따라서 조직은 네트워크 트래픽을 자세히 모니터링 해야한다.
복지부, 민간 의료기관의 사이버공격 대응 능력 강화 추진 !
내부 시스템간의 통신은 필요한 경우를 제외하고 차단하기 위해 어떤 규칙을 적용할 수 있니
방화벽 규칙