[지디넷코리아]DC(Domain Controller)의 DSRM(Directory Services Restore Mode) 패스워드는 윈도우 네트워크에서 가장 중요하지만 간과되고 있다. 이 패스워드는 액티브 디렉토리(Active Directory) 전체에서 가장 중요하다. 마이크 뮬린즈는 시큐리티 솔루션즈(Security Solutions)의 이번 호에서 패스워드를 갱신해 보안을 강화하는 방법을 소개한다.

패스워드에 대해, 기관은 보통 패스워드를 복잡하게 만들고 잘 변경하지 않는다. 그러나 DC의 DSRM(Directory Services Restore Mode) 패스워드는 윈도우 네트워크에서 가장 중요하지만 간과되고 있다.

DC마다 하나의 DSRM 패스워드가 있고, 이 패스워드로 DC에 로그인해 오프라인 상태에서 액티브 디렉토리를 복사하기 위해 DSRM으로 재시작할 수 있다. DC를 재 시작하고 DSRM 모드로 재 시작하기 위해 컴퓨터가 시작할 때 [F8]을 누르면 다음과 같은 메뉴가 뜬다.

* 안전 모드
* VGA 모드 사용
* 마지막으로 성공한 구성
* 디렉토리 서비스 복원 모드

왜 DSRM 패스워드를 갱신해야 하는 가?
이 패스워드는 굉장히 강력하다. 다른 관리 계정과 마찬가지로 규칙적으로 변경해 주어야 한다. 로컬에서 DC에 로그인하는 사람은 머신을 재 시작시킬 수 있고 NTDS.DIT 파일을 수정하거나 복사할 수 있을 뿐만 아니라 모든 활동을 기록하지 않고 서버를 재시작시킬 수도 있다.

윈도우 2000 서버로 윈도우 네트워크를 구성하고 서버 구성 마법사를 사용하여 첫 번째 도메인 컨트롤러로 만들었다면 DSRM 암호는 비워져(null 값) 있다. 이 암호는 복구 콘솔(Recovery Console)에도 쓰이는데 DSRM과 복구 콘솔에 패스워드를 비워두는 것은 윈도우 2000 DC의 취약점을 열어두는 것이다.

만약 윈도우 2003 서버로 구성했다면 DCPromo나 윈도우 서버 2003의 서버 구성마법사를 실행할 때 DSRM 패스워드를 입력해야만 한다. 패스워드를 비워두진 않았지만 잊어버릴지도 모른다.

OS를 사용중이라서 함부로 할 수 없다고 해도 이 중요한 패스워드를 갱신하는 방법을 알고 있어야 한다. DSRM 패스워드를 갱신하는 방법을 살펴보자.

명령 프롬프트에서 DSRM 패스워드를 변경할 수 있는데, 윈도우 2000 서버와 2003 서버에서 방법이 약간 다르다.

다음과 같이 윈도우 2000 서버에서는 SETPWD 명령어로 패스워드를 변경할 수 있다.

1. 관리자 권한이 있는 계정으로 DC에 로그인 한이다.
2. 시작 | 실행메뉴에서 "cmd"를 입력하고 엔터 키를 누른다.
3. 명령 프롬프트웨서 "cd %SystemRoot%\System32"를 입력하고 엔터 키를 누른다.
4. “setpwd [/s:서버이름]”을 입력하고 엔터 키를 누른다. 서버이름은 만약 DC의 DSRM 암호를 원격으로 갱신할 때 사용하는 선택사항이다.
5. 디렉터리 서비스 복원 모드 관리자 계정 암호를 입력하라는 메시지가 나타나면 사용할 새 암호를 입력한다.

다음과 같이 윈도우 2003 서버에서는 NT 디렉토리 서비스 도구(Ntdsutil.exe)로 패스워드를 변경할 수 있다.

1. 관리자 권한이 있는 계정으로 DC에 로그인한다.
2. 시작 | 실행메뉴에서 "cmd"를 입력하고 엔터 키를 누른다.
3. 명령 프롬프트에서 "cd %SystemRoot%\System32"를 입력하고 엔터 키를 누른다.
4. "ntdsutil"를 입력하고 엔터 키를 누른다.
5. DSRM 암호를 입력하고 엔터 키를 누른다.
6. DSRM 명령 프롬프트에서 사용하는 서버나 원격의 서버의 암호를 변경할 수 있다. 만약 암호가 설정돼지 않은 상태였다면 새 암호를 입력하라고 한다.(입력할 때 암호는 무엇을 입력하는지 노출되지 않는다.)
7. DSRM 명령 프롬프트에서 "q"를 입력해 DSRM 명령 프롬프트를 종료한다.
8. Ntdsutl 명령 프롬프트에서 이 도구를 종료하려면 "q"를 입력하고 종료되면 명령 프롬프트로 돌아간다.

DSRM 패스워드는 전체 액티브 디렉토리 구조에서 매우 중요하다. 한번 설정하고 기억 못해도 되는(주: 시스템에 큰 영향을 주지 않는) 계정 패스워드와는 다르다. 액티브 디렉토리의 문제를 해결하려면 이 패스워드가 필요하기 때문에 패스워드를 변경해야 한다. 그러므로 패스워드를 변경해 안전하게 만드는 방법을 알아야 한다.

***필자 소개***:
마이크 뮬린스는 미 재무부 비밀 검찰국과 국방부 정보시스템 계획국에서 네트워크 부관리자 겸 네트워크 보안 관리자로 일하고 있다. 현재는 STNO(Southern Theater
Network Operations)과 시큐리티 센터의 운영 이사를 맡고 있다.