자료실

빈틈없는 액티브 디렉토리 재해 복구 전략 만들기 – 1부



빈틈없는 액티브 디렉토리 재해 복구 전략 만들기 – 1부



모든 기업에는 견고한 액티브 디렉토리(Active Directory, AD) 재해 복구 전략이 필요합니다. 이유는 단순합니다. AD가 다운된 채로 시간이 흘러가는 동안 비즈니스도 서서히 죽어 가기 때문입니다.


왜일까요? AD가 멈추면 정확히 어떤 일이 발생하는 걸까요? AD는 직원의 워크스테이션 로그인부터 데이터 액세스, 애플리케이션 실행, 고객 서비스 제공에 이르기까지 기업이 IT 생태계에서 수행하는 거의 모든 작업에 필요한 핵심 서비스를 제공합니다. 따라서 재해로 인해(사이버 공격, 자연재해, 또는 성급한 관리자의 치명적인 실수 등) AD가 다운되면 모든 요소가 그 자리에 멈추고, AD가 정상으로 돌아올 때까지 움직이지 못합니다.


그로 인한 손실액은 급속히 증가합니다. 실제로 다운타임 1시간으로 인한 손실액이 100만 달러에서 500만 달러 이상이라고 보고한 기업은 40%에 달합니다. 최악의 시나리오에서 손실액은 분당 수백만 달러에 이를 수 있습니다.


AD 다운타임과 그로 인해 필연적으로 발생하는 비즈니스 피해를 최소화하는 최선의 방법은 포괄적인 AD 재해 복구 전략을 마련하는 것입니다. AD 재해 복구란 무엇이고 어떻게 작동할까요? 도메인 컨트롤러(Domain Controller, DC)를 실제 백업에서 복구하려면 어떻게 해야 할까요? 그리고 또 한 가지 중요한 질문이 있습니다. 복구 프로세스를 최대한 빠르고 원활하게 수행하는 방법은 무엇일까요? 답을 하나씩 살펴봅시다.


“온전한 AD 복원 프로세스를 갖추고 있지 않으면 잘 문서화된 랜섬웨어 공격을 받았다 할지라도 복원 프로세스에 지장이 생길 수 있습니다.”

- 가트너, “현대 백업 인프라를 사용하여 랜섬웨어 공격으로부터 복구하는 방법”, 핀탄 퀸, 2021.6.4.


AD 재해 복구 프로세스에 포함되는 것

AD 재해 복구의 핵심은 DC를 정상으로 복구하는 것입니다. DC는 마이크로소프트 AD 도메인 서비스 역할을 수행해 인증 및 권한 부여 같은 필수 서비스를 제공하는 서버입니다. 정상 가동되는 DC가 하나라도 없으면 온프레미스 또는 하이브리드 마이크로소프트 생태계는 제 기능을 수행하지 못합니다.


DC 복구를 위해서는 프로세스 준비, 실제 복원 수행, 복제 파트너와의 DC 동기화를 거쳐 다시 사용할 수 있는 상태로 만들기까지 많은 단계에 걸쳐 세심한 조율이 필요합니다. 이런 과정은 재해로 인해 하나의 AD에 있는 모든 DC가 다운된 경우에도 충분히 복잡한데, 전체 AD 포리스트가 영향을 받는다면 AD 재해 복구 프로세스는 더 길고 더 복잡해집니다.


AD 복구 단계

재해 발생 후 비즈니스를 정상 복구하는 가장 빠른 방법이자 마이크로소프트를 비롯한 업계 전문가들이 모두 권장하는 최선의 AD 재해 복구 방법은 단계별 접근입니다. 각 도메인에서 하나의 핵심 DC를 신속하게 온라인으로 복구한 다음 나머지 DC 복구에 착수하는 것입니다. 이 단계를 세부적으로 살펴보면 다음과 같습니다.


1단계 : 각 도메인에서 하나의 DC 복원하기. 각 도메인에서 하나의 DC를 복원하면 비즈니스를 완전 정상까지는 아니어도 신속하게 어느 정도는 다시 움직이게끔 할 수 있습니다.


첫 단계는 선택한 DC를 백업에서 복원하는 것입니다. 이 단계에서 선택할 수 있는 옵션은 기업이 어떤 툴을 보유하는지에 따라 달라집니다. 상대적으로 덜 포괄적인 솔루션을 사용하고 있다면 BMR(Bare Metal Recovery)와 같은 이미지 수준 복구로 제한될 수 있습니다. 엔터프라이즈급 솔루션을 사용하면 네이티브 툴에서는 불가능한 클린 운영체제(OS) 복구도 가능합니다. 2가지 옵션이 모두 가능할 때는 다음과 같은 요소를 고려해야 합니다.


· BMR에는 여러 요구사항이 있습니다. 타겟 머신에 OS를 미리 설치할 필요는 없지만 동일한 물리적 디스크 레이아웃이 필요합니다. 또한 원래의 컴퓨터와 동일한 파티션을 배치하기 위해 디스크의 용량은 최소한 원본 DC와 같아야 합니다. 부팅에 중요한 드라이버 삽입, 수동(명령줄) 네트워크 구성 등에 대해서도 생각해야 합니다. 클린 OS 복원에서는 이런 부분에 신경 쓰지 않아도 됩니다. 이미 모든 드라이버가 완비돼 있고 GUI를 사용해 네트워크에서 손쉽게 구성이 가능한 윈도우 서버로 시작하면 됩니다.


· BMR은 전체 볼륨(디스크 파티션)을 복원합니다. 부팅 섹터, 프로그램 파일 디렉토리, 윈도우 및 WinSXS 디렉토리 등 AD에 속하지 않은 파일도 포함합니다. 만일 DC가 인증 기관 실행, 파일 및 인쇄 서비스 실행, AD에 통합되지 않은 DNS 영역 호스팅처럼 AD와 관련 없는 서비스에 사용된다면 이런 데이터가 필요할 수 있습니다. 그러나 부가적인 파일은 악성 프로그램이 은닉할 수 있는 장소를 풍부하게 제공합니다. 따라서 대부분, 특히 제로데이 취약점을 사용한 것으로 추정될 때는 클린 OS 복구를 권장합니다.


백업에서 복원한 이후에는 DC가 다시 통신하면서 포리스트로서 기능하도록 해야 합니다. 마이크로소프트의 AD 포리스트 복구 가이드에는 백업에서 복원한 모든 DC에서 수행해야 하는 40개 이상의 단계로 구성된 12가지 구성 절차가 나와 있습니다. 이런 단계를 제대로 완료하지 않을 경우 AD가 손상되거나 보안 취약점이 남을 수 있습니다.


2단계 : 나머지 DC 프로모션하기. 이 단계에서도 DCPromo를 포함한 간단한 몇 가지 옵션이 있지만 마이크로소프트는 ‘미디어에서 설치(install from media, IFM)’를 사용한 프로모션을 권장합니다. IFM은 네트워크를 통해 전송되는 트래픽의 양을 절반으로 줄여주므로 DC 프로모션 프로세스 속도를 대폭 높일 수 있습니다.


AD 재해 복구에 소요되는 시간

복구 속도는 AD 환경의 세부 사항, 사용하는 툴과 프로세스, 복구 계획이 얼마나 충실하게 문서화되어 있는지, 그리고 얼마나 많이 연습했는지에 따라 달라집니다. 이런 부분은 기업마다 다르므로 “얼마나 길게 이어져 있는가”라는 질문과 같습니다.


마이크로소프트 툴을 사용해 수동으로 수행하는 AD 포리스트 복구는 어렵고 많은 시간이 소요되며, 오류가 발생하기도 쉽습니다. 또한 프로세스에 애저 AD 복구가 포함되는 경우 동기화 및 데이터 일관성 문제가 발생할 수도 있습니다. 예를 들어, 업무 수행에 반드시 필요한 오피스 365 라이선스, 애플리케이션 역할 할당과 같은 클라우드 기반 속성이 누락될 수 있습니다. 이런 속성 대부분은 애저 AD의 휴지통에 들어가지 않으므로 수동 복구로는 적시에 복원, 또는 ‘리빌딩(rebuilding)’하는 것이 거의 불가능합니다.


AD 복구 프로세스 속도 높이기

AD 재해 복구 전용 솔루션은 수작업으로 진행하는 복구 프로세스의 많은 부분을 자동화함으로써 복구 속도를 높입니다. 자동화로 기업은 더 적은 IT 담당자로 더 빠르게 복구 프로세스를 진행하면서 올바른 순서에 따라 오류 없이 단계를 완료할 수 있습니다. 예를 들어, 네이티브 툴을 사용할 때 DC 프로모션은 각 DC에서 하나씩 수행해야 하며 각 서버의 프로모션에는 몇 분에서 몇 시간이 소모됩니다. 서드파티 솔루션은 IFM 프로세스로 DCPromo를 자동화하고 여러 DC를 병렬로 프로모션해 복구의 2단계 절차에 소요되는 시간을 대폭 줄입니다. 핵심은 자동화된 솔루션이 AD 다운타임을 비약적으로 줄이고 정상 운영으로의 복구 속도를 높이며, 재해 비용을 최소화하는 데 도움이 된다는 것입니다.


또한 최상의 AD 재해 복구 솔루션은 AD와 애저 AD 복구를 하나의 툴셋으로 모두 처리합니다. 이런 통합 기능은 동기화 문제를 방지하고 온프레미스 AD와 애저 AD의 가용성과 무결성을 보장하므로 중요합니다. IT팀은 하나의 복구 대시보드에서 하이브리드와 클라우드 전용 객체를 손쉽게 구분하고, 프로덕션과 실시간 백업을 비교하고, 신속하게 복원 작업을 수행할 수 있습니다.


이상적으로는 AD 재해 복구 솔루션은 재해 복구뿐 아니라 세분화된 복구 기능도 수행합니다. 따라서 IT팀은 많은 시간을 투입해야 하는 DC 재시작 작업 없이 특정 객체(그룹 정책 객체 포함)와 속성(마이그레이션 작업 또는 엇나간 메타데이터 디렉토리 프로세스에 의해 잘못 수정된 속성 등)을 복원할 수 있습니다.


지금까지 AD 복구 프로세스와 각 단계에서 고려해야 할 사항, AD 복구에 시간이 오래 걸리는 이유에 대해 살펴보았습니다. 그렇다면 완벽한 AD 재해 복구 계획을 수립하는 전략은 무엇일까요? 2부에서는 AD 재해 복구를 위한 주요 팁을 알려드리겠습니다.


AD 관리와 재해 복구 솔루션에 대해 궁금한 점이 있으시면 퀘스트소프트웨어 코리아로 언제든 문의 주시기 바랍니다.


퀘스트소프트웨어코리아(주)

서울특별시 강남구 테헤란로 445 본솔빌딩10F
전화 번호 02-3420-9000 | 팩스 번호 02-569-3600

전자 메일 KoreaMarketing@quest.com 


Copyright © Quest. All Rights Reserved.

Hosting by I'MWEB


퀘스트소프트웨어코리아(주) 서울특별시 강남구 테헤란로 445 본솔빌딩10F
전화 번호 02-3420-9000 | 팩스 번호 02-569-3600 | 전자 메일 KoreaMarketing@quest.com


Copyright © Quest. All Rights Reserved.

Hosting by I'MWEB