Pre-Windows 2000 compatible access 그룹의 다음 멤버를 제거하십시오.

ANONYMOUS LOGON, w/ SID S-1-5-7
EVERYONE, w/ SID S-1-1-0

기본적으로 null 세션 또는 인증되지 않은 세션이 Windows Server 2000 및 2003에서 허용됩니다. 이렇게 하면 인증되지 않은 사용자가 디렉터리에서 중요할 가능성이 있는 정보(예: 설명에서 발견되는 사용자 이름 및 일반 텍스트 비밀번호)를 열거할 수 있습니다.
Windows Server 2008에서는 더 이상 새로운 설치에 대해 null 세션을 허용하지 않지만, 업그레이드하면 이전 버전과의 AD 호환성이 유지됩니다.
그룹 정책을 사용하여 도메인 컨트롤러에서 SMB/NETBIOS NULL 세션을 사용 중지하려면 다음 단계를 따르십시오(이러한 그룹 정책 설정에 액세스하려면 GPO를 편집하고 Computer configuration\Policies\Windows Settings\Security Settings\Local Policies\SecurityOptions로 이동하십시오.)

다음의 그룹 정책 설정을 도메인 컨트롤러(일반적으로 Default Domain Controllers Policy)에 적용된 GPO 개체에 추가합니다:

Network access: Restrict Anonymous access to Named Pipes and Shares
Network access: Do not allow anonymous enumeration of SAM accounts
Network access: Do not allow anonymous enumeration of SAM accounts and shares

다음의 그룹 정책 설정을 사용 중단합니다.

Network access: Let Everyone permissions apply to anonymous users
Network access: Allow anonymous SID/Name translation

"네트워크 액세스"를 사용자 지정합니다.

Network access: Shares that can be accessed anonymously

Authenticated Users 그룹은 일반적으로 Windows 2000 이전 호환 액세스 그룹의 멤버이며, 보안 위험을 초래하지 않습니다. 이 그룹을 제거하면 Tenable Identity Exposure를 비롯하여 소프트웨어 솔루션과 Active Directory 특성에 대한 가시성에 부정적인 영향을 미칠 수 있으므로 제거하지 않는 것이 좋습니다.
필요한 경우, 다른 잠재적 멤버를 제거하십시오. 그렇지만 일부 기존 애플리케이션과 장치(예: 프린터)에서 이 기존 기능을 필요로 하는 기능을 제공하지 못할 수 있습니다.

탐지

Windows 2000 이전 호환 액세스 제어를 사용하는 계정

high

설명

솔루션

참고 항목

지표 세부 정보