도메인 컨트롤러 CPU 급증 해결 및 GPO 구성 문의

Dong-hyun Jung 40 평판 포인트
2026-10-13T06:07:41.9+00:00

도메인 컨트롤러의 CPU가 급증하는 문제를 해결하려고 합니다. 시스템 로그를 확인하고 있습니다. 자동화된 레거시 앱의 쿼리를 확인하다가, 인증되지 않은 LDAP(unauthenticated LDAP)를 통해 연결되고 있다는 것을 발견했습니다.

다음은 제가 가이드/답변이 필요한 부분입니다: 요구

사항: LDAP 서명(LDAP signing) 강제 적용 추가 요구

사항: 및 GPO를 통한 채널 바인딩(channel binding)

질문: 이 설정을 어떻게 해야 하나요?

비즈니스용 Windows | Windows 365 Enterprise
댓글 0개

답변 1개

정렬 기준: 가장 유용함
가장 유용함 최신순 등록순
  1. VPHAN 45,825 평판 포인트 독립 자문가
    2026-10-13T12:22:36.5966667+00:00

    Dong-hyun Jung

    도메인 컨트롤러의 보안을 강화하려면 LDAP 서명 및 LDAP 채널 바인딩을 강제해야 합니다. 하지만 이러한 엄격한 요구 사항을 적용하면 레거시 애플리케이션이 안전한 인증을 사용하도록 재구성될 때까지 즉시 해당 애플리케이션의 연결이 차단된다는 점에 유의하시기 바랍니다.

    LDAP 서명을 강제하려면 Domain Controllers 조직 구성 단위(OU)를 대상으로 하는 그룹 정책 개체를 편집해야 합니다. '컴퓨터 구성', '정책', 'Windows 설정', '보안 설정', '로컬 정책'을 거쳐 '보안 옵션'으로 이동합니다. '도메인 컨트롤러: LDAP 서버 서명 요구 사항'이라는 정책을 찾아 '서명 필요'로 설정합니다. 이렇게 하면 도메인 컨트롤러가 인증되지 않은 요청 및 단순 바인딩 요청을 거부하도록 명시적으로 강제합니다.

    LDAP 채널 바인딩을 구성하려면 도메인 컨트롤러에 그룹 정책 레지스트리 기본 설정을 배포해야 합니다. HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters 경로에 LdapEnforceChannelBinding이라는 레지스트리 DWORD 값을 배포하고 데이터 값을 2로 구성해야 합니다. 이러한 엄격한 강제 적용을 통해 모든 LDAP over TLS 연결에 유효한 채널 바인딩 정보가 포함되도록 보장하여, 자격 증명 릴레이 공격을 효과적으로 방지할 수 있습니다.

    이 답변이 유용한 정보가 되었기를 바랍니다. 도움이 되셨다면 "답변 수락(accept answer)"을 클릭해 주세요. 궁금한 점이 있으시면 언제든지 댓글을 남겨주시기 바랍니다.

    VPHAN

    이 대답이 도움이 되었나요?

    댓글 0개

답변

질문 작성자는 답변을 '승인됨'으로 표시하고, 중재자는 답변을 '추천됨'으로 표시할 수 있습니다. 이를 통해 사용자는 해당 답변이 작성자의 문제를 해결했다는 것을 알 수 있습니다.