[인프라진단] #W-63 도메인 컨트롤러-사용자의 시간 동기화

2026. 8. 25. 14:00 · 굥만둣국

1. 항목 설명

Kerberos는 클라이언트와 서버 시계의 차이가 허용 범위를 넘으면 인증을 거부합니다. 허용 오차가 과도하면 재전송 공격 위험이 커지고 너무 작으면 정상 인증 실패가 늘 수 있습니다.

판단 기준: 도메인 환경의 컴퓨터 시계 동기화 최대 허용 오차가 5분 이하면 양호, 5분을 초과하면 취약입니다. 워크그룹 장비는 Kerberos 도메인 정책 적용 대상이 아닙니다.

도메인 구성원과 컨트롤러의 시각 차이를 제한해 Kerberos 티켓 재전송 공격을 방지하고 안정적인 인증을 유지하는 것이 목적입니다.

현재 실습 VM은 WORKGROUP 환경이어서 도메인 컨트롤러 역할이나 Kerberos 도메인 정책을 인위적으로 구성하지 않았습니다. 도메인 가입 여부를 실제 수집해 해당 없음으로 판정했습니다.

이 구성은 인터넷과 분리된 실습 VM에서만 수행했습니다.

Get-CimInstance Win32_ComputerSystem |
    Select-Object Name,Domain,PartOfDomain
# 워크그룹 VM에는 도메인 Kerberos 정책을 강제로 만들지 않음

다음 명령으로 설정 상태를 확인했습니다.

Get-CimInstance Win32_ComputerSystem |
    Select-Object Name,Domain,PartOfDomain
w32tm /query /status

도메인 역할 변경 없이 적용 대상을 재확인했습니다. 실제 도메인에서는 Default Domain Policy의 Kerberos 정책을 5분 이하로 설정하고 W-41의 NTP 계층과 함께 검증해야 합니다.

# 도메인 환경에서 확인할 정책
# 계정 정책 > Kerberos 정책 > 컴퓨터 시계 동기화 최대 허용 오차 <= 5분
Get-CimInstance Win32_ComputerSystem |
    Select-Object Name,Domain,PartOfDomain

Windows 설정 경로: 시스템 속성 > 컴퓨터 이름 > 도메인/작업 그룹

판정: 해당 없음(재확인)
자동 판정 근거: 재확인 시에도 WORKGROUP 환경으로 Kerberos 도메인 정책은 해당 없으며, 일반 시각 동기화는 W-41에서 별도로 통제됩니다.

워크그룹 서버를 무조건 양호 또는 취약으로 판정하면 적용 대상을 왜곡합니다. 도메인 가입 여부, PDC Emulator 시간 원본과 구성원별 실제 시각 오차를 함께 확인해야 합니다.

도메인 자산은 Kerberos 허용 오차를 5분 이하로 관리하고 워크그룹은 적용 제외 근거와 별도 시각 동기화 통제를 명확히 해야 합니다.