소프트웨어 권한 상승 정책

Markdown으로 보기

소프트웨어 권한 상승은 지정된 소프트웨어에 실행 계정을 할당하여 사용자를 로컬 관리자 그룹에 직접 추가하지 않고도 일치하는 소프트웨어가 해당 계정으로 실행되도록 합니다. 여기서 설명하는 엔드포인트 실행은 Windows에 한정되며 다른 플랫폼은 별도로 검증해야 합니다.

권한 상승은 소프트웨어가 수행할 수 있는 작업을 늘립니다. 실행 파일과 대상 엔드포인트의 범위를 제한하고 조직이 승인한 실행 계정을 사용하며 먼저 시험 엔드포인트에서 검증합니다. 정책 저장, 엔드포인트 수신 및 의도한 계정으로 실행되는 것은 서로 다른 상태입니다.

실행 ID 관리는 실행 ID 관리를 참조하십시오.

준비

정책 담당자가 Software 정책을 관리하고 실행 계정을 조회 및 선택할 수 있는지 확인합니다. 계정 생성이나 변경이 필요하면 해당 계정 관리 권한이 있는 담당자가 처리합니다. 대상 엔드포인트, 업무 소프트웨어와 필요한 권한을 파악합니다.
신뢰할 수 있는 설치 위치, 제품 이름 및 파일의 SHA-256을 확보합니다. 소프트웨어 업데이트 시 해당 정보를 유지할 담당자를 정하고 운영 환경이 아닌 시험 환경에서 먼저 확인합니다.
최소 권한 원칙에 따라 실행 계정을 선택합니다. 높은 권한의 계정은 소프트웨어와 로드할 수 있는 구성 요소, 설정 및 업데이트 방식의 위험을 평가합니다. 신뢰할 수 없는 소프트웨어에 광범위한 규칙을 사용하지 않습니다.
자격 증명은 조직이 승인한 절차를 통해서만 입력하고 관리합니다. 설명서, 티켓, 스크린샷 또는 관련 없는 통신에 자격 증명을 넣지 않습니다.

실행 계정 준비

Objects & Templates를 열고 Run Identities를 선택합니다. 기존 계정이 업무 요구에 적합한지 확인합니다.

기존 계정이 업무 및 최소 권한 요구에 맞으면 재사용합니다. 생성이나 변경이 필요한 경우 권한 있는 담당자가 실행 계정 관리에 따라 작업하며, 공유 계정을 변경하기 전에 참조 정책에 미치는 영향을 평가합니다. 기본 계정과 지정 계정은 실행 방식과 권한이 다르므로 선택 전에 확인합니다.

소프트웨어 권한 상승 구성

Software에서 Policy를 열고 대상 정책을 만들거나 수정합니다. 이름, 대상 엔드포인트 및 적용 시간을 확인합니다.
소프트웨어 권한 상승을 활성화하고 설정을 열어 실행 규칙을 추가합니다.
실행 파일 필드에 대상 프로그램의 파일 이름 또는 Windows 로컬 절대 경로를 입력합니다. 파일 이름은 .exe로 끝나야 합니다. 같은 이름의 관련 없는 소프트웨어가 포함되지 않도록 검증된 구체적인 경로와 파일을 우선합니다.
파일의 64자 16진수 SHA-256 값을 입력합니다. 페이지는 *도 허용합니다. *를 사용하면 해당 규칙에서 파일 해시 검사를 건너뜁니다. 먼저 파일 교체와 경로 악용 위험을 평가하며 기본 선택으로 사용하지 않습니다.
추가 제품 이름 조건을 입력하고 준비한 실행 계정을 선택합니다. 대상 파일의 제품 정보를 확인합니다. 조건이 너무 넓으면 적용 범위가 확대될 수 있습니다.
규칙 순서를 변경할 수 있습니다. Windows 엔드포인트는 경로, 해시 및 제품 이름 조건에 대해 순서대로 검사하고 처음 일치하는 규칙의 실행 계정을 사용합니다. 조건이 겹치면 더 넓은 규칙의 위치를 확인하고 각 경우를 시험합니다.
규칙 설정 창을 저장한 다음 전체 정책을 저장합니다. 시험 엔드포인트가 정책을 수신한 후 소프트웨어가 요구대로 실행되는지, 실제 실행 계정과 권한이 무엇인지 확인합니다.

구성 중 선택한 실행 계정이 변경되거나 사용할 수 없게 되면 페이지에서 다시 선택하도록 요청할 수 있습니다. 소프트웨어 업데이트로 파일 해시가 변경될 수도 있습니다. 업데이트 후 규칙, 파일 출처 및 시험 결과를 다시 확인합니다. 위험 평가 없이 실행만 복구하려고 해시 제한을 제거하지 않습니다.

지정 계정을 사용할 때는 계정 사용 가능 여부, 엔드포인트 시간과 플랫폼 연결을 확인합니다. 장시간 오프라인이거나 계정 또는 정책이 변경된 후에는 기존 실행 조건이 유효하지 않을 수 있습니다. 지정된 계정으로 실행되지 않으면 이러한 조건을 확인하고 조직 절차에 따라 관리자에게 문의하십시오. 모든 오프라인 상황에서 권한 상승이 가능하다고 가정하지 마십시오.

시작 실패 또는 불명확한 결과가 프로그램이 실행되지 않았음을 반드시 뜻하지는 않습니다. 재시도 전에 대상 프로그램이 이미 시작되었는지와 실제 실행 계정을 확인하여 중복 실행을 방지하고 조직 절차에 따라 처리하십시오. 적용되지 않거나 실패한 일부 경우 원래 계정으로 실행을 시도할 수 있으며 시작되지 않을 수도 있습니다. 프로그램 창만으로 권한 상승 성공을 판단하지 마십시오.

실행 파일 이름만 지정하면 서로 다른 로컬 디렉터리에 있는 같은 이름의 프로그램도 경로 조건에 일치할 수 있습니다. 새 규칙의 추가 제품 이름 조건은 처음에 *이며 이를 유지하면 제품 이름 검사를 건너뜁니다. 파일 이름만 사용하고 해시와 제품 이름도 모두 *로 설정하면 일치 범위가 크게 넓어질 수 있습니다. 보호된 명확한 경로, 검증된 파일 해시 및 적절한 제품 이름을 우선 사용하고 같은 이름의 비교 프로그램도 별도로 시험하십시오. 이러한 조건이 소프트웨어와 업데이트 출처에 대한 검토를 대체하지는 않습니다.

검증 및 문제 해결

시험 엔드포인트에서 일치해야 하는 소프트웨어와 일치하지 않아야 하는 비교 소프트웨어를 모두 시험합니다. 실행 결과, 실제 실행 계정 및 업무 동작을 확인합니다.
규칙을 저장할 수 없는 경우: 규칙이 하나 이상 있는지 확인하고 .exe 경로, SHA-256 형식, 제품 이름 및 실행 계정을 검사합니다. 계정이 여전히 존재하는지 확인하고 페이지에서 요청하면 변경된 계정을 다시 선택합니다.
소프트웨어가 의도한 계정으로 실행되지 않는 경우: 정책 범위와 엔드포인트 수신, 실제 프로그램 경로, 해시, 제품 이름 및 규칙 순서를 확인합니다. 이어서 계정 사용 가능 여부와 페이지 메시지를 확인합니다.
업데이트 후 동작이 바뀐 경우: 버전 또는 해시가 바뀌었는지 확인합니다. 설치 출처를 검증하고 조직 절차에 따라 규칙을 수정한 후 범위 확대 전에 시험을 반복합니다.
실행 계정을 삭제할 수 없거나 변경이 다른 정책에 영향을 주는 경우: 참조 관계와 기본 제공 계정의 제한을 확인합니다. 기존 업무가 중단되지 않도록 영향을 받는 정책 담당자와 협의합니다.

프로그램이 시작되었는지만으로 권한 상승의 성공을 판단하지 않습니다. 결과가 검증되고 복구 절차가 준비된 후에만 범위를 확대합니다.

수정일 2026. 11. 15.