RDP 를 꼭 써야 한다면 무엇을 걸어야 하나요?

보완 항목은 네 가지로 정해져 있습니다

먼저 답을 적으면 CISA 지침은 원격 데스크톱이 필요한 경우에 걸어야 할 항목을 네 가지로 적습니다. 다중 인증 적용, 사용 감사, 미사용 포트 차단, 계정 잠금입니다. 네 가지 중 일부만 적용하는 것은 부분 적용이고, 지침이 요구하는 상태가 아닙니다. 그래서 이 글은 네 항목을 하나씩 적용 지점까지 내려 적었습니다.

다중 인증은 피싱 저항성을 요구합니다

같은 지침은 모든 서비스에 피싱 저항성 다중 인증을 적용하라고 적고, 특히 메일과 가상사설망, 중요 시스템에 접근하는 계정을 지목합니다. 원격 접속은 이 지목 범위에 정확히 들어갑니다. 즉 다중 인증을 걸었다는 사실만으로 끝나는 것이 아니라, 어떤 방식인지가 요건에 포함됩니다.

다중 인증을 걸 수 없는 경우의 대체 기준

지침은 가상사설망 연결에 다중 인증을 적용할 수 없는 경우 최소 15자 이상의 고유한 비밀번호를 요구하는 정책을 쓰라고 적습니다. 여기서 중요한 단어는 고유입니다. 길이만 늘리고 다른 계정과 같은 값을 쓰면 요건을 충족하지 않습니다. 길이 15자는 다중 인증이 없는 상태의 대체 기준이라는 점도 함께 기억할 부분입니다.

사용 감사는 기록이 남는지로 판단합니다

사용 감사는 접속을 허용하되 누가 언제 들어왔는지 남기는 것입니다. 기록이 남지 않으면 사고가 생겨도 인지 시각을 특정할 수 없고, 신고 기한을 세는 기준점 자체가 흔들립니다. 같은 지침은 중요 시스템 로그를 최소 1년 보관하라고 적고 PowerShell 로그는 최소 180일을 권고합니다. 감사 설정은 켜는 것으로 끝이 아니라 보관 기간까지 정해야 합니다.

미사용 포트 차단과 계정 잠금은 시도 횟수를 줄입니다

미사용 포트 차단은 접근 면을 줄이고, 계정 잠금은 반복 시도를 비싸게 만듭니다. 두 항목은 성격이 달라 하나로 대체되지 않습니다. 포트를 정리해도 열린 포트에 대한 반복 시도는 남고, 계정 잠금만 걸어도 불필요한 포트는 그대로 열려 있습니다.

사례: 외부 작업이 꼭 필요한 서버 1대

상황은 외부 출장 중에도 접속해야 하는 서버 1대입니다. 입력값은 확인일 2026년 10월 19일, 접속 필요 인원 2명, 다중 인증 적용 가능, 로그 보관 설정 없음, 열린 포트 4개 중 실제 사용 2개입니다. 계산은 네 항목을 차례로 적용하는 것입니다. 첫째 2명 계정에 피싱 저항성 다중 인증을 걸어 2건을 처리합니다. 둘째 접속 기록을 남기고 보관 기간을 1년으로 설정합니다. 셋째 열린 포트 4개 중 미사용 2개를 닫아 2개로 줄입니다. 넷째 계정 잠금 정책을 적용합니다. 최종 결과는 다중 인증 2건, 로그 보관 1년, 열린 포트 2개, 계정 잠금 적용입니다. 결과를 바꾸는 예외는 다중 인증을 지원하지 않는 접속 방식을 쓰는 경우로, 그때는 15자 이상의 고유 비밀번호가 대체 기준이 됩니다. 다음 행동은 열린 포트 목록과 실제 사용 포트를 나란히 적어 차이를 확인하는 것입니다.

네 항목을 다 걸어도 남는 전제

보완 항목을 모두 적용해도 지침의 기본 입장은 바뀌지 않습니다. 원격 데스크톱 같은 서비스를 웹에 노출하지 말라는 것이 기준이고, 네 항목은 불가피한 경우의 보완입니다. 그래서 적용 후에도 노출을 없앨 수 있는 방법이 생겼는지 주기적으로 다시 봅니다. 같은 지침은 비활성·미승인 계정을 분기별로 검토하라고 적고 있어, 이 재검토를 분기 점검에 붙이면 잊지 않습니다.

보완 항목 네 가지와 적용 지점