[Section 03] 윈도우 서버 취약점 (126 ~ 140pg)

 [01 계정 관리] 

 (1) Administrator 계정 이름 변경 

개요

• 관리자 계정은 컴퓨터 전체에 대한 모든 권한을 가진 계정이므로 특별한 관리자 필요
• 기본 관리자 계정명인 Administrator를 그대로 사용할 경우 악의적인 공격자에 의해 패스워드 무차별 공격에 취약할 수 있다. 따라서 쉽게 유추하기 어려운 관리자 계정명으로 변경할 것을 권장
• 윈도우 관리자 계정의 경우 로그온 실패 횟수에 제한이 없는 특징이 있다.

 (2) Guest 계정 사용 제한 

개요

• Guest 계정은 소프트웨어나 하드웨어 설치, 설정 변경, 암호 만들기 등을 할 수 없고 외부 사용자가 컴퓨터를 잠시 접근할 수 있는 계정이다.
• Guest 계정은 불특정 사용자의 시스템 접근을 허용하는 ㅜ치약한 계정으로 사용 제한을 권장하며 불특정 다수의 접근이 필요한 경우 Guest 계정이 아닌 일반 사용자 계정을 생성해 사용하도록 해야 한다.

 (3) 불필요한 계정 제거 

개요

• 불필요한 계정, 의심스러운 계정, 장기간 사용하지 않는 계정은 삭제 또는 계정 잠금 설정

 (4) 관리자 그룹에 최소한의 사용자 포함 

개요

• 관리 업무를 수행하는 계정과 일반 업무를 수행하는 계정은 분리하여 사용하는 것이 바람직하며 관리자 그룹에는 최소한의 계정만을 포함한다.

 (5) 암호/패스워드 정책 설정 

보안설정

• 패스워드 설정시 영문자, 숫자, 특수문자를 모두 포함하여 보안적으로 한전한 패스워드를 만들어야 한다.
• 윈도우 운영체제의 복잡성 기준
  • 영문 대문자, 소문자, 숫자, 특수문자 중 2가지 이상의 조합으로 10자리 이상, 3가지 이상의 조합으로 8자리 이상의 길이가 되어야 함
• 최근 패스워드 기억 설정
  • 사용자가 최근 사용했던 패스워드를 동일하게 사용할 수 없도록 설정한다. 최그 ㄴ암호 기억을 12개 이상으로 설정 권장
• 패스워드 최대 사용기간 설정
  
  • 최대 암호 사용 기간 90일 이하 권장
  • 계정 속성의 암호 사용기간 제한 없음 해제
• 패스워드 최소 사용기간 설정
  • 최소 암호 사용 기간을 0보다 큰 값으로 설정 권장
• 해독 가능한 암호화 사용 설정
  • 해독 가능한 암호방식으로 저장할 경우 공격자의 암호공격에 노출될 수 있다. 사용 안함 설정한다.

 (6) 계정 잠금 정책 

보안설정

• 계정 잠금 기간
  • 계정 잠금 기간을 설정하면 패스워드가 틀린 횟수가 계정 잠금 임계값에 도달했을 때 지정한 시간동안 계쩡을 잠근다. 따라서 공격자의 무차별 공격에 효과적으로 대응할 수 있다. 60분 이상 설정 권장
• 계정 잠금 임계값
  • 계정 잠금 임계값 5 이하의 값 권장, Administrator 계정은 잠기지 않는다.
• 다음 시간 후 계정 잠금 수를 원래대로 설정
  • 실패한 로그온 시도 후 실패한 로그온 시도 카운트가 0으로 설정될 때까지 경과해야 하는 시간을 지정한다. 60분 이상 설정 권장

 [02 서비스 관리] 

 (1) 하드디스크 기본 공유 제거 

개요

• Windows는 프로그램 및 서비스를 네트워크나 컴퓨터 환경에서 관리하기 위해 시스템 기본 공유 항목을 자동으로 생성한다.
  • 하드디스크 기본 공유 : C$, D$ 등
  • 원격 관리 및 IPC 용 기본 공유 : ADMIN$, IPC$
• 하드디스크 기본 공유인 C$, D$ 등을 제거하지 않으면 기본 공유 폴더를 통해 인가받지 않은 사용자가 하드디스크 내의 폴더나 파일에 접근하거나 바이러스가 침투하는 경로가 될 수 있다.

보안설정

• 하드디스크 기본 공유 설정 확인
  • 관리화면에서 공유 중지를 하거나 cmd창의 net share C$ /delete명령을 통해 공유 중지가 가능하다. 단, 기본 공유의 경우 공유 중지를 해도 운영체제가 재시작되면 다시 생성되기 때문에 레지스트리 수정이 필요하다.
    • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControl\Services\LanmanServer\Parameters를 선택한 후 "AutoShareServer" DWORD값 생성 후 0으로 설정한다.

 (2) 공유 권한 및 사용자 그룹 설정 

개요

• 공유 폴더에 Everyone 그룹이 포함되어 있으면 익명 사용자에 의한 접근이 가능하므로 Everyone 그룹을 제거하도록 한다.

보안설정

• Everyone 그룹의 공유 폴더 권한 제거

 (3) 불필요한 서비스 제거 

개요

• 취약한 서비스들이 디폴트로 설치되어 실행되고 있으면 이러한 서비스 또는 응용 프로그램은 공격 지점이 될 수 있으므로 사용자 환경에서 필요하지 않은 서비스나 실행 파일을 사용하지 않거나 제거한다.
• 주요 취약한 서비스는 다음과 같다.
  • Alerter : 서버에서 클라이언트로 경고 메시지를 보냄
  • Clipbook : 서버 내 클립북을 다른 클라이언트와 공유
  • Messenger : net send 명령어를 이용하여 클라이언트에 메시지 보냄
  • Simple TCP/IP Service : Echo, Discard, Character Generator, Daytime, Quote of the Day

보안설정

• 제어판 > 관리도구 > 서비스에서 불필요한 서비스를 확인한다.
• 불필요한 서비스가 시작 상태이면 이를 중지한 후 시작 유형을 '사용 안함'으로 선택한다.

 [03 로그 관리] 

 (1) 감사 정책 설정 

개요

• 윈도우 운영체제에서 말하는 감사 정책은 어떤 로그를 남길지를 정의한 규칙을 말한다. 감사 정책을 설정하게 되면 감사 정책에 의해 지정한 이벤트 범주에 대해서만 로그가 남는다.
• 감사 설정이 구성되어 있지 않거나 감사 설정 수준이 너무 낮으면 보안 관련 문제 발생 시 원인을 파악하기 어려우며 법적 대응을 위한 증거로 사용될수도 없다.
• 감사 설정이 너무 높으면 보안 로그에 불필요한 항목이 많이 기록되므로 매우 중요한 항목과 혼동할 수 있으며 시스템 성능에도 심각한 영향을 줄 수 잇기 때문에 법적 요구 사항과 조직의 정책에 따라 필요한 로그를 남기도록 설정한다.

보안설정

• 감사 항목 - 권장값 : 설명
  • 개체 액세스 - 감사안함 : 파일, 디렉터리, 레지스트리, 프린터 등의 객체에 대한 접근 성공/실패 여부를 기록할지를 결정
  • 계정 관리 - 실패만 : 계정관리 이벤트를 감사할지 여부를 결정, 사용자 계정 또는 그룹의 생성, 변경, 삭제, 암호의 설정 및 변경 등의 이벤트 성공/실패를 기록
  • 계정 로그온 이벤트 - 성공, 실패 : 도메인 계정에 대한 로그온 성공/실패 관련 이벤트 로그를 기록할지를 결정
  • 권한 사용 - 실패만 : 권한 사용의 성공 및 실패를 감사할 경우 사용자 권한을 이용하려고 할떄마다 이벤트 생성
  • 디렉터리 서비스 액세스 - 실패만 : Active Directory 개체의 시스템 액세스 컨트롤 목록에 나열된 사용자가 해당 개체에 액세스를 시도할 때 이벤트 생성
  • 로그온 이벤트 - 성공, 실패 : 로컬 계정에 대한 로그온/로그오프 성공/실패에 대한 이벤트를 기록할지를 결정
  • 시스템 이벤트 - 감사안함 : 시스템 시작 또는 종료, 보안 로그에 영향을 미치는 이벤트 등을 감사할지 여부를 결정
  • 정책 변경 - 성공, 실패 : 감사 정책 변경의 성공 및 실패를 감사
  • 프로세스 추적 - 감사안함  : 실행되는 프로세스에 대한 자세한 추적 정보를 감사하는 경우 프로세스 생성, 프로세스 종료, 핸들 복제 및 간접 개체 액세스 같은 프로세스 관련 이벤트를 감사할지 여부를 결정