주요정보통신기반시설 취약점 진단 상세가이드_윈도우즈 서버보안(1)

점검대상 : 윈도우즈 10 (Home edition)

 

※ Home edition의 경우 로컬 보안정책 등의 기능이 포함되어 있지 않아 외부 파일을 다운로드 받아야 할 경우가 있음

 

1.1 Administrator 계정 이름 변경 또는 보안성 강화

• 점검내용 : 윈도우즈 최상위 관리자 계정인 Administrator의 계정명 변경 또는 보안을 고려한 비밀번호 설정 여부 점검
• 점검목적 : 윈도우즈 기본 관리자 계정인 Administrator의 이름을 변경 또는 보안을 고 려한, 잘 알려진 계정을 통한 악의적인 패스워드 추측 공격을 차단하고자 함
• 보안위협 : 일반적으로 관리자 계정으로 잘 알려진 Administrator를 변경하지 않은 경우 악의적인 사용자의 패스워드 추측 공격을 통해 사용 권한 상승의 위험이 있 으며, 관리자를 유인하여 침입자의 액세스를 허용하는 악성코드를 실행할 우 려가 있음, 윈도우즈 최상위 관리자 계정인 Administrator는 기본적으로 삭제하거나 잠 글 수 없어 악의적인 사용자의 목표가 됨

 

• 점검방법

WMIC USERACCOUNT GET NAME 명령어를 이용하여 유저이름을 확인,  rename 명령어로 관리자 명을 바꿔준다.(윈도우즈 11은 점검지침에 나온 로컬 보안정책 메뉴가 보이지 않아 cmd 실행창에서 점검을 해줬다.)

 

 

1.2 Guest 계정 비활성화

• 점검내용 : Guest 계정 비활성화 여부 점검
• 점검목적 : Guest 계정을 비활성화 하여 불특정 다수의 임시적인 시스템 접근을 차단하 기 위함
• 보안위협 : Guest 계정은 시스템에 임시로 액세스해야 하는 사용자용 계정으로, 이 계 정을 사용하여 권한 없는 사용자가 시스템에 익명으로 액세스할 수 있으므 로 비인가자 접근, 정보 유출 등 보안 위험이 따를 수 있음

• 점검방법

net user Guest 명령어를 이용해 Guest 계정이 활성화 되어있는지 확인

실습을 위해 Guest 계정을 활성화 시켜준다.

다음실습을 위해 미리 guest123이라는 계정도 만들어준다.

계정이 활성화 되어있는 상태

net user 계정명 /active:no 명령을 통해 사용하지 않는 Guest 계정을 비활성화 시킨다.

 

 

1.3 불필요한 계정 제거

• 점검내용 : 시스템 내 불필요한 계정 및 의심스러운 계정의 존재 여부를 점검
• 점검목적 : 퇴직, 전직, 휴직 등의 이유로 더 이상 사용하지 않는 계정, 불필요한 계정 및 의심스러운 계정을 삭제하여, 일반적으로 로그인이 필요치 않은 해당 계정들을 통한 로그인을 차단하고, 계정의 패스워드 추측 공격 시도를 차단하고자 함
• 보안위협 : 관리되지 않은 불필요한 계정은 장기간 패스워드가 변경되지 않아 무작위 대입 공격(Brute Force Attack)이나 패스워드 추측 공격 (Password Guessing Attack)의 가능성이 존재하며, 또한 이런 공격에 의해 계정 정보가 유출되어 도 유출 사실을 인지하기 어려움

• 점검방법

불필요한 계정인 guest123계정을 /active 옵션에서 비활성화 시키거나, /del 옵션으로 계정을 삭제시켜준다. 그다음 net user로 결과 확인

 

 

1.4 계정 잠금 임계값 설정

• 점검내용 : 계정 잠금 임계값의 설정 여부 점검
• 점검목적 : 계정 잠금 임계값을 설정하여 공격자의 자유로운 자동화 암호 유추 공격을 차단하기 위함
• 보안위협 : 공격자는 시스템의 계정 잠금 임계값이 설정되지 않은 경우 자동화된 방법 을 이용하여 모든 사용자 계정에 대해 암호조합 공격을 자유롭게 시도할 수 있으므로 사용자 계정 정보의 노출 위험이 있음

※ 계정 잠금 임계값 설정은 사용자 계정이 잠기는 로그온 실패 횟수를 결정하며 잠긴 계정 은 관리자가 재설정하거나 해당 계정의 잠금 유지 시간이 만료되어야 사용할 수 있음

※ 계정 잠금 정책: 해당 계정이 시스템으로부터 잠기는 환경과 시간을 결정하는 정책으 로 ‘계정 잠금 기간’, ‘계정 잠금 임계값’, ‘다음 시간 후 계정 잠금 수를 원래대로 설정’ 의 세가지 하위 정책을 가짐

 

• 점검방법

net accounts 명령어로 계정 잠금 임계값 확인, 현재 임계값없음 보안 취약

시작 - 실행 - secpol.msc 를 실행해 로컬 보안 정책으로 들어가서 계정 잠금 정책을 5번 이하로 변경한다(6번 이상 시 취약으로 판단)

※윈도우 2000 이상부터는 실행에서 secpo.msc를 실행시켜 로컬 보안 정책을 적용한다. (윈도우 홈버전을 사용하는 경우에는 secpol.msc 명령을 실행할 시에 오류가 난다. 그럴 시에는 아래의 cmd 창에서 아래의 명령어를 순차적으로 입력해 로컬 보안 정책을 다운받아 주면 된다.)

1) FOR %F IN ("%SystemRoot%\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientTools-Package~*.mum") DO (DISM /Online /NoRestart /Add-Package:"%F")

2) FOR %F IN ("%SystemRoot%\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientExtensions-Package~*.mum") DO (DISM /Online /NoRestart /Add-Package:"%F")

 

 

 

1.5 해독 가능한 암호화를 사용하여 암호 저장 해제

• 점검내용 : 해독 가능한 암호화 사용 여부 점검
• 점검목적 : 해독 가능한 암호화를 사용하여 암호 저장‘ 정책이 설정되어 사용자 계정 비밀번호가 해독 가능한 텍스트 형태로 저장 되는 것을 차단하기 위함
• 보안위협 : 위 정책이 설정된 경우 OS에서 사용자 ID, PW를 입력받아 인증을 진행하는 응용프로그램 프로토콜 지원 시 OS 는 사용자의 PW 를 해독 가능한 방식 으로 암호를 저장하기 때문에, 노출된 계정에 대해 공격자가 암호 복호화 공 격으로 PW를 획득하여 네트워크 리소스에 접근할 수 있음

• 점검방법

secpol.msc 를 실행해 암호 정책 - 해독 가능한 암호화를 사용하여 암호 저장 - 사용안함으로 체크하고 적용하기

 

1.6 관리자 그룹에 최소한의 사용자 포함

• 점검내용 : 관리자 그룹에 불필요한 사용자의 포함 여부 점검
• 점검목적 : 관리자 그룹 구성원에 불필요한 사용자의 포함 여부를 점검하여, 관리 권한 사용자를 최소화 하고자 함
• 보안위협 : Administrators와 같은 관리자 그룹에 속한 구성원은 컴퓨터 시스템에 대한 완전하고 제한 없는 액세스 권한을 가지므로, 사용자를 관리자 그룹에 포함 시킬 경우 비인가 사용자에 대한 과도한 관리 권한이 부여될 수 있음

• 점검방법

실행에서 LUSRMGR.MSC를 실행시키면 local users and groups가 실행된다.(홈 에디션은 외부에서 다운받아야함) 그룹 - Administrators 에서 불필요한 그룹 멤버를 삭제 해준 후 적용시켜준다.