내보내기(0) 인쇄
모두 확장

Windows XP 보안 가이드

3장: Windows XP 클라이언트용 보안 설정

업데이트 날짜: 2005년 10월 20일

이 페이지에서

개요
계정 정책 설정
로컬 정책 설정
감사 정책 설정
사용자 권한 할당 설정
보안 옵션 설정
이벤트 로그 보안 설정
제한된 그룹
시스템 서비스
추가 레지스트리 설정
보안 구성 편집기 사용자 인터페이스를 수정하는 방법
추가 보안 설정
파일 시스템 보안
요약

개요

이 장에서는 Microsoft® Windows® 2000 또는 Windows Server™ 2003 Active Directory® 디렉터리 서비스 도메인의 그룹 정책을 통해 구성되는 기본 보안 설정에 대해 자세히 설명합니다. 조직에서 Microsoft Windows XP Professional SP2(서비스 팩 2)를 실행하는 데스크톱 및 랩톱 컴퓨터를 안전하게 구성하기 위해서는 지정된 정책 설정을 구현해야 합니다. 이 가이드에서는 Windows XP에서 사용할 수 있는 모든 정책 설정에 대한 지침을 제공하지는 않으며 컴퓨터의 보안과 직접적으로 관련된 내용만 다룹니다.

1장 "Windows XP 보안 가이드 소개"에 설명된 것처럼 이 장에 제공된 지침은 이 가이드에 정의된 EC(엔터프라이즈 클라이언트) 및 SSLF(특수 보안 - 기능 제한) 환경으로 국한됩니다. 일부 경우에 이동식 랩톱 컴퓨터는 위치가 고정되지 않고 조직의 네트워크를 통해 작업 환경의 도메인 컨트롤러에 항상 연결되어 있지 않으므로, 데스크톱에 대한 정책 설정과는 다른 설정을 랩톱에 적용하는 것이 좋습니다. 또한 랩톱 사용자가 현지에서 기술 지원을 받을 수 없는 시간에 작업하는 경우도 있을 수 있습니다. 따라서 랩톱 클라이언트 컴퓨터의 경우 도메인 컨트롤러에 연결이 필요한 정책 설정이나 로그온 시간을 관리하는 설정이 다릅니다.

특정 환경에 대해 지정되지 않은 정책 설정의 경우에는 2장 "Active Directory 도메인 인프라 구성"에 설명된 것처럼 도메인 수준에서 정의되는 경우가 많습니다. 이 장에서 정의되지 않음으로 표시된 기타 정책 설정은 기본값만으로도 특정 환경의 보안 유지에 충분합니다. 또한 이러한 GPO(정책 설정 개체)에서 정책 설정이 정의되어 있지 않으므로 설치 중에 설정을 수정해야 하는 응용 프로그램을 보다 편리하게 배포할 수 있습니다. 예를 들어 엔터프라이즈 관리 도구를 사용하기 위해 관리되는 컴퓨터의 로컬 서비스 계정에 특정 사용자 권한을 할당해야 할 수 있습니다. 이 장의 지침은 권장 사항으로써 작업 환경을 변경하기 전에 항상 업무 요구 사항을 주의 깊게 고려해야 합니다.

다음 표에는 지침과 함께 사용할 수 있는 인프라(.inf) 파일이 정의되어 있습니다. 이 파일에는 이 장에서 다루는 두 가지 환경에 대한 기본 보안 설정 규정이 모두 포함되어 있습니다.

표 3.1 기본 보안 템플릿

Description

EC

SSLF

데스크톱용 기본 보안 템플릿

EC-Desktop.inf

SSLF-Desktop.inf

랩톱용 기본 보안 템플릿

EC-Laptop.inf

SSLF-Laptop.inf


이 장에 나오는 정책 설정에 대한 자세한 내용은 관련 가이드인 위협 및 대책: Windows Server 2003 및 Windows XP의 보안 설정을 참조하십시오. 이 가이드는 http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx에서 다운로드할 수 있습니다.

계정 정책 설정

계정 정책 설정 정보는 이 장에서 제공되지 않습니다. 이 설정은 가이드 2장 "Active Directory 도메인 인프라 구성"에서 다룹니다.

로컬 정책 설정

로컬 정책 설정은 Windows XP Professional이 실행되는 컴퓨터의 로컬 보안 정책 콘솔에서 또는 Active Directory 도메인 기반 GPO를 사용하여 구성할 수 있습니다. 로컬 정책 설정에는 감사 정책, 사용자 권한 할당 및 보안 옵션에 대한 설정이 포함됩니다.

감사 정책 설정

감사 정책은 관리자에게 보고할 보안 이벤트를 결정하여 지정된 이벤트 범주 내의 사용자 또는 시스템 활동을 기록합니다. 관리자는 특정 개체를 액세스한 사람, 사용자가 컴퓨터에 로그온하거나 로그오프한 시간, 감사 정책 설정의 변경 여부 등 보안 관련 활동을 모니터링할 수 있습니다. 따라서 관리자가 감사 정책을 만들어 구현하는 것이 좋습니다.

감사 정책을 구현하기 전에 먼저 작업 환경에서 감사가 필요한 이벤트 범주를 결정해야 합니다. 이벤트 범주 내에서 선택한 감사 설정은 감사 정책을 결정합니다. 특정 이벤트 범주에 대한 감사 설정을 정의할 때 관리자는 조직의 보안 요구에 맞는 감사 정책을 만들 수 있습니다.

감사 설정을 구성하지 않으면 보안 사고 발생 시 어떠한 일이 일어났는지 파악하기가 어렵거나 불가능합니다. 그러나 너무 많은 허가된 활동에 대해 이벤트를 생성하도록 감사를 구성하면 보안 이벤트 로그가 불필요한 데이터로 가득 차게 됩니다. 다음 섹션에서는 모니터링할 데이터와 조직의 관련 감사 데이터를 수집하는 방법을 결정하는 데 도움을 주는 정보가 포함되어 있습니다.

그룹 정책 개체 편집기를 사용하여 다음 위치에서 Windows XP의 감사 정책 설정을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\로컬 정책\감사 정책

다음 표는 이 장에서 다룬 두 가지 유형의 보안 환경에서 데스크톱 및 랩톱 클라이언트 컴퓨터에 대한 감사 정책 설정 권장 사항을 요약 설명합니다. 엔터프라이즈 클라이언트 환경은 EC로, 특수 보안 – 기능 제한 환경은 SSLF로 지칭합니다. 이러한 권장 사항을 검토한 후 조직에 맞게 조정해야 합니다. 그러나 많은 양의 트래픽을 생성할 수 있는 감사 설정을 조정할 때는 특히 주의해야 합니다. 예를 들어 권한 사용 감사에 대해 성공 또는 실패 감사를 활성화할 경우 너무 많은 감사 이벤트가 생성되어 보안 이벤트 로그에서 다른 유형의 항목을 쉽게 찾지 못할 수 있습니다. 또한 이러한 구성은 성능에 심각한 영향을 미칠 수 있습니다. 각 설정에 대한 자세한 내용은 다음 하위 섹션에 제공됩니다.

표 3.2 감사 정책 설정 권장 사항

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

계정 로그온 이벤트 감사

성공

성공

성공, 실패

성공, 실패

계정 관리 감사

성공

성공

성공, 실패

성공, 실패

디렉터리 서비스 액세스 감사

정의되지 않음

정의되지 않음

정의되지 않음

정의되지 않음

로그온 이벤트 감사

성공

성공

성공, 실패

성공, 실패

개체 액세스 감사

감사 안 함

감사 안 함

실패

실패

정책 변경 감사

성공

성공

성공

성공

권한 사용 감사

감사 안 함

감사 안 함

실패

실패

프로세스 추적 감사

감사 안 함

감사 안 함

감사 안 함

감사 안 함

시스템 이벤트 감사

성공

성공

성공

성공

계정 로그온 이벤트 감사

이 정책 설정을 사용하면 자격 증명 유효성 검사에 대한 이벤트가 생성됩니다. 이러한 이벤트는 자격 증명에 대해 권한이 있는 컴퓨터에서 발생합니다. 도메인 계정의 경우 도메인 컨트롤러에 권한이 있고 로컬 계정의 경우 로컬 컴퓨터에 권한이 있습니다. 도메인 환경에서 대부분의 계정 로그온 이벤트는 도메인 계정에 대해 권한이 있는 도메인 컨트롤러의 보안 로그에 발생합니다. 그러나 이러한 이벤트는 로그온하는 데 사용한 계정에 따라 조직의 다른 컴퓨터에서 발생할 수 있습니다.

이 가이드에서 계정 로그온 이벤트 감사 설정이 EC 환경에서는 성공으로만, SSLF 환경에서는 성공실패로 구성됩니다.

계정 관리 감사

이 정책 설정은 새 사용자 또는 그룹 만들기, 사용자 또는 그룹의 이름 바꾸기, 사용자 계정 사용 또는 사용 안 함, 계정 암호 변경, 계정 관리 이벤트 감사 사용 등에 대한 시도를 추적하는 데 사용됩니다. 이 감사 정책 설정을 사용하면 관리자가 이벤트를 추적하여 사용자 및 그룹 계정이 악의적으로, 실수로 또는 승인을 받고 만들어졌는지 추적할 수 있습니다.

계정 관리 감사 설정은 EC 환경에서는 성공으로 구성되고 SSLF 환경에서는 성공실패로 구성됩니다.

디렉터리 서비스 액세스 감사

이 정책 설정은 도메인 컨트롤러에서 감사 작업을 수행하기 위해서만 사용할 수 있습니다. 따라서 이 설정은 워크스테이션 수준에서 정의되지 않습니다. 이 정책 설정은 Windows XP Professional이 실행되는 컴퓨터에는 적용되지 않습니다. 따라서 이 장에 나오는 두 환경에 대해 디렉터리 서비스 액세스 감사 설정을 정의되지 않음으로 구성해야 합니다.

로그온 이벤트 감사

이 정책 설정은 로그온 세션의 생성 및 소멸을 기록하는 이벤트를 생성합니다. 이러한 이벤트는 액세스된 컴퓨터에서 발생합니다. 대화형 로그온의 경우 로그온한 컴퓨터에서 이러한 이벤트가 생성됩니다. 공유에 액세스하기 위해 네트워크 로그온이 수행된 경우 액세스된 리소스를 호스팅하는 컴퓨터에서 이러한 이벤트가 생성됩니다.

로그온 이벤트 감사 설정을 감사 없음으로 구성하면 조직에서 컴퓨터에 액세스했거나 액세스를 시도한 사용자를 확인하기 어렵거나 불가능합니다.

로그온 이벤트 감사 설정은 EC 환경에서 성공 이벤트를 기록하도록 구성됩니다. 이 정책 설정은 SSLF 환경에 대해 성공실패 이벤트로 구성됩니다.

개체 액세스 감사

이 정책 설정만으로는 어떠한 이벤트도 감사되지 않습니다. 이 정책 설정은 파일, 폴더, 레지스트리 키 또는 프린터와 같이 지정된 SACL(시스템 액세스 제어 목록)이 있는 개체에 액세스하는 사용자의 이벤트를 감사할지 결정합니다.

SACL은 ACE(액세스 제어 항목)로 구성되어 있습니다. 각 ACE에는 다음 세 가지 정보가 포함되어 있습니다.

  • 감사할 보안 사용자(사용자, 컴퓨터 또는 그룹)

  • 감사할 특정 액세스 유형(액세스 마스크라고 함)

  • 실패한 액세스 이벤트를 감사할지, 성공한 액세스 이벤트를 감사할지 또는 둘 모두를 감사할지 여부를 나타내는 플래그

개체 액세스 감사 설정을 성공으로 구성하면 지정된 SACL이 있는 개체에 사용자가 성공적으로 액세스할 때마다 감사 항목이 생성됩니다. 이 정책 설정을 실패로 구성하면 지정된 SACL이 있는 개체에 대한 사용자의 액세스 시도가 실패할 때마다 감사 항목이 생성됩니다.

조직에서는 SACL을 구성할 때 활성화할 작업만 정의해야 합니다. 예를 들어 컴퓨터 바이러스, 웜 및 트로이 목마는 일반적으로 실행 파일을 대상으로 하므로 추적할 실행 파일에 대해 데이터 쓰기 및 추가 감사 설정을 사용할 수 있습니다. 마찬가지로 중요한 문서가 액세스 또는 변경되는 시점을 추적할 수도 있습니다.

개체 액세스 감사 설정은 EC 환경에 대해서 감사 없음으로, SSLF 환경에 대해서는 실패로 구성됩니다. 다음 절차가 제대로 수행되려면 이 설정을 사용해야 합니다.

다음 절차에서는 파일 또는 폴더에 감사 규칙을 수동으로 설정하는 방법과 지정된 파일 또는 폴더에서 각 개체에 대한 각 감사 규칙을 테스트하는 방법을 자세히 설명합니다. 스크립트 파일을 사용하여 이 테스트 절차를 자동으로 수행할 수 있습니다.

파일 또는 폴더의 감사 규칙 정의

  1. Windows 탐색기를 사용하여 파일이나 폴더를 찾아서 선택합니다.

  2. 파일 메뉴를 클릭하고 속성을 선택합니다.

  3. 보안 탭을 클릭하고 고급 단추를 클릭합니다.

  4. 감사 탭을 클릭합니다.

  5. 추가 단추를 클릭하면 사용자, 컴퓨터, 또는 그룹을(를) 선택하십시오 대화 상자가 나타납니다.

  6. 개체 유형... 단추를 클릭하고 개체 유형 대화 상자에서 찾을 개체 유형을 선택합니다.

    참고: 사용자, 그룹 및 기본 제공 보안 사용자 개체 유형이 기본적으로 선택됩니다.

  7. 위치...단추를 클릭하고 위치: 대화 상자에서 도메인 또는 로컬 컴퓨터를 선택합니다.

  8. 사용자, 컴퓨터, 또는 그룹을(를) 선택하십시오 대화 상자에서 감사 대상 그룹이나 사용자의 이름을 입력합니다. 그런 다음, 인증된 모든 사용자의 액세스를 감사하려면 선택할 개체 이름을 입력하십시오 대화 상자에서 Authenticated Users를 입력하고 확인을 클릭합니다. 감사 항목 대화 상자가 표시됩니다.

  9. 감사 항목 대화 상자에서 파일이나 폴더에 대한 감사 대상 액세스 유형을 결정합니다.

    참고: 액세스가 수행될 때마다 이벤트 로그에 여러 이벤트가 생성되어 로그가 빠르게 커질 수 있으므로 유의하십시오.

  10. 감사 항목 대화 상자에서 폴더 목록 / 데이터 읽기 옆의 성공 및 실패를 선택하고 확인을 클릭합니다.

  11. 사용하도록 설정한 감사 항목이 고급 보안 설정 대화 상자의 감사 탭에 나타납니다.

  12. 확인을 클릭하여 속성 대화 상자를 닫습니다.

파일 또는 폴더의 감사 규칙 테스트

  1. 파일 또는 폴더를 엽니다.

  2. 파일 또는 폴더를 닫습니다.

  3. 이벤트 뷰어를 시작합니다. 이벤트 ID 560의 여러 개체 액세스 이벤트가 보안 이벤트 로그에 나타납니다.

  4. 필요한 이벤트를 두 번 클릭하여 자세한 정보를 봅니다.

정책 변경 감사

이 정책 설정은 사용자 권한 할당 정책, Windows 방화벽 정책, 트러스트 정책의 변경이나 감사 정책 자체의 변경을 모두 감사할지 결정합니다. 권장 설정을 사용하면 공격자가 권한 승격(예를 들어, 프로그램 디버그 권한이나 파일 및 디렉터리 백업 권한 추가)을 시도한 계정 권한을 확인할 수 있습니다.

정책 변경 감사 설정은 이 장에 나오는 두 환경에 대해 성공으로 구성됩니다. 설정 값 실패는 보안 이벤트 로그에 의미 있는 액세스 정보를 제공하지 않으므로 포함되어 있지 않습니다.

권한 사용 감사

이 정책 설정은 사용자가 사용자 권한을 사용하는 각각의 이벤트를 감사할지 결정합니다. 이 값을 성공으로 구성하면 사용자 권한이 성공적으로 사용될 때마다 감사 항목이 생성됩니다. 실패로 구성하면 사용자 권한이 성공적으로 사용되지 않을 때마다 감사 항목이 생성됩니다. 이 정책 설정은 상당히 많은 수의 이벤트 레코드를 생성할 수 있습니다.

권한을 사용하려는 시도가 실패하는 모든 경우를 감사하기 위해 권한 사용 감사 설정은 EC 환경의 컴퓨터에 대해서 감사 없음으로, SSLF 환경에 대해서는 실패로 구성됩니다.

프로세스 추적 감사

이 정책 설정은 프로그램 활성화, 프로세스 종료, 핸들 복제 및 간접적 개체 액세스 등의 이벤트에 대한 자세한 추적 정보를 감사할지 결정합니다. 프로세스 추적 감사를 사용하면 많은 양의 이벤트가 생성되므로 일반적으로 이 값은 감사 없음으로 설정합니다. 그러나 이 설정은 시작된 프로세스와 프로세스가 시작된 시간에 대한 자세한 로그를 제공하므로 문제 대응에 매우 유용하게 사용할 수 있습니다.

프로세스 추적 감사 설정은 이 장에 나오는 두 환경에 대해 감사 없음으로 구성됩니다.

시스템 이벤트 감사

이 정책 설정은 성공 또는 실패한 시스템 이벤트를 모니터링하고 시스템 무단 액세스를 파악하는 데 도움이 될 수도 있는 이벤트 레코드를 제공하므로 매우 중요합니다. 시스템 이벤트에는 사용자 환경에서 컴퓨터를 시작하거나 종료하는 작업, 전체 이벤트 로그 또는 전체 시스템에 영향을 미치는 기타 보안 관련 이벤트가 포함됩니다.

시스템 이벤트 감사 설정은 이 장에 나오는 두 환경에서 성공으로 구성됩니다.

사용자 권한 할당 설정

Windows XP Professional의 많은 권한 그룹과 함께 일반적인 사용자에게 없는 많은 사용자 권한이 특정 사용자나 그룹에 할당될 수 있습니다.

사용자 권한의 값을 제공하지 않음으로 설정하려면 이 설정을 사용하되 사용자나 그룹을 설정에 추가하지 마십시오. 사용자 권한의 값을 정의되지 않음으로 설정하려면 이 설정을 사용하지 마십시오.

그룹 정책 개체 편집기의 다음 위치에서 사용자 권한 할당 설정을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\로컬 정책\사용자 권한 할당

다음 표는 문자 A부터 E로 시작되는 사용자 권한에 대한 사용자 권한 할당 설정 권장 사항을 요약해서 설명합니다. 이 장에 설명된 두 가지 유형의 보안 환경에 있는 데스크톱 및 랩톱 클라이언트 컴퓨터에 대해 권장 사항이 제공됩니다. 각 설정에 대한 자세한 내용은 다음 하위 섹션에 제공됩니다.

그 외 알파벳 문자로 시작되는 사용자 권한에 대한 권장 사항은 표 3.4에 요약되어 있으며 해당 사용자 권한에 대한 추가 정보는 표 다음에 있는 하위 섹션에 포함되어 있습니다.

참고: Internet Information Server(IIS)의 많은 기능을 사용하려면 IIS_WPG, IIS IUSR_<컴퓨터 이름> IWAM_<컴퓨터 이름>과 같은 특정 계정에 특정 권한이 있어야 합니다. IIS와 관련된 계정에 필요한 사용자 권한에 대한 자세한 내용은 “IIS 및 기본 제공 계정(IIS 6.0)”(www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/
IIS/3648346f-e4f5-474b-86c7-5a86e85fa1ff.mspx)을 참조하십시오.

사용자 권한 A – E

표 3.3 사용자 권한 할당 설정 권장 사항 – 1부

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

네트워크에서 이 컴퓨터 액세스
(Access this computer from network )

정의되지 않음

정의되지 않음

Administrators

Administrators

운영 체제의 일부로 작동
(Act as part of the operating system)

없음

없음

없음

없음

프로세스의 메모리 할당량 조정
(Adjust memory quotas for a process)

정의되지 않음

정의되지 않음

Administrators, LOCAL SERVICE, NETWORK SERVICE

Administrators, LOCAL SERVICE, NETWORK SERVICE

로컬 로그온 허용
(Allow log on locally)

Users, Administrators

Users, Administrators

Users, Administrators

Users, Administrators

터미널 서비스를 통한 로그온 허용
(Allow log on through Terminal Services)

정의되지 않음

정의되지 않음

없음

없음

파일 및 디렉터리 백업
(Back up files and directories)

정의되지 않음

정의되지 않음

Administrators

Administrators

통과 확인 무시
(Bypass traverse checking)

정의되지 않음

정의되지 않음

Administrators, Users

Administrators, Users

시스템 시간변경
(Change the system time)

Administrators

Administrators

Administrators

Administrators

페이지 파일 만들기
(Create a pagefile)

Administrators

Administrators

Administrators

Administrators

영구 공유 개체만들기
(Create permanent shared objects)

정의되지 않음

정의되지 않음

없음

없음

토큰 개체만들기
(Create a token object)

정의되지 않음

정의되지 않음

없음

없음

프로그램 디버그
(Debug programs)

Administrators

Administrators

없음

없음

네트워크에서 이 컴퓨터 액세스 거부
(Deny access to this computer from the network)

Support_
388945a0, Guest

Support_
388945a0, Guest

Support_
388945a0, Guest

Support_
388945a0, Guest

일괄 작업으로 로그온 거부
(Deny log on as a batch job)

정의되지 않음

정의되지 않음

Support_
388945a0, Guest

Support_
388945a0, Guest

로컬 로그온 거부
(Deny log on locally)

정의되지 않음

정의되지 않음

Support_
388945a0,
Guest, 임의 서비스 계정

Support_
388945a0, Guest, 임의 서비스 계정

터미널 서비스를 통한 로그온 거부
(Deny log on through Terminal Services)

정의되지 않음

정의되지 않음

Everyone

Everyone

컴퓨터 및 사용자 계정을 위임용으로 트러스트할 수 있음
(Enable computer and user accounts to be trusted for delegation)

정의되지 않음

정의되지 않음

없음

없음

네트워크에서 이 컴퓨터 액세스

이 정책 설정을 사용하면 네트워크의 다른 사용자가 해당 컴퓨터에 연결할 수 있으며 SBS(서버 메시지 블록) 기반 프로토콜, NetBIOS, CIFS(일반 인터넷 파일 시스템) 및 COM+(Component Object Model Plus)를 비롯한 다양한 네트워크 프로토콜을 사용할 때 필요합니다.

네트워크에서 이 컴퓨터 액세스 설정은 EC 환경에서 정의되지 않음으로, SSLF 환경에서는 Administrators로 구성됩니다.

운영 체제의일부로 작동

이 정책 설정을 사용하면 프로세스가 사용자의 ID을 사용하여 해당 사용자에게 액세스가 허용된 리소스에 대한 액세스 권한을 얻을 수 있습니다.

따라서 이 장에서 다룬 두 환경에서는 운영 체제의 일부로 활동 설정이 없음으로 제한됩니다.

프로세스의 메모리 할당량 조정

이 정책 설정을 사용하면 프로세스에서 사용할 수 있는 최대 메모리 양을 조정할 수 있습니다. 메모리 할당량 조정은 시스템 조정 작업에 유용하지만, 악용될 수 있습니다. DoS(서비스 거부) 공격을 실행하는 데 사용될 수 있습니다.

따라서 SSLF 환경의 컴퓨터 유형에는 프로세스별 메모리 할당량 조정 설정이 Administrators, LOCAL SERVICENETWORK SERVICE로 제한되고 EC 환경의 컴퓨터에서는 정의되지 않음으로 구성됩니다.

로컬 로그온 허용

이 정책 설정은 작업 환경의 컴퓨터에 대화형으로 로그온할 수 있는 사용자를 결정합니다. 클라이언트 컴퓨터 키보드에서 Ctrl+Alt+Delete 키 시퀀스를 눌러 로그온을 시작하려면 이 사용자 권한이 필요합니다. 터미널 서비스 또는 Microsoft 인터넷 정보 서비스(IIS)를 통해 로그온을 시도하는 사용자도 이 사용자 권한이 필요합니다.

Guest 계정에는 이 사용자 권한이 기본적으로 부여됩니다. 이 계정은 기본적으로 사용하지 않도록 설정되어 있지만 그룹 정책을 통해 이 설정을 사용하는 것이 좋습니다. 그러나 이 사용자 권한은 일반적으로 AdministratorsUsers 그룹으로 제한되어야 합니다. 조직의 백업 운영자에게 이 기능이 필요할 경우 이 사용자 권한을 Backup Operators 그룹에 할당합니다.

이 장에서 다루는 두 환경에서는 로컬로 로그온 허용 설정이 UsersAdministrators 그룹으로 제한됩니다.

터미널 서비스를 통한 로그온 허용

이 정책 설정은 터미널 서비스 클라이언트 로그온 권한이 있는 사용자나 그룹을 결정합니다. 원격 데스크톱 사용자에게는 이 사용자 권한이 필요합니다. 조직에서 고객 지원 전략의 일부로 원격 지원을 사용할 경우 그룹을 만든 후 그룹 정책을 통해 이 사용자 권한을 할당합니다. 조직의 지원 부서에서 원격 지원을 사용하는 경우 Administrators 그룹에만 이 사용자 권한을 할당하거나 제한된 그룹 기능을 사용하여 어떠한 사용자 계정도 Remote Desktop Users 그룹에 속하지 않도록 합니다.

원치 않은 사용자가 Windows XP Professional의 새로운 원격 지원 기능을 사용하여 네트워크의 컴퓨터에 액세스하지 못하도록 이 사용자 권한을 Administrators 그룹과 Remote Desktop Users 그룹으로 제한합니다.

EC 환경에 대해서는 터미널 서비스를 통한 로그온 허용 설정이 정의되지 않음으로 구성됩니다. 보안 강화를 위해 SSLF 환경에서는 이 정책 설정이 없음으로 구성됩니다.

파일 및 디렉터리백업

이 정책 설정을 사용하면 파일 및 디렉터리 사용 권한이 없어도 시스템을 백업할 수 있습니다. 이 사용자 권한은 응용 프로그램(예: NTBACKUP)이 NTFS 파일 시스템 백업 API(응용 프로그래밍 인터페이스)를 통해 파일 또는 디렉터리에 액세스할 때만 활성화됩니다. 그 이외에는 할당된 파일 및 디렉터리 사용 권한이 적용됩니다.

EC 환경에 있는 컴퓨터에서는 파일 및 디렉터리 백업 설정이 정의되지 않음으로 구성됩니다. SSLF 환경에 있는 컴퓨터에서는 이 정책 설정이 Administrators 그룹으로 구성됩니다.

통과 확인무시

이 정책 설정을 사용하면 특수한 “폴더 통과” 액세스 권한이 없는 사용자가 NTFS 파일 시스템 또는 레지스트리에서 개체 경로를 탐색할 때 폴더를 “통과”할 수 있습니다. 이 사용자 권한이 있을 경우 폴더 내용을 나열할 수 없으며 디렉터리를 통과할 수만 있습니다.

EC 환경에 있는 컴퓨터에서는 트래버스 확인 통과 설정이 정의되지 않음으로 구성됩니다. SSLF 환경에 있는 컴퓨터에서는 AdministratorsUsers 그룹으로 구성됩니다.

시스템 시간변경

이 정책 설정은 작업 환경의 컴퓨터 내부 시계에서 시간과 날짜를 변경할 수 있는 사용자 및 그룹을 결정합니다. 이 사용자 권한이 있으면 이벤트 로그에 표시되는 내용에 영향을 줄 수 있습니다. 컴퓨터의 시간 설정이 변경되면 기록된 이벤트는 실제로 이벤트가 발생한 시간이 아닌 새로운 시간을 반영합니다.

이 장에 나오는 두 환경에서는 시스템 시간 바꾸기 설정이 Administrators 그룹으로 구성됩니다.

참고: 사용자 환경에서 로컬 컴퓨터와 도메인 컨트롤러의 시간이 일치하지 않으면 Kerberos 인증 프로토콜에 문제가 발생하여 사용자가 도메인에 로그온할 수 없거나 로그온한 후 도메인 리소스에 대한 액세스 권한을 얻을 수 없습니다. 또한 시스템 시간이 도메인 컨트롤러와 동기화되어 있지 않으면 클라이언트 컴퓨터에 그룹 정책을 적용할 때 문제가 발생합니다.

페이지 파일 만들기

이 정책 설정을 사용하면 페이지 파일의 크기를 변경할 수 있습니다. 공격자는 페이지 파일을 너무 크거나 너무 작게 만들어 대상 컴퓨터의 성능을 쉽게 저하시킬 수 있습니다.

EC 환경과 SSLF 환경의 모든 컴퓨터에서 페이지 파일 만들기 설정은 Administrators로 구성됩니다.

영구 공유 개체만들기

이 정책 설정을 사용하면 개체 관리자에서 디렉터리 개체를 만들 수 있습니다. 이 사용자 권한은 개체 네임스페이스를 확장하는 커널 모드 구성 요소에 유용합니다. 커널 모드에서 실행되는 구성 요소는 기본적으로 이 사용자 권한을 갖습니다. 따라서 일반적으로는 이 사용자 권한을 반드시 할당할 필요가 없습니다.

EC 환경에서는 영구 공유 개체 만들기 설정이 정의되지 않음으로, SSLF 환경에서는 없음으로 구성됩니다.

토큰 개체만들기

이 정책 설정을 사용하면 프로세스가 중요 데이터에 액세스하기 위해 승격된 권한을 제공할 수 있는 액세스 토큰을 만들 수 있습니다. 보안이 대단히 중요한 환경에서는 어떠한 사용자에게도 이 사용자 권한을 할당하면 안 됩니다. 이 권한을 필요로 하는 모든 프로세스는 기본적으로 이 사용자 권한이 부여되는 로컬 시스템 계정을 사용해야 합니다.

EC 환경에서는 토큰 개체 만들기 설정이 정의되지 않음으로, SSLF 환경에서는 없음으로 구성됩니다.

프로그램 디버그

이 정책 설정은 디버거를 프로세스나 커널에 연결하여 중요한 운영 체제 구성 요소에 완전하게 액세스할 수 있는 사용자를 결정합니다. 이 사용자 권한은 관리자가 “핫 패칭”이라고도 하는 "메모리 내 패칭" 기능을 지원하는 패치를 활용할 때 필요합니다. Microsoft Package Installer의 최신 기능에 대한 자세한 내용은 “Microsoft Windows 운영 체제 및 Windows 구성 요소용 Package Installer(이전 버전은 Update.exe임)”(www.microsoft.com/technet/prodtechnol/windowsserver2003/deployment/winupdte.mspx)를 참조하십시오. 공격자가 이 사용자 권한을 이용할 수 있으므로 기본적으로 Administrators 그룹에만 할당됩니다.

참고: Microsoft는 관리자에게 프로그램 디버그 사용자 권한이 있어야 사용할 수 있는 Update.exe 버전이 사용된 몇 가지 보안 패치를 10월에 출시했습니다. 이 사용자 권한이 없는 관리자는 해당 사용자 권한을 다시 구성할 때까지 이러한 패치를 설치할 수 없었습니다. 자세한 내용은 Microsoft 기술 자료 문서 “Windows 제품 업데이트가 응답하지 않거나 CPU 리소스를 대부분 또는 모두 사용할 수 있다”(http://support.microsoft.com/default.aspx?kbid=830846)를 참조하십시오.

프로그램 디버그 사용자 권한은 매우 강력합니다. 따라서 이 정책 설정은 EC 환경에서는 Administrators로 구성되고 SSLF 환경에서는 기본 설정인 없음으로 유지됩니다.

네트워크에서 이 컴퓨터 액세스 거부

이 정책 설정은 사용자가 네트워크를 통해 컴퓨터에 연결할 수 없도록 하여 원격으로 데이터에 액세스하고 수정할 수 없도록 합니다. 보안 수준이 높은 환경에서는 원격 사용자가 컴퓨터의 데이터에 액세스할 필요가 없도록 구성해야 합니다. 대신 네트워크 서버를 사용하여 파일 공유를 구성합니다.

이 장에 나오는 두 가지 환경의 컴퓨터에서 네트워크에서 이 컴퓨터 액세스 거부 설정이 Support_388945a0Guest 계정으로 구성됩니다.

일괄 작업으로 로그온 거부

이 정책 설정은 작업이 나중에 한 번 이상 자동으로 실행되도록 예약하는 데 사용되는 Windows Server 2003의 기능인 일괄 대기열 기능을 통한 사용자 로그온을 금지합니다.

일괄 작업으로 로그온 거부 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 Support_388945a0Guest로 구성됩니다.

로컬 로그온 거부

이 정책 설정을 사용하면 사용자가 컴퓨터 콘솔에 로컬로 로그온할 수 없습니다. 허가되지 않은 사용자가 컴퓨터에 로컬로 로그온할 수 있으면 컴퓨터에 악성 코드를 다운로드하거나 해당 사용자의 권한을 승격할 수 있습니다. (공격자가 콘솔에 물리적으로 액세스할 수 있는 경우에는 고려해야 할 다른 위험 요소가 있습니다.) 이 사용자 권한은 컴퓨터 콘솔에 물리적으로 액세스해야 하는 사용자에게는 할당되면 안 됩니다.

로컬로 로그온 거부 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 Support_388945a0Guest로 구성됩니다. 또한 SSLF 환경에서 컴퓨터에 추가된 모든 서비스 계정에는 권한 남용을 방지하기 위해 이 사용자 권한을 할당해야 합니다.

터미널 서비스를 통한 로그온 거부

이 정책 설정을 사용하면 사용자가 원격 데스크톱 연결을 통해 작업 환경의 컴퓨터에 로그온할 수 없습니다. 이 사용자 권한을 Everyone 그룹에 할당하면 기본 Administrators 그룹의 구성원이 터미널 서비스를 사용하여 작업 환경의 컴퓨터에 로그온하는 것도 금지됩니다.

터미널 서비스를 통한 로그온 거부 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 Everyone 그룹으로 구성됩니다.

컴퓨터 및사용자 계정을위임용으로트러스트할 수있음

이 정책 설정을 사용하면 Active Directory의 컴퓨터 개체에 대한 위임용으로 트러스트 설정을 변경할 수 있습니다. 이 권한을 남용하면 허가되지 않은 사용자가 네트워크의 다른 사용자를 가장할 수 있습니다.

따라서 위임용으로 컴퓨터 및 사용자 계정을 트러스트하도록 허용 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 없음으로 구성됩니다.

사용자 권한 F –T

표 3.4 사용자 권한 할당 설정 권장 사항 – 2부

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

원격 시스템에서 강제 종료
(Force shutdown from a remote system)

Administrators

Administrators

Administrators

Administrators

보안 감사 생성
(Generate Security Audits)

LOCAL SERVICE, NETWORK SERVICE

LOCAL SERVICE, NETWORK SERVICE

LOCAL SERVICE, NETWORK SERVICE

LOCAL SERVICE, NETWORK SERVICE

스케쥴링 우선 순위증가
(Increase scheduling priority)

Administrators

Administrators

Administrators

Administrators

장치 드라이버로드 및 언로드
(Load and unload device drivers)

Administrators

Administrators

Administrators

Administrators

메모리의 페이지 잠금
(Lock pages in memory)

없음

없음

없음

없음

일괄 작업으로 로그온
(Log on as a batch job)

정의되지 않음

정의되지 않음

없음

없음

서비스로 로그온
(Log on as a service)

정의되지 않음

정의되지 않음

NETWORK SERVICE, LOCAL SERVICE

NETWORK SERVICE, LOCAL SERVICE

감사 및 보안 로그관리
(Manage auditing and security log)

Administrators

Administrators

Administrators

Administrators

펌웨어 환경 값 수정
(Modify firmware environment variables)

Administrators

Administrators

Administrators

Administrators

볼륨 관리 작업을 수행
(Perform volume maintenance tasks)

Administrators

Administrators

Administrators

Administrators

단일 프로세스 프로필
(Profile single process)

정의되지 않음

정의되지 않음

Administrators

Administrators

시스템 성능 프로필
(Profile system performance)

Administrators

Administrators

Administrators

Administrators

컴퓨터를 도킹 스테이션에서 제거
(Remove computer from docking station)

Administrators, Users

Administrators, Users

Administrators, Users

Administrators, Users

프로세스 수준 토큰 대체
(Replace a process level token)

LOCAL SERVICE, NETWORK SERVICE

LOCAL SERVICE, NETWORK SERVICE

LOCAL SERVICE, NETWORK SERVICE

LOCAL SERVICE, NETWORK SERVICE

파일 및 디렉터리 복원
(Restore files and directories)

정의되지 않음

정의되지 않음

Administrators

Administrators

시스템 종료
(Shut down the system)

Administrators, Users

Administrators, Users

Administrators, Users

Administrators, Users

파일 또는 다른 개체의 소유권 가져오기
(Take ownership of files or other objects)

Administrators

Administrators

Administrators

Administrators


이 표에서는 F에서 T까지의 문자로 시작되는 사용자 권한에 대한 사용자 권한 할당 설정 권장 사항을 요약해서 설명합니다. 각 설정에 대한 자세한 내용은 다음 하위 섹션에 나와 있습니다.

원격 시스템에서강제종료

이 정책 설정을 사용하면 네트워크의 원격 위치에서 Windows XP 기반 컴퓨터를 종료할 수 있습니다. 이 사용자 권한이 할당된 모든 사람은 DoS(서비스 거부) 공격을 유발하여 시스템이 사용자 요청을 처리할 수 없게 만들 수 있습니다. 따라서 완전히 신뢰할 수 있는 관리자에게만 이 사용자 권한을 할당해야 합니다.

이 장에 나오는 두 환경에서는 원격 시스템에서 강제로 시스템 종료 설정이 Administrators 그룹으로 구성됩니다.

보안 감사 생성

이 정책 설정은 보안 로그에 감사 레코드를 생성할 수 있는 사용자 또는 프로세스를 결정합니다. 공격자는 이 기능을 이용하여 아주 많은 수의 감사 이벤트를 만들 수 있으며 이로 인해 시스템 관리자가 불법적인 활동을 찾기 어려워집니다. 또한 이벤트 로그가 이벤트를 덮어쓰도록 구성되면 허가되지 않은 활동의 증거까지도 관련 없는 수많은 이벤트로 덮어쓰여질 수 있습니다.

따라서 이 장에 나오는 두 환경에서는 보안 감사 생성 설정이 LOCAL SERVICENETWORK SERVICE 그룹으로 구성됩니다.

스케쥴링 우선 순위증가

이 정책 설정을 사용하면 프로세스가 활용하는 프로세서 시간을 변경할 수 있습니다. 공격자는 이 기능을 이용하여 프로세스의 우선 순위를 실시간 등급으로 높이고 컴퓨터의 서비스가 거부되는 상황을 만들 수 있습니다.

따라서 이 장에 나오는 두 환경에서는 스케쥴링 우선 순위 증가 설정이 Administrators 그룹으로 구성됩니다.

장치 드라이버로드 및 언로드

이 정책 설정을 사용하면 시스템에 새 장치 드라이버를 동적으로 로드할 수 있습니다. 공격자는 이 기능을 이용하여 장치 드라이버로 인식될 수 있는 악성 코드를 설치할 수 있습니다. Windows XP에서 로컬 프린터나 프린터 드라이버를 추가하려면 Power Users 그룹이나 Administrators 그룹에 이 사용자 권한 및 구성원 자격이 있어야 합니다.

이 사용자 권한을 공격자가 이용할 수 있으므로 이 장에 나오는 두 환경에서는 장치 드라이버 로드 및 언로드 설정이 Administrators 그룹으로 구성됩니다.

메모리의 페이지 잠금

이 정책 설정은 프로세스에서 데이터를 실제 메모리에 보관할 수 있습니다. 이렇게 하면 시스템에서는 데이터를 디스크의 가상 메모리로 페이징할 수 없습니다. 이 사용자 권한이 할당되면 시스템 성능이 크기 저하될 수 있습니다.

따라서 이 장에 나오는 두 환경에서는 메모리의 페이지 잠금 설정이 없음으로 구성됩니다.

일괄 작업으로로그온

이 정책 설정을 사용하면 계정이 작업 스케줄러 서비스를 사용하여 로그온할 수 있습니다. 작업 스케줄러는 주로 관리 목적으로 사용되므로 EC 환경에 필요할 수 있습니다. 그러나 SSLF 환경에서는 시스템 리소스의 오용을 막고 공격자가 컴퓨터에 대해 사용자 수준의 액세스 권한을 얻은 다음 이 권한을 이용하여 악성 코드를 실행하지 못하도록 하기 위해 이 사용자 권한이 제한됩니다.

따라서 일괄 작업으로 로그온 사용자 권한이 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 없음으로 구성됩니다.

서비스로 로그온

이 정책 설정을 사용하면 계정이 네트워크 서비스를 실행하거나 프로세스를 시스템에서 실행되는 서비스로 등록할 수 있습니다. SSLF 환경의 모든 컴퓨터에서는 이 사용자 권한이 제한되어야 하지만 EC 환경에서는 응용 프로그램을 실행하기 위해 이 권한이 필요한 경우가 많으므로 신중하게 평가하고 테스트한 후에 권한을 구성해야 합니다.

서비스로 로그온 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 NETWORK SERVICELOCAL SERVICE로 구성됩니다.

감사 및 보안 로그관리

이 정책 설정은 파일 및 디렉터리에 대한 감사 옵션을 변경하고 보안 로그를 지울 수 있는 사용자를 결정합니다.

이 권한에서 비롯되는 위험이 비교적 적으므로 감사 및 보안 로그 관리 설정은 이 장에 나온 두 환경에서 기본값인 Administrators 그룹으로 구성됩니다.

펌웨어 환경 값 수정

이 정책 설정을 사용하면 하드웨어 구성에 영향을 미치는 시스템 차원의 환경 변수를 구성할 수 있습니다. 이 정보는 일반적으로 마지막으로 성공한 구성에 저장됩니다. 이러한 값을 수정하면 하드웨어 장애가 발생하고 결과적으로 서비스 거부가 발생할 수 있습니다.

이 권한에서 비롯되는 위험이 비교적 적으므로 펌웨어 환경 값 수정 설정은 이 장에 나온 두 환경에서 기본값인 Administrators 그룹으로 구성됩니다.

볼륨 관리 작업을 수행

이 정책 설정을 사용하면 시스템 볼륨 또는 디스크 구성을 관리할 수 있습니다. 이로 인해 볼륨이 삭제되어 데이터 손실뿐만 아니라 서비스 거부가 발생할 수 있습니다.

볼륨 관리 작업을 수행 설정은 이 장에 나온 두 환경에서 기본값인 Administrators 그룹으로 구성됩니다.

단일 프로세스 프로필

이 정책 설정은 도구를 사용하여 비시스템 프로세스의 성능을 모니터링할 수 있는 사용자를 결정합니다. 일반적으로 MMC(Microsoft Management Console) 성능 스냅인을 사용하기 위해 이 사용자 권한을 구성할 필요는 없습니다. 그러나 시스템 모니터가 WMI(Windows Management Instrumentation)를 사용하여 데이터를 수집하도록 구성되면 이 사용자 권한이 필요합니다. 단일 프로세스 프로파일 사용자 권한을 제한하면 침입자는 시스템을 공격하는 데 사용할 수 있는 추가 정보를 얻지 못하게 됩니다.

단일 프로세스 프로파일 설정은 EC 환경의 컴퓨터에서는 정의되지 않음으로, SSLF 환경의 컴퓨터에서는 Administrators 그룹으로 구성됩니다.

시스템 성능프로필

이 정책 설정을 사용하면 도구를 사용하여 다른 시스템 프로세스의 성능을 볼 수 있습니다. 따라서 공격자가 이 권한을 이용하여 시스템의 활성 프로세스를 확인하고 잠재적인 공격 취약점을 알아낼 수 있습니다.

시스템 성능 프로파일 설정은 이 장에 나온 두 환경에서 기본값인 Administrators 그룹으로 구성됩니다.

컴퓨터를도킹 스테이션에서제거

이 정책 설정은 휴대용 컴퓨터 사용자가 시작 메뉴의 컴퓨터 도킹 해제를 클릭하여 컴퓨터를 도킹 해제할 수 있습니다.

컴퓨터를 도킹 스테이션에서 제거 설정은 이 장에 나온 두 환경에서 AdministratorsUsers 그룹으로 구성됩니다.

프로세스 수준 토큰 대체

이 정책 설정을 사용하면 한 프로세스나 서비스가 다른 보안 액세스 토큰을 사용하여 다른 서비스나 프로세스를 시작할 수 있습니다. 이 권한이 있으면 해당 하위 프로세스의 보안 액세스 토큰을 수정할 수 있고 이에 따라 권한 승격이 발생할 수도 있습니다.

프로세스 레벨 토큰 바꾸기 설정은 이 장에 나오는 두 환경에서 기본값인 LOCAL SERVICENETWORK SERVICE로 구성됩니다.

파일 및 디렉터리복원

이 정책 설정은 Windows XP가 실행되는 작업 환경의 컴퓨터에서 백업한 파일 및 디렉터리를 복원할 때 파일, 디렉터리, 레지스트리 및 기타 영구 개체 사용 권한을 무시할 수 있는 사용자를 결정합니다. 또한 유효한 보안 사용자를 개체 소유자로 설정할 수 있는 사용자도 결정합니다. 이러한 측면은 파일 및 디렉터리 백업 사용자 권한의 경우와 비슷합니다.

파일 및 디렉터리 복원 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 Administrators 그룹으로 구성됩니다.

시스템종료

이 정책 설정은 작업 환경의 컴퓨터에 로컬로 로그온하여 시스템 종료 명령으로 운영 체제를 종료할 수 있는 사용자를 결정합니다. 이 사용자 권한을 잘못 사용하면 서비스가 거부될 수 있습니다. 보안 수준이 높은 작업 환경에서는 이 권한을 AdministratorsUsers 그룹에만 부여하는 것이 좋습니다.

시스템 종료 설정은 이 장에 나온 두 환경에서 AdministratorsUsers 그룹으로 구성됩니다.

파일 또는 다른 개체의소유권가져오기

이 정책 설정을 사용하면 사용자가 파일, 폴더, 레지스트리 키, 프로세스 또는 스레드의 소유권을 가질 수 있습니다. 이 사용자 권한은 개체를 보호하고 지정된 사용자에게 소유권을 부여하기 위한 권한을 무시합니다.

파일 또는 다른 개체의 소유권 가져오기 설정은 이 장에 나오는 두 환경에서 기본값인 Administrators 그룹으로 구성됩니다.

보안 옵션 설정

작업 환경의 Windows XP 실행 컴퓨터에서 그룹 정책을 통해 적용되는 보안 옵션 설정은 플로피 디스크 드라이브 액세스, CD-ROM 드라이브 액세스 및 로그온 프롬프트와 같은 기능을 사용하거나 사용하지 않도록 설정하는 데 사용됩니다. 또한 데이터의 디지털 서명, 관리자 및 게스트 계정 이름, 드라이버 설치 방식 등의 다양한 설정을 구성할 경우에도 사용됩니다.

그룹 정책 개체 편집기의 다음 위치에서 보안 옵션 설정을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\로컬 정책\보안 옵션

시스템 유형에 따라 이 섹션에 포함된 설정 중 일부가 없을 수도 있습니다. 그러므로 이 섹션에 정의된 그룹 정책의 보안 옵션 부분을 구성하는 설정이 시스템에 있는 경우 설정을 수동으로 수정할 필요가 있습니다. 또는 지정된 설정이 전체적으로 적용될 수 있도록 그룹 정책 템플릿을 개별적으로 편집하여 적절한 설정 옵션을 포함시킬 수 있습니다.

다음 섹션에서는 개체 유형별로 보안 옵션 설정 권장 사항을 설명합니다. 각 섹션에는 설정이 요약된 표가 포함되어 있으며 각 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다. 이 장에서 다루는 두 가지 유형의 보안 환경인 EC(엔터프라이즈 클라이언트) 및 SSLF(특수 보안 - 기능 제한) 환경의 데스크톱 및 랩톱 클라이언트 컴퓨터에 대한 권장 사항이 제공됩니다.

계정

다음 표는 계정에 대해 권장하는 보안 옵션 설정을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.5 보안 옵션 설정 권장 사항 – 계정

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

계정: Administrator 계정 상태

정의되지 않음

정의되지 않음

사용

사용

계정: Guest 계정 상태

사용 안 함

사용 안 함

사용 안 함

사용 안 함

계정: 콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한

사용

사용

사용

사용

계정: Administrator 계정 이름 바꾸기

권장

권장

권장

권장

계정: Guest 계정 이름 바꾸기

권장

권장

권장

권장

계정: Administrator 계정 상태

이 정책 설정은 정상 작업 중에 Administrator 계정을 활성화하거나 비활성화합니다. 컴퓨터가 안전 모드로 부팅되면 이 설정을 구성 방법에 관계없이 Administrator 계정이 항상 활성화됩니다.

계정: Administrator 계정 상태 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용으로 구성됩니다.

계정: Guest 계정 상태

이 정책 설정은 Guest 계정의 활성화 여부를 결정합니다. Guest 계정을 사용하면 인증되지 않은 네트워크 사용자가 시스템에 액세스할 수 있습니다.

계정: Guest 계정 상태 보안 옵션 설정은 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

계정: 콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한

이 정책 설정은 암호로 보호되지 않은 로컬 계정을 사용하여 실제 컴퓨터 콘솔 이외의 위치에서 로그온 여부를 결정합니다. 이 정책 설정을 활성화하면 암호가 비어 있는 로컬 계정은 원격 클라이언트 컴퓨터에 로그온할 수 없으며 해당 컴퓨터의 키보드로만 로그온할 수 있습니다.

계정: 콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한 설정은 이 설명서에 정의된 두 가지 환경에서 사용으로 구성됩니다.

계정: Administrator 계정 이름 바꾸기

기본 제공되는 로컬 Administrator 계정은 잘 알려진 계정 이름이며 외부 공격자의 공격 대상입니다. 이 계정에 대해 다른 이름을 선택하되 관리자 계정 또는 권한이 승격된 액세스 계정임을 의미하는 이름은 피하는 것이 좋습니다. 컴퓨터 관리 콘솔을 사용하여 로컬 관리자에 대한 기본 설명도 변경해야 합니다.

계정: Administrator 계정 이름 바꾸기 설정 사용에 대한 권장 사항은 이 장에 나오는 두 환경에 모두 적용됩니다.

참고: 이 정책 설정은 보안 템플릿에 구성되지 않으며, 이 가이드에서도 계정에 대한 새 사용자 이름을 제안하지 않습니다. 이 가이드의 지침을 구현하는 조직에서 동일한 새 사용자 이름을 사용하는 일이 없도록 사용자 이름 제안은 생략됩니다.

계정: Guest 계정 이름 바꾸기

기본 제공된 로컬 Guest 계정은 해커에게 잘 알려진 또 다른 이름입니다. 이 계정 역시 그 용도를 암시하지 않는 다름 이름으로 바꾸는 것이 좋습니다. 권장하는 대로 이 계정을 비활성화한 경우에도 보안 강화를 위해 이름을 바꾸는 것이 좋습니다.

계정: Guest 계정 이름 바꾸기 설정 사용에 대한 권장 사항은 이 장에 나오는 두 환경에 모두 적용됩니다.

참고: 이 정책 설정은 보안 템플릿에 구성되지 않으며, 여기서도 계정에 대한 새 사용자 이름을 제안하지 않습니다. 이 가이드의 지침을 구현하는 조직에서 동일한 새 사용자 이름을 사용하는 일이 없도록 사용자 이름 제안은 생략됩니다.

감사

다음 표는 권장되는 감사 설정을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.6 보안 옵션 설정 권장 사항 – 감사

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

감사: 글로벌 시스템 개체에 대한 액세스 감사

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

감사: 백업 및 복원 권한 사용을 감사

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료

정의되지 않음

정의되지 않음

정의되지 않음

정의되지 않음

감사: 글로벌 시스템 개체에 대한 액세스 감사

이 정책 설정은 뮤텍스, 이벤트, 세마포 및 MS-DOS® 장치와 같은 시스템 개체에 대한 기본 SACL(시스템 액세스 제어 목록)을 만들고 이러한 시스템 개체에 대한 액세스를 감사합니다.

감사: 글로벌 시스템 개체에 대한 액세스 감사 설정이 활성화되면 시스템 이벤트 로그가 많은 양의 보안 이벤트로 빠르게 채워질 수 있습니다. 따라서 이 정책 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

감사: 백업 및 복원 권한 사용을 감사

이 정책 설정은 권한 사용 감사 설정이 유효할 때 백업 및 복원을 포함하는 모든 사용자 권한의 사용을 감사할지 결정합니다. 두 정책을 모두 활성화하면 백업 또는 복원되는 모든 파일에 대해 감사 이벤트가 생성됩니다.

감사: 백업 및 복원 권한 사용을 감사 설정이 활성화되면 시스템 이벤트 로그가 많은 양의 보안 이벤트로 빠르게 채워질 수 있습니다. 따라서 이 정책 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료

이 정책 설정은 보안 이벤트를 기록할 수 없는 경우 시스템을 종료할지 결정합니다. 이 설정은 감사 시스템이 감사 이벤트를 기록할 수 없는 경우 이러한 이벤트가 발생하지 않도록 하기 위해 TCSEC(Trusted Computer System Evaluation Criteria)-C2 및 Common Criteria 인증에 필요합니다. Microsoft는 감사 시스템에 오류가 발생할 경우에는 시스템을 중지하고 중지 메시지가 표시하도록 설정했습니다. 이 정책 설정을 활성화하면 어떠한 이유로든 보안 감사를 기록할 수 없을 때 시스템이 종료됩니다.

감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 설정이 활성화되면 갑작스러운 시스템 장애가 발생할 수 있습니다. 따라서 이 장에 나오는 두 환경에서는 이 정책 설정이 정의되지 않음으로 구성됩니다.

장치

다음 표는 장치에 대해 권장되는 보안 옵션 설정을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.7 보안 옵션 설정 권장 사항 – 장치

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

장치: 로그온할 필요 없이 도킹 해제 허용

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

장치: 이동식 미디어 포맷 및 꺼내기 허용

Administrator, Interactive Users

Administrator, Interactive Users

Administrators

Administrators

장치: 사용자가 프린터 드라이버를 설치할 수 없게 함

사용

사용 안 함

사용

사용 안 함

장치: 로컬로 로그온한 사용자만이 CD ROM에 액세스 가능

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

장치: 로컬로 로그온한 사용자만이 플로피 드라이브에 액세스 가능

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

장치: 서명되지 않은 드라이버 설치 동작

경고하면서 설치 허용함

경고하면서 설치 허용함

경고하면서 설치 허용함

경고하면서 설치 허용함

장치: 로그온할 필요 없이 도킹 해제 허용

이 정책 설정은 사용자가 시스템에 로그온하지 않은 경우 휴대용 컴퓨터의 도킹 해제를 허용할지 결정합니다. 로그온할 필요 없이 외부 하드웨어 꺼내기 단추를 사용하여 컴퓨터를 도킹 해제할 수 있으려면 이 정책 설정을 활성화합니다. 이 정책 설정을 비활성화한 경우 로그온하지 않은 사용자에게 컴퓨터를 도킹 스테이션에서 제거 사용자 권한(이 가이드에는 정의되지 않음)이 부여되어야 합니다.

장치: 로그온할 필요 없이 도킹 해제 허용 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

장치: 이동식 미디어 포맷 및 꺼내기 허용

이 정책 설정은 이동식 미디어를 포맷 및 꺼낼 수 있는 권한을 부여합니다. 이 정책 설정을 사용하면 허가되지 않은 사용자가 다른 컴퓨터의 이동식 장치를 꺼내 자신이 로컬 관리자인 컴퓨터로 이동해 사용하는 것을 방지할 수 있습니다.

장치: 보안 강화를 위해 이동식 미디어 포맷 및 꺼내기 허용 설정은 EC 환경에서는 AdministratorsInteractive Users 그룹으로 제한되고 SSLF 환경에서는 Administrators 그룹으로만 제한됩니다.

장치: 사용자가 프린터 드라이버를 설치할 수 없게 함

해커는 트로이 목마 프로그램을 프린터 드라이버로 위장할 수도 있습니다. 이러한 프로그램은 인쇄에 꼭 필요한 프로그램으로 보일 수 있지만 사용자의 컴퓨터 네트워크에 악성 코드를 유포할 수 있습니다. 이러한 문제의 발생 가능성을 줄이려면 관리자만 프린터 드라이버를 설치하도록 제한해야 합니다. 그러나 랩톱은 모바일 장치이므로 랩톱 사용자는 작업을 진행하기 위해 원격 소스에서 프린터 드라이버를 설치하는 경우가 있습니다. 따라서 랩톱 사용자는 이 정책 설정을 사용해서는 안되며 데스크톱 사용자는 항상 이 설정을 사용해야 합니다.

장치: 사용자가 프린터 드라이버를 설치할 수 없게 함 설정은 이 장에 나오는 두 환경의 데스크톱에서는 사용으로, 랩톱에서는 사용 안 함으로 구성됩니다.

장치: 로컬로 로그온한 사용자만이 CD ROM에 액세스 가능

이 정책 설정은 로컬 및 원격 사용자가 동시에 CD-ROM 드라이브에 액세스할 수 있는지 결정합니다. 이 정책 설정을 활성화하면 대화형으로 로그온한 사용자만 CD-ROM 드라이브의 미디어에 액세스하도록 허용됩니다. 이 정책 설정이 활성화되어 있어도 아무도 로그온되어 있지 않으면 네트워크를 통해 CD-ROM 드라이브에 액세스할 수 있습니다. 백업 작업에 대해 볼륨 섀도 복사본이 지정된 상태에서 이 설정을 활성화하면 Windows 백업 유틸리티가 실패합니다. 또한 볼륨 섀도 복사본을 사용하는 타사 백업 제품도 실패합니다.

장치: 로컬로 로그온한 사용자만이 CD-ROM에 액세스 가능 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

장치: 로컬로 로그온한 사용자만이 플로피 드라이브에 액세스 가능

이 정책 설정은 로컬 및 원격 사용자가 동시에 플로피 드라이브에 액세스할 수 있는지 결정합니다. 이 정책 설정을 활성화하면 대화형으로 로그온한 사용자만 플로피 드라이브 미디어에 액세스하도록 허용됩니다. 이 정책 설정이 활성화되어 있어도 아무도 로그온되어 있지 않으면 네트워크를 통해 플로피 드라이브 미디어에 액세스할 수 있습니다. 백업 작업에 대해 볼륨 섀도 복사본이 지정된 상태에서 이 설정을 활성화하면 Windows 백업 유틸리티가 실패합니다. 또한 볼륨 섀도 복사본을 사용하는 타사 백업 제품도 실패합니다.

장치: 로컬로 로그온한 사용자만이 플로피 드라이브에 액세스 가능 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

장치: 서명되지 않은 드라이버 설치 동작

이 정책 설정은 설치 API를 사용하여 WHQL(Windows Hardware Quality Lab)에서 승인하고 서명하지 않은 장치 드라이버를 설치할 때 일어나는 동작을 결정합니다. 이 옵션을 설정하면 서명되지 않은 드라이버의 설치가 금지되거나 관리자에게 경고하여 Windows XP에서 실행되도록 허용되지 않은 드라이버의 설치를 방지할 수 있습니다. 이 정책 설정을 경고하면서 설치로 구성하면 서명되지 않은 드라이버를 설치할 때 무인 설치 스크립트가 실패할 수 있습니다.

이러한 이유로 장치: 서명되지 않은 드라이버 설치 동작 설정은 이 장에 나오는 두 환경에서 경고하면서 설치로 구성됩니다.

참고: 이 정책 설정을 구현할 경우 설정으로 인해 설치 오류가 발생할 위험을 줄이기 위해 그룹 정책을 적용하기 전에 모든 표준 소프트웨어 응용 프로그램으로 클라이언트 컴퓨터를 완전히 구성해야 합니다.

도메인 구성원

다음 표는 도메인 구성원에 대해 권장되는 보안 옵션 설정을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.8 보안 옵션 설정 권장 사항 – 도메인 구성원

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

도메인 구성원: 보안 채널 데이터를 디지털 암호화 또는 서명(항상)

사용

사용

사용

사용

도메인 구성원: 보안 채널 데이터를 디지털 암호화(가능한 한)

사용

사용

사용

사용

도메인 구성원: 보안 채널 데이터를 디지털 서명(가능한 한)

사용

사용

사용

사용

도메인 구성원: 컴퓨터 계정 암호 변경 사용 안 함

사용 안 함

사용 안 함

사용 안 함

사용 안 함

도메인 구성원: 컴퓨터 계정 암호 최대 사용 기간

30일

30일

30일

30일

도메인 구성원: 강한 세션 키 요청 (Windows 2000 또는 그 이상)

사용

사용

사용

사용

도메인 구성원: 보안 채널 데이터를 디지털 암호화 또는 서명(항상)

이 정책 설정은 도메인 구성원이 시작한 모든 보안 채널 트래픽이 서명 또는 암호화될지 결정합니다. 시스템이 보안 채널 데이터를 항상 암호화하거나 서명하도록 설정된 경우에는 모든 보안 채널 데이터가 서명되고 암호화되므로 모든 보안 채널 트래픽을 서명하거나 암호화할 수 없는 도메인 컨트롤러에서는 보안 채널을 구성할 수 없습니다.

도메인 구성원: 보안 채널 데이터를 디지털 암호화 또는 서명(항상) 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

도메인 구성원: 보안 채널 데이터를 디지털 암호화(가능한 한)

이 정책 설정은 도메인 구성원이 시작한 모든 보안 채널 트래픽에 대해 암호화를 협상할 수 있는지 결정합니다. 이 정책 설정을 활성화하면 도메인 구성원은 모든 보안 채널 트래픽에 대한 암호화를 요청합니다. 정책 설정을 비활성화하면 도메인 구성원은 보안 채널 암호화를 협상하지 못합니다.

도메인 구성원: 보안 채널 데이터를 디지털 암호화(가능하면) 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

도메인 구성원: 보안 채널 데이터를 디지털 서명(가능한 한)

이 정책 설정은 도메인 구성원이 시작한 모든 보안 채널 트래픽에 디지털 서명을 협상할 수 있는지 결정합니다. 디지털 서명이 있으면 다른 사용자가 네트워크를 통과하는 데이터 트래픽을 포착하여 수정할 수 없습니다.

도메인 구성원: 보안 채널 데이터를 디지털 서명(가능하면) 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

도메인 구성원: 컴퓨터 계정 암호 변경 사용 안 함

이 정책 설정은 도메인 구성원이 컴퓨터 계정 암호를 주기적으로 변경할 수 있는지 결정합니다. 이 정책 설정을 활성화하면 도메인 구성원은 컴퓨터 계정 암호를 변경할 수 없습니다. 정책 설정을 비활성화하면 도메인 구성원: 컴퓨터 계정 암호 최대 사용 기간 설정에 지정된 대로 컴퓨터 계정 암호를 변경할 수 있습니다. 이 설정의 기본값은 30일입니다. 해당 계정 암호를 자동으로 변경할 수 없는 컴퓨터는 공격자가 시스템의 도메인 계정 암호를 알아낼 수 있으므로 공격 받을 가능성이 있습니다.

따라서 도메인 구성원: 컴퓨터 계정 암호 변경 사용 안 함 설정은 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

도메인 구성원: 컴퓨터 계정 암호 최대 사용 기간

이 정책 설정은 컴퓨터 계정 암호의 최대 허용 가능 기간을 결정합니다. 기본적으로 도메인 구성원은 도메인 암호를 30일마다 자동으로 변경합니다. 이 간격을 크게 늘리거나 컴퓨터에서 더 이상 암호를 변경하지 못하도록 간격을 0으로 설정하면 공격자가 컴퓨터 계정 중 하나의 암호를 알아내기 위해 무차별 대입 공격(Brute Force Attack)을 실행할 수 있는 시간이 더 많아집니다.

따라서 도메인 구성원: 컴퓨터 계정 암호 최대 사용 기간 설정은 이 장에 나오는 두 환경에서 30일로 구성됩니다.

도메인 구성원: 고급 세션 키 요청(Windows 2000 또는 그 이상)

이 정책 설정을 활성화하면 고급(128비트) 세션 키로 보안 채널 데이터를 암호화할 수 있는 도메인 컨트롤러와만 보안 채널을 설정할 수 있습니다.

이 정책 설정을 활성화하려면 도메인의 모든 도메인 컨트롤러가 고급 키를 사용하여 보안 채널 데이터를 암호화할 수 있어야 합니다. 즉, 모든 도메인 컨트롤러에서 Microsoft Windows 2000 이상이 실행되어야 합니다. 비 Windows 2000 도메인과의 통신이 필요하면 이 정책 설정을 비활성화하는 것이 좋습니다.

도메인 구성원: 고급 세션 키 요청(Windows 2000 또는 그 이상) 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

대화형 로그온

다음 표는 대화형 로그온에 대해 권장되는 보안 옵션 설정을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.9 보안 옵션 설정 권장 사항 – 대화형 로그온

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

대화형 로그온: 마지막 사용자 이름 표시 안 함

사용

사용

사용

사용

대화형 로그온: [Ctrl+Alt+Del]을 사용할 필요 없음

사용 안 함

사용 안 함

사용 안 함

사용 안 함

대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트

이 시스템은 권한 있는 사용자만 사용할 수 있습니다. 무단 액세스를 시도하면 기소 사유가 됩니다.

이 시스템은 권한 있는 사용자만 사용할 수 있습니다. 무단 액세스를 시도하면 기소 사유가 됩니다.

이 시스템은 권한 있는 사용자만 사용할 수 있습니다. 무단 액세스를 시도하면 기소 사유가 됩니다.

이 시스템은 권한 있는 사용자만 사용할 수 있습니다. 무단 액세스를 시도하면 기소 사유가 됩니다.

대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목

올바른 인증 없이 계속 진행하면 시스템에 대한 공격으로
간주합니다.

올바른 인증 없이 계속 진행하면 시스템에 대한 공격으로
간주합니다.

올바른 인증 없이 계속 진행하면 시스템에 대한 공격으로
간주합니다.

올바른 인증 없이 계속 진행하면 시스템에 대한 공격으로
간주합니다.

대화형 로그온: 캐시할 로그온의 횟수(도메인 컨트롤러가 사용 불가능할 경우)

2

2

0

2

대화형 로그온: 암호 만료 전에 사용자에게 암호를 변경하도록 프롬프트

14일

14일

14일

14일

대화형 로그온: 워크스테이션 잠금 해제를 위해 도메인 컨트롤러 인증 필요

사용

사용 안 함

사용

사용 안 함

대화형 로그온: 스마트 카드 제거 동작

워크스테이션 잠금

워크스테이션 잠금

워크스테이션 잠금

워크스테이션 잠금

대화형 로그온: 마지막 사용자 이름 표시 안 함

이 정책 설정은 조직에서 클라이언트 컴퓨터에 로그온하는 마지막 사용자의 계정 이름을 각 컴퓨터의 해당 Windows 로그온 화면에 표시할지 결정합니다. 이 정책 설정을 사용하면 침입자가 조직 내 데스크톱 또는 랩톱 컴퓨터의 화면에서 계정 이름을 볼 수 없습니다.

대화형 로그온: 마지막 사용자 이름 표시 안 함 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

대화형 로그온: [Ctrl+Alt+Del]을 사용할 필요 없음

Ctrl+Alt+Del 키 조합은 사용자가 사용자 이름과 암호를 입력할 때 운영 체제에 신뢰할 수 있는 경로를 설정합니다. 이 정책 설정을 사용하면 사용자가 이 키 조합을 사용하여 네트워크에 로그온하지 않아도 됩니다. 그러나 이 구성을 사용하면 더 약한 로그온 자격 증명으로 로그온할 수 있게 되므로 보안 위험에 노출됩니다.

대화형 로그온: [CTRL+ALT+DEL]을 사용할 필요 없음 설정은 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트

이 정책 설정은 로그온 시 사용자에게 표시되는 텍스트 메시지를 지정합니다. 이 텍스트는 종종 법적인 이유로 사용됩니다. 예를 들어 사용자에게 회사 정보를 올바르지 않은 용도로 사용할 경우 생기는 문제에 대해 경고하거나 사용자의 동작이 감사될 수 있음을 경고하기 위해 사용됩니다. 앞에 나온 표에 지정된 메시지 텍스트 예제는 EC 및 SSLF 환경 둘 다에서 권장됩니다.

이 장에 나오는 두 환경에서 대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트 설정은 적절한 텍스트를 사용하여 구성됩니다.

참고: 표시되는 모든 경고는 먼저 조직의 법무 담당자와 인사 담당자의 승인을 받아야 합니다. 또한 대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목 설정이 모두 활성화되어야만 두 설정이 올바르게 작동합니다.

대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목

이 정책 설정을 활성화하면 시스템에 로그온할 때 사용자에게 표시되는 텍스트를 창의 제목 표시줄에 지정할 수 있습니다. 이 정책 설정을 사용하는 이유는 앞에 나온 메시지 텍스트 설정을 사용하는 이유와 같습니다. 이 정책 설정을 사용하지 않는 조직은 시스템을 공격하는 불법 침입자가 법적 규제 없이 공격할 수 있는 대상이 되기 쉽습니다.

따라서 이 장에 나오는 두 환경에서 대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목 설정은 적절한 텍스트를 사용하여 구성됩니다.

참고: 표시되는 모든 경고는 먼저 조직의 법무 담당자와 인사 담당자의 승인을 받아야 합니다. 또한 대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목 설정이 모두 활성화되어야만 두 설정이 올바르게 작동합니다.

대화형 로그온: 캐시할 로그온의 횟수(도메인 컨트롤러가 사용 불가능할 경우)

이 정책 설정은 사용자가 캐시된 계정 정보를 사용하여 Windows 도메인에 로그온할 수 있는지 결정합니다. 도메인 계정에 대한 로그온 정보를 로컬로 캐시하여 도메인 컨트롤러에 연결할 수 없는 경우에도 로그온하도록 할 수 있습니다. 이 정책 설정은 로그온 정보를 로컬로 캐시할 수 있는 대상 사용자의 수를 결정합니다. 이 정책 설정의 기본값은 10입니다. 이 값을 0으로 설정하면 로그온 캐시 기능을 사용할 수 없습니다. 서버의 파일 시스템에 액세스할 수 있는 공격자가 이 캐시된 정보를 찾아 무단 공격을 통해 사용자 암호를 알아낼 수 있습니다.

대화형 로그온: 캐시할 로그온의 횟수(도메인 컨트롤러가 사용 불가능할 경우) 설정은 EC 환경의 데스크톱 및 랩톱 컴퓨터와 SSLF 환경의 랩톱 컴퓨터에서 2로 구성됩니다. 그러나 SSLF 환경의 데스크톱의 경우는 조직의 네트워크에 항상 안전하게 연결되어 있어야 하므로 이 정책 설정이 0으로 구성됩니다.

대화형 로그온: 암호 만료 전에 사용자에게 암호를 변경하도록 프롬프트

이 정책 설정은 암호가 만료될 예정임을 사용자에게 얼마나 미리 경고할지를 결정합니다. 암호 만료를 미리 경고하기에 충분한 14일로 구성하는 것이 좋습니다.

대화형 로그온: 암호 만료 전에 사용자에게 암호를 변경하도록 프롬프트 설정은 이 장에 나오는 두 환경에서 14일로 구성됩니다.

대화형 로그온: 워크스테이션 잠금 해제를 위해 도메인 컨트롤러 인증 필요

이 정책 설정을 활성화하면 도메인 컨트롤러는 컴퓨터의 잠금을 해제하는 데 사용되는 도메인 계정을 인증해야 합니다. 이 정책 설정을 비활성화하면 캐시된 자격 증명을 사용하여 컴퓨터를 잠금 해제할 수 있습니다. 모바일 사용자는 네트워크를 통해 도메인 컨트롤러에 액세스할 수 없으므로 두 환경의 랩톱 사용자의 경우 이 정책 설정을 비활성화하는 것이 좋습니다.

대화형 로그온: 워크스테이션 잠금 해제를 위해 도메인 컨트롤러 인증 필요 설정은 EC 및 SSLF 환경의 데스크톱 컴퓨터에서 사용으로 구성됩니다. 그러나 랩톱 컴퓨터에서는 사용 안 함으로 구성되므로 사무실 밖에서도 계속 작업할 수 있습니다.

대화형 로그온: 스마트 카드 제거 동작

이 정책 설정은 로그온한 사용자의 스마트 카드가 스마트 카드 판독기에서 제거될 때 일어나는 동작을 결정합니다. 이 정책 설정을 워크스테이션 잠금으로 구성하면 스마트 카드가 제거될 때 워크스테이션이 잠기므로 다른 곳으로 이동할 때 스마트 카드를 가져가면 워크스테이션이 자동으로 잠깁니다. 이 정책 설정을 강제 로그오프로 구성하면 스마트 카드가 제거될 때 사용자가 자동으로 로그오프됩니다.

대화형 로그온: 스마트 카드 제거 동작 설정은 이 장에 나오는 두 환경에서 워크스테이션 잠금 옵션으로 구성됩니다.

Microsoft 네트워크 클라이언트:

다음 표는 Microsoft 네트워크 클라이언트 컴퓨터에 대해 권장되는 보안 옵션 설정을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.10 보안 옵션 설정 권장 사항 – Microsoft 네트워크 클라이언트

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

Microsoft 네트워크 클라이언트: 디지털 서명 통신(항상)

사용

사용

사용

사용

Microsoft 네트워크 클라이언트: 디지털 서명 통신(서버에서 동의한 경우)

사용

사용

사용

사용

Microsoft 네트워크 클라이언트: 타사 SMB 서버에 암호화되지 않은 암호를 보냄

사용 안 함

사용 안 함

사용 안 함

사용 안 함

Microsoft 네트워크 클라이언트: 디지털 서명 통신(항상)

이 정책 설정은 SMB 클라이언트 구성 요소에 패킷 서명이 필요한지 결정합니다. 이 정책 설정을 활성화할 경우 Microsoft 네트워크 서버가 SMB 패킷에 서명하는 데 동의하지 않으면 Microsoft 네트워크 클라이언트 컴퓨터는 네트워크 서버와 통신할 수 없습니다. 레거시 클라이언트 컴퓨터를 포함하는 혼합 환경에서는 해당 컴퓨터가 도메인 컨트롤러에서 인증을 받거나 액세스 권한을 얻을 수 없으므로 이 옵션을 사용 안 함으로 설정합니다. 이 정책 설정은 Windows 2000 이상의 환경에서 사용할 수 있습니다.

Microsoft 네트워크 클라이언트: 디지털 서명 통신(항상) 설정은 이 장에 나오는 두 환경의 컴퓨터에서 사용으로 구성됩니다.

참고: 이 정책 설정이 활성화된 Windows XP 컴퓨터에서 원격 서버에 있는 파일 또는 인쇄 공유 위치에 연결할 경우 이 설정을 해당 서버의 관련 설정인 Microsoft 네트워크 서버: 디지털 서명 통신(항상)과 동기화해야 합니다. 이러한 설정에 대한 자세한 내용은 관련 가이드인 위협 및 대책: Windows Server 2003 및 Windows XP의 보안 설정을 참조하십시오. 이 가이드는 http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx에서 다운로드할 수 있습니다.

Microsoft 네트워크 클라이언트: 디지털 서명 통신(서버에서 동의한 경우)

이 정책 설정은 SMB 클라이언트가 SMB 패킷 서명을 협상할지 결정합니다. Windows 네트워크에서 디지털 서명을 구현하면 세션이 하이재킹되는 것을 방지할 수 있습니다. 이 정책 설정을 활성화하면 Microsoft 네트워크 클라이언트는 통신 중인 서버가 디지털 서명된 통신을 수락할 경우에만 서명을 사용하게 됩니다.

Microsoft 네트워크 클라이언트: 디지털 서명 통신(서버에서 동의한 경우) 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

참고: 네크워크상의 SMB 클라이언트는 이 정책 설정을 사용하여 사용자 환경 내 모든 클라이언트 및 서버의 패킷 서명 작업을 매우 효과적으로 처리할 수 있습니다.

Microsoft 네트워크 클라이언트: 타사 SMB 서버에 암호화되지 않은 암호를 보냄

이 정책 설정을 비활성화하면 SMB 리디렉터는 암호 암호화를 지원하지 않는 비 Microsoft SMB 서버에서 인증을 받는 동안 일반 텍스트 암호를 보낼 수 없습니다. 업무상 이 정책 설정을 꼭 활성화해야 하는 경우가 아니면 비활성화하는 것이 좋습니다. 이 정책 설정을 활성화하면 네트워크에서 암호화되지 않은 암호가 허용됩니다.

Microsoft 네트워크 클라이언트: 타사 SMB 서버에 암호화되지 않은 암호를 보냄 설정은 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

Microsoft 네트워크 서버

다음 표는 Microsoft 네트워크 서버에 대해 권장되는 보안 옵션 설정을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.11 보안 옵션 설정 권장 사항 – Microsoft 네트워크 서버

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

Microsoft 네트워크 서버: 세션 연결을 중단하기 전에 필요한 유휴 시간

15분

15분

15분

15분

Microsoft 네트워크 서버: 디지털 서명 통신(항상)

사용

사용

사용

사용

Microsoft 네트워크 서버: 디지털 서명 통신(클라이언트에서 동의한 경우)

사용

사용

사용

사용

Microsoft 네트워크 서버: 세션 연결을 중단하기 전에 필요한 유휴 시간

이 정책 설정은 SMB 세션이 비활동으로 인해 일시 중단되기 전까지 세션에서 경과되는 연속 유휴 시간을 지정할 수 있습니다. 관리자는 이 정책 설정을 사용하여 컴퓨터가 비활성 SMB 세션을 중단하는 시점을 제어할 수 있습니다. 클라이언트 활동이 다시 시작되면 세션이 자동으로 다시 설정됩니다.

Microsoft 네트워크 서버: 세션 연결을 중단하기 전에 필요한 유휴 시간 설정은 이 장에 나오는 두 환경에서 15분 동안 사용으로 구성됩니다.

Microsoft 네트워크 서버: 디지털 서명 통신(항상)

이 정책 설정은 서버쪽 SMB 서비스가 SMB 패킷 서명을 수행해야 하는지 결정합니다. 혼합 환경에서 이 정책 설정을 사용하면 다운스트림 클라이언트는 워크스테이션을 네트워크 서버로 사용하지 못합니다.

Microsoft 네트워크 서버: 디지털 서명 통신(항상) 설정은 이 장에 나오는 두 환경의 컴퓨터에서 사용으로 구성됩니다.

Microsoft 네트워크 서버: 디지털 서명 통신(클라이언트에서 동의한 경우)

이 정책 설정은 연결을 설정하려는 클라이언트에 의해 요청될 경우 서버쪽 SMB 서비스가 SMB 패킷에 서명할 수 있는지 결정합니다. Microsoft 네트워크 서버: 디지털 서명 통신(항상) 설정이 비활성화된 경우에는 클라이언트가 서명을 요청하지 않으면 서명 없이 연결이 허용됩니다.

Microsoft 네트워크 서버: 디지털 서명 통신(클라이언트에서 동의한 경우) 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

참고: 네크워크상의 SMB 클라이언트는 이 정책 설정을 사용하여 사용자 환경 내 모든 클라이언트 및 서버의 패킷 서명 작업을 매우 효과적으로 처리할 수 있습니다.

네트워크 액세스

다음 표는 네트워크 액세스에 대해 권장되는 보안 옵션 설정을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.12 보안 옵션 설정 권장 사항 – 네트워크 액세스

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

네트워크 액세스: 익명 SID/이름 변환 허용

사용 안 함

사용 안 함

사용 안 함

사용 안 함

네트워크 액세스: SAM 계정의 익명 열거 허용 안 함

사용

사용

사용

사용

네트워크 액세스: SAM 계정과 공유의 익명 열거 허용 안 함

사용

사용

사용

사용

네트워크 액세스: 네트워크 인증에 대한 자격 증명의 저장소나 .NET Passports 허용 안 함

사용

사용

사용

사용

네트워크 액세스: Everyone 사용 권한을 익명 사용자에게 적용

사용 안 함

사용 안 함

사용 안 함

사용 안 함

네트워크 액세스: 익명으로 액세스할 수 있는 명명된 파이프

정의되지 않음

정의되지 않음

* 명명된 파이프의 전체 목록을 보려면 다음 설정 설명을 참조하십시오.

* 명명된 파이프의 전체 목록을 보려면 다음 설정 설명을 참조하십시오.

네트워크 액세스: 원격으로 액세스할 수 있는 레지스트리 경로

정의되지 않음

정의되지 않음

* 경로의 전체 목록을 보려면 다음 설정 설명을 참조하십시오.

* 경로의 전체 목록을 보려면 다음 설정 설명을 참조하십시오.

네트워크 액세스: 익명으로 액세스할 수 있는 공유

정의되지 않음

정의되지 않음

COMCFG,DFS$

COMCFG,DFS$

네트워크 액세스: 로컬 계정에 대한 공유 및 보안

일반 - 로컬 사용자를 그대로 인증

일반 - 로컬 사용자를 그대로 인증

일반 - 로컬 사용자를 그대로 인증

일반 - 로컬 사용자를 그대로 인증

네트워크 액세스: 익명 SID/이름 변환 허용

이 정책 설정은 익명 사용자가 다른 사용자의 SID(보안 식별자) 특성을 요청할 수 있는지 또는 SID를 사용하여 해당 사용자 이름을 알아낼 수 있는지 결정합니다. 이 정책 설정을 비활성화하면 허가되지 않은 사용자가 해당 SID와 연결된 사용자 이름을 알아내지 못합니다.

네트워크 액세스: 익명 SID/이름 변환 허용 설정은 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

네트워크 액세스: SAM 계정의 익명 열거 허용 안 함

이 정책 설정은 익명 사용자가 SAM(보안 계정 관리자)에서 계정을 열거할 수 있는지 제어합니다. 이 정책 설정을 활성화하면 익명으로 연결된 사용자가 작업 환경의 워크스테이션에서 도메인 계정 사용자 이름을 열거할 수 없습니다. 이 정책 설정을 통해 익명 연결을 추가로 제한할 수도 있습니다.

네트워크 액세스: SAM 계정의 익명 열거 허용 안 함 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

네트워크 액세스: SAM 계정과 공유의 익명 열거 허용 안 함

이 정책 설정은 익명 사용자가 SAM 계정과 공유를 열거할 수 있는지 제어합니다. 이 정책 설정을 활성화하면 익명 사용자가 작업 환경의 워크스테이션에서 도메인 계정 사용자 이름과 네트워크 공유 이름을 열거할 수 없습니다.

네트워크 액세스: SAM 계정과 공유의 익명 열거 허용 안 함 설정은 이 가이드에 나오는 두 가지 환경에서 사용으로 구성됩니다.

네트워크 액세스: 네트워크 인증에 대한 자격 증명의 저장소나 .NET Passports 허용 안 함

이 정책 설정은 로컬 시스템에 인증 자격 증명 및 암호를 저장할지 제어합니다.

네트워크 액세스: 네트워크 인증에 대한 자격 증명의 저장소나 .NET Passport 허용 안 함 설정은 이 가이드에 정의된 두 가지 환경에서 사용으로 구성됩니다.

네트워크 액세스: Everyone 사용 권한을 익명 사용자에게 적용

이 정책 설정은 컴퓨터에 익명으로 연결한 사용자에게 할당될 추가 사용 권한을 결정합니다. 이 정책 설정을 활성화하면 Windows 익명 사용자는 도메인 계정 및 네트워크 공유 이름의 열거와 같은 작업을 수행할 수 있습니다. 권한이 없는 사용자는 익명으로 계정 이름 및 공유 리소스를 나열하고 이 정보를 사용하여 암호를 추측하거나 사회 공학적 공격을 수행할 수 있습니다.

따라서 네트워크 액세스: Everyone 사용 권한을 익명 사용자에게 적용 설정은 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

네트워크 액세스: 익명으로 액세스할 수 있는 명명된 파이프

이 정책 설정은 익명 액세스를 허용하는 특성 및 사용 권한을 갖게 될 통신 세션 또는 파이프를 결정합니다.

EC 환경에서 네트워크 액세스: 익명으로 액세스할 수 있는 명명된 파이프 설정은 정의되지 않음으로 구성되지만 SSLF 환경에서는 다음 기본값이 적용됩니다.

  • COMNAP

  • COMNODE

  • SQL\QUERY

  • SPOOLSS

  • LLSRPC

  • 브라우저

네트워크 액세스: 원격으로 액세스할 수 있는 레지스트리 경로

이 정책 설정에 따라 레지스트리 경로에 대한 액세스 권한을 결정하기 위해 WinReg 키를 참조한 후 액세스할 수 있는 레지스트리 경로가 결정됩니다.

EC 환경에서 네트워크 액세스: 원격으로 액세스할 수 있는 레지스트리 경로 설정은 정의되지 않음으로 구성되지만 SSLF 환경에서는 다음 기본값이 적용됩니다.

  • System\CurrentControlSet\Control\ProductOptions

  • System\CurrentControlSet\Control\Print\Printers

  • System\CurrentControlSet\Control\Server Applications

  • System\CurrentControlSet\Control\ContentIndex

  • System\CurrentControlSet\Control\Terminal Server

  • System\CurrentControlSet\Control\Terminal Server\UserConfig

  • System\CurrentControlSet\Control\Terminal Server\DefaultUserConfiguration

  • System\CurrentControlSet\Services\Eventlog

  • Software\Microsoft\OLAP Server

  • Software\Microsoft\Windows NT\CurrentVersion

네트워크 액세스: 익명으로 액세스할 수 있는 공유

이 정책 설정은 익명 사용자가 액세스할 수 있는 네트워크 공유를 결정합니다. 모든 사용자는 서버의 공유 리소스에 액세스하기 전에 인증을 받아야 하므로 이 정책 설정의 기본 구성을 사용할 경우에는 영향이 거의 없습니다.

네트워크 액세스: 익명으로 액세스할 수 있는 공유 설정은 EC 환경에서 정의되지 않음으로 구성되지만 SSLF 환경에서는 comcfg, dfs$로 구성됩니다.

참고: 이 그룹 정책 설정에 다른 공유를 추가하는 것은 매우 위험할 수 있습니다. 나열된 모든 공유에 어떤 네트워크 사용자도 액세스할 수 있으므로 중요한 데이터가 노출되거나 손상될 수 있습니다.

네트워크 액세스: 로컬 계정에 대한 공유 및 보안

이 정책 설정은 로컬 계정을 사용한 네트워크 로그온이 인증되는 방식을 결정합니다. 일반 옵션을 사용하면 같은 리소스에 대해 다른 사용자에게 다른 유형의 액세스 권한을 부여하는 것처럼 리소스에 대한 전반적인 액세스를 보다 정확하게 제어할 수 있습니다. 게스트 전용 옵션을 사용하면 모든 사용자를 동일하게 처리할 수 있습니다. 이 경우 모든 사용자가 게스트 전용으로 인증되어 주어진 리소스에 대해 동일한 수준의 액세스 권한을 부여 받습니다.

따라서 이 장에 나오는 두 환경에서는 로컬 계정에 대한 공유 및 보안 설정에 기본 일반 옵션이 사용됩니다.

네트워크 보안

다음 표는 네트워크 보안에 대해 권장되는 보안 옵션 설정을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.13 보안 옵션 설정 권장 사항 – 네트워크 보안

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

네트워크 보안: 다음 암호 변경 시 Lan Manager 해시 값 저장 안 함

사용

사용

사용

사용

네트워크 보안: LAN Manager 인증 수준

NTLMv2 응답만 보냄\LM 거절

NTLMv2 응답만 보냄\LM 거절

NTLMv2 응답만 보냄\LM 및 NTLM 거절

NTLMv2 응답만 보냄\LM 및 NTLM 거절

네트워크 보안: LDAP 클라이언트 서명 필요

서명 협상

서명 협상

서명 협상

서명 협상

네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 클라이언트

메시지 기밀성 필요, 메시지 무결성 필요, NTLMv2 세션 보안 필요,
128비트 암호화 필요

메시지 기밀성 필요, 메시지 무결성 필요, NTLMv2 세션 보안 필요,
128비트 암호화 필요

메시지 기밀성 필요, 메시지 무결성 필요, NTLMv2 세션 보안 필요,
128비트 암호화 필요

메시지 기밀성 필요, 메시지 무결성 필요, NTLMv2 세션 보안 필요,
128비트 암호화 필요

네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 서버

메시지 기밀성 필요, 메시지 무결성 필요, NTLMv2 세션 보안 필요,
128비트 암호화 필요

메시지 기밀성 필요, 메시지 무결성 필요, NTLMv2 세션 보안 필요,
128비트 암호화 필요

메시지 기밀성 필요, 메시지 무결성 필요, NTLMv2 세션 보안 필요,
128비트 암호화 필요

메시지 기밀성 필요, 메시지 무결성 필요, NTLMv2 세션 보안 필요,
128비트 암호화 필요

네트워크 보안: 다음 암호 변경 시 Lan Manager 해시 값 저장 안 함

이 정책 설정은 암호가 변경될 때 새 암호에 대한 LM(LAN Manager) 해시 값을 저장할지 결정합니다. LM 해시는 비교적 취약하며 암호화된 강력한 Windows NT® 해시와 비교하여 공격 받기 쉽습니다.

이러한 이유로 네트워크 보안: 다음 암호 변경 시 Lan Manager 해시 값 저장 안 함 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

참고: 이 정책 설정을 사용하는 경우 아주 오래된 운영 체제 및 타사 응용 프로그램이 실패할 수도 있습니다. 또한 이 설정을 사용한 후에는 모든 계정의 암호를 변경해야 합니다.

네트워크 보안: LAN Manager 인증 수준

이 정책 설정은 Windows 2000 및 Window XP Professional 클라이언트가 아닌 클라이언트에서 네트워크에 로그온할 때의 시도/응답 인증 유형을 지정합니다. LM(LAN Manager) 인증은 안정성이 가장 떨어지는 방법으로 이 방법을 사용할 경우 네트워크에서 암호를 가로채 쉽게 해독할 수 있습니다. NTLM(NT LAN Manager)은 이보다 조금 더 안전합니다. NTLMv2는 Windows XP Professional, Windows 2000 및 Windows NT 4.0 SP4(서비스 팩 4) 이상에서 사용할 수 있는 NTLM의 가장 강력한 버전입니다. 디렉터리 서비스 클라이언트가 옵션으로 제공되는 Windows 95 및 Windows 98에서도 NTLMv2를 사용할 수 있습니다.

이 정책 설정은 작업 환경에서 가능한 가장 강력한 인증 수준으로 구성하는 것이 좋습니다. Windows XP Professional 워크스테이션을 포함하며 Windows 2000 Server 또는 Windows Server 2003만 실행되는 환경에서는 최대한의 보안을 위해 이 정책 설정을 NTLMv2 응답만 보냄\LM & NTLM 거부 옵션으로 구성합니다.

네트워크 보안: LAN Manager 인증 수준 설정은 EC 환경에서 NTLMv2 응답만 보냄\LM 거부로 구성됩니다. 그러나 SSLF 환경에서는 좀 더 제한적인 NTLMv2 응답만 보냄\LM & NTLM 거부로 구성됩니다.

네트워크 보안: LDAP 클라이언트 서명 필요

이 정책 설정은 LDAP BIND 요청을 실행하는 클라이언트에 대해 요구되는 데이터 서명 수준을 결정합니다. 서명되지 않은 네트워크 트래픽은 끼어들기 공격을 받기가 쉬우므로 공격자는 LDAP 서버가 LDAP 클라이언트의 잘못된 쿼리를 기준으로 의사 결정을 내리도록 만들 수 있습니다.

따라서 네트워크 보안: LDAP 클라이언트 서명 필요 설정은 이 장에 나오는 두 환경에서 서명 협상으로 구성됩니다.

네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 클라이언트

이 정책 설정은 클라이언트에 대한 최소 응용 프로그램-응용 프로그램 통신 보안 표준을 결정합니다. 이 정책 설정의 옵션은 다음과 같습니다.

  • 메시지 무결성 필요

  • 메시지 기밀성 필요

  • NTLMv2 세션 보안 필요

  • 128비트 암호화 필요

네트워크의 모든 컴퓨터가 NTLMv2 및 128비트 암호화(예: Windows XP Professional SP2 및 Windows Server 2003 SP1)를 지원할 수 있으면 최대한의 보안을 위해 네 가지 설정을 모두 선택할 수 있습니다.

이 장에 나오는 두 환경에서는 네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 클라이언트 설정의 네 가지 옵션이 모두 활성화됩니다.

네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 서버

이 정책 설정은 앞에 나온 설정과 비슷하지만 응용 프로그램과의 서버쪽 통신에 영향을 줍니다. 설정 옵션은 다음과 같이 동일합니다.

  • 메시지 무결성 필요

  • 메시지 기밀성 필요

  • NTLMv2 세션 보안 필요

  • 128비트 암호화 필요

네트워크의 모든 컴퓨터가 NTLMv2 및 128비트 암호화(예: Windows XP Professional SP2 및 Windows Server 2003 SP1)를 지원할 수 있으면 최대한의 보안을 위해 네 가지 옵션을 모두 선택할 수 있습니다.

이 장에 나오는 두 환경에서는 네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 서버 설정의 네 가지 옵션이 모두 활성화됩니다.

복구 콘솔

다음 표는 복구 콘솔에 대해 권장되는 보안 옵션 설정을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.14 보안 옵션 설정 권장 사항 – 복구 콘솔

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

복구 콘솔: 자동 관리자적 로그온 허용

사용 안 함

사용 안 함

사용 안 함

사용 안 함

복구 콘솔: 모든 드라이브 및 폴더에 플로피 복사 및 액세스 허용

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

복구 콘솔: 자동 관리자적 로그온 허용

복구 콘솔은 시스템 문제 발생 시 복구하는 데 사용되는 명령줄 환경입니다. 이 정책 설정을 활성화할 경우 시작 중에 복구 콘솔이 호출되면 관리자 계정이 자동으로 복구 콘솔로 로그온됩니다. 관리자가 복구 콘솔에 액세스하기 위해 암호를 입력해야 하므로 이 정책 설정은 비활성화하는 것이 좋습니다.

복구 콘솔: 자동 관리 로그온 허용 설정은 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

복구 콘솔: 모든 드라이브 및 폴더에 플로피 복사 및 액세스 허용

이 정책 설정은 복구 콘솔 SET 명령을 사용하고 다음과 같은 복구 콘솔 환경 변수를 설정할 수 있습니다.

  • AllowWildCards. DEL 명령 등의 일부 명령에 대해 와일드카드를 지원합니다.

  • AllowAllPaths. 컴퓨터의 모든 파일 및 폴더에 대한 액세스를 허용합니다.

  • AllowRemovableMedia. 플로피 디스크 등의 이동식 미디어로 파일을 복사할 수 있습니다.

  • NoCopyPrompt. 기존 파일을 덮어쓸 때 확인 메시지를 표시하지 않습니다.

복구 콘솔: 모든 드라이브 및 폴더에 플로피 복사 및 액세스 허용 설정은 EC 환경에서 정의되지 않음으로 구성됩니다. 그러나 SSLF 환경에서는 최대한의 보안을 위해 사용 안 함으로 구성됩니다.

시스템 종료

다음 표는 시스템 종료 보안 옵션 설정 권장 사항을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.15 보안 옵션 설정 권장 사항 – 시스템 종료

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

시스템 종료: 로그온하지 않고 시스템 종료 허용

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

시스템 종료: 가상 메모리 페이지 파일 지움

사용 안 함

사용 안 함

사용 안 함

사용 안 함

시스템 종료: 로그온하지 않고 시스템 종료 허용

이 정책 설정은 사용자가 로그온하지 않은 상태로 컴퓨터를 종료할 수 있는지 결정합니다. 이 정책 설정을 활성화하면 Windows 로그온 화면에서 시스템 종료 명령을 사용할 수 있습니다. 시스템에서 자격 증명이 있는 사용자로 시스템 종료 권한을 제한하도록 이 정책 설정을 비활성화하는 것이 좋습니다.

시스템 종료: 로그온하지 않고 시스템 종료 허용 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

시스템 종료: 가상 메모리 페이지 파일 지움

이 정책 설정은 시스템이 종료될 때 가상 메모리 페이지 파일을 지울지 결정합니다. 이 정책 설정을 사용하면 시스템이 완전히 종료될 때마다 시스템 페이지 파일이 지워집니다. 휴대용 컴퓨터 시스템에서 최대 절전 모드가 사용되지 않도록 구성되어 있을 때 이 보안 설정을 사용하면 최대 절전 모드 파일(Hiberfil.sys)도 지워집니다. 이 설정을 사용하면 서버를 종료했다가 다시 시작하는 데 시간이 더 오래 걸리며 큰 페이징 파일을 포함하는 서버에서는 이러한 현상이 두드러지게 나타납니다.

이러한 이유로 이 장에 나오는 두 환경에서 시스템 종료: 가상 메모리 페이지 파일 지움 설정은 사용 안 함으로 구성됩니다.

시스템 암호화

다음 표는 시스템 암호화에 대해 권장되는 보안 옵션 설정을 요약해서 보여 줍니다. 자세한 내용은 표 다음에 나와 있습니다.

표 3.16 보안 옵션 설정 권장 사항 - 시스템 암호화

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

시스템 암호화: 암호화, 해시, 서명에 FIPS 호환 알고리즘 사용

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

시스템 암호화: 암호화, 해시, 서명에 FIPS 호환 알고리즘 사용

이 정책 설정은 TL/SS(Transport Layer Security/Secure Sockets Layer) 보안 공급자가 TLS_RSA_WITH_3DES_EDE_CBC_SHA 암호 모음만 지원할지 결정합니다. 이 정책 설정을 사용하면 보안은 강화되지만 TLS 또는 SSL로 보안이 설정된 대부분의 공용 웹 사이트에서는 이러한 알고리즘을 지원하지 않습니다. 또한 이 정책 설정이 활성화된 클라이언트 컴퓨터는 FIPS 호환 알고리즘을 사용하도록 구성되지 않은 서버의 터미널 서비스에 연결할 수 없습니다.

시스템 암호화: 암호화, 해시, 서명에 FIPS 호환 알고리즘 사용 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

참고: 이 정책 설정을 활성화할 경우 파일의 각 데이터 블록에 대해 세 번씩 3DES 프로세스가 수행되므로 컴퓨터 성능이 저하됩니다. 조직에서 FIPS와 호환해야 할 경우에만 이 정책 설정을 사용합니다.

시스템 개체

다음 표는 시스템 개체에 대해 권장되는 보안 옵션 설정을 요약해서 보여 줍니다. 표 다음에 나오는 하위 섹션에 자세한 정보가 포함되어 있습니다.

표 3.17 보안 옵션 설정 권장 사항 - 시스템 개체

설정

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

시스템 개체: Administrators 그룹의 구성원에 의해 작성된 개체에 대한 기본 소유자

Object Creator

Object Creator

Object Creator

Object Creator

시스템 개체: 비 Windows 하위 시스템에 대한 대/소문자 구분 사용 안 함 필요

정의되지 않음

정의되지 않음

사용

사용

시스템 개체: 내부 시스템 개체(예: 심볼 링크)에 대한 기본 사용 권한을 강화

사용

사용

사용

사용

시스템 개체: Administrators 그룹의 구성원에 의해 작성된 개체에 대한 기본 소유자

이 정책 설정은 새 시스템 개체의 기본 소유자가 Administrators 그룹인지 또는 개체 작성자 그룹인지 결정합니다.

책임을 강화하기 위해 이 장에 나오는 두 환경에서 시스템 개체: Administrators 그룹의 구성원에 의해 작성된 개체에 대한 기본 소유자 설정은 개체 작성자 그룹으로 구성됩니다.

시스템 개체: 비 Windows 하위 시스템에 대한 대/소문자 구분 사용 안 함 필요

이 정책 설정은 모든 하위 시스템에 대해 대/소문자를 구분하지 않도록 지정할지 결정합니다. Microsoft Win32® 하위 시스템은 대/소문자를 구분하지 않습니다. 그러나 POSIX(Portable Operating System Interface for UNIX) 등의 다른 하위 시스템에 대해서는 커널이 대/소문자 구분을 지원합니다. Windows는 대/소문자를 구분하지 않지만 POSIX 하위 시스템은 대/소문자를 구분하므로 이 정책 설정을 적용하지 않으면 POSIX 하위 시스템의 사용자가 파일 레이블에 대/소문자를 함께 사용하여 다른 파일과 이름이 같은 파일을 만들 수 있습니다. 이러한 상황이 발생하면 파일 중 하나만 사용할 수 있으므로 일반 Win32 도구를 사용하는 다른 사용자가 파일에 액세스할 수 없게 됩니다.

파일 이름의 일관성을 보장하기 위해 시스템 개체: 비 Windows 하위 시스템에 대한 대/소문자 구분 사용 안 함 필요 설정이 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용으로 구성됩니다.

시스템 개체: 내부 시스템 개체(예: 심볼 링크)에 대한 기본 사용 권한을 강화

이 정책 설정은 시스템 개체에 대한 기본 DACL(임의 액세스 제어 목록)의 강도를 결정합니다. 이 설정을 사용하면 프로세스 간에 보안 개체를 찾아 공유하기 쉬워지며 기본 구성을 사용할 경우 관리자 이외의 사용자가 공유 개체를 읽을 수 있지만 직접 만들지 않은 개체를 수정할 수는 없으므로 DACL이 강화됩니다.

따라서 이 장에 나오는 두 환경에서 시스템 개체: 내부 시스템 개체(예: 심볼 링크)에 대한 기본 사용 권한을 강화 설정은 기본 설정인 사용으로 구성됩니다.

이벤트 로그 보안 설정

이벤트 로그는 시스템에 대한 이벤트를 기록하고 보안 로그는 감사 이벤트를 기록합니다. 그룹 정책의 이벤트 로그 컨테이너는 최대 로그 크기, 각 로그에 대한 액세스 권한, 보존 설정 및 방법과 같이 응용 프로그램, 보안 및 시스템 이벤트 로그와 관련된 특성을 정의하는 데 사용됩니다. 응용 프로그램, 보안 및 시스템 이벤트 로그 설정은 MSBP(구성원 서버 기준 정책)에서 구성되며 도메인의 모든 구성원 서버에 적용됩니다.

그룹 정책 개체 편집기의 다음 위치에서 이벤트 로그 설정을 구성합니다.

컴퓨터 구성\Windows 설정\보안 설정\이벤트 로그

이 섹션에서는 이 장에 나오는 환경에 대해 규정된 설정을 자세히 설명합니다. 이 섹션에 나오는 규정된 설정은 Microsoft Excel® 통합 문서 "Windows XP 보안 가이드 설정"에 요약되어 있습니다. 이 섹션에 나오는 각 설정에 대한 기본 구성 및 자세한 설명은 관련 가이드인 위협 및 대책: Windows Server 2003 및 Windows XP의 보안 설정(http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx)을 참조하십시오. 이 관련 가이드에서는 로그 크기를 너무 크게 설정했을 때 이벤트 로그 데이터가 손상될 가능성에 대해서도 자세히 설명합니다.

다음 표는 이 장에 나오는 두 가지 유형의 환경인 EC(엔터프라이즈 클라이언트) 및 SSLF(특수 보안 - 기능 제한) 환경의 데스크톱 및 랩톱 클라이언트에서 권장되는 이벤트 로그 보안 설정을 요약해서 보여 줍니다. 각 설정에 대한 자세한 내용은 다음 하위 섹션에 제공됩니다.

표 3.18 이벤트 로그 보안 설정 권장 사항

설정

EC 데스크톱

EC  랩톱

SSLF 데스크톱

SSLF 랩톱

응용 프로그램 로그 최대 크기

16384KB

16384KB

16384KB

16384KB

보안 로그 최대 크기

81920KB

81920KB

81920KB

81920KB

시스템 로그 최대 크기

16384KB

16384KB

16384KB

16384KB

응용 프로그램 로그에 로컬 Guest 그룹 액세스 제한

사용

사용

사용

사용

보안 로그에 로컬 Guest 그룹 액세스 제한

사용

사용

사용

사용

시스템 로그에 로컬 Guest 그룹 액세스 제한

사용

사용

사용

사용

응용 프로그램 로그 보관 방법

필요에 따라

필요에 따라

필요에 따라

필요에 따라

보안 로그 보관 방법

필요에 따라

필요에 따라

필요에 따라

필요에 따라

시스템 로그 보관 방법

필요에 따라

필요에 따라

필요에 따라

필요에 따라

응용 프로그램 로그 최대 크기

이 정책 설정은 응용 프로그램 이벤트 로그의 최대 크기를 지정합니다. 이 로그의 최대 용량은 4GB입니다. 그러나 메모리가 조각화되어 성능이 느려지고 이벤트 로깅의 신뢰도가 떨어지므로 최대 크기가 권장되지는 않습니다. 응용 프로그램 로그 크기에 대한 요구 사항은 플랫폼의 기능과 응용 프로그램 관련 이벤트의 기록 레코드에 필요한 사항에 따라 달라집니다.

이 장에 나오는 두 환경의 모든 컴퓨터에서 응용 프로그램 로그 최대 크기 설정은 16384KB로 구성됩니다.

보안 로그 최대 크기

이 정책 설정은 보안 이벤트 로그의 최대 크기를 지정합니다. 이 로그의 최대 용량은 4GB입니다. 그러나 메모리가 조각화되어 성능이 느려지고 이벤트 로깅의 신뢰도가 떨어지므로 최대 크기가 권장되지는 않습니다. 보안 로그 크기에 대한 요구 사항은 플랫폼의 기능과 응용 프로그램 관련 이벤트의 기록 레코드에 필요한 사항에 따라 달라집니다.

이 장에 나오는 두 환경의 모든 컴퓨터에서 보안 로그 최대 크기 설정은 81920KB로 구성됩니다.

시스템 로그 최대 크기

이 정책 설정은 시스템 이벤트 로그의 최대 크기를 지정합니다. 이 로그의 최대 용량은 4GB입니다. 그러나 메모리가 조각화되어 성능이 느려지고 이벤트 로깅의 신뢰도가 떨어지므로 최대 크기가 권장되지는 않습니다. 응용 프로그램 로그 크기에 대한 요구 사항은 플랫폼의 기능과 응용 프로그램 관련 이벤트의 기록 레코드에 필요한 사항에 따라 달라집니다.

이 장에 나오는 두 환경의 모든 컴퓨터에서 시스템 로그 최대 크기 설정은 16384KB로 구성됩니다.

응용 프로그램 로그에 로컬 Guest 그룹 액세스 제한

이 정책 설정은 게스트 사용자의 응용 프로그램 이벤트 로그 액세스가 제한되는지 결정합니다. 기본적으로 Windows Server 2003에서는 모든 시스템에 대해 게스트 액세스가 금지되어 있습니다. 따라서 기본 시스템 구성에서는 이 정책 설정이 실질적인 영향을 미치지 않습니다. 그러나 이 설정은 부작용이 없는 완전 방어(defense-in-depth) 설정으로 간주됩니다.

응용 프로그램 로그에 로컬 Guest 그룹 액세스 제한 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

보안 로그에 로컬 Guest 그룹 액세스 제한

이 정책 설정은 게스트 사용자의 보안 이벤트 로그 액세스가 제한되는지 결정합니다. 사용자는 이 가이드에 정의되지 않은 감사 및 보안 로그 관리 사용자 권한이 있어야만 보안 로그에 액세스할 수 있습니다. 따라서 기본 시스템 구성에서는 이 정책 설정이 실질적인 영향을 미치지 않습니다. 그러나 이 설정은 부작용이 없는 완전 방어(defense-in-depth) 설정으로 간주됩니다.

보안 로그에 로컬 Guest 그룹 액세스 제한 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

시스템 로그에 로컬 Guest 그룹 액세스 제한

이 정책 설정은 게스트 사용자의 시스템 이벤트 로그 액세스가 제한되는지 결정합니다. 기본적으로 Windows Server 2003에서는 모든 시스템에 대해 게스트 액세스가 금지되어 있습니다. 따라서 기본 시스템 구성에서는 이 정책 설정이 실질적인 영향을 미치지 않습니다. 그러나 이 설정은 부작용이 없는 완전 방어(defense-in-depth) 설정으로 간주됩니다.

시스템 로그에 로컬 Guest 그룹 액세스 제한 설정은 이 장에 나오는 두 환경에서 사용으로 구성됩니다.

응용 프로그램 로그 보관 방법

이 정책 설정은 응용 프로그램 로그에 대한 "래핑" 방법을 결정합니다. 문제를 설명하거나 해결하는 데 기록 이벤트가 적합한 경우 응용 프로그램 로그를 정기적으로 보관해야 합니다. 필요한 경우 이벤트 덮어쓰기 기능을 사용하면 로그에 항상 가장 최근의 이벤트가 저장할 수 있습니다. 그러나 이 구성을 사용할 경우 기록 데이터를 잃을 수 있습니다.

응용 프로그램 로그 보관 방법은 이 장에 나오는 두 환경에서 필요하면으로 구성됩니다.

보안 로그 보관 방법

이 정책 설정은 보안 로그에 대한 "래핑" 방법을 결정합니다. 문제를 설명하거나 해결하는 데 기록 이벤트가 적합한 경우 보안 로그를 정기적으로 보관해야 합니다. 필요한 경우 이벤트 덮어쓰기 기능을 사용하면 로그에 항상 가장 최근의 이벤트가 저장할 수 있습니다. 그러나 이 구성을 사용할 경우 기록 데이터를 잃을 수 있습니다.

보안 로그 보존 방법은 이 장에 나오는 두 환경에서 필요하면으로 구성됩니다.

시스템 로그 보관 방법

이 정책 설정은 시스템 로그에 대한 "래핑" 방법을 결정합니다. 문제를 설명하거나 해결하는 데 기록 이벤트가 적합한 경우 시스템 로그를 정기적으로 보관해야 합니다. 필요한 경우 이벤트 덮어쓰기 기능을 사용하면 로그에 항상 가장 최근의 이벤트가 저장할 수 있습니다. 그러나 이 구성을 사용할 경우 기록 데이터를 잃을 수 있습니다.

시스템 로그 보관 방법은 이 장에 나오는 두 환경에서 필요하면으로 구성됩니다.

제한된 그룹

제한된 그룹 설정을 사용하면 Active Directory 그룹 정책을 통해 Windows XP Professional의 그룹 등록을 관리할 수 있습니다. 먼저 조직의 요구를 검토하여 제한할 그룹을 결정합니다. 이를 위해 두 환경에서는 Backup OperatorsPower Users 그룹이 제한되지만 SSLF 환경에서는 Remote Desktop Users 그룹이 제한됩니다. Backup OperatorsPower Users 그룹 구성원이 Administrators 그룹 구성원보다 시스템 액세스 권한이 약하지만 여전히 효과적인 방법으로 시스템에 액세스할 수 있습니다.

참고: 조직에서 이러한 그룹을 사용할 경우에는 해당 구성원 자격을 주의해서 제어해야 하며 제안된 그룹 설정에 대한 지침을 구현하지 마십시오. 조직에서 Power Users 그룹에 사용자를 추가할 경우 이 장 뒷부분에 나오는 “파일 시스템 보안 유지" 섹션에 설명된 선택적 파일 시스템 사용 권한을 구현할 수 있습니다.

표 3.19 제한된 그룹 권장 사항

로컬 그룹

EC 데스크톱

EC  랩톱

SSLF 데스크톱

SSLF 랩톱

Backup Operators

구성원 없음

구성원 없음

구성원 없음

구성원 없음

Power Users

구성원 없음

구성원 없음

구성원 없음

구성원 없음

Remote Desktop Users

 

 

구성원 없음

구성원 없음


그룹 정책 개체 편집기의 다음 위치에서 제한된 그룹 설정을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\제한된 그룹\

관리자는 원하는 그룹을 GPO 네임스페이스의 제한된 그룹 노드에 직접 추가하여 GPO의 제한된 그룹을 구성할 수 있습니다.

그룹이 제한되면 해당 구성원과 구성원이 속하는 다른 그룹을 정의할 수 있습니다. 이러한 그룹 구성원을 지정하지 않으면 그룹이 전체적으로 제한된 상태를 유지합니다. 보안 템플릿을 사용해야만 그룹을 제한할 수 있습니다.

제한된 그룹 설정 표시 또는 수정

  1. 보안 템플릿 관리 콘솔을 엽니다.

    참고: 관리 도구 메뉴에는 보안 템플릿 관리 콘솔이 기본적으로 추가되어 있지 않습니다. 보안 템플릿 관리 콘솔을 추가하려면 Microsoft Management Console(mmc.exe)을 시작하고 보안 템플릿 추가 기능을 추가합니다.

  2. 구성 파일 디렉터리를 두 번 클릭하고 구성 파일을 두 번 클릭합니다.

  3. 제한된 그룹 항목을 두 번 클릭합니다.

  4. 제한된 그룹을 마우스 오른쪽 단추로 클릭하고 그룹 추가를 선택합니다.

  5. 찾아보기 단추를 클릭하고 위치 단추를 클릭한 다음 찾아 볼 위치를 선택하고 확인을 클릭합니다.

    참고: 일반적으로 이 작업을 수행하면 로컬 컴퓨터가 목록 맨 위에 나타납니다.

  6. 선택할 개체 이름 입력하십시오. 입력란에 그룹 이름을 입력하고 이름 확인 단추를 클릭합니다.

    - 또는 -

    고급 단추를 클릭하고 지금 찾기 단추를 클릭하여 사용 가능한 그룹을 모두 나열합니다.

  7. 제한할 그룹을 선택하고 확인을 클릭합니다.

  8. 그룹 추가 대화 상자에서 확인을 클릭하여 대화 상자를 닫습니다.

이 가이드에서는 두 환경에서 해당 설정이 완전히 제한되도록 Power Users 및 Backup Operators 그룹의 모든 구성원(사용자 및 그룹)에 대해 설정이 제거되었습니다. 또한 SSLF 환경에서는 Remote Desktop Users 그룹의 모든 구성원이 제거됩니다. 조직에서 사용하지 않으려는 기본 제공 그룹을 제한하는 것이 좋습니다.

참고: 이 섹션에 설명된 제한된 그룹의 구성은 매우 간단합니다. Windows XP SP1 이상 버전 및 Windows Server 2003에서는 좀 더 복잡한 디자인을 사용할 수 있습니다. 자세한 내용은 Microsoft 기술 자료 문서 “사용자 정의 로컬 그룹의 제한된 그룹("소속 그룹") 동작 업데이트”(http://support.microsoft.com/default.aspx?kbid=810076)를 참조하십시오.

시스템 서비스

Windows XP Professional을 설치하면 시스템이 시작할 때 실행되도록 기본 시스템 서비스가 만들어지고 구성됩니다. 이 장에 설명된 환경에서는 이러한 시스템 서비스 대부분을 실행할 필요가 없습니다.

Windows XP Professional에는 운영 체제를 설치할 때 기본적으로 설치되지 않는 IIS와 같은 추가 옵션 서비스가 있습니다. 제어판의 프로그램 추가/제거를 통해 기존 시스템에 이러한 선택적 서비스를 추가하거나 Windows XP Professional의 사용자 지정된 자동 설치를 만들 수 있습니다.

중요: 모든 서비스 또는 응용 프로그램이 공격 지점이 될 수 있으므로 그러므로 사용자 환경에서 필요하지 않은 서비스나 실행 파일은 비활성화하거나 제거해야 합니다.

그룹 정책 개체 편집기의 다음 위치에서 시스템 서비스 설정을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\시스템 서비스

관리자는 시스템 서비스의 시작 모드를 설정하고 각각의 보안 설정을 변경할 수 있습니다.

중요: Windows 2003 버전 이전의 Windows 운영 체제에 포함되어 있는 서비스를 편집하는 데 사용할 수 있는 그래픽 도구 버전은 서비스의 속성을 구성할 때 각 서비스에 자동으로 사용 권한을 적용합니다. 그룹 정책 개체 편집기 및 MMC 보안 템플릿 스냅인과 같은 도구는 보안 구성 편집기 DLL을 사용하여 이러한 사용 권한을 적용합니다. 기본 사용 권한이 변경되면 여러 서비스에서 다양한 문제가 발생합니다. Windows XP 또는 Windows Server 2003에 포함되어 있는 서비스에 대한 사용 권한은 변경하지 않는 것이 좋습니다. 기본 사용 권한이 이미 상당히 제한적이기 때문입니다.
Windows Server 2003 버전의 보안 구성 편집기 DLL은 서비스 속성 편집 시 사용자에게 사용 권한을 구성하도록 요구하지 않습니다. 자세한 내용은 관련 가이드인 위협 및 대책: Windows Server 2003 및 Windows XP의 보안 설정 참조하십시오. 이 가이드는 http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx에서 다운로드할 수 있습니다.

다음 표는 이 장에 나오는 두 가지 유형의 환경인 EC(엔터프라이즈 클라이언트) 및 SSLF(특수 보안 - 기능 제한) 환경의 데스크톱 및 랩톱 클라이언트에서 권장되는 시스템 서비스 설정을 요약해서 보여 줍니다. 각 설정에 대한 자세한 내용은 다음 하위 섹션에 제공됩니다.

표 3.20 시스템 서비스 보안 설정 권장 사항

서비스 이름

표시 이름

EC 데스크톱

EC 랩톱

SSLF 데스크톱

SSLF 랩톱

경고

경고

사용 안 함

사용 안 함

사용 안 함

사용 안 함

ClipSrv

클립북

사용 안 함

사용 안 함

사용 안 함

사용 안 함

브라우저

컴퓨터 브라우저

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

팩스

팩스

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

MSFtpsvr

FTP Publishing

사용 안 함

사용 안 함

사용 안 함

사용 안 함

IISADMIN

IIS Admin

사용 안 함

사용 안 함

사용 안 함

사용 안 함

cisvc

인덱싱 서비스

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

메신저

메신저

사용 안 함

사용 안 함

사용 안 함

사용 안 함

mnmsrvc

NetMeeting® Remote Desktop Sharing

사용 안 함

사용 안 함

사용 안 함

사용 안 함

RDSessMgr

Remote Desktop Help Session Manager

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

RemoteAccess

라우팅 및 원격 액세스

사용 안 함

사용 안 함

사용 안 함

사용 안 함

SNMP

SNMP 서비스

사용 안 함

사용 안 함

사용 안 함

사용 안 함

SNMPTRAP

SNMP Trap Service

사용 안 함

사용 안 함

사용 안 함

사용 안 함

SSDPSrv

SSDP Discovery Service

사용 안 함

사용 안 함

사용 안 함

사용 안 함

일정

작업 스케줄러

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

TlntSvr

텔넷

사용 안 함

사용 안 함

사용 안 함

사용 안 함

TermService

터미널 서비스

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

Upnphost

Universal Plug and Play Device Host

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

W3SVC

World Wide Web Publishing

사용 안 함

사용 안 함

사용 안 함

사용 안 함

경고

이 서비스는 선택한 사용자와 컴퓨터에게 관리 경고를 보냅니다. 이 서비스를 사용하여 네트워크에 연결된 특정 사용자에게 경고 메시지를 보낼 수 있습니다.

Alerter 서비스는 네트워크를 통해 정보가 전송되지 못하도록 사용 안 함으로 구성됩니다. 이렇게 구성하면 이 장에 나오는 두 환경의 보안이 강화됩니다.

참고: 이 서비스를 비활성화하면 UPS(무정전 전원 공급 장치) 경고 메시지 시스템의 기능에 영향을 줄 수 있습니다.

클립북

이 서비스를 사용하면 원격 컴퓨터에서 볼 수 있는 데이터의 "페이지"를 클립북 뷰어에서 만들고 공유할 수 있습니다. 이 서비스는 네트워크 동적 데이터 교환(NetDDE) 서비스에 의존하여 다른 컴퓨터에서 연결할 수 있는 실제 파일 공유를 만들며 사용자는 클립북 응용 프로그램 및 서비스를 사용하여 공유할 데이터 페이지를 만들 수 있습니다. 명시적으로 이 서비스에 의존하는 서비스는 모두 실패합니다. 그러나 Clipbrd.exe를 사용하여 로컬 클립보드를 볼 수 있습니다. 사용자가 텍스트를 선택한 후 편집 메뉴에서 복사를 클릭하거나 Ctrl+C를 누르면 데이터가 클립보드에 저장됩니다.

ClipBook 서비스는 이 장에 나오는 두 환경의 보안을 강화하기 위해 사용 안 함으로 구성됩니다.

컴퓨터 브라우저

이 서비스는 사용자 네트워크에서 최신 컴퓨터 목록을 유지하고 이를 요청하는 프로그램 목록을 제공합니다. 이 서비스는 네트워크 도메인과 리소스를 보아야 하는 Windows 기반 컴퓨터에서 사용됩니다.

보안을 강화하기 위해 Computer Browser 서비스는 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

팩스

TAPI(Telephony API) 호환 서비스인 이 서비스는 작업 환경의 클라이언트에 팩스 기능을 제공합니다. 이 서비스를 사용하면 로컬 팩스 장치나 공유 네트워크 팩스 장치를 사용하여 데스크톱 응용 프로그램에서 팩스를 보내고 받을 수 있습니다.

Fax 서비스는 EC 환경의 컴퓨터에서 정의되지 않음으로 구성됩니다. 그러나 SSLF 환경에서는 보안 강화를 위해 사용 안 함으로 구성됩니다.

FTP Publishing

이 서비스는 MMC IIS 스냅인을 통해 연결 및 관리 기능을 제공합니다. 업무상 이 서비스가 반드시 필요한 경우가 아니면 작업 환경의 Windows XP 클라이언트에는 이 서비스를 설치하지 않는 것이 좋습니다.

FTP Publishing 서비스는 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

IIS Admin

이 서비스를 사용하여 FTP, 응용 프로그램 풀, 웹 사이트, 웹 서비스 확장 등의 IIS 구성 요소를 관리할 수 있습니다. 사용자가 해당 컴퓨터에서 웹 또는 FTP 사이트를 실행하지 못하게 하려면 이 서비스를 비활성화합니다. 그러나 대부분의 Windows XP 클라이언트 컴퓨터에서는 그렇게 설정할 필요가 없습니다.

IIS Admin 서비스는 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

인덱싱 서비스

이 서비스는 로컬 및 원격 컴퓨터에 있는 파일의 내용과 속성을 인덱싱하여 다양한 쿼리 언어를 통해 파일에 빠르게 액세스할 수 있습니다. 또한 로컬 및 원격 컴퓨터에서 문서를 “빠르게 검색"할 수 있으며 웹에서 공유되는 콘텐츠에 대한 검색 인덱스를 제공합니다.

Indexing Service 서비스는 EC 환경의 컴퓨터에서 정의되지 않음으로 구성됩니다. 그러나 SSLF 환경에서는 보안 강화를 위해 사용 안 함으로 구성됩니다.

메신저

이 서비스는 클라이언트와 서버 사이에 경고 서비스 메시지를 전송하고 보냅니다. 이 서비스는 Windows Messenger 또는 MSN Messanger와 관련이 없으며 Windows XP 클라이언트 컴퓨터에는 필요하지 않습니다.

따라서 Messenger 서비스는 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

NetMeeting 바탕 화면 원격 공유

이 서비스는 허가된 사용자가 조직의 인트라넷을 통해 Microsoft NetMeeting을 사용하여 원격으로 클라이언트에 액세스할 수 있습니다. 이 서비스는 NetMeeting에서 명시적으로 설정해야 합니다. NetMeeting에서 이 기능을 비활성화하거나, Windows 트레이 아이콘을 사용하여 서비스를 종료하거나, 4장 "Windows XP용 보안 템플릿"에 나오는 바탕 화면 원격 공유 사용 안 함 설정을 구성하여 그룹 정책에서 이 기능을 비활성화할 수도 있습니다. 원격 위치에서 클라이언트에 액세스하지 못하도록 이 서비스를 비활성화하는 것이 좋습니다.

NetMeeting Remote Desktop Sharing 서비스는 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

Remote Desktop Help Session Manager

이 서비스는 도움말 및 지원 센터 응용 프로그램(Helpctr.exe)의 원격 지원 기능을 관리 및 제어합니다.

Remote Desktop Help Session Manager 서비스는 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

라우팅 및 원격 액세스

이 서비스는 다중 프로토콜 LAN-LAN, LAN-WAN, VPN 및 NAT 라우팅 서비스를 제공합니다. 또한 전화 접속 및 VPN 원격 액세스 서비스도 제공합니다.

Routing and Remote Access 서비스는 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

SNMP 서비스

이 서비스를 사용하면 들어오는 SNMP(단순 네트워크 관리 프로토콜) 요청이 로컬 컴퓨터에서 처리될 수 있습니다. SNMP Service에는 네트워크 장치의 작업을 모니터링하고 네트워크 콘솔 워크스테이션으로 보고하는 에이전트가 있습니다.

SNMP Service 서비스는 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

SNMP Trap Service

이 서비스는 로컬 또는 원격 SNMP 에이전트에서 생성한 트랩 메시지를 받은 다음 컴퓨터에서 실행되는 SNMP 관리 프로그램으로 전달합니다. SNMP 서비스가 에이전트용으로 구성되면 특정 이벤트가 발생할 경우 트랩 메시지를 생성합니다. 이러한 메시지는 트랩 대상으로 보내집니다.

SNMP Trap Service는 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

SSDP Discovery Service

이 서비스는 Universal Plug and Play Host 서비스에 UPnP 네트워크 장치를 식별하고 찾는 기능을 제공합니다. SSDP Discovery Service를 비활성화하면 시스템은 네트워크에서 UPnP 장치를 찾지 못하며 Universal Plug and Play Host 서비스는 UPnP 장치를 찾아 상호 작용하지 못합니다.

SSDP Discovery Service는 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

작업 스케줄러

이 서비스는 컴퓨터에서 자동화 작업을 구성 및 예약할 수 있습니다. 이 서비스는 사용자가 선택한 모든 기준을 모니터링하고 기준에 맞으면 해당 작업을 수행합니다.

Task Scheduler 서비스는 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

텔넷

Windows용 Telnet 서비스는 텔넷 클라이언트에 ASCII 터미널 세션을 제공합니다. 이 서비스는 두 가지 인증 유형과 NSI, VT -100, VT -52 및 VTNT의 4가지 터미널 유형을 지원합니다. 그러나 이 서비스는 대부분의 Windows XP 클라이언트에서 필요하지 않습니다.

Telnet 서비스는 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

터미널 서비스

이 서비스는 다중 세션 환경을 제공하여 클라이언트 장치가 서버에서 실행되는 가상 Windows 데스크톱 세션과 Windows 기반 프로그램에 액세스할 수 있습니다. Windows XP에서 이 서비스는 원격 사용자가 컴퓨터에 대화형으로 연결한 후 원격 컴퓨터에 바탕 화면과 응용 프로그램을 표시할 수 있습니다.

Terminal Services 서비스는 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

Universal Plug and Play Host

이 서비스는 네트워크 장치의 피어 투 피어 플러그 앤 플레이 기능을 지원합니다. UPnP 사양은 장치 및 네트워크 서비스의 설치와 관리를 편리하게 수행하도록 작성되었습니다. UPnP는 드라이버 없는 표준 기반 프로토콜 메커니즘을 통해 장치와 서비스의 검색 및 제어를 수행합니다. 유니버설 플러그 앤 플레이 장치는 네트워크 주소 지정을 자동 구성하고, 네트워크 서브넷에 자신의 존재를 나타내고, 장치 및 서비스 설명을 교환할 수 있습니다. Windows XP 컴퓨터는 웹 또는 응용 프로그램 인터페이스를 통해 장치를 검색하고 제어하기 위한 UPnP 제어 지점의 역할을 할 수 있습니다.

Universal Plug and Play 서비스는 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

World Wide Web Publishing

이 서비스는 MMC IIS 스냅인을 통해 웹 연결 및 관리 기능을 제공합니다. 또한 Windows 플랫폼의 응용 프로그램에 대한 HTTP 서비스를 제공하고 프로세스 관리자 및 구성 관리자를 포함합니다. 그러나 이 서비스는 대부분의 Windows XP 클라이언트에서 필요하지 않습니다.

World Wide Web Publishing 서비스는 이 장에 나오는 두 환경에서 사용 안 함으로 구성됩니다.

추가 레지스트리 설정

추가 레지스트리 값 항목은 이 가이드에 나오는 두 보안 환경의 관리 템플릿 파일(.adm)에 정의되지 않은 기준 보안 템플릿 파일을 위한 것입니다.

이러한 설정은 구현을 자동화하도록 보안 템플릿의 보안 옵션 섹션에 포함됩니다. 정책이 제거되는 경우 이 설정은 정책과 함께 자동으로 제거되지 않으므로 Regedt32.exe와 같은 레지스트리 편집 도구를 사용하여 수동으로 제거해야 합니다.

이 가이드에는 %windir%\inf 폴더의 Sceregvl.inf 파일을 수정한 후 Scecli.dll 파일을 다시 등록하여 SCE(보안 구성 편집기)에 추가되는 추가 설정이 포함되어 있습니다. 원래의 보안 설정과 추가 설정 모두 이 장 앞부분에 나오는 스냅인 및 도구의 로컬 정책\보안 옵션에 표시됩니다. 이 가이드와 함께 제공된 보안 템플릿 및 그룹 정책을 편집해야 하는 경우에는 이 섹션 다음에 나오는 하위 섹션인 “보안 구성 편집기 사용자 인터페이스 수정 방법”에 설명된 대로 Sceregvl.inf 파일을 업데이트한 후 Scecli.dll을 다시 등록해야 합니다.

다음 표는 이 장에 나오는 두 가지 유형의 환경인 EC(엔터프라이즈 클라이언트) 및 SSLF(특수 보안 - 기능 제한) 환경의 데스크톱 및 랩톱 클라이언트에서 권장되는 추가 레지스트리 설정을 요약해서 보여 줍니다.

표 다음에 나오는 하위 섹션에 각 설정에 대한 추가 정보가 포함되어 있습니다. 기본 설정 및 각 설정에 대한 자세한 설명은 관련 가이드인 위협 및 대책: Windows Server 2003 및 Windows XP의 보안 설정을 참조하십시오. 이 가이드는 http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx에서 다운로드할 수 있습니다.

표 3.21 추가 레지스트리 설정

설정 이름

EC
데스크톱

EC
랩톱

SSLF
데스크톱

SSLF
랩톱

MSS: (AutoAdminLogon) Enable Automatic Logon (not recommended)

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

MSS: (DisableIPSourceRouting) IP source routing protection level (protects against packet spoofing)

정의되지 않음

정의되지 않음

Highest Protection, source routing is completely disabled.

Highest Protection, source routing is completely disabled.

MSS: (EnableDeadGWDetect) Allow automatic detection of dead network gateways (could lead to DoS)

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes

정의되지 않음

정의되지 않음

사용 안 함

사용 안 함

MSS: (Hidden) Hide Computer From the Browse List (not recommended except for highly secure environments)

정의되지 않음

정의되지 않음

사용

사용

MSS: (KeepAliveTime)How often keep-alive packets are sent in milliseconds

정의되지 않음

정의되지 않음

30000 or 5 minutes (recommended)

30000 or 5 minutes (recommended)

MSS: (NoDefaultExempt) Enable NoDefaultExempt for IPSec Filtering (recommended)

Multicast, broadcast, and ISAKMP are exempt (Best for Windows XP)

Multicast, broadcast, and ISAKMP are exempt (Best for Windows XP)

Multicast, broadcast, and ISAKMP are exempt (Best for Windows XP)

Multicast, broadcast, and ISAKMP are exempt (Best for Windows XP)

MSS: (NoDriveTypeAutoRun) Disable Autorun for all drives (recommended)

255, disable autorun for all drives

255, disable autorun for all drives

255, disable autorun for all drives

255, disable autorun for all drives

MSS: (NoNameReleaseOnDemand) WINS 서버에서 제외되는 NetBIOS 이름 해제 요청을 컴퓨터에서 무시할 수 있도록 허용

정의되지 않음

정의되지 않음

사용

사용

MSS: (NtfsDisable8dot3NameCreation) Enable the computer to stop generating 8.3 style filenames (recommended)

정의되지 않음

정의되지 않음

사용

사용

MSS: (PerformRouterDiscovery) Allow IRDP to detect and configure Default Gateway addresses (could lead to DoS)

정의되지 않음

정의되지 않음

사용

사용

MSS: (SafeDllSearchMode) Enable Safe DLL search mode (recommended)

사용

사용

사용

사용

MSS: (ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires (0 recommended)

0

0

0

0

MSS: (SynAttackProtect) Syn attack protection level (protects against DoS)

정의되지 않음

정의되지 않음

Connections timeout sooner if attack is detected

Connections timeout sooner if attack is detected

MSS: (TCPMaxConnectResponseRetransmissions) SYN-ACK retransmissions when a connection request is not acknowledged

정의되지 않음

정의되지 않음

3 & 6 seconds, half-open connections dropped after 21 seconds

3 & 6 seconds, half-open connections dropped after 21 seconds

MSS: (TCPMaxDataRetransmissions) How many times unacknowledged data is retransmitted (3 recommended, 5 is default)

정의되지 않음

정의되지 않음

3

3

MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning

정의되지 않음

정의되지 않음

90

90

(AutoAdminLogon) Enable Automatic Logon

레지스트리 값 항목 AutoAdminLogon이 템플릿 파일의 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (AutoAdminLogon) Enable Automatic Logon (not recommended)으로 표시됩니다.

이 설정은 Windows XP의 시작 화면 기능과는 별개이므로 이 기능이 비활성화되어도 설정은 비활성화되지 않습니다. 자동 로그온을 위해 컴퓨터를 구성한 경우 컴퓨터에 물리적으로 액세스할 수 있는 누구라도 컴퓨터가 연결되어 있는 네트워크 또는 기타 네트워크를 비롯하여 해당 컴퓨터에 있는 모든 항목에 액세스할 수 있습니다. 또한 자동 로그온을 활성화하면 암호가 일반 텍스트로 레지스트리에 저장되며 Authenticated Users 그룹의 사용자는 이 값을 저장하는 특정 레지스트리 키를 읽을 수 있습니다. 따라서 이 설정은 EC 환경에서는 정의되지 않음으로 구성되고 SSLF 환경에서는 기본 사용 안 함 설정이 명시적으로 적용됩니다.

자세한 내용은 Microsoft 기술 자료 문서 "Windows XP에서 자동 로그온을 설정하는 방법(http://support.microsoft.com/default.aspx?scid=315231)을 참조하십시오.

(DisableIPSourceRouting) IP source routing protection level

레지스트리 값 항목 DisableIPSourceRouting이 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (DisableIPSourceRouting) IP source routing protection level (protects against packet spoofing)로 나타납니다.

IP 원본 라우팅은 데이터그램의 IP 네트워크 경로를 보낸 사람이 결정할 수 있는 메커니즘입니다. 이 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 Highest Protection, source routing is completely disabled로 구성됩니다.

(EnableDeadGWDetect) Allow automatic detection of dead network gateways

레지스트리 값 항목 EnableDeadGWDetect가 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (EnableDeadGWDetect) Allow automatic detection of dead network gateways (could lead to DoS)로 나타납니다.

작동하지 않는 게이트웨이 감지를 설정한 경우 많은 연결에서 문제가 발생하면 IP는 백업 게이트웨이로 변경될 수 있습니다. 이 정책 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

(EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes

레지스트리 값 항목 EnableICMPRedirect가 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes로 나타납니다.

ICMP(Internet Control Message Protocol) 리디렉션을 통해 스택은 호스트 경로를 연결하게 됩니다. 이러한 경로는 OSPF(Open Shortest Path First)에서 생성한 경로보다 우선합니다. 이 정책 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

(Hidden) Hide the Computer from Network Neighborhood Browse Lists

레지스트리 값 항목 Hidden이 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (Hidden) Hide Computer From the Browse List (not recommended except for highly secure environments)로 나타납니다.

도메인의 브라우저로 알림을 보내지 않도록 컴퓨터를 구성할 수 있습니다. 이렇게 하려면 브라우저 목록에서 해당 컴퓨터를 숨깁니다. 이렇게 하면 컴퓨터는 동일한 네트워크에 있는 다른 컴퓨터에 자신을 알리지 않게 됩니다. 공격자가 컴퓨터의 이름을 알고 있으면 해당 시스템에 대한 추가 정보를 더 쉽게 수집할 수 있습니다. 이 설정을 활성화하면 공격자가 네트워크에서 컴퓨터에 대한 정보를 수집하는 데 사용할 수 있는 방법 하나가 사라지는 것입니다. 또한 이 설정은 네트워크 트래픽을 줄이는 데도 도움이 될 수 있습니다. 그러나 공격자는 여러 다른 방법으로 잠재적인 대상을 식별하고 찾을 수 있으므로 이 설정을 사용했다고 해도 보안상의 효과는 별로 높지 않습니다. 따라서 보안 수준이 높은 작업 환경에서만 이 설정을 활성화하는 것이 좋습니다.

이 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

자세한 내용은 Microsoft 기술 자료 문서 "브라우저 목록에서 Windows 2000 기반 컴퓨터 숨기기"(http://support.microsoft.com/default.aspx?scid=321710)를 참조하십시오.

(KeepAliveTime) How often keep-alive packets are sent in milliseconds

레지스트리 값 항목 KeepAliveTime이 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (KeepAliveTime) How often keep-alive packets are sent in milliseconds (300,000 is recommended)로 나타납니다.

이 값은 TCP가 활성 상태 패킷을 보내 유휴 연결이 그대로 있음을 확인하는 빈도를 결정합니다. 원격 컴퓨터에 연결 가능한 경우 TCP는 활성 상태 패킷을 확인합니다. 이 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 30000 or 5 minutes로 구성됩니다.

(NoDefaultExempt) Enable NoDefaultExempt for IPSec Filtering

레지스트리 값 항목 NoDefaultExempt가 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (NoDefaultExempt) Enable NoDefaultExempt for IPSec Filtering (recommended)으로 나타납니다.

IPsec 정책 필터에 대한 기본 예외는 Microsoft Windows 2000 및 Windows XP 온라인 도움말에 설명되어 있습니다. 이러한 필터는 IKE(인터넷 키 교환) 및 Kerberos 인증 프로토콜이 작동될 수 있습니다. 또한 데이터 트래픽이 IPsec을 통해 보호될 때 네트워크 QoS(서비스 품질)이 전달될 수 있으며 멀티캐스트 및 브로드캐스트 트래픽과 같이 IPsec을 통해 보호될 수 없는 트래픽도 필터링될 수 있습니다.

IPsec은 기본 호스트-방화벽 패킷 필터링에 점점 더 많이 사용되고 있으며 인터넷을 사용하는 경우에 특히 많이 사용됩니다. 또한 이러한 기본 예외의 효과가 완전히 이해되지 못하고 있습니다. 따라서 일부 IPsec 관리자는 본인은 안전하다고 생각하지만 실제로 기본 예외를 사용하는 인바운드 공격에서 별로 안전하지 못한 IPsec 정책을 만들 수 있게 됩니다. 이 장에 나오는 두 환경에서는 Windows XP SP 2의 기본 설정인 Multicast, broadcast, and ISAKMP are exempt를 적용하는 것이 좋습니다.

자세한 내용은 Microsoft 기술 자료 문서 "일부 시나리오에서 IPSec 기본 면제를 사용하여 IPsec 보호를 무시할 수 있다"(http://support.microsoft.com/default.aspx?scid=811832)를 참조하십시오.

(NoDriveTypeAutoRun) Disable Autorun for all drives

레지스트리 값 항목 NoDriveTypeAutoRun이 템플릿 파일의 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Policies\Explorer\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (NoDriveTypeAutoRun) Disable Autorun for all drives (recommended)로 나타납니다.

자동 실행은 컴퓨터의 드라이브에 미디어가 삽입되는 즉시 읽는 기능입니다. 따라서 프로그램의 설치 파일과 오디오 미디어의 사운드가 즉시 시작됩니다. 이 설정은 이 장에 나오는 두 환경에서 255, disable autorun for all drives로 구성됩니다.

(NoNameReleaseOnDemand) WINS 서버에서 제외되는 NetBIOS 이름 해제 요청을 컴퓨터에서 무시할 수 있도록 허용

레지스트리 값 항목 NoNameReleaseOnDemand가 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (NoNameReleaseOnDemand) Allow the computer to ignore NetBIOS name release requests except from WINS servers으로 나타납니다.

NetBIOS over TCP/IP는 Windows 기반 시스템에 등록된 NetBIOS 이름을 해당 시스템에 구성된 IP 주소로 쉽게 확인할 수 있는 네트워크 프로토콜입니다. 이 설정은 컴퓨터에서 이름 릴리스 요청을 받을 경우 NetBIOS 이름을 릴리스할지 결정합니다. 이 항목은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용으로 설정됩니다.

(NtfsDisable8dot3NameCreation) Enable the computer to stop generating 8.3 style filenames

레지스트리 값 항목 NtfsDisable8dot3NameCreation이 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (NtfsDisable8dot3NameCreation) Enable the computer to stop generating 8.3 style filenames (recommended)로 나타납니다.

Windows Server 2003에서는 이전 버전인 16비트 응용 프로그램과의 호환성을 위해 8.3 파일 이름 형식을 지원합니다. 8.3 파일 이름 규칙은 파일 이름에 8자까지 사용할 수 있는 명명 형식입니다. 이 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

(PerformRouterDiscovery) Allow IRDP to detect and configure Default Gateway addresses

레지스트리 값 항목 PerformRouterDiscovery가 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (PerformRouterDiscovery) Allow IRDP to detect and configure Default Gateway addresses (could lead to DoS)로 나타납니다.

이 설정은 RFC 1256에 설명된 것처럼 시스템이 인터페이스 기준으로 기본 게이트웨이 주소를 검색하고 자동으로 구성할 수 있는 IRDP(Internet Router Discovery Protocol)를 활성화하거나 비활성화하는 데 사용됩니다. 이 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용 안 함으로 구성됩니다.

(SafeDllSearchMode) Enable Safe DLL Search Order

레지스트리 값 항목 SafeDllSearchMode가 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (SafeDllSearchMode) Enable Safe DLL search mode (recommended)로 나타납니다.

다음 두 가지 중 한 가지 방법으로 프로세스를 실행하여 요청된 DLL을 검색하도록 DLL 검색 순서를 구성할 수 있습니다.

  • 시스템 경로에 지정된 폴더를 먼저 검색한 다음 현재 작업 중인 폴더를 검색합니다.

  • 현재 작업 중인 폴더를 먼저 검색한 다음 시스템 경로에 지정된 폴더를 검색합니다.

이 레지스트리 값은 활성화하면 1로 설정됩니다. 1로 설정되면 시스템에서는 시스템 경로에 지정된 폴더를 먼저 검색한 다음 현재 작업 중인 폴더를 검색합니다. 그렇지 않고 비활성화하면 0으로 설정됩니다. 이 경우 시스템에서는 현재 작업 중인 폴더를 먼저 검색한 다음 시스템 경로에 지정된 폴더를 검색합니다. 이 장에 나오는 두 환경에서 이 설정은 사용으로 구성됩니다.

(ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires

레지스트리 값 항목 ScreenSaverGracePeriod이 템플릿 파일의 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\
Winlogon\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires (0 recommended)로 나타납니다.

Windows에는 기본적으로 화면 보호기 잠금이 활성화되어 있는 경우 화면 보호기가 실행된 후 실제로 콘솔이 자동으로 잠길 때까지의 유예 기간이 설정되어 있습니다. 이 장에 나오는 두 환경에서 이 설정은 0초로 구성됩니다.

(SynAttackProtect) Syn attack protection level

레지스트리 값 항목 SynAttackProtect가 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (SynAttackProtect) Syn attack protection level (protects against DoS)로 나타납니다.

이 설정이 있으면 TCP는 SYN-ACK 재전송을 조정합니다. 이 값을 구성하면 연결 요청(SYN) 공격이 발생할 경우 연결 응답이 더 빨리 시간 초과됩니다. 이 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 Connections timeout sooner if attack is detected로 구성됩니다.

(TCPMaxConnectResponseRetransmissions) SYN-ACK retransmissions when a connection request is not acknowledged

레지스트리 값 항목 TCPMaxConnectResponseRetransmissions가 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (TcpMaxConnectResponseRetransmissions) SYN-ACK retransmissions when a connection request is not acknowledged로 나타납니다.

이 설정은 연결 시도가 중단되기 전까지 TCP가 SYN을 다시 전송하는 횟수를 결정합니다. 재전송 제한 시간은 지정한 연결 시도에서 재전송이 연속될 때마다 두 배로 증가합니다. 초기 시간 제한 값은 3초입니다. 이 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 3 & 6 seconds, half-open connections dropped after 21 seconds로 구성됩니다.

(TCPMaxDataRetransmissions) How many times unacknowledged data is retransmitted

레지스트리 값 항목 TCPMaxDataRetransmissions가 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (TcpMaxDataRetransmissions) How many times unacknowledged data is retransmitted (3 recommended, 5 is default)로 나타납니다.

이 설정은 연결이 중단되기 전에 TCP에서 개별 데이터 세그먼트(연결되지 않은 세그먼트)를 재전송하는 횟수를 결정합니다. 재전송 제한 시간은 연결에서 재전송이 연속될 때마다 두 배로 증가하고 응답이 재개되면 다시 설정됩니다. 기본 제한 시간 값은 연결 시 측정된 Round-Trip Time에 따라 동적으로 결정됩니다. 이 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 3으로 구성됩니다.

(WarningLevel) Percentage threshold for the security event log at which the system will generate a warning

레지스트리 값 항목 WarningLevel이 템플릿 파일의 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning으로 나타납니다.

이 설정은 Windows 2000 SP3부터 사용할 수 있게 된 새로운 기능으로 보안 이벤트 로그가 사용자가 정의한 임계값에 도달할 때 로그에 보안 감사가 생성되도록 합니다. 이 설정은 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 90으로 구성됩니다.

참고: 로그 설정이 필요한 경우 이벤트 덮어쓰기 또는 x일보다 오래된 이벤트 덮어쓰기로 구성된 경우에는 이 이벤트가 생성되지 않습니다.

보안 구성 편집기 사용자 인터페이스를 수정하는 방법

SCE(보안 구성 편집기) 도구 집합은 개별 컴퓨터에 또는 그룹 정책을 통해 여러 컴퓨터에 적용할 수 있는 보안 템플릿을 정의하는 데 사용됩니다. 보안 템플릿에는 암호 정책, 잠금 정책, Kerberos 인증 프로토콜 정책, 감사 정책, 이벤트 로그 설정, 레지스트리 값, 서비스 시작 모드, 서비스 사용 권한, 사용자 권한, 그룹 구성원 제한, 레지스트리 권한 및 파일 시스템 권한이 포함될 수 있습니다. SCE는 다양한 MMC 스냅인과 관리 도구에 나타납니다. 보안 템플릿 스냅인과 보안 구성 및 분석 스냅인에서 사용됩니다. 그룹 정책 개체 편집기 스냅인은 컴퓨터 구성 트리의 보안 설정 부분에서 이 편집기를 사용합니다. 또한 이 편집기는 로컬 보안 정책, 도메인 컨트롤러 보안 정책 및 도메인 보안 정책 도구에도 사용됩니다.

이 가이드에는 SCE에 추가된 추가 설정이 포함되어 있습니다. 이러한 설정을 추가하려면 %systemroot%\inf 폴더에 있는 Sceregvl.inf 파일을 수정한 후 Scecli.dll 파일을 다시 등록해야 합니다.

중요: 다음 절차에 따라 생성되는 Sceregvl.inf 파일의 사용자 지정된 버전은 Windows XP Professional SP 2 및 Windows Server 2003에서만 사용할 수 있는 기능을 사용합니다. 이전 버전의 Windows에서는 사용자 지정된 파일 버전을 설치하지 않도록 합니다.

Sceregvl.inf 파일을 수정하고 등록하면 사용자 지정 레지스트리 값이 해당 컴퓨터의 SCE 사용자 인터페이스에 나타납니다. SCE의 항목 목록 아래쪽에는 앞에 "MSS:"라는 텍스트가 붙은 새 설정이 표시됩니다. MSS는 이 가이드를 작성한 그룹의 이름, 즉 Microsoft Solutions for Security를 의미합니다. 그런 후 이러한 새 레지스트리 값을 정의하며 Sceregvl.inf 파일을 대상 컴퓨터에서 수정했는지 여부에 관계없이 어떠한 컴퓨터에도 적용될 수 있는 이러한 새 레지스트리 값을 정의하는 보안 템플릿이나 정책을 만들 수 있습니다. 이후에 SCE를 시작하면 이러한 사용자 지정 레지스트리 값이 표시됩니다.

SCE에 나타나는 많은 새 설정은 최종 사용자 시스템에서는 구성되지 않는 것이 일반적이므로 이 가이드에서 설명되지 않습니다. 이러한 새로운 설정에 대한 자세한 내용은 관련 가이드인 위협 및 대책: Windows Server 2003 및 Windows XP의 보안 설정을 참조하십시오. 이 가이드는 http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx에서 다운로드할 수 있습니다.

SCE 사용자 인터페이스를 수정하는 방법은 다음 절차에 나와 있습니다. SCE를 이미 다른 방식으로 사용자 지정했으면 수동 작업을 수행해야 합니다. 사용자가 거의 개입할 필요가 없이 설정을 추가하기 위한 스크립트가 제공됩니다. 이 스크립트는 기본 제공된 오류 감지 및 복구 기능을 포함하지만 실행이 실패할 수 있습니다. 이 스크립트가 실패하면 실패의 원인을 파악한 후 문제를 수정하거나 수동 지침을 따라야 합니다. SCE 사용자 인터페이스를 기본 상태로 복원하는 데 사용할 수 있는 또 다른 스크립트가 제공되어 있습니다. 이 스크립트는 모든 사용자 지정 설정을 제거한 후 Windows XP SP2 또는 Windows Server 2003 SP1의 기본 설치에 나타나는 대로 SCE를 되돌립니다.

Sceregvl.inf를 수동으로 업데이트하려면

  1. 메모장과 같은 텍스트 편집기를 사용하여 이 가이드의 다운로드에 포함된 SCE Update 폴더에서 Values-sceregvl.txt 파일을 엽니다.

  2. 텍스트 편집기에서 다른 창을 연 후 %systemroot%\inf\sceregvl.inf 파일을 엽니다.

  3. sceregvl.inf 파일의 “[Register Registry Values]” 섹션 맨 아래로 이동합니다. Values-sceregvl.txt 파일의 텍스트를 페이지 구분 없이 복사한 후 sceregvl.inf 파일의 이 섹션에 붙여넣습니다.

  4. Values-sceregvl.txt 파일을 닫은 후 다운로드의 SCE Update 폴더에서 Strings-sceregvl.txt 파일을 입니다.

  5. sceregvl.inf 파일의 “[Strings]” 섹션 맨 아래로 이동합니다. Strings-sceregvl.txt 파일의 텍스트를 페이지 구분 없이 복사한 후 sceregvl.inf 파일의 이 섹션에 붙여넣습니다.

  6. sceregvl.inf 파일을 저장하고 텍스트 편집기를 닫습니다.

  7. 명령 프롬프트를 열고 regsvr32 scecli.dll 명령을 실행하여 DLL 파일을 다시 등록합니다.

이후에 SCE를 시작하면 이러한 사용자 지정 레지스트리 값이 표시됩니다.

sceregvl.inf를 자동으로 업데이트하려면

  1. 스크립트가 제대로 실행되려면 이 가이드의 다운로드에 포함된 SCE Update 폴더의 Values-sceregvl.txt, Strings-sceregvl.txtUpdate_SCE_with_MSS_Regkeys.vbs 파일이 모두 동일한 위치에 있어야 합니다.

  2. 업데이트하려는 컴퓨터에서 Update_SCE_with_MSS_Regkeys.vbs 스크립트를 실행합니다.

  3. 화면 지시를 따릅니다.

이 절차를 수행하면 이전 절차에 설명된 스크립트인 Update_SCE_with_MSS_Regkeys.vbs를 통해 생성된 사용자 지정 항목만 제거됩니다.

Update_SCE_with_MSS_Regkeys.vbs 스크립트에 의해 변경된 내용을 되돌리려면

  1. 업데이트하려는 컴퓨터에서 Rollback_SCE_for_MSS_Regkeys.vbs 스크립트를 실행합니다.

  2. 화면 지시를 따릅니다.

이 절차를 수행하면 이 가이드와 이 가이드의 이전 버전 또는 다른 보안 가이드에 포함되어 있는 사용자 지정 항목을 비롯하여 SCE 사용자 인터페이스에 추가되었을 수 있는 모든 사용자 지정 항목이 제거됩니다.

SCE를 Windows XP SP2 또는 Windows Server 2003 SP1의 기본 상태로 복원하려면

  1. 스크립트가 제대로 실행되려면 이 가이드의 다운로드에 포함된 SCE Update 폴더의 sceregvl_W2K3_SP1.inf.txt, sceregvl_XPSP2.inf.txtRestore_SCE_to_Default.vbs 파일이 모두 동일한 위치에 있어야 합니다.

  2. 업데이트하려는 컴퓨터에서 Restore_SCE_to_Default.vbs 스크립트를 실행합니다.

  3. 화면 지시를 따릅니다.

추가 보안 설정

이 장에 나오는 두 환경의 클라이언트 시스템에서 보안을 강화하는 데 사용된 대부분의 보안 대책이 그룹 정책을 통해 적용되었지만 그룹 정책을 통해 적용하기 어렵거나 불가능한 추가 설정도 있습니다. 이 섹션에서 설명하는 각 보안 대책에 대한 자세한 내용은 관련 가이드인 위협 및 대책: Windows Server 2003 및 Windows XP의 보안 설정을 참조하십시오. 이 가이드는 http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx에서 다운로드할 수 있습니다.

수동 강화 절차

이 섹션에서는 이 가이드에 정의된 각 보안 환경에서 Windows XP 클라이언트의 보안 강화를 위해 추가 보안 대책이 어떻게 수동으로 구현되었는지에 대해 설명합니다.

Dr. Watson 비활성화: Dr. Watson 시스템 디버거의 자동 실행 비활성화

일부 조직에서는 Windows에 포함되어 있는 Dr. Watson 도구와 같은 시스템 디버거가 풍부한 지식이 있는 공격자에 의해 이용될 수 있다는 사실을 우려합니다. Dr. Watson 시스템 디버거를 비활성화하는 방법에 대한 자세한 내용은 Microsoft 기술 자료 문서 "Windows용 Dr. Watson을 비활성화하는 방법"(http://support.microsoft.com/default.aspx?scid=188296)을 참조하십시오.

SSDP/UPNP 비활성화: SSDP/UPNP 비활성화

일부 조직에서는 Windows XP 하위 구성 요소와 함께 포함되어 있는 유니버설 플러그 앤 플레이 기능을 완전히 비활성화해야 한다고 판단할 수 있습니다. 이 가이드에서는 Universal Plug and Play host 서비스를 비활성화하지만 Windows Messenger와 같은 기타 응용 프로그램에서는 SSDP discovery service 프로세스를 사용하여 네트워크 게이트웨이 또는 기타 네트워크 장치를 식별합니다. UPnPMode라는 REG_DWORD 레지스트리 값을 HKEY_LOCAL_MACHINE\Software\Microsoft\DirectPlayNATHelp\DPNHUPnP\ 레지스트리 키에 추가하고 해당 값을 2로 설정하여 Windows XP에 포함되어 있는 SSDP 및 UPnP 기능을 응용 프로그램에서 사용하지 않도록 할 수 있습니다.

자세한 내용은 Microsoft 기술 자료 문서 "SSDP Discover Service 및 Universal Plug and Play Device Host 서비스를 해제한 후에 트래픽이 보내짐"(http://support.microsoft.com/default.aspx?scid=317843)을 참조하십시오.

파일 시스템 보안

Microsoft Windows의 각 새 버전에서는 NTFS 파일 시스템이 향상되었습니다. NTFS의 기본 사용 권한은 대부분의 조직에 적합합니다. 이 섹션에 나오는 설정은 이 가이드에 정의된 SSLF(특수 보안 - 기능 제한) 환경의 랩톱 및 데스크톱을 사용하는 조직에 해당됩니다.

파일 시스템 보안 설정은 그룹 정책을 사용하여 수정할 수 있습니다. 그룹 정책 개체 편집기의 다음 위치에서 파일 시스템 설정을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\파일 시스템

참고: 규모가 큰 조직에서는 기본 파일 시스템 보안 설정의 변경 내용을 배포하기 전에 랩 환경에서 철저히 테스트해야 합니다. 파일 사용 권한이 잘못 변경되어 영향 받은 컴퓨터를 완전히 다시 구축해야 하는 경우도 있었습니다.

대부분의 경우에는 Windows XP의 기본 파일 사용 권한으로 충분합니다. 그러나 제한된 그룹 기능을 사용하여 Power Users 그룹의 구성원 자격을 차단하지 않는 경우나 네트워크 액세스: Everyone 사용 권한을 익명 사용자에게 적용 설정을 활성화하는 경우 다음 단락에 설명된 선택적 사용 권한을 적용할 수 있습니다. 이러한 선택적 사용 권한은 매우 구체적이며 승격된 권한을 갖는 악의적인 사용자가 시스템이나 네트워크를 침입하는 데 사용할 수 있는 특정 실행 도구를 추가적으로 제한합니다.

이러한 사용 권한을 변경할 경우 시스템 볼륨의 루트나 여러 폴더에 영향을 주지 않습니다. 그러나 이러한 방식으로 사용 권한을 변경하는 것은 아주 위험할 수 있으며 시스템이 불안정해지는 결과를 가져올 수 있습니다. 모든 파일은 %SystemRoot%\System32\ 폴더에 있으며 Administrators: 모든 권한, SYSTEM: 모든 권한으로 설정합니다.

  • regedit.exe

  • arp.exe

  • at.exe

  • attrib.exe

  • cacls.exe

  • debug.exe

  • edlin.exe

  • eventcreate.exe

  • eventtriggers.exe

  • ftp.exe

  • nbtstat.exe

  • net.exe

  • net1.exe

  • netsh.exe

  • netstat.exe

  • nslookup.exe

  • ntbackup.exe

  • rcp.exe

  • reg.exe

  • regedt32.exe

  • regini.exe

  • regsvr32.exe

  • rexec.exe

  • route.exe

  • rsh.exe

  • sc.exe

  • secedit.exe

  • subst.exe

  • systeminfo.exe

  • telnet.exe

  • tftp.exe

  • tlntsvr.exe

편의를 위해 이러한 선택적 사용 권한은 이 가이드의 다운로드 가능 버전에 포함되어 있는 Optional-File-Permissions.inf라는 보안 템플릿에 이미 구성되어 있습니다.

고급 사용 권한

사용 권한 대화 상자에서 보다 많은 제어 기능으로 파일 사용 권한을 설정할 수 있습니다. 이렇게 하려면 고급 단추를 클릭합니다. 다음 표는 이러한 고급 사용 권한을 보여 줍니다.

표 3.22 고급 파일 사용 권한 및 설명

고급 사용 권한 이름

Description

폴더 통과/실행

사용자에게 폴더 통과 권한이 없는 폴더를 통과하여 다른 파일 또는 폴더로 이동하려는 사용자 요청을 허용하거나 거부합니다(폴더에만 적용).

폴더 목록/데이터 읽기

지정된 폴더 안에 있는 파일 및 하위 폴더 이름을 표시하려는 사용자 요청을 허용하거나 거부합니다. 이 권한은 해당 폴더의 내용에만 영향을 미치며 사용 권한을 설정 중인 폴더의 나열 여부에는 영향을 주지 않습니다(폴더에만 적용).

특성 읽기

파일의 데이터를 볼 수 있는 권한을 허용하거나 거부합니다(파일에만 적용).

확장 특성 읽기

읽기 전용이나 숨김과 같은 파일 또는 폴더 특성을 보려는 사용자 요청을 허용하거나 거부합니다. 특성은 NTFS에서 정의합니다.

파일 만들기/데이터 쓰기

파일 만들기 권한은 폴더 내의 파일 만들기를 허용하거나 거부합니다(폴더에만 적용). 데이터 쓰기 권한은 파일을 변경하고 기존 내용을 덮어쓸 수 있는 권한을 허용하거나 거부합니다(파일에만 적용).

폴더 만들기/데이터 추가

폴더 만들기 권한은 지정된 폴더 내에 폴더를 만들려는 사용자 요청을 허용하거나 거부합니다(폴더에만 적용). 데이터 추가 권한은 기존 데이터를 변경, 삭제 또는 덮어쓰지 않으면서 파일 끝에 변경 내용을 추가하는 권한을 허용하거나 거부합니다(파일에만 적용).

특성 쓰기

기존 데이터를 변경, 삭제 또는 덮어쓰지 않으면서 파일 끝에 변경 내용을 추가하려는 사용자 요청을 허용하거나 거부합니다(파일에만 적용).

확장 특성 쓰기

읽기 전용이나 숨김과 같은 파일 특성 또는 폴더 특성을 변경하려는 사용자 요청을 허용하거나 거부합니다. 특성은 NTFS에서 정의합니다.

하위 폴더 및 파일 삭제

하위 폴더나 파일에 삭제 사용 권한이 할당되지 않았어도 하위 폴더 및 파일 삭제 기능을 허용 또는 거부합니다(폴더에 적용).

삭제

하위 폴더나 파일에 삭제 사용 권한이 할당되지 않았어도 하위 폴더 및 파일을 삭제하려는 사용자 요청을 허용 또는 거부합니다(폴더에 적용).

권한 읽기

모든 권한, 읽기 및 쓰기와 같은 파일 권한 또는 폴더 권한을 읽으려는 사용자 요청을 허용하거나 거부합니다.

사용 권한 변경

모든 권한, 읽기 및 쓰기와 같은 파일 권한 또는 폴더 권한을 변경하려는 사용자 요청을 허용하거나 거부합니다.

소유권 가져오기

파일 또는 폴더의 소유권 가져오기를 허용하거나 거부합니다. 파일 또는 폴더의 소유자는 파일 또는 폴더를 보호하는 기존 사용 권한에 상관 없이 항상 이에 대한 사용 권한을 변경할 수 있습니다.


다음 세 가지 추가 용어는 파일 및 폴더에 적용되는 사용 권한의 상속을 설명하는 데 사용됩니다.

  • 전파는 모든 하위 폴더 및 파일로 상속 가능한 사용 권한이 전파되는 것을 말합니다. 자식 개체가 권한 상속을 받을 수 없게 보호되지 않은 경우 개체의 자식 개체는 부모 개체의 보안 설정을 상속합니다. 충돌이 있을 경우 자식 개체에 대한 명시적 사용 권한이 부모 개체에서 상속된 사용 권한을 덮어 씁니다.

  • 바꾸기는 모든 하위 폴더 및 파일에 대한 기존 사용 권한을 상속 가능한 사용 권한으로 바꾸는 것을 말합니다. 부모 개체의 사용 권한 항목은 자식 개체의 설정에 상관 없이 자식 개체의 보안 설정을 덮어 씁니다. 자식 개체에 부모 개체와 동일한 액세스 제어 권한이 부여됩니다.

  • 무시는 파일, 폴더 또는 키에 대한 사용 권한이 바뀌는 것을 허용하지 않는 것을 말합니다. 이 개체 또는 해당 자식 개체의 보안을 구성하거나 분석하지 않으려면 이 구성 옵션을 사용합니다.

요약

이 장에서는 이 장에 나오는 두 환경에서 Windows XP Professional SP2가 실행되는 컴퓨터의 기본 보안 설정 및 각 설정에 대한 권장 구성에 대해 자세히 설명했습니다. 조직의 보안 정책을 고려할 때는 보안과 사용자 생산성 간에 적절한 균형을 이루어야 합니다. 사용자는 악성 코드 및 공격자로부터 보호를 받아야 하지만 과도하게 제한적인 보안 정책이 업무에 방해를 주지 않아야 합니다.

추가 정보

다음 링크에서는 Windows XP Professional 보안 관련 항목에 대한 추가 정보를 제공합니다.

  • Windows XP Professional의 보안 유지 방법에 대한 자세한 내용은 Windows XP 및 Microsoft Windows XP Security and Privacy 웹 사이트(www.microsoft.com/windowsxp/security/)에 포함되어 있는 도움말 및 지원 도구를 참조하십시오.

  • Windows XP SP2의 보안 기능에 대한 자세한 내용은 "Windows XP 서비스 팩 2에 대한 보안 정보"(www.microsoft.com/technet/prodtechnol/winxppro/maintain/xpsp2sec.mspx)를 참조하십시오.

  • Windows XP SP2에서 사용할 수 있는 보안 설정에 대한 자세한 내용은 Microsoft TechNet 문서 “보안 설정 설명”(www.microsoft.com/technet/prodtechnol/
    windowsserver2003/library/ServerHelp/dd980ca3-f686-4ffc-a617-50c6240f5582.mspx)을 참조하십시오.

  • 보안 채널에 대한 자세한 내용은 Windows 2000 Magazine 기사인 "NT 4.0의 보안 채널"(http://msdn.microsoft.com/archive/en-us/dnarntmag00/
    html/secure.asp)을 참조하십시오.

  • Windows 운영 체제의 보안에 대한 자세한 내용은 Microsoft Windows Security Resource Kit(www.microsoft.com/MSPress/books/6418.asp)를 참조하십시오.

  • Windows XP 및 Windows Server 2003의 파일 시스템 암호화 기능에 대한 자세한 내용은 "Windows XP 및 Windows Server 2003의 파일 시스템 암호화"(www.microsoft.com/technet/prodtechnol/winxppro/deploy/cryptfs.mspx)를 참조하십시오.

다운로드

Windows XP 보안 가이드 다운로드


이 정보가 도움이 되었습니까?
(1500자 남음)
의견을 주셔서 감사합니다.
표시:
© 2014 Microsoft