내보내기(0) 인쇄
모두 확장
이 항목은 아직 평가되지 않았습니다.- 이 항목 평가

Windows Server 2003 보안 가이드

4장: 구성원 서버 기준 정책

이 페이지에서

개요
Windows Server 2003 기준 정책
감사 정책
사용자 권한 할당
보안 옵션
이벤트 로그
추가 레지스트리 항목
제한된 그룹
파일 시스템 보안 유지
추가 보안 설정
요약

개요

이 장에서는 Microsoft® Windows Server™ 2003 SP1(서비스 팩 1)이 실행되는 모든 서버에서 기준 보안 템플릿을 관리하는 데 필요한 구성에 대해 설명합니다. 또한 세 가지 다른 환경에서 안전한 Windows Server 2003 SP1 구성을 설정하고 관리하기 위한 지침을 제공합니다. 이 장의 구성 요구 사항은 이 가이드의 이후 장에 설명되는 모든 절차의 기반으로 사용됩니다. 각 장에서는 특정 서버 역할을 강화하는 방법을 설명합니다.

이 장에 나오는 권장 설정은 엔터프라이즈 환경의 비즈니스 응용 프로그램 서버 시스템에서 보안을 설정하는 데 도움이 됩니다. 그러나 프로덕션 환경에서 이러한 보안 구성을 구현하기 전에 보안 구성이 조직의 비즈니스 응용 프로그램과 잘 맞는지 포괄적으로 테스트해야 합니다.

이 장의 권장 사항은 대부분의 조직에 적합하며 Windows Server 2003 SP1이 실행되는 기존 컴퓨터나 새 컴퓨터에 배포될 수 있습니다. 이 가이드를 제작한 팀에서 Windows Server 2003 SP1의 기본 보안 구성을 연구, 검토 및 테스트했습니다. 이 장에 나오는 각 설정에 대한 기본 구성 및 자세한 설명은 관련 가이드인 위협 및 대책 - Windows Server 2003 및 Windows XP용 보안 설정(http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx)을 참조하십시오. 일반적으로 다음 구성 권장 사항 대부분은 기본 설정보다 뛰어난 보안을 제공합니다.

이 장에 설명된 보안 설정은 다음의 세 가지 환경과 관련됩니다.

  • LC(레거시 클라이언트). 이 환경은 레거시 운영 체제로 인식되는 Windows NT® 4.0 및 Microsoft Windows® 98 실행 컴퓨터를 포함합니다. 이 환경은 적절한 보안을 제공하기는 하지만 이 가이드에 정의된 세 가지 환경 중에서 가장 덜 안전합니다. 보다 강력한 보안을 제공하기 위해 조직에서는 좀 더 안전한 엔터프라이즈 클라이언트 환경으로 마이그레이션하도록 선택할 수 있습니다. LC 환경에는 참조된 레거시 운영 체제 외에도 Windows 2000 Professional 및 Windows XP Professional 워크스테이션이 포함됩니다. 이 환경에는 Windows 2000 또는 Windows Server 2003 도메인 컨트롤러만 포함됩니다. 이 환경에 Windows NT 4.0 도메인 컨트롤러는 포함되지 않지만 Windows NT 구성원 서버는 포함될 수 있습니다.

  • EC(엔터프라이즈 클라이언트). 이 환경은 견고한 보안을 제공하며 좀 더 최신 버전의 Windows 운영 체제용으로 디자인되었습니다. EC 환경에는 Windows 2000 Professional 및 Windows XP Professional이 실행되는 클라이언트 컴퓨터가 포함됩니다. LC 환경에서 EC 환경으로 마이그레이션하기 위해서는 Windows 98 및 Windows NT 4.0 Workstation과 같은 레거시 클라이언트에서 Windows 2000 또는 Windows XP로 업그레이드해야 합니다. 이 환경의 모든 도메인 컨트롤러 및 구성원 서버에서는 Windows 2000 Server 또는 Windows Server 2003이 실행됩니다.

  • SSLF(특수 보안 – 기능 제한). 이 환경은 EC 환경보다 훨씬 더 강력한 보안을 제공합니다. EC 환경에서 SSLF(특수 보안 - 기능 제한) 환경으로 마이그레이션하려면 클라이언트 컴퓨터 및 서버의 엄격한 보안 정책을 준수해야 합니다. 이 환경에는 Windows 2000 Professional 및 Windows XP Professional이 실행되는 클라이언트 컴퓨터와 Windows 2000 Server 또는 Windows Server 2003이 실행되는 도메인 컨트롤러가 포함됩니다. SSLF 환경에서는 보안이 매우 중요하기 때문에 높은 수준의 보안을 달성하기 위해 필요한 경우 클라이언트 기능이나 관리 효율 등의 손실이 상당 부분 허용됩니다. 이 환경의 구성원 서버는 Windows 2000 Server 또는 Windows Server 2003을 실행합니다.

많은 경우에 SSLF 환경에서는 기본값을 명시적으로 설정합니다. 이 구성은 일부 설정을 로컬로 적용하려고 하는 응용 프로그램에 오류를 발생시켜 호환성에 영향을 줍니다. 예를 들어 일부 응용 프로그램은 서비스 계정에 추가 권한을 부여하기 위해 사용자 권한 할당을 조정해야 합니다. 그룹 정책이 로컬 컴퓨터 정책보다 우선적으로 적용되므로 이러한 작업은 실패합니다. 프로덕션 컴퓨터에 SSLF 설정을 비롯한 권장 설정을 배포하기 전에 모든 응용 프로그램을 철저히 테스트해야 합니다.

다음 그림에서는 세 가지 보안 환경과 각 환경에서 지원되는 클라이언트를 보여 줍니다.

그림 4.1 기존 보안 환경 및 계획된 보안 환경

그림 4.1 기존 보안 환경 및 계획된 보안 환경

단계별 방식을 통해 작업 환경의 보안을 설정하려는 조직은 레거시 클라이언트 환경 수준에서 시작한 다음 응용 프로그램과 클라이언트 컴퓨터를 보다 강력한 보안 설정으로 업그레이드하고 테스트하면서 점진적으로 더 높은 보안 수준으로 마이그레이션할 수 있습니다.

다음 그림에서는 보안 템플릿 파일(.inf)을 엔터프라이즈 클라이언트 - MSBP(구성원 서버 기준 정책)의 기초로 사용하는 방법을 보여 줍니다. 또한 이러한 정책을 조직의 모든 서버에 연결하고 적용하는 한 가지 방법을 보여 줍니다.

Windows Server 2003 SP1에는 보안 환경을 만들도록 구성된 기본 설정 값이 포함되어 있습니다. 이 장에서는 대부분의 설정에 대해 기본값이 아닌 값을 지정하고 있습니다. 또한 세 가지 환경에 대한 특정 기본값을 적용합니다. 모든 기본 설정에 대한 자세한 내용은 관련 가이드인 위협 및 대책 - Windows Server 2003 및 Windows XP용 보안 설정(http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx)을 참조하십시오.

그림 4.2 보안 템플릿 EC-Member Server Baseline.inf를 MSBP로 가져온 다음 구성원 서버 OU(조직 구성 단위)에 연결

그림 4.2 보안 템플릿 EC-Member Server Baseline.inf를 MSBP로 가져온 다음 구성원 서버 OU(조직 구성 단위)에 연결

특정 서버 역할의 보안을 강화하기 위한 절차는 이 가이드의 나머지 장에 정의되어 있습니다. 이 가이드에서는 다음과 같은 기본 서버 역할에 대해 설명합니다.

  • DNS 서비스를 포함하는 도메인 컨트롤러

  • WINS 및 DHCP 서비스를 포함하는 인프라 서버

  • 파일 서버

  • 인쇄 서버

  • IIS(인터넷 정보 서비스)를 실행하는 웹 서버

  • Microsoft IAS(인터넷 인증 서버) 서버

  • CA(인증서 서비스) 서버

  • 요새 호스트

다음에 설명할 엔터프라이즈 클라이언트 MSBP에 나타나는 대부분의 설정은 이 설명서에 정의된 세 가지 환경의 기본 서버 역할에도 적용됩니다. 각 보안 템플릿은 각 특정 환경의 보안 필요 사항을 처리할 수 있도록 디자인되어 있습니다. 다음 표에서는 세 환경의 기준 보안 템플릿 이름을 보여 줍니다.

표 4.1 세 환경의 기준 보안 템플릿

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

LC-Member Server Baseline.inf

EC-Member Server Baseline.inf

SSLF-Member Server Baseline.inf


세 환경 즉, 모든 구성원 서버 기준 보안 템플릿에 공통적으로 적용되는 보안 설정은 이 장의 나머지 부분에서 설명됩니다.

이러한 기준 보안 템플릿은 5장 "도메인 컨트롤러 기준 정책"에 정의된 도메인 컨트롤러 보안 템플릿의 기초로도 사용할 수 있습니다. 도메인 컨트롤러 역할 보안 템플릿에는 세 가지 환경의 도메인 컨트롤러 OU에 연결되는 도메인 컨트롤러 그룹 정책 GPO에 대한 기준 설정이 포함되어 있습니다. OU 및 그룹 정책을 만든 후 해당 보안 템플릿을 각 GPO로 가져오기 위한 단계별 지침은 2장 "Windows Server 2003 보안 강화 메커니즘"에 나와 있습니다.

참고: 서버 보안을 강화하는 데 사용되는 일부 절차는 그룹 정책을 통해 자동화할 수 없습니다. 이러한 절차는 이 장의 "추가 보안 설정" 섹션에 설명되어 있습니다.

Windows Server 2003 기준 정책

구성원 서버 OU 수준의 설정은 이 가이드에 설명된 모든 구성원 서버 역할에 대한 공통 설정을 정의합니다. 이러한 설정을 적용하려면 구성원 서버 OU에 연결되어 있는 기준 정책이라고도 하는 GPO를 만듭니다. GPO는 각 서버의 특정 보안 설정을 구성하는 과정을 자동화합니다. 따라서 각 서버의 역할을 기반으로 구성원 서버 OU의 해당 자식 OU로 서버 계정을 이동해야 합니다.

다음은 MMC(Microsoft Management Console) SCE(보안 구성 편집기) 스냅인의 UI(사용자 인터페이스)에 나타나는 순서대로 설정을 설명한 것입니다.

감사 정책

관리자는 보고되는 보안 이벤트를 정의하고 지정된 이벤트 범주에서 사용자 또는 컴퓨터 활동을 기록하는 감사 정책을 만들어야 합니다. 관리자는 개체에 액세스한 사람, 사용자가 컴퓨터에 로그온하거나 로그오프한 시간, 감사 정책 설정의 변경 여부 등 보안 관련 활동을 모니터링할 수 있습니다.

감사 정책을 구현하기 전에 작업 환경에 대해 감사할 이벤트 범주를 결정해야 합니다. 관리자가 이벤트 범주에 대해 선택하는 감사 설정은 조직의 감사 정책을 정의합니다. 특정 이벤트 범주에 대한 감사 설정이 정의되면 관리자는 조직의 보안 요구에 적합한 감사 정책을 만들 수 있습니다.

감사 정책이 없으면 보안 사고 시 어떠한 문제가 발생했는지 파악하기 어렵거나 불가능해집니다. 그러나 많은 허가된 활동이 이벤트를 생성하도록 감사를 구성하면 보안 로그가 불필요한 데이터로 꽉 차게 됩니다. 다음의 권장 설정을 사용하면 적정 수준의 데이터가 수집되도록 모니터링할 항목을 적절하게 결정할 수 있습니다.

일반적으로 실패는 오류를 나타내므로 실패 로그가 성공 로그보다 훨씬 더 유용한 정보를 제공하는 경우가 많습니다. 예를 들어 사용자가 컴퓨터에 성공적으로 로그온하는 것은 정상적인 경우로 간주됩니다. 그러나 사용자가 시스템에 로그온을 여러 차례 시도하는 경우는 다른 사람의 계정 자격 증명을 사용하여 시스템에 침입하려는 것을 나타낼 수도 있습니다. 이벤트 로그는 시스템의 이벤트를 기록합니다. Microsoft Windows 운영 체제에는 응용 프로그램, 보안 이벤트 및 시스템 이벤트에 대한 별도의 이벤트 로그가 있습니다. 보안 로그는 감사 이벤트를 기록합니다. 그룹 정책의 이벤트 로그 컨테이너는 최대 로그 크기, 각 로그에 대한 액세스 권한, 보존 설정 및 방법과 같이 응용 프로그램, 보안 및 시스템 이벤트 로그와 관련된 특성을 정의하는 데 사용됩니다.

감사 정책을 구현하기 전에 조직에서는 데이터를 수집, 구성 및 분석하는 방법을 결정해야 합니다. 감사 데이터를 사용할 계획이 없을 경우에는 너무 많은 감사 데이터를 보관할 필요가 없습니다. 또한 컴퓨터 네트워크를 감사할 때는 성능이 저하될 수 있습니다. 지정된 설정 조합을 사용했을 때의 영향이 최종 사용자 컴퓨터에서는 잘 나타나지 않지만 사용량이 많은 서버에서는 두드러질 수 있습니다. 따라서 프로덕션 환경에 새 감사 정책을 배포하기 전에 성능에 어떤 영향을 미칠지 테스트해야 합니다.

다음 표에는 이 가이드에 정의된 세 가지 환경에 대한 감사 정책 설정 권장 사항이 포함되어 있습니다. 세 가지 환경에서 설정 값은 대부분 비슷합니다. 표 다음에 나오는 하위 섹션에서 각 설정에 대한 추가 정보가 제공됩니다.

그룹 정책 개체 편집기 내의 다음 위치에서 Windows Server 2003 SP1의 감사 정책 설정 값을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\로컬 정책\감사 정책
\감사 정책

이 섹션에 나오는 규정된 설정은 이 가이드의 다운로드 가능 버전에 포함되어 있는 Microsoft Excel® 통합 문서 "Windows Server 2003 보안 가이드 설정"에 요약되어 있습니다. 이 섹션에 나오는 각 설정에 대한 기본 구성 및 자세한 설명은 관련 가이드인 위협 및 대책 - Windows Server 2003 및 Windows XP용 보안 설정을 참조하십시오. 이 가이드는 http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx 사이트에서 다운로드할 수 있습니다.

표 4.2 감사 정책 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

계정 로그온 이벤트 감사

성공

성공

성공/실패

계정 관리 감사

성공

성공

성공/실패

로그온 이벤트 감사

성공

성공

성공/실패

개체 액세스 감사

감사 없음

감사 없음

실패

정책 변경 감사

성공

성공

성공

권한 사용 감사

감사 없음

감사 없음

실패

프로세스 추적 감사

감사 없음

감사 없음

감사 없음

시스템 이벤트 감사

성공

성공

성공

계정 로그온 이벤트 감사

이 정책 설정은 계정을 확인하는 다른 컴퓨터에 로그온하거나 로그오프하는 사용자의 각 인스턴스를 감사할지 여부를 결정합니다. 도메인 컨트롤러의 도메인 사용자 계정이 인증되면 도메인 컨트롤러의 보안 로그에 기록되는 계정 로그온 이벤트가 생성됩니다. 로컬 컴퓨터의 로컬 사용자가 인증되면 로컬 보안 로그에 기록되는 로그온 이벤트가 생성됩니다. 계정 로그오프 이벤트가 로그되지 않습니다.

계정 로그온 이벤트 감사 설정은 LC 및 EC 기준 정책에 대해 성공 값을 기록하고 SSLF 기준 정책에 대해서는 성공실패 이벤트를 모두 기록하도록 구성됩니다.

다음 표에는 이 정책 설정이 보안 로그에 기록하는 중요한 보안 이벤트가 포함되어 있습니다. 이러한 이벤트 ID는 MOM(Microsoft Operations Manager)과 같은 소프트웨어 제품군을 모니터링하기 위한 사용자 지정 경고를 만들려는 경우에 유용할 수 있습니다.

표 4.3 계정 로그온 이벤트

이벤트 ID

이벤트 설명

672

AS(인증 서비스) 티켓이 성공적으로 발행되어 유효성을 검사했습니다. Windows Server 2003 SP1에서 이 이벤트의 유형은 성공한 요청에 대해서는 성공 감사이고 실패한 요청에 대해서는 실패 감사입니다.

673

TGS(Ticket Granting Service) 티켓이 발급되었습니다. TGS는 도메인에 있는 특정 서비스에서 인증을 받을 수 있도록 하는 Kerberos 버전 5 TGS에 의해 발급된 티켓입니다. Windows Server 2003 SP1은 이 이벤트 유형에 대해 성공 또는 실패를 기록합니다.

674

보안 주체가 AS 티켓 또는 TGS 티켓을 갱신했습니다.

675

사전 인증이 실패했습니다. 이 이벤트는 사용자가 잘못된 암호를 입력할 때 KDC(키 배포 센터)에서 생성됩니다.

676

인증 티켓 요청이 실패했습니다. 이 이벤트는 Windows Server 2003 SP1에서는 생성되지 않습니다. 다른 Windows 버전에서는 이 이벤트를 사용하여 잘못된 자격 증명 이외의 원인으로 발생한 인증 실패를 나타냅니다.

677

TGS 티켓이 부여되지 않았습니다. 이 이벤트는 Windows Server 2003 SP1에서는 생성되지 않으며 이 경우에는 ID가 672인 실패 감사 이벤트가 사용됩니다.

678

계정이 도메인 계정에 성공적으로 매핑되었습니다.

681

로그온 실패. 도메인 계정 로그온이 시도되었습니다. 이 이벤트는 도메인 컨트롤러에서만 생성합니다.

682

연결이 끊긴 터미널 서버 세션에 사용자가 다시 연결되었습니다.

683

사용자가 터미널 서버 세션에서 연결이 끊어졌지만 로그오프되지는 않았습니다.

계정 관리 감사

이 정책 설정은 시스템의 각 계정 관리 이벤트를 감사할지 여부를 결정합니다. 다음은 계정 관리 이벤트의 예입니다.

  • 사용자 계정 또는 그룹을 만들거나 변경하거나 삭제함

  • 사용자 계정의 이름을 바꾸거나 사용자 계정을 비활성화 또는 활성화함

  • 암호를 설정하거나 변경함

조직에서는 도메인 계정과 로컬 계정 모두에 대해 계정을 만들거나 수정하거나 삭제한 사람을 확인할 수 있어야 합니다. 무단으로 변경한 내용이 있으면 회사 정책을 준수하는 방법을 이해하지 못한 관리자가 실수로 변경한 것일 수 있지만 고의적인 공격에 의한 것일 수도 있습니다.

예를 들어 계정 관리 실패 이벤트는 경우에 따라 낮은 수준의 관리자나 낮은 수준의 관리자 계정을 가로채어 사용하는 공격자가 권한을 높이려고 시도했음을 나타냅니다. 이러한 로그는 공격자가 수정했거나 만든 계정을 확인하는 데 도움이 될 수 있습니다.

계정 관리 감사 설정은 LC 및 EC 기준 정책에 대해 성공 값을 기록하고 SSLF 기준 정책에 대해서는 성공실패 값을 모두 기록하도록 구성됩니다.

다음 표에는 이 정책 설정이 보안 로그에 기록하는 중요한 보안 이벤트가 포함되어 있습니다. 이러한 이벤트 ID는 MOM과 같은 소프트웨어 제품군을 모니터링하기 위한 사용자 지정 경고를 만들려는 경우에 유용할 수 있습니다. 대부분의 작업 관리 소프트웨어는 이러한 이벤트 ID를 기반으로 하는 이벤트를 캡처하거나 플래그를 지정하는 스크립트를 사용하여 사용자 지정할 수 있습니다.

표 4.4 계정 관리 이벤트

이벤트 ID

이벤트 설명

624

사용자 계정이 만들어졌습니다.

627

사용자 암호가 변경되었습니다.

628

사용자 암호가 설정되었습니다.

630

사용자 계정이 삭제되었습니다.

631

글로벌 그룹이 만들어졌습니다.

632

글로벌 그룹에 구성원이 추가되었습니다.

633

글로벌 그룹에서 구성원이 제거되었습니다.

634

글로벌 그룹이 삭제되었습니다.

635

새 로컬 그룹이 만들어졌습니다.

636

로컬 그룹에 구성원이 추가되었습니다.

637

로컬 그룹에서 구성원이 제거되었습니다.

638

로컬 그룹이 삭제되었습니다.

639

로컬 그룹 계정이 변경되었습니다.

641

글로벌 그룹 계정이 변경되었습니다.

642

사용자 계정이 변경되었습니다.

643

도메인 정책이 수정되었습니다.

644

사용자 계정이 자동으로 잠겼습니다.

645

컴퓨터 계정이 만들어졌습니다.

646

컴퓨터 계정이 변경되었습니다.

647

컴퓨터 계정이 삭제되었습니다.

648    

보안이 비활성화된 로컬 보안 그룹이 만들어졌습니다.

참고: 공식적인 이름에 SECURITY_DISABLED가 포함되어 있으면 액세스 검사에서 사용 권한을 부여하는 데 이 그룹을 사용할 수 없습니다.

649

보안이 비활성화된 로컬 보안 그룹이 변경되었습니다.

650

보안이 비활성화된 로컬 보안 그룹에 구성원이 추가되었습니다.

651

보안이 비활성화된 로컬 보안 그룹에서 구성원이 제거되었습니다.

652

보안이 비활성화된 로컬 그룹이 삭제되었습니다.

653

보안이 비활성화된 글로벌 그룹이 만들어졌습니다.

654

보안이 비활성화된 글로벌 그룹이 변경되었습니다.

655

보안이 비활성화된 글로벌 그룹에 구성원이 추가되었습니다.

656

보안이 비활성화된 글로벌 그룹에서 구성원이 제거되었습니다.

657

보안이 비활성화된 글로벌 그룹이 삭제되었습니다.

658

보안이 활성화된 유니버설 그룹이 만들어졌습니다.

659

보안이 활성화된 유니버설 그룹이 변경되었습니다.

660

보안이 활성화된 유니버설 그룹에 구성원이 추가되었습니다.

661

보안이 활성화된 유니버설 그룹에서 구성원이 제거되었습니다.

662

보안이 활성화된 유니버설 그룹이 삭제되었습니다.

663

보안이 비활성화된 유니버설 그룹이 만들어졌습니다.

664

보안이 비활성화된 유니버설 그룹이 변경되었습니다.

665

보안이 비활성화된 유니버설 그룹에 구성원이 추가되었습니다.

666

보안이 비활성화된 유니버설 그룹에서 구성원이 제거되었습니다.

667

보안이 비활성화된 유니버설 그룹이 삭제되었습니다.

668

그룹 종류가 변경되었습니다.

684    

관리 그룹 구성원의 보안 설명자가 설정되었습니다.

참고: 도메인 컨트롤러에서 60분마다 백그라운드 스레드는 관리 그룹의 모든 구성원(예: 도메인, 엔터프라이즈 및 스키마 관리자)을 검색한 후 구성원에 고정된 보안 설명자를 적용합니다. 이 이벤트는 기록됩니다.

685

계정 이름이 변경되었습니다.

로그온 이벤트 감사

이 정책 설정은 사용자가 컴퓨터에 로그온하거나 로그오프하는 모든 경우를 감사할지 여부를 결정합니다. 로그온 이벤트 감사 설정은 도메인 컨트롤러에서 도메인 계정 활동을 모니터링하고 로컬 컴퓨터에서 로컬 계정 활동을 모니터링하기 위해 레코드를 생성합니다.

로그온 이벤트 감사 설정을 감사 안 함으로 구성하면 조직 내의 컴퓨터에 로그온하거나 로그온하려고 시도한 사용자를 확인하기 어려워지거나 불가능해집니다. 도메인 구성원에서 로그온 이벤트 감사 설정에 성공 값을 사용하면 네트워크에서 계정이 포함된 위치에 관계 없이 네트워크에 로그온하는 사용자가 있을 때마다 이벤트가 생성됩니다. 계정 로그온 이벤트 감사 설정이 사용으로 설정되어 있을 때 사용자가 로컬 계정에 로그온하면 두 개의 이벤트가 생성됩니다.

이 정책 설정의 기본값을 수정하지 않더라도 보안 문제가 발생한 후 감사 레코드 증거를 분석에 사용할 수 없습니다. 로그온 이벤트 감사 설정은 LC 및 EC 기준 정책에 대해 성공 값을 기록하고 SSLF 정책에 대해서는 성공실패 값을 모두 기록하도록 구성됩니다.

다음 표에는 이 정책 설정이 보안 로그에 기록하는 중요한 보안 이벤트가 포함되어 있습니다.

표 4.5 로그온 이벤트 감사    

이벤트 ID

이벤트 설명

528

컴퓨터에 성공적으로 로그온했습니다.

529

로그온 실패. 알 수 없는 사용자 이름을 사용하거나 사용자 이름은 알 수 있지만 잘못된 암호를 사용하여 로그온을 시도했습니다.

530

로그온 실패. 허용되는 시간을 초과하여 로그온을 시도했습니다.

531

로그온 실패. 비활성화된 계정을 사용하여 로그온을 시도했습니다.

532

로그온 실패. 사용 기간이 만료된 계정을 사용하여 로그온을 시도했습니다.

533

로그온 실패. 지정된 컴퓨터에서 로그온이 허용되지 않은 사용자가 로그온을 시도했습니다.

534

로그온 실패. 허용되지 않는 암호 유형으로 로그온을 시도했습니다.

535

로그온 실패. 지정된 계정의 암호 사용 기간이 만료되었습니다.

536

로그온 실패. Net Logon 서비스가 활성화되어 있지 않습니다.

537    

로그온 실패. 다른 이유 때문에 로그온 시도가 실패했습니다.

참고: 로그온 실패의 원인을 알 수 없는 경우도 있습니다.

538

로그오프 프로세스가 완료되었습니다.

539

로그온 실패. 로그온하려고 할 때 계정이 잠겨 있었습니다.

540

네트워크에 성공적으로 로그온했습니다.

541

로컬 컴퓨터와 나열된 피어 ID 간에 보안 연결이 설정되어 주 모드 IKE(인터넷 키 교환) 인증이 완료되었거나 빠른 모드를 통해 데이터 채널이 설정되었습니다.

542

데이터 채널이 종료되었습니다.

543    

주 모드가 종료되었습니다.

참고: 이 문제는 보안 연결 만료 시간 제한(기본값은 8시간임), 정책 변경 또는 피어 종료 등의 원인으로 발생할 수 있습니다.

544

피어가 유효한 인증서를 제공하지 않았거나 서명의 유효성이 검증되지 않았으므로 주 모드 인증이 실패했습니다.

545

Kerberos 인증 프로토콜 실패 또는 유효하지 않은 암호로 인해 주 모드 인증이 실패했습니다.

546

피어를 인증하지 못했으므로 IKE 보안 연결이 설정되지 않았습니다. 유효하지 않은 데이터가 포함된 패킷이 수신되었습니다.

547

IKE 핸드셰이크 중에 오류가 발생했습니다.

548

로그온 실패. 트러스트된 도메인에서 가져온 SID(보안 식별자)가 클라이언트의 계정 도메인 SID와 일치하지 않습니다.

549

로그온 실패. 포리스트의 인증 중에 트러스트되지 않은 네임스페이스에 해당하는 모든 SID가 걸러졌습니다.

550

DoS(서비스 거부) 공격이 발생했을 수 있음을 나타내는 알림 메시지입니다.

551

사용자가 로그오프 프로세스를 시작했습니다.

552

다른 사용자로 이미 로그온한 상태에서 명시적인 자격 증명을 사용하여 컴퓨터에 성공적으로 로그온했습니다.

682

연결이 끊긴 터미널 서버 세션에 사용자가 다시 연결되었습니다.

683    

사용자가 터미널 서버 세션에서 연결이 끊어졌지만 로그오프되지는 않았습니다.

참고: 이 이벤트는 사용자가 네트워크를 통해 터미널 서버 세션에 연결되어 있을 때 생성됩니다. 이 이벤트는 터미널 서버에 나타납니다.

개체 액세스 감사

이 정책 설정을 사용할 경우 자체적으로 이벤트가 감사되지 않습니다. 개체 액세스 감사 설정은 사용자가 파일, 폴더, 레지스트리 키 또는 프린터와 같이 지정된 SACL(시스템 액세스 제어 목록)이 있는 개체에 액세스할 때 이벤트를 감사할지 여부를 결정합니다.

SACL은 ACE(액세스 제어 항목)로 구성되어 있습니다. 각 ACE에는 다음 세 가지 정보가 포함되어 있습니다.

  • 감사할 보안 주체(사용자, 컴퓨터 또는 그룹)

  • 감사할 특정 액세스 유형(액세스 마스크라고 함)

  • 실패한 액세스 이벤트를 감사할지, 성공한 액세스 이벤트를 감사할지 또는 둘 모두를 감사할지 여부를 나타내는 플래그

개체 액세스 감사 설정을 성공 값을 기록하도록 구성하면 사용자가 지정된 SACL이 있는 개체에 성공적으로 액세스할 때마다 감사 항목이 생성되고 실패 값을 기록하도록 구성하면 사용자가 지정된 SACL이 있는 개체에 액세스하지 못할 때마다 감사 항목이 생성됩니다.

조직에서는 SACL 구성 시 활성화하려는 작업만 정의해야 합니다. 예를 들어 컴퓨터 바이러스, 웜 및 트로이 목마는 일반적으로 실행 파일을 대상으로 하므로 추적할 실행 파일에 대해 데이터 쓰기 및 추가 감사 설정을 사용할 수 있습니다. 마찬가지로 중요한 문서가 액세스 또는 변경될 때를 추적할 수도 있습니다.

개체 액세스 감사 설정은 LC 및 EC 환경의 기준 정책에서 기본값인 감사 안 함으로 구성됩니다. 그러나 SSLF 환경의 기준 정책에서는 실패 값으로 구성됩니다.

다음 표에는 이 정책 설정이 보안 로그에 기록하는 중요한 보안 이벤트가 포함되어 있습니다.

표 4.6 개체 액세스 이벤트

이벤트 ID

이벤트 설명

560

이미 존재하는 개체에 대한 액세스가 허가되었습니다.

562

개체에 대한 핸들이 닫혔습니다.

563    

삭제할 목적으로 개체를 열려고 했습니다.

참고: 이 이벤트는 Createfile()에 FILE_DELETE_ON_CLOSE 플래그가 지정되어 있을 때 파일 시스템에서 사용됩니다.

564

보호된 개체가 삭제되었습니다.

565

이미 존재하는 개체 유형에 대한 액세스가 허가되었습니다.

567    

핸들과 연결된 사용 권한이 사용되었습니다.

참고: 허가된 특정 사용 권한(예: 읽기 및 쓰기)으로 핸들이 만들어졌습니다. 핸들이 사용될 때 사용된 각 사용 권한에 대해 최대 1개의 감사 이벤트가 생성됩니다.

568

감사 중인 파일에 대한 하드 링크를 만들려고 시도했습니다.

569

권한 부여 관리자의 리소스 관리자가 클라이언트 컨텍스트를 만들려고 시도했습니다.

570    

클라이언트가 개체에 액세스하려고 시도했습니다.

참고: 개체에 대해 시도된 모든 작업에 대해 이벤트가 생성됩니다.

571

권한 부여 관리자 응용 프로그램에 의해 클라이언트 컨텍스트가 삭제되었습니다.

572

권한 부여 관리자가 응용 프로그램을 초기화했습니다.

772

인증서 관리자가 대기 중인 인증서 요청을 거부했습니다.

773

인증서 서비스에서 다시 제출된 인증서 요청을 받았습니다.

774

인증서 서비스에서 인증서를 취소했습니다.

775

인증서 서비스에서 인증서 해지 목록(CRL)을 게시하도록 요청 받았습니다.

776

인증서 서비스에서 CRL을 게시했습니다.

777

인증서 요청 확장이 만들어졌습니다.

778

하나 이상의 인증서 요청 속성이 변경되었습니다.

779

인증서 서비스에서 시스템 종료를 요청 받았습니다.

780

인증서 서비스 백업이 시작되었습니다.

781

인증서 서비스 백업이 완료되었습니다.

782

인증서 서비스 복원이 시작되었습니다.

783

인증서 서비스 복원이 완료되었습니다.

784

인증서 서비스가 시작되었습니다.

785

인증서 서비스가 중지되었습니다.

786

인증서 서비스의 보안 권한이 변경되었습니다.

787

인증서 서비스에서 저장된 키를 검색했습니다.

788

인증서 서비스에서 인증서를 데이터베이스로 가져왔습니다.

789

인증서 서비스의 감사 필터가 변경되었습니다.

790

인증서 서비스에서 인증서 요청을 받았습니다.

791

인증서 서비스에서 인증서 요청을 승인했으며 인증서를 발행했습니다.

792

인증서 서비스에서 인증서 요청을 거부했습니다.

793

인증서 서비스에서 인증서 요청 상태를 대기 중으로 설정했습니다.

794

인증서 서비스의 인증서 관리자 설정이 변경되었습니다.

795

인증서 서비스에서 구성 항목이 변경되었습니다.

796

인증서 서비스의 속성이 변경되었습니다.

797

인증서 서비스에서 키를 저장했습니다.

798

인증서 서비스에서 키를 가져와서 저장했습니다.

799

인증서 서비스에서 Active Directory에 CA(인증 기관) 인증서를 게시했습니다.

800

인증서 데이터베이스에서 하나 이상의 행이 삭제되었습니다.

801

역할 구분이 사용되었습니다.

정책 변경 감사

이 정책 설정은 사용자 권한 할당 정책, 트러스트 정책 또는 감사 정책 자체의 변경을 모두 감사할지 여부를 결정합니다.

정책 변경 감사 설정을 성공 값을 기록하도록 구성하면 사용자 권한 할당 정책, 트러스트 정책 또는 감사 정책에 대한 변경이 성공적으로 수행될 때마다 감사 항목이 생성되고 실패 값을 기록하도록 구성하면 사용자 권한 할당 정책, 트러스트 정책 또는 감사 정책에 대한 변경이 실패할 때마다 감사 항목이 생성됩니다.

권장 설정을 사용하면 공격자가 권한 수준을 높이려고 시도(예를 들어, 프로그램 디버깅 권한이나 파일 및 디렉터리 백업 권한 추가)한 계정 권한을 확인할 수 있습니다.

정책 변경 감사 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 성공 값을 기록하도록 구성됩니다. 현재는 실패 설정 값을 지정하면 의미 있는 이벤트가 캡처되지 않습니다.

다음 표에는 이 정책 설정이 보안 로그에 기록하는 중요한 보안 이벤트가 포함되어 있습니다.

표 4.7 정책 변경 이벤트 감사

이벤트 ID

이벤트 설명

608

사용자 권한이 할당되었습니다.

609

사용자 권한이 제거되었습니다.

610

다른 도메인과의 트러스트 관계가 형성되었습니다.

611

다른 도메인과의 트러스트 관계가 제거되었습니다.

612

감사 정책이 변경되었습니다.

613

IPSec(인터넷 프로토콜 보안) 정책 에이전트가 시작되었습니다.

614

IPSec 정책 에이전트가 비활성화되었습니다.

615

IPSec 정책 에이전트가 변경되었습니다.

616

IPSec 정책 에이전트가 심각한 오류 가능성을 감지했습니다.

617

Kerberos 버전 5 정책이 변경되었습니다.

618

암호화된 데이터 복구 정책이 변경되었습니다.

620

다른 도메인과의 트러스트 관계가 수정되었습니다.

621

계정에 시스템 액세스 권한이 부여되었습니다.

622

계정에서 시스템 액세스 권한이 제거되었습니다.

623

사용자 기준으로 감사 정책이 설정되었습니다.

625

사용자 기준으로 감사 정책이 새로 고쳐졌습니다.

768    

한 포리스트의 네임스페이스 요소와 다른 포리스트의 네임스페이스 요소 간에 충돌이 감지되었습니다.

참고: 한 포리스트의 네임스페이스 요소가 다른 포리스트의 네임스페이스 요소와 중복되면 해당 네임스페이스 요소에 속하는 이름을 확인할 때 명확성이 떨어질 수 있습니다. 이러한 중복 상황을 충돌이라고도 합니다. 각 항목 형식에 대해 모든 매개 변수가 유효한 것은 아닙니다. 예를 들어 DNS 이름, NetBIOS 이름 및 SID 같은 필드는 'TopLevelName' 형식의 항목에는 유효하지 않습니다.

769    

트러스트된 포리스트 정보가 추가되었습니다.

참고: 이 이벤트 메시지는 포리스트 트러스트 정보가 업데이트되고 하나 이상의 항목이 추가될 때 생성됩니다. 추가, 삭제 또는 수정된 각 항목에 대해 하나의 이벤트 메시지가 생성됩니다. 포리스트 트러스트 정보를 한 번 업데이트할 때 여러 항목이 추가, 삭제 또는 수정되면 생성된 모든 이벤트 메시지에 작업 ID라고 하는 단일 고유 식별자가 할당됩니다. 따라서 생성된 여러 이벤트 메시지가 단일 작업의 결과라는 사실을 확인할 수 있습니다. 각 항목 형식에 대해 모든 매개 변수가 유효한 것은 아닙니다. 예를 들어 DNS 이름, NetBIOS 이름 및 SID 같은 매개 변수는 'TopLevelName' 형식의 항목에는 유효하지 않습니다.

770    

트러스트된 포리스트 정보가 삭제되었습니다.

참고: 이벤트 769의 이벤트 설명을 참고하십시오.

771    

트러스트된 포리스트 정보가 수정되었습니다.

참고: 이벤트 769의 이벤트 설명을 참고하십시오.

805

이벤트 로그 서비스에서 세션에 대한 보안 로그 구성을 읽었습니다.

권한 사용 감사

이 정책 설정은 사용자 권한을 사용하는 각각의 이벤트를 감사할지 여부를 결정합니다. 권한 사용 감사 설정을 성공 값을 기록하도록 구성하면 사용자 권한이 성공적으로 사용될 때마다 감사 항목이 생성되고 이 정책 설정을 실패 값을 기록하도록 구성하면 사용자 권한이 성공적으로 사용되지 않을 때마다 감사 항목이 생성됩니다.

다음 사용자 권한이 사용될 때는 권한 사용 감사 설정이 구성되어 있어도 감사가 수행되지 않습니다. 이러한 사용자 권한은 보안 로그에 많은 이벤트를 생성하기 때문입니다. 이러한 사용자 권한이 감사되면 컴퓨터 성능에 영향을 미칠 수 있습니다.

  • 트래버스 확인 통과

  • 프로그램 디버그

  • 토큰 개체 만들기

  • 프로세스 레벨 토큰 바꾸기

  • 보안 감사 생성

  • 파일 및 디렉터리 백업

  • 파일 및 디렉터리 복원

    참고: 이러한 사용자 권한을 감사하려면 그룹 정책에서 감사: 백업 및 복원 권한 사용을 감사 보안 옵션을 활성화해야 합니다.

권한 사용 감사 설정은 LC 및 EC 환경의 기준 정책에서 기본값인 감사 안 함으로 유지됩니다. 그러나 SSLF 환경의 기준 정책에서는 실패 값으로 구성됩니다. 사용자 권한을 사용하는 데 실패하면 일반적인 네트워크 문제가 발생했음을 나타내며 보안 위반이 시도되었음을 나타내는 경우도 있습니다. 조직에서는 업무상 특별히 필요한 경우에만 권한 사용 감사 설정을 사용으로 구성해야 합니다.

다음 표에는 이 설정이 보안 로그에 기록하는 중요한 보안 이벤트가 포함되어 있습니다.

표 4.8 권한 사용 이벤트

이벤트 ID

이벤트 설명

576    

지정된 권한이 사용자 액세스 토큰에 추가되었습니다.

참고: 이 이벤트는 사용자가 로그온할 때 생성됩니다.

577

권한이 있는 시스템 서비스 작업을 수행하려고 했습니다.

578

보호된 개체에 대해 이미 열린 핸들에서 권한이 사용되었습니다.

프로세스 추적 감사

이 정책 설정은 프로그램 활성화, 프로세스 종료, 핸들 복제 및 간접적 개체 액세스 등의 이벤트에 대한 자세한 추적 정보를 감사할지 여부를 결정합니다. 이 정책 설정을 성공 값을 기록하도록 구성하면 추적 프로세스가 성공할 때마다 감사 항목이 생성되고 이 정책 설정을 실패 값을 기록하도록 구성하면 추적 프로세스가 실패할 때마다 감사 항목이 생성됩니다.

프로세스 추적 감사 설정은 많은 양의 이벤트를 생성하므로 이 가이드에 정의된 세 가지 환경의 기준 정책에서 일반적으로 감사 안 함으로 구성됩니다. 그러나 이 정책 설정은 시작된 프로세스에 대한 자세한 로그를 제공하므로 문제를 해결하는 동안이나 각 프로세스가 시작될 때 특히 유용할 수 있습니다.

다음 표에는 이 설정이 보안 로그에 기록하는 중요한 보안 이벤트가 포함되어 있습니다.

표 4.9 프로세스 추적 이벤트

이벤트 ID

이벤트 설명

592

새 프로세스가 만들어졌습니다.

593

프로세스가 종료되었습니다.

594

개체에 대한 핸들이 복제되었습니다.

595

개체에 간접적으로 액세스할 수 있습니다.

596    

데이터 보호 마스터 키가 백업되었습니다.

참고: 마스터 키는 CryptProtectData 및 CryptUnprotectData 루틴과 EFS(암호화 파일 시스템)에서 사용됩니다. 새 마스터 키가 만들어질 때마다 마스터 키가 백업됩니다. 기본 설정은 90일입니다. 이 키는 일반적으로 도메인 컨트롤러에 의해 백업됩니다.

597

복구 서버에서 데이터 보호 마스터 키가 복구되었습니다.

598

감사 가능 데이터가 보호되었습니다.

599

감사 가능 데이터 보호가 해제되었습니다.

600

프로세스에 기본 토큰이 할당되었습니다.

601

사용자가 서비스를 설치하려고 시도했습니다.

602

스케줄러 작업이 만들어졌습니다.

시스템 이벤트 감사

이 정책 설정은 사용자가 컴퓨터를 다시 시작하거나 종료할 경우 또는 컴퓨터의 보안이나 보안 로그에 영향을 주는 이벤트가 발생할 경우에 감사할지 여부를 결정합니다. 이 정책 설정을 성공 값을 기록하도록 구성하면 시스템 이벤트가 성공적으로 실행될 때 감사 항목이 생성되고 실패 이벤트를 기록하도록 구성하면 시스템 이벤트가 성공적으로 시도되지 않을 때 감사 항목이 생성됩니다.

다음 표에서는 이 설정에 가장 유용한 성공 이벤트를 보여 줍니다.

표 4.10 시스템 이벤트 감사에 대한 시스템 이벤트 메시지

이벤트 ID

이벤트 설명

512

Windows를 시작하고 있습니다.

513

Windows를 종료하고 있습니다.

514

LSA(로컬 보안 기관)가 인증 패키지를 로드했습니다.

515

신뢰할 수 있는 로그온 프로세스가 로컬 보안 권한으로 등록되었습니다.

516

보안 이벤트 메시지 큐에 할당된 내부 리소스가 없어서 일부 보안 이벤트 메시지가 손실되었습니다.

517

감사 로그가 삭제되었습니다.

518

보안 계정 관리자가 알림 패키지를 로드했습니다.

519

프로세스에서 클라이언트를 가장하고 응답을 보내거나 클라이언트 주소 공간에서 읽거나 쓰려고 할 때 잘못된 LPC(로컬 프로시저 호출) 포트를 사용하고 있습니다.

520    

시스템 시간이 변경되었습니다.

참고: 이 감사는 일반적으로 두 번 나타납니다.


사용자 권한 할당

사용자 권한 할당은 사용자 및 그룹에 조직의 컴퓨터에 대한 로그온 권한이나 사용 권한을 제공합니다. 로그온 권한의 예로는 컴퓨터에 대화형으로 로그온할 수 있는 권한이 있습니다. 사용 권한의 예로는 컴퓨터를 종료할 수 있는 권한이 있습니다. 두 가지 유형의 사용자 권한 모두 관리자에 의해 개별 사용자나 그룹에게 컴퓨터에 대한 보안 설정의 일부로 할당됩니다.

참고: 이 섹션 전반에서 "정의되지 않음"은 사용자에게만 적용되며 관리자는 여전히 사용자 권한을 갖습니다. 로컬 관리자가 이 설정을 변경할 수는 있지만 다음에 그룹 정책이 새로 고쳐지거나 다시 적용되면 도메인 기반 그룹 정책 설정이 이 설정보다 우선하게 됩니다.

그룹 정책 개체 편집기 내의 다음 위치에서 Windows Server 2003 SP1의 사용자 권한 할당 설정을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\로컬 정책
\사용자 권한 할당

기본 사용자 권한 할당은 조직의 다양한 서버 유형마다 다릅니다. 예를 들어 Windows Server 2003은 구성원 서버와 도메인 컨트롤러의 기본 제공 그룹에 각기 다른 권한을 할당합니다. 다음 목록에서는 다른 서버 유형의 기본 제공 그룹 간에 유사한 점에 대해 설명하지 않습니다.

  • 구성원 서버

    • Power Users. 대부분의 관리 권한을 가지며 일부 권한만 제한됩니다. Power Users는 Windows Server 2003 SP1 또는 Windows XP용으로 승인된 응용 프로그램은 물론 레거시 응용 프로그램을 실행할 수 있습니다.

    • HelpServicesGroup. 도움말 및 지원 센터를 위한 그룹입니다. Support_388945a0은 기본적으로 이 그룹의 구성원입니다.

    • TelnetClients. 이 그룹의 구성원은 시스템에서 텔넷 서버에 액세스할 수 있습니다.

  • 도메인 컨트롤러

    • Server Operators. 이 그룹의 구성원은 도메인 서버를 관리할 수 있습니다.

    • Terminal Server License Services. 이 그룹의 구성원은 네트워크의 터미널 서버 라이센스 서버에 액세스할 수 있습니다.

    • Windows Authorization Access Group. 이 그룹의 구성원은 사용자 개체의 계산된 tokenGroupsGlobalAndUniversal 특성에 액세스할 수 있습니다.

Guests 그룹과 사용자 계정 Guest 및 Support_388945a0은 각 도메인에서 고유한 SID를 갖습니다. 따라서 특정 대상 그룹만 있는 컴퓨터에서는 사용자 권한 할당에 대한 이 그룹 정책을 수정해야 할 수 있습니다. 또는 .inf 파일 내에서 정책 템플릿을 개별적으로 편집하여 적절한 그룹을 포함할 수 있습니다. 예를 들어 테스트 환경에서는 도메인 컨트롤러에 대해 도메인 컨트롤러 그룹 정책을 만들 수 있습니다.

참고: Guests 그룹, Support_388945a0 및 Guest의 구성원 사이에는 고유한 SID가 있기 때문에 서버 보안 강화에 사용되는 일부 설정을 이 가이드와 함께 제공된 보안 템플릿을 통해 자동화할 수 없습니다. 이러한 설정은 이 장 뒷부분에 나오는 "추가 보안 설정" 섹션에 설명되어 있습니다.

이 섹션에서는 이 가이드에 정의된 세 가지 환경에 대해 지정된 MSBP 사용자 권한 할당 설정을 자세히 설명합니다. 이 섹션에 나오는 규정된 설정은 이 가이드의 다운로드 가능 버전에 포함되어 있는 Microsoft Excel 통합 문서 "Windows Server 2003 보안 가이드 설정"에 요약되어 있습니다. 이 섹션에 나오는 각 설정에 대한 기본 구성 및 자세한 설명은 관련 가이드인 위협 및 대책 - Windows Server 2003 및 Windows XP용 보안 설정을 참조하십시오.

다음 표에는 이 가이드에 정의된 세 가지 환경에 대한 사용자 권한 할당 권장 설정이 포함되어 있습니다. 표 다음에 나오는 하위 섹션에서 각 설정에 대한 추가 정보가 제공됩니다.

표 4.11 사용자 권한 할당 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

네트워크에서 이 컴퓨터 액세스

정의되지 않음

정의되지 않음

Administrators, Authenticated Users, ENTERPRISE DOMAIN CONTROLLERS

운영 체제의 일부로 활동

정의되지 않음

정의되지 않음

없음

프로세스 별 메모리 할당량 조정

정의되지 않음

정의되지 않음

Administrators, NETWORK SERVICE, LOCAL SERVICE

로컬로 로그온 허용

Administrators, Backup Operators, Power Users

Administrators, Backup Operators, Power Users

Administrators

터미널 서비스를 통한 로그온 허용

Administrators 및 Remote Desktop Users

Administrators 및 Remote Desktop Users

Administrators

파일 및 디렉터리 백업

정의되지 않음

정의되지 않음

Administrators

트래버스 확인 통과

정의되지 않음

정의되지 않음

Authenticated Users

시스템 시간 바꾸기

정의되지 않음

정의되지 않음

Administrators

페이지 파일 만들기

정의되지 않음

정의되지 않음

Administrators

토큰 개체 만들기

정의되지 않음

정의되지 않음

없음

전역 개체 만들기

정의되지 않음

정의되지 않음

Administrators, SERVICE

영구 공유 개체 만들기

정의되지 않음

정의되지 않음

없음

프로그램 디버그

정의되지 않음

Administrators

없음

네트워크에서 이 컴퓨터 액세스 거부

ANONOYMOUS LOGON; Guests; Support_388945a0;

모든 비운영 체제 시스템 서비스 계정

ANONOYMOUS LOGON; Guests; Support_388945a0;

모든 비운영 체제 시스템 서비스 계정

ANONOYMOUS LOGON; Guests; Support_388945a0;

모든 비운영 체제 시스템 서비스 계정

일괄 작업으로 로그온 거부

Guests; Support_388945a0

Guests; Support_388945a0

Guests; Support_388945a0;

서비스로 로그온 거부

정의되지 않음

정의되지 않음

없음

로컬 로그온 거부

정의되지 않음

정의되지 않음

Guests; Support_388945a0;

터미널 서비스를 통한 로그온 거부

Guests

Guests

Guests

컴퓨터 및 사용자 계정을 위임용으로 트러스트할 수 있음

정의되지 않음

정의되지 않음

Administrators

원격 시스템에서 강제로 시스템 종료

정의되지 않음

정의되지 않음

Administrators

보안 감사 생성

정의되지 않음

정의되지 않음

NETWORK SERVICE, LOCAL SERVICE

인증 후 클라이언트로 가장

정의되지 않음

정의되지 않음

Administrators, SERVICE

스케줄링 우선 순위 증가

정의되지 않음

정의되지 않음

Administrators

장치 드라이버 로드 및 언로드

정의되지 않음

정의되지 않음

Administrators

메모리의 페이지 잠그기

정의되지 않음

정의되지 않음

없음

일괄 작업으로 로그온

정의되지 않음

정의되지 않음

정의되지 않음

서비스로 로그온

정의되지 않음

정의되지 않음

NETWORK SERVICE

감사 및 보안 로그 관리

정의되지 않음

정의되지 않음

Administrators

펌웨어 환경 값 수정

정의되지 않음

정의되지 않음

Administrators

볼륨 관리 작업을 수행

정의되지 않음

정의되지 않음

Administrators

단일 프로세스 프로파일

정의되지 않음

정의되지 않음

Administrators

시스템 성능 프로파일

정의되지 않음

정의되지 않음

Administrators

컴퓨터를 도킹 스테이션에서 제거

정의되지 않음

정의되지 않음

Administrators

프로세스 레벨 토큰 바꾸기

정의되지 않음

정의되지 않음

LOCAL SERVICE, NETWORK SERVICE

파일 및 디렉터리 복원

정의되지 않음

정의되지 않음

Administrators

시스템 종료

정의되지 않음

정의되지 않음

Administrators

디렉터리 서비스 데이터 동기화

정의되지 않음

정의되지 않음

없음

파일 또는 다른 개체의 소유권 가져오기

정의되지 않음

정의되지 않음

Administrators

네트워크에서 이 컴퓨터 액세스

이 정책 설정은 네트워크에서 해당 컴퓨터에 연결할 수 있는 사용자 및 그룹을 결정합니다. 이 정책 설정은 SMB(서버 메시지 블록) 기반 프로토콜, NetBIOS, CIFS(Common Internet File System), HTTP 및 COM+(Component Object Model Plus)를 비롯한 여러 네트워크 프로토콜에 필요합니다.

네트워크에서 이 컴퓨터 액세스 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 Windows Server 2003 SP1의 Everyone 보안 그룹에 할당된 사용 권한으로는 더 이상 익명 사용자에게 액세스 권한이 부여되지 않지만 게스트 그룹 및 계정은 여전히 Everyone 보안 그룹을 통해 액세스 권한을 부여 받을 수 있습니다. 따라서 SSLF 환경에서는 Everyone 보안 그룹에 대한 네트워크에서 이 컴퓨터 액세스 사용자 권한이 거부되므로 도메인에 대한 게스트 액세스를 대상으로 하는 공격으로부터 보호할 수 있습니다. SSLF 환경에서는 Administrators, Authenticated UsersENTERPRISE DOMAIN CONTROLLERS 그룹에만 이 사용자 권한이 할당됩니다.

운영 체제의 일부로 활동

이 정책 설정은 프로세스가 사용자의 ID를 가정하여 사용자에게 액세스가 허용된 리소스에 대한 액세스 권한을 얻을 수 있는지 여부를 결정합니다. 일반적으로 낮은 수준의 인증 서비스에서만 이 사용자 권한이 필요합니다.

운영 체제의 일부로 활동 사용자 권한은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 이 정책 설정이 Null 값이나 공백으로 구성되어 모든 보안 그룹 및 계정에 대해 이 사용자 권한이 거부됩니다.

프로세스 별 메모리 할당량 조정

이 정책 설정은 사용자가 프로세스에서 사용할 수 있는 최대 메모리 양을 조정할 수 있는지 여부를 결정합니다. 이 권한은 컴퓨터 조정 작업에 유용하지만 남용될 수 있습니다. 공격자는 이 사용자 권한을 이용하여 DoS 공격을 실시할 수 있습니다.

프로세스 별 메모리 할당량 조정 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹, NETWORK SERVICE 및 LOCAL SERVICE에 이 사용자 권한이 할당됩니다.

로컬로 로그온 허용

이 정책 설정은 지정된 컴퓨터에 대화형으로 로그온할 수 있는 사용자를 결정합니다. 키보드에서 Ctrl+Alt+Delete 키 시퀀스를 눌러 로그온을 시작하려면 이 사용자 권한이 필요합니다. 이 사용자 권한이 있는 계정을 사용하여 컴퓨터의 로컬 콘솔에 로그온할 수 있습니다.

로컬 로그온 허용 사용자 권한은 LC 및 EC 환경에서 Administrators, Backup OperatorsPower Users 그룹으로 제한되므로 허가되지 않은 사용자가 권한 수준을 올리거나 작업 환경에 바이러스를 침투시키기 위해 로그온하지 못하도록 할 수 있습니다. SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

터미널 서비스를 통한 로그온 허용

이 정책 설정은 터미널 서비스 클라이언트로 로그온할 수 있는 권한이 있는 사용자나 그룹을 결정합니다.

LC 및 EC 환경에서 터미널 서비스를 통한 로그온 허용 사용자 권한은 AdministratorsRemote Desktop Users 그룹으로 제한되며 SSLF 환경에서는 Administrators 그룹의 구성원에게만 이 사용자 권한이 할당됩니다.

파일 및 디렉터리 백업

이 정책 설정은 사용자가 파일 및 디렉터리 권한을 사용하지 않고 시스템을 백업할 수 있는지 여부를 결정합니다. 이 정책 설정은 응용 프로그램이 NTBACKUP.EXE 같은 NTFS 백업 API(응용 프로그래밍 인터페이스)를 사용하여 액세스를 시도할 때만 사용됩니다. 그렇지 않으면 일반 파일 및 디렉터리 사용 권한이 적용됩니다.

파일 및 디렉터리 백업 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

트래버스 확인 통과

이 정책 설정은 NTFS 파일 시스템이나 레지스트리에서 개체 경로를 탐색할 때 특수 액세스 권한인 "폴더 통과"를 확인하지 않고 사용자가 폴더를 통과할 수 있는지 여부를 결정합니다. 이 사용자 권한이 있을 경우 폴더 내용을 나열할 수는 없으며 디렉터리를 통과할 수만 있습니다.

트래버스 확인 통과 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Authenticated Users 그룹에만 이 사용자 권한이 할당됩니다.

시스템 시간 바꾸기

이 정책 설정은 컴퓨터 내부 시계에서 시간과 날짜를 변경할 수 있는 사용자를 결정합니다. 이 사용자 권한이 할당된 사용자가 해당 권한을 사용할 경우 컴퓨터의 내부 시계를 사용하여 시간이 찍힌 이벤트 로그의 표시 정보가 변경될 수도 있습니다. 컴퓨터의 시간이 바뀔 경우 로그는 이벤트가 발생한 실제 시간을 반영하지 않습니다.

시스템 시간 바꾸기 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

참고: 로컬 컴퓨터와 도메인 컨트롤러의 시간이 일치하지 않으면 Kerberos 인증 프로토콜에 문제가 발생하여 사용자가 도메인에 로그온할 수 없게 되거나 로그온한 후 도메인 리소스에 대한 액세스 권한을 얻지 못하게 됩니다.

페이지 파일 만들기

이 정책 설정은 사용자가 페이지 파일을 만들거나 크기를 변경할 수 있는지 여부를 결정합니다. 이 작업을 수행하기 위해 시스템 속성 대화 상자의 고급 탭에 있는 성능 옵션 상자에서 특정 드라이브의 페이지 파일 크기를 지정해야 합니다.

페이지 파일 만들기 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되고 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

토큰 개체 만들기

이 정책 설정은 프로세스가 토큰을 만들 수 있는지 여부를 결정합니다. 프로세스는 NtCreateToken() 또는 그 밖의 토큰 만들기 API를 사용할 때 이 토큰을 사용하여 로컬 리소스에 대한 액세스 권한을 얻을 수 있습니다.

토큰 개체 만들기 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Null 값이나 공백으로 구성되어 어떠한 보안 그룹이나 계정도 이 사용 권한을 갖지 않게 됩니다.

전역 개체 만들기

이 정책 설정은 모든 세션에서 사용할 수 있는 전역 개체를 만들 수 있도록 합니다. 이 사용자 권한이 할당되지 않아도 사용자는 자신의 세션에만 해당되는 개체를 계속해서 만들 수 있습니다.

전역 개체 만들기 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 SERVICEAdministrators 그룹에만 이 사용자 권한이 할당됩니다.

영구 공유 개체 만들기

이 정책 설정은 개체 관리자에서 공유 폴더, 프린터 등의 디렉터리 개체를 만들 수 있는지 여부를 결정합니다. 이 사용자 권한은 개체 네임스페이스를 확장하는 커널 모드 구성 요소에 유용합니다. 이러한 구성 요소에는 기본적으로 이 사용자 권한이 있습니다. 따라서 일반적으로는 사용자에게 이 사용자 권한을 반드시 할당해야 할 필요가 없습니다.

영구 공유 개체 만들기 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Null 값이나 공백으로 구성되어 어떠한 보안 그룹이나 계정도 이 사용 권한을 갖지 않게 됩니다.

프로그램 디버그

이 정책 설정은 프로세스 또는 커널에 디버거를 연결할 수 있는 사용자를 결정합니다. 이 권한은 주요 핵심 운영 체제 구성 요소에 대한 완전한 액세스 권한을 제공합니다. 테스트 환경에서 효과적으로 평가할 수 없는 업무 관련 응용 프로그램의 문제를 해결해야 하는 경우와 같은 특수한 경우를 제외하고는 프로그램을 프로덕션 환경에서 디버그하면 안 됩니다.

프로그램 디버그 설정은 LC 환경에서는 정의되지 않음으로 구성되지만 EC 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다. SSLF 환경에서는 Null 값이나 공백으로 구성되어 어떠한 보안 그룹이나 계정도 이 사용 권한을 갖지 않게 됩니다.

참고: Windows Server 2003 SP1에서 프로그램 디버그 사용자 권한을 제거하면 Windows Update 서비스를 사용하지 못할 수 있습니다. 그러나 다른 방법으로 패치를 수동으로 다운로드하여 설치하거나 적용할 수는 있습니다. 또한 이 사용자 권한을 제거하면 클러스터 서비스 작동에 영향을 줄 수 있습니다. 자세한 내용은 Microsoft 기술 자료 문서 "Windows Server 2003 기본 클러스터 서버에서 좀 더 제한적인 보안 설정을 적용하는 방법"(http://support.microsoft.com/?kbid=891597)을 참조하십시오.

네트워크에서 이 컴퓨터 액세스 거부

참고: ANONOYMOUS LOGON, 기본 제공 Administrator, Support_388945a0, Guest 및 모든 비운영 체제 서비스 계정은 .inf 보안 템플릿에 포함되어 있지 않습니다. 이러한 계정 및 그룹은 조직의 각 도메인에 대해 고유한 SID를 갖습니다. 따라서 수동으로 추가해야 합니다. 자세한 내용은 이 장 끝부분에 나오는 "수동 강화 절차" 섹션을 참조하십시오.

이 정책 설정은 네트워크를 통해 컴퓨터에 액세스할 수 없는 사용자를 결정합니다. 이 설정은 SMB 기반 프로토콜, NetBIOS, CIFS, HTTP 및 COM+를 비롯한 많은 네트워크 프로토콜을 거부합니다. 사용자 계정에 이 정책과 네트워크에서 이 컴퓨터 액세스 사용자 권한 정책이 모두 적용된 경우에는 이 정책 설정이 우선합니다.

이 가이드에 정의된 세 가지 환경에서는 네트워크에서 이 컴퓨터 액세스 거부 사용자 권한이 Guests 그룹, ANONOYMOUS LOGON, Support_388945a0 및 해당 운영 체제에 속하지 않는 모든 서비스 계정에 할당됩니다.

다른 그룹에 대해 이 정책 설정을 구성하면 작업 환경에서 특정 관리 역할에 할당된 사용자의 능력을 제한할 수 있습니다. 위임된 작업에 부정적인 영향을 주지 않도록 해야 합니다.

일괄 작업으로 로그온 거부

참고: ANONOYMOUS LOGON, 기본 제공 Administrator, Support_388945a0, Guest 및 모든 비운영 체제 서비스 계정은 .inf 보안 템플릿에 포함되어 있지 않습니다. 이러한 계정 및 그룹은 조직의 각 도메인에 대해 고유한 SID를 갖습니다. 따라서 수동으로 추가해야 합니다. 자세한 내용은 이 장 끝부분에 나오는 "수동 강화 절차" 섹션을 참조하십시오.

이 정책 설정은 컴퓨터에 일괄 작업으로 로그온할 수 없는 계정을 결정합니다. 일괄 작업은 배치 파일(.bat)이 아니라 일괄 큐 기능입니다. 작업 스케줄러를 사용하여 작업 일정을 계획하는 계정에는 이 사용자 권한이 필요합니다.

일괄 작업으로 로그온 거부 사용자 권한은 과도한 시스템 리소스를 사용하는 작업의 일정을 계획할 수 있도록 하는 일괄 작업으로 로그온 사용자 권한보다 우선합니다. 이와 같이 시스템 리소스를 과도하게 사용하면 DoS 상황이 발생할 수 있습니다. 따라서 일괄 작업으로 로그온 거부 사용자 권한은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 Guests 그룹 및 Support_388945a0 사용자 계정에 할당됩니다. 이 사용자 권한을 권장되는 계정에 할당하지 못하면 보안 위험이 발생할 수 있습니다.

서비스로 로그온 거부

이 정책 설정은 지정된 계정의 컨텍스트로 서비스를 실행할 수 있는지 여부를 결정합니다.

서비스로 로그온 거부 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Null 값이나 공백으로 구성되어 어떠한 보안 그룹이나 계정도 이 사용 권한을 갖지 않게 됩니다.

로컬 로그온 거부

이 정책 설정은 사용자가 컴퓨터 키보드로 직접 로그온할 수 있는지 여부를 결정합니다.

로컬 로그온 거부 설정은 EC 및 LC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Guests 그룹 및 Support_388945a0 사용자 계정에만 이 사용자 권한이 할당됩니다. 이 사용자 권한을 권장되는 계정에 할당하지 못하면 보안 위험이 발생할 수 있습니다.

터미널 서비스를 통한 로그온 거부

참고: ANONOYMOUS LOGON, 기본 제공 Administrator, Support_388945a0, Guest 및 모든 비운영 체제 서비스 계정은 .inf 보안 템플릿에 포함되어 있지 않습니다. 이러한 계정 및 그룹은 조직의 각 도메인에 대해 고유한 SID를 갖습니다. 따라서 수동으로 추가해야 합니다. 자세한 내용은 이 장 끝부분에 나오는 "수동 강화 절차" 섹션을 참조하십시오.

이 정책 설정은 사용자가 터미널 서비스 클라이언트로 로그온할 수 있는지 여부를 결정합니다. 기준 구성원 서버가 도메인 환경에 가입된 후에는 네트워크에서 로컬 계정을 사용하여 서버에 액세스할 필요가 없습니다. 도메인 계정은 관리 및 최종 사용자 처리를 위해 서버에 액세스할 수 있습니다.

이 가이드에 정의된 세 가지 환경에서는 터미널 서비스를 통해 로그온할 수 없도록 Guests 그룹에 터미널 서비스를 통한 로그온 거부 사용자 권한이 할당됩니다.

컴퓨터 및 사용자 계정을 위임용으로 트러스트할 수 있음

이 정책 설정은 사용자가 Active Directory의 사용자 또는 컴퓨터 개체에 대해 위임용으로 트러스트 설정을 변경할 수 있는지 여부를 결정합니다. 이 사용자 권한이 할당된 사용자나 컴퓨터에는 개체의 계정 제어 플래그에 대한 쓰기 권한도 있어야 합니다. 이 권한을 잘못 사용하면 권한이 없는 사용자가 네트워크의 다른 사용자를 가장할 수 있게 됩니다.

컴퓨터 및 사용자 계정을 대리인에게 트러스트하도록 허용 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

원격 시스템에서 강제로 시스템 종료

이 정책 설정은 사용자가 네트워크의 원격 위치에서 컴퓨터를 종료할 수 있는지 여부를 결정합니다. 컴퓨터를 종료할 수 있는 사용자는 DoS 상황을 발생시킬 수 있습니다. 따라서 이 사용자 권한은 엄격히 제한해야 합니다.

원격 시스템에서 강제로 시스템 종료 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

보안 감사 생성

이 정책 설정은 프로세스가 보안 로그에 감사 레코드를 생성할 수 있는지 여부를 결정합니다. 보안 로그는 무단 시스템 액세스를 추적하는 데 사용할 수 있으므로 공격자는 보안 로그에 쓸 수 있는 계정을 이용하여 해당 로그를 의미 없는 이벤트로 채울 수 있습니다. 필요할 때 이벤트를 덮어쓰도록 컴퓨터가 구성된 경우 공격자는 이 기능을 이용하여 자신의 무단 작업에 대한 증거를 제거할 수 있습니다. 보안 로그에 쓸 수 없을 때 시스템이 종료되도록 구성하면 공격자는 이 기능을 이용하여 DoS 상황을 만들 수 있습니다.

보안 감사 생성 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 NETWORK SERVICE 및 LOCAL SERVICE 계정에만 이 사용자 권한이 할당됩니다.  

인증 후 클라이언트로 가장

이 정책 설정은 인증된 사용자 대신 실행되는 응용 프로그램이 클라이언트를 가장할 수 있는지 여부를 결정합니다. 이러한 유형의 가장을 위해 이 사용자 권한이 필요하도록 지정하면 허가되지 않은 사용자는 해당 클라이언트를 가장하기 위해 RPC(원격 프로시저 호출) 또는 명명된 파이프 등을 사용하여 자신이 만든 서비스에 연결할 수 없습니다. 허가되지 않은 사용자가 이 기능을 이용하면 자신의 권한을 관리 또는 시스템 수준으로 높일 수 있습니다.

인증 후 클라이언트로 가장 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹 및 SERVICE에만 이 사용자 권한이 할당됩니다.

스케줄링 우선 순위 증가

이 정책 설정은 사용자가 프로세스의 기본 우선 순위 클래스를 높일 수 있는지 여부를 결정합니다. 우선 순위 클래스 내에서 상대적 우선 순위를 높이는 것은 권한 작업이 아닙니다. 운영 체제와 함께 제공된 관리 도구를 사용하기 위해서는 이 사용자 권한이 필요하지 않지만 소프트웨어 개발 도구를 사용할 때는 필요할 수 있습니다. 이 사용자 권한이 할당된 사용자는 프로세스의 스케줄링 우선 순위를 실시간으로 높이고 다른 모든 프로세스의 처리 시간을 거의 없애 DoS 상황을 발생시킬 수 있습니다.

스케줄링 우선 순위 증가 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

장치 드라이버 로드 및 언로드

이 정책 설정은 장치 드라이버를 동적으로 로드 및 언로드할 수 있는 사용자를 결정합니다. 컴퓨터의 Driver.cab 파일에 새 하드웨어에 대한 서명된 드라이버가 이미 있는 경우에는 이 사용자 권한이 필요하지 않습니다. 장치 드라이버는 높은 수준의 권한이 있는 코드로 실행됩니다. 장치 드라이버 로드 및 언로드 사용자 권한이 할당된 사용자는 장치 드라이버를 가장하는 악의적인 코드를 실수로 또는 의도적으로 설치할 수 있습니다. 따라서 관리자는 좀 더 주의를 기울이고 디지털 서명이 있는 드라이버만 설치해야 합니다.

장치 드라이버 로드 및 언로드 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

메모리의 페이지 잠그기

이 정책 설정은 프로세스에서 데이터를 실제 메모리에 보관할 수 있는지 여부를 결정합니다. 이렇게 하면 컴퓨터에서는 데이터를 디스크의 가상 메모리로 페이징할 수 없게 됩니다. 이러한 상황이 발생하면 심각한 성능 저하가 나타날 수 있습니다. 이 사용자 권한이 할당된 사용자는 몇 개의 프로세스에 실제 메모리를 할당하고 다른 프로세스를 위한 RAM(Random Access Memory)은 거의 남겨두지 않음으로써 DoS 상황을 유발할 수 있습니다.

메모리의 페이지 잠그기 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Null 값이나 공백으로 구성되어 어떠한 보안 그룹이나 계정도 이 사용 권한을 갖지 않게 됩니다.

서비스로 로그온

이 정책 설정은 보안 주체 서비스로 로그온할 수 있는지 여부를 결정합니다. 서비스로 로그온할 수 있는 기본 제공 권한을 가지고 있는 Local System, Local Service 또는 Network Service에서 실행되도록 서비스를 구성할 수 있습니다. 별도의 사용자 계정으로 실행되는 모든 서비스에 이 사용자 권한이 할당되어야 합니다.

서비스로 로그온 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Network Service 계정에만 이 사용자 권한이 할당됩니다.

감사 및 보안 로그 관리

이 정책 설정은 사용자가 파일, Active Directory 개체, 레지스트리 키 등의 개별 리소스에 대해 개체 액세스 감사 옵션을 지정할 수 있는지 여부를 결정합니다. 이 사용자 권한은 강력한 권한이므로 주의해서 보호해야 합니다. 이 사용자 권한이 있는 사용자는 보안 로그를 지움으로써 무단 작업의 중요한 증거를 지울 수 있습니다.

감사 및 보안 로그 관리 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

중요: Microsoft Exchange Server 2003에서는 설치 프로세스 중에 기본 도메인 컨트롤러 정책에서 이 사용자 권한을 수정합니다. 자세한 내용은 Exchange Server 2003 배포 (영문)(http://www.microsoft.com/technet/prodtechnol/exchange/guides/E2k3ADPerm/110e37bf-a68c-47bb-b4d5-1cfd539d9cba.mspx)를 참조하십시오. 이 사용자 권한이 Administrators 그룹으로 제한되면 Exchange는 응용 프로그램 이벤트 로그에 오류 메시지를 자주 기록합니다. Exchange Server 2003을 사용할 경우에는 도메인 컨트롤러에 대해 이 설정 값을 조정해야 합니다. 이 가이드에 권장되는 다른 모든 설정과 마찬가지로 조직의 응용 프로그램이 정상적으로 작동될 수 있도록 일부 설정을 조정해야 할 수 있습니다.

펌웨어 환경 값 수정

이 정책 설정은 프로세스가 API를 통해 또는 사용자가 시스템 속성을 통해 컴퓨터의 환경 변수를 수정할 수 있는지 여부를 결정합니다. 이 사용자 권한이 할당된 사용자는 하드웨어 구성 요소에 문제가 발생하도록 구성 요소 속성을 구성할 수 있습니다. 이 경우 데이터가 손상되거나 DoS 상황이 발생할 수 있습니다.

펌웨어 환경 값 수정 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

볼륨 관리 작업을 수행

이 정책 설정은 관리자가 아닌 사용자나 원격 사용자가 볼륨이나 디스크를 관리할 수 있는지 여부를 결정합니다. 이 사용자 권한이 할당된 사용자는 볼륨을 삭제하여 데이터가 손실되거나 DoS 상황이 발생되게 할 수 있습니다.

볼륨 관리 작업을 수행 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

단일 프로세스 프로파일

이 정책 설정은 성능 모니터링 도구를 사용하여 비시스템 프로세스의 성능을 모니터링할 수 있는 사용자를 결정합니다. 이 사용자 권한을 부여할 경우 그리 심각한 보안 문제가 발생하지는 않지만 공격자가 이 권한을 얻게 되면 컴퓨터의 성능을 모니터링하여 자신이 공격하려는 중요한 프로세스를 확인할 수 있습니다. 또한 공격자는 시스템에서 실행되는 프로세스를 확인하여 바이러스 백신 소프트웨어 또는 침입 감지 시스템 등 회피해야 할 보안 대책이나 시스템에 로그온되어 있는 다른 사용자를 확인할 수 있습니다.

단일 프로세스 프로파일 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 보다 강력한 보안을 위해 Power Users 그룹에는 이 사용자 권한이 할당되지 않으며 Administrators 그룹의 구성원에만 이 권한이 부여되어야 합니다.

시스템 성능 프로파일

이 정책 설정은 이전 설정과 비슷하며 사용자가 시스템 프로세스의 성능을 모니터링할 수 있는지 여부를 결정합니다. 이 사용자 권한을 부여할 경우 그리 심각한 보안 문제가 발생하지는 않지만 이 권한이 있는 공격자는 컴퓨터의 성능을 모니터링하여 자신이 공격하려는 중요한 프로세스를 확인할 수 있습니다. 또한 공격자는 시스템에서 실행되는 프로세스를 확인하여 바이러스 백신 소프트웨어 또는 침입 감지 시스템과 같은 보안 대책을 확인할 수 있습니다.

시스템 성능 프로파일 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

컴퓨터를 도킹 스테이션에서 제거

이 정책 설정은 이동식 컴퓨터의 사용자가 시작 메뉴의 컴퓨터 도킹 해제를 클릭하여 컴퓨터를 도킹 해제할 수 있는지 여부를 결정합니다. 이 사용자 권한이 할당된 사람은 누구든지 도킹 스테이션에서 이동식 컴퓨터를 제거할 수 있습니다.

컴퓨터를 도킹 스테이션에서 제거 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

프로세스 레벨 토큰 바꾸기

이 정책 설정은 상위 프로세스에서 하위 프로세스와 관련된 액세스 토큰을 대체할 수 있는지 여부를 결정합니다.

프로세스 레벨 토큰 바꾸기 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 LOCAL SERVICE 및 NETWORK SERVICE 계정에만 이 사용자 권한이 할당됩니다.

파일 및 디렉터리 복원

이 정책 설정은 백업된 파일 및 디렉터리를 복원할 때 파일, 디렉터리, 레지스트리 및 기타 영구 개체 권한을 무시할 수 있는 사용자를 결정합니다. 또한 올바른 보안 주체를 개체의 소유자로 설정할 수 있는 사용자를 결정합니다.

파일 및 디렉터리 복원 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다. 매우 중요한 서버 및 도메인 컨트롤러에 대한 파일 복원 작업은 일반적으로 관리자나 특별히 위임된 보안 그룹의 구성원이 수행합니다.

시스템 종료

이 정책 설정은 시스템 종료 명령을 사용하여 운영 체제를 종료할 수 있는 로컬로 로그온한 사용자를 결정합니다. 이 기능을 잘못 사용하면 DoS 상황이 발생할 수 있으므로 도메인 컨트롤러를 종료할 수 있는 권한은 신뢰할 수 있는 극소수의 관리자에게만 부여해야 합니다. 시스템을 종료하려면 서버에 로그온할 수 있는 권한이 필요하기는 하지만 도메인 컨트롤러를 종료할 수 있는 권한을 부여할 계정과 그룹을 결정할 때는 매우 신중해야 합니다.

시스템 종료 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 Administrators 그룹에만 이 사용자 권한이 할당됩니다.

디렉터리 서비스 데이터 동기화

이 정책 설정은 프로세스에서 개체 및 속성의 보호 설정에 관계없이 디렉터리의 모든 개체 및 속성을 읽을 수 있는지 여부를 결정합니다. LDAP Dirsync(디렉터리 동기화) 서비스를 사용하려면 이 사용자 권한이 필요합니다.

디렉터리 서비스 데이터 동기화 설정의 기본 구성은 정의되지 않음이며 LC 및 EC 환경에 충분합니다. SSLF 환경에서는 Null 값이나 공백으로 구성되어 어떠한 보안 그룹이나 계정도 이 사용 권한을 갖지 않게 됩니다.

파일 또는 다른 개체의 소유권 가져오기

이 정책 설정은 사용자가 Active Directory 개체, NTFS 파일 시스템 파일 및 폴더, 프린터, 레지스트리 키, 서비스, 프로세스, 스레드를 비롯하여 네트워크에 있는 보안 가능한 모든 개체의 소유권을 가져올 수 있는지 여부를 결정합니다.

파일 또는 다른 개체의 소유권 가져오기 설정은 LC 및 EC 환경에서는 정의되지 않음으로 구성되지만 SSLF 환경에서는 로컬 Administrators 그룹에만 이 사용자 권한을 할당해야 합니다.

보안 옵션

그룹 정책의 보안 옵션 섹션에 있는 정책 설정은 플로피 디스크 드라이브 액세스, CD-ROM 드라이브 액세스 및 로그온 프롬프트와 같은 기능을 활성화하거나 비활성화하는 데 사용됩니다. 또한 데이터의 디지털 서명, 관리자 및 게스트 계정 이름, 드라이버 설치 방식 등의 다양한 설정을 구성하는 데도 사용됩니다.

그룹 정책 개체 편집기 내의 다음 위치에서 Windows Server 2003 SP1의 보안 옵션 설정을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\로컬 정책\
보안 옵션

시스템 유형에 따라 이 섹션에 포함된 설정 중 일부가 없는 시스템도 있습니다. 그러므로 이 섹션에 정의된 그룹 정책의 보안 옵션 부분을 구성하는 설정이 시스템에 있는 경우 설정을 수동으로 수정해야만 시스템이 완전히 작동할 수 있습니다.

다음 섹션에서는 이 가이드에 정의된 세 가지 환경에 대해 지정된 MSBP 보안 옵션 설정에 대한 정보를 제공합니다. 지정된 설정은 이 가이드의 다운로드 가능 버전에 포함되어 있는 Microsoft Excel 통합 문서 "Windows Server 2003 보안 가이드 설정"에 요약되어 있습니다. 기본 구성 및 각 설정에 대한 자세한 설명은 관련 가이드인 위협 및 대책 - Windows Server 2003 및 Windows XP용 보안 설정을 참조하십시오.

각 섹션의 표는 여러 다른 유형의 보안 옵션 설정에 대한 권장 설정을 요약해서 보여 줍니다. 각 설정에 대한 자세한 내용은 각 표 다음에 나오는 하위 섹션에서 제공됩니다.

계정 설정

표 4.12 보안 옵션: 계정 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

Administrator 계정 상태

정의되지 않음

정의되지 않음

사용

Guest 계정 상태

사용 안 함

사용 안 함

사용 안 함

콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한

사용

사용

사용

계정: Administrator 계정 상태

이 정책 설정은 정상 작업 중에 Administrator 계정을 활성화하거나 비활성화합니다. 컴퓨터를 안전 모드로 시작하면 이 설정에 관계없이 Administrator 계정이 항상 활성화됩니다.

계정: Administrator 계정 상태 설정은 LC 및 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 사용으로 구성됩니다.

계정: Guest 계정 상태

이 정책 설정은 Guest 계정의 활성화 여부를 결정합니다. 이 계정은 권한이 없는 네트워크 사용자가 Guest로 로그온하여 컴퓨터에 액세스할 수 있도록 합니다.

계정: Guest 계정 상태 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용 안 함으로 구성됩니다.

계정: 콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한

이 정책 설정은 암호로 보호되지 않은 로컬 계정을 사용하여 실제 컴퓨터 콘솔 이외의 위치에서 로그온할 수 있는지 여부를 결정합니다. 이 정책 설정을 활성화하면 암호가 비어 있는 로컬 계정은 원격 클라이언트에서 네트워크에 로그온할 수 없으며 암호로 보호되지 않는 로컬 계정은 실제로 컴퓨터의 키보드를 통해서만 로그온할 수 있게 됩니다.

계정: 콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본값인 사용으로 구성됩니다.

감사 설정

표 4.13 보안 옵션: 감사 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

글로벌 시스템 개체에 대한 액세스 감사

사용 안 함

사용 안 함

사용 안 함

백업 및 복원 권한 사용을 감사

사용 안 함

사용 안 함

사용 안 함

보안 감사를 로그할 수 없는 경우 즉시 시스템 종료

사용 안 함

사용 안 함

사용

감사: 글로벌 시스템 개체에 대한 액세스 감사

이 정책 설정은 글로벌 시스템 개체에 대한 액세스를 감사합니다. 감사: 글로벌 시스템 개체에 대한 액세스 감사 설정과 개체 액세스 감사 감사 정책 설정이 모두 활성화되면 많은 양의 감사 이벤트가 생성됩니다.

감사: 글로벌 시스템 개체에 대한 액세스 감사 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본값인 사용 안 함으로 구성됩니다.

참고: 이 정책 설정의 구성에 대한 변경 내용은 Windows Server 2003을 다시 시작해야만 적용됩니다.

감사: 백업 및 복원 권한 사용을 감사

이 정책 설정은 권한 사용 감사 정책 설정이 유효할 때 백업 및 복원을 포함하는 모든 사용자 권한의 사용을 감사할지 여부를 결정합니다. 이 정책 설정을 활성화하면 많은 양의 보안 이벤트가 생성되어 서버 응답 속도가 느려지고 보안 로그에 별로 중요하지 않은 이벤트가 많이 기록될 수 있습니다.

따라서 감사: 백업 및 복원 권한 사용을 감사 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본값인 사용 안 함으로 구성됩니다.

참고: 이 정책 설정의 구성에 대한 변경 내용은 Windows Server 2003을 다시 시작해야만 적용됩니다.

감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료

이 정책 설정은 보안 이벤트를 기록할 수 없는 경우 시스템이 즉시 종료될지 여부를 결정합니다.

LC 및 EC 환경에서는 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 설정을 활성화하는 데 필요한 관리 오버헤드가 너무 많은 것으로 판명되었습니다. 따라서 이 정책 설정은 해당 환경의 기준 정책에서 사용 안 함으로 구성됩니다. 그러나 SSLF 환경의 기준 정책에서는 관리자가 특별히 선택하지 않은 경우 보안 로그에서 이벤트를 삭제하지 못하도록 하기 위해 추가로 요구되는 이 관리 오버헤드를 허용할 수 있으므로 이 정책 설정이 사용으로 구성됩니다.

장치 설정

표 4.14 보안 옵션: 장치 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

로그온할 필요 없이 도킹 해제 허용

사용 안 함

사용 안 함

사용 안 함

이동식 미디어 포맷 및 꺼내기 허용

Administrators

Administrators

Administrators

사용자가 프린터 드라이버를 설치할 수 없게 함

사용

사용

사용

로컬로 로그온한 사용자만이 CD-ROM에 액세스 가능

정의되지 않음

정의되지 않음

사용 안 함

로컬로 로그온한 사용자만이 플로피 드라이브에 액세스 가능

정의되지 않음

정의되지 않음

사용 안 함

서명되지 않은 드라이버 설치 동작

경고하면서 설치 허용함

경고하면서 설치 허용함

경고하면서 설치 허용함

장치: 로그온할 필요 없이 도킹 해제 허용

이 정책 설정은 사용자가 컴퓨터에 로그온할 필요 없이 이동식 컴퓨터의 도킹 해제를 허용할지 여부를 결정합니다. 로그온할 필요 없이 외부 하드웨어 꺼내기 단추를 사용하여 컴퓨터를 도킹 해제할 수 있도록 하려면 이 정책 설정을 활성화합니다. 이 정책 설정을 비활성화하면 로그온하지 않은 사용자에게 컴퓨터를 도킹 스테이션에서 제거 사용자 권한이 할당되어야 합니다.

장치: 로그온할 필요 없이 도킹 해제 허용 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용 안 함으로 구성됩니다.

장치: 이동식 미디어 포맷 및 꺼내기 허용

이 정책 설정은 이동식 미디어를 포맷 및 꺼낼 수 있는 권한을 부여합니다. 서버에서는 관리자만이 이동식 미디어를 꺼낼 수 있어야 합니다.

따라서 장치: 이동식 미디어 포맷 및 꺼내기 허용 설정의 권장 값은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본값인 Administrators입니다.

장치: 사용자가 프린터 드라이버를 설치할 수 없게 함

컴퓨터에서 네트워크 프린터로 인쇄하려면 컴퓨터에 해당 네트워크 프린터용 드라이버가 설치되어 있어야 합니다. 장치: 사용자가 프린터 드라이버를 설치할 수 없게 함 설정을 활성화하면 Administrators 또는 Power Users 그룹에 속하는 사용자나 Server Operator 권한이 있는 사용자만이 프린터 드라이버를 설치하여 네트워크 프린터를 추가할 수 있습니다. 이 정책 설정을 비활성화하면 모든 사용자가 프린터 드라이버를 설치할 수 있습니다.

장치: 사용자가 프린터 드라이버를 설치할 수 없게 함 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본값인 사용으로 구성됩니다.

장치: 로컬로 로그온한 사용자만이 CD-ROM에 액세스 가능

이 정책 설정은 로컬 및 원격 사용자가 동시에 CD-ROM에 액세스할 수 있는지 여부를 결정합니다. 이 정책 설정을 활성화하면 대화형으로 로그온한 사용자만 이동식 CD-ROM 미디어에 액세스할 수 있습니다. 이 정책 설정을 활성화했으나 대화형으로 로그온한 사용자가 없으면 네트워크를 통해 CD-ROM에 액세스할 수 있습니다.

장치: 로컬로 로그온한 사용자만이 CD-ROM에 액세스 가능 설정은 LC 및 EC 환경의 기준 정책에서 정의되지 않음으로 구성되고 SSLF 환경의 기준 정책에서는 사용 안 함으로 구성됩니다.

장치: 로컬로 로그온한 사용자만이 플로피 드라이브에 액세스 가능

이 정책 설정은 로컬 및 원격 사용자가 동시에 이동식 플로피 미디어에 액세스할 수 있는지 여부를 결정합니다. 이 정책 설정을 활성화하면 대화형으로 로그온한 사용자만 이동식 플로피 미디어에 액세스할 수 있습니다. 이 정책 설정을 활성화했으나 대화형으로 로그온한 사용자가 없으면 네트워크를 통해 플로피 미디어에 액세스할 수 있습니다.

장치: 로컬로 로그온한 사용자만이 플로피 드라이브에 액세스 가능 설정은 LC 및 EC 환경의 기준 정책에서 정의되지 않음으로 구성되고 SSLF 환경의 기준 정책에서는 사용 안 함으로 구성됩니다.

장치: 서명되지 않은 드라이버 설치 동작

이 정책 설정은 설치 API를 사용하여 WHQL(Windows Hardware Quality Lab)에서 승인하고 서명하지 않은 장치 드라이버를 설치하려고 할 때 일어나는 동작을 결정합니다. 구성 방식에 따라 이 정책 설정은 서명되지 않은 드라이버를 설치하지 못하도록 하거나, 서명되지 않은 드라이버를 설치하려고 했다는 경고를 관리자에게 보냅니다.

장치: 서명되지 않은 드라이버 설치 동작 설정은 Windows Server 2003 SP1에서 실행되도록 허용되지 않은 드라이버를 설치할 수 없게 하는 데 사용됩니다. 그러나 이 정책 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 경고하면서 설치 허용함으로 구성됩니다. 이 구성을 사용하면 서명되지 않은 드라이버를 설치할 때 자동 설치 스크립트에서 문제가 발생할 수 있습니다.

도메인 구성원 설정

표 4.15 보안 옵션: 도메인 구성원 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

보안 채널 데이터를 디지털 암호화 또는 서명(항상)

사용 안 함

사용

사용

보안 채널 데이터를 디지털 암호화(가능하면)

사용

사용

사용

보안 채널 데이터를 디지털 서명(가능하면)

사용

사용

사용

컴퓨터 계정 암호 변경 사용 안 함

사용 안 함

사용 안 함

사용 안 함

컴퓨터 계정 암호 최대 사용 기간

30일

30일

30일

고급 세션 키 요청(Windows 2000, Windows XP 또는 Windows Server 2003)

사용

사용

사용

도메인 구성원: 보안 채널 데이터를 디지털 암호화 또는 서명(항상)

이 정책 설정은 도메인 구성원이 시작한 모든 보안 채널 트래픽이 서명 또는 암호화될지 여부를 결정합니다. 컴퓨터가 보안 채널 데이터를 항상 암호화하거나 서명하도록 설정된 경우에는 모든 보안 채널 트래픽을 서명하거나 암호화할 수 없는 도메인 컨트롤러와의 보안 채널을 설정할 수 없습니다.

도메인 구성원: 보안 채널 데이터를 디지털 암호화 또는 서명(항상) 설정은 LC 환경의 기준 정책에서는 사용 안 함으로, EC 및 SSLF 환경에서는 사용으로 구성됩니다.

참고: 구성원 워크스테이션 및 서버에서 이 설정을 사용하려면 구성원의 도메인을 구성하는 모든 도메인 컨트롤러에서 Windows NT 4.0 SP6a 또는 최신 버전의 Windows 이상을 실행해야 합니다. 또한 Windows 98 Second Edition 클라이언트에서는 Dsclient가 설치되어 있지 않으면 이 정책 설정을 사용할 수 없습니다.

도메인 구성원: 보안 채널 데이터를 디지털 암호화(가능하면)

이 정책 설정은 도메인 구성원이 시작한 모든 보안 채널 트래픽에 대해 암호화를 협상할 수 있는지 여부를 결정합니다. 이 정책 설정을 활성화하면 도메인 구성원은 모든 보안 채널 트래픽에 대한 암호화를 요청하고, 이 정책 설정을 비활성화하면 도메인 구성원의 보안 채널 암호화 협상이 허용되지 않습니다.

따라서 도메인 구성원: 보안 채널 데이터를 디지털 암호화(가능하면) 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용으로 구성됩니다.

도메인 구성원: 보안 채널 데이터를 디지털 서명(가능하면)

이 정책 설정은 도메인 구성원이 시작한 모든 보안 채널 트래픽에 대해 서명을 협상할 수 있는지 여부를 결정합니다. 서명은 데이터를 캡처한 사람이 트래픽을 수정하지 못하도록 보호합니다.

도메인 구성원: 보안 채널 데이터를 디지털 서명(가능하면) 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용으로 구성됩니다.

도메인 구성원: 컴퓨터 계정 암호 변경 사용 안 함

이 정책 설정은 도메인 구성원이 컴퓨터 계정 암호를 주기적으로 변경할 수 있는지 여부를 결정합니다. 이 정책 설정을 활성화하면 도메인 구성원은 컴퓨터 계정 암호를 변경할 수 없고, 정책 설정을 비활성화하면 도메인 구성원은 도메인 구성원: 컴퓨터 계정 암호 최대 사용 기간 설정에 지정된 대로 컴퓨터 계정 암호를 변경할 수 있습니다. 이 설정의 기본값은 30일입니다.

컴퓨터에서 더 이상 계정 암호를 자동으로 변경할 수 없게 되면 공격자가 해당 컴퓨터의 도메인 계정 암호를 알아내기 쉽게 됩니다. 따라서 도메인 구성원: 컴퓨터 계정 암호 변경 사용 안 함 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용 안 함으로 구성됩니다.

도메인 구성원: 컴퓨터 계정 암호 최대 사용 기간

이 정책 설정은 컴퓨터 계정 암호의 최대 허용 가능 기간을 결정합니다. 이 설정은 Windows 2000을 실행하는 컴퓨터에도 적용되지만 이러한 컴퓨터에서 보안 구성 관리자 도구를 통해 이 설정을 사용할 수는 없습니다. 기본적으로 도메인 구성원은 도메인 암호를 30일마다 자동으로 변경합니다. 이 간격을 크게 늘리거나 컴퓨터에서 더 이상 암호를 변경하지 못하도록 간격을 0으로 설정하면 공격자가 컴퓨터 계정 중 하나 이상에 대해 암호 해독 공격을 실행할 시간이 더 많아지게 됩니다.

따라서 도메인 구성원: 컴퓨터 계정 암호 최대 사용 기간 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 30일로 구성됩니다.

도메인 구성원: 고급 세션 키 요청(Windows 2000 또는 그 이상)

이 정책 설정은 암호화된 보안 채널 데이터에 128비트 키 강도가 필요한지 여부를 결정합니다. 이 정책 설정을 활성화하면 128비트 암호화 보안 채널을 설정할 수 있고 이 정책 설정을 비활성화하면 도메인 구성원은 도메인 컨트롤러와 키 강도를 협상해야 합니다. Windows 2000에서 도메인 컨트롤러와 구성원 컴퓨터 사이에 보안 채널 통신을 구성하는 데 사용되는 세션 키는 이전의 Microsoft 운영 체제보다 훨씬 더 강력해졌습니다.

따라서 이 가이드에 설명된 세 가지 보안 환경은 Windows 2000 도메인 컨트롤러 이상을 포함하므로 도메인 구성원: 고급 세션 키 요청(Windows 2000 또는 그 이상) 설정이 세 가지 환경의 기준 정책에서 사용으로 구성됩니다.

참고: 이 정책 설정을 활성화하면 Windows 2000 실행 컴퓨터를 Windows NT 4.0 도메인에 가입할 수 없습니다.

대화형 로그온 설정

표 4.16 보안 옵션: 대화형 로그온 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

세션이 잠겨진 경우 사용자 정보 표시

정의되지 않음

정의되지 않음

사용자 표시 이름, 도메인 및 사용자 이름

마지막 사용자 이름 표시 안 함

사용

사용

사용

[CTRL+ALT+DEL]을 사용할 필요 없음

사용 안 함

사용 안 함

사용 안 함

로그온 시도하는 사용자에 대한 메시지 텍스트

(조직의 담당자에게 문의하십시오.)

(조직의 담당자에게 문의하십시오.)

(조직의 담당자에게 문의하십시오.)

로그온 시도하는 사용자에 대한 메시지 제목

(조직의 담당자에게 문의하십시오.)

(조직의 담당자에게 문의하십시오.)

(조직의 담당자에게 문의하십시오.)

캐시할 로그온의 횟수(도메인 컨트롤러가 사용 불가능할 경우)

1

0

0

암호 만료 전에 사용자에게 암호를 변경하도록 프롬프트

14일

14일

14일

워크스테이션 잠금 해제를 위해 도메인 컨트롤러 인증 필요

사용

사용

사용

스마트 카드 필요

정의되지 않음

정의되지 않음

사용 안 함

스마트 카드 제거 동작

정의되지 않음

워크스테이션 잠금

워크스테이션 잠금

대화형 로그온: 세션이 잠겨진 경우 사용자 정보 표시

이 정책 설정은 조직에서 클라이언트 컴퓨터에 로그온하는 마지막 사용자의 계정 이름을 각 컴퓨터의 해당 Windows 로그온 화면에 표시할지 여부를 결정합니다. 이 정책 설정을 활성화하면 침입자가 조직 내 데스크톱 또는 랩톱 컴퓨터의 화면에서 계정 이름을 볼 수 없습니다.

대화형 로그온: 세션이 잠겨진 경우 사용자 정보 표시 설정은 LC 및 EC 환경에서 정의되지 않음으로 구성되지만 SSLF 환경의 기준 서버 정책에서는 사용자 표시 이름 , 도메인 및 사용자 이름으로 구성됩니다.

대화형 로그온: 마지막 사용자 이름 표시 안 함

이 정책 설정은 컴퓨터에 마지막으로 로그온한 사용자의 이름을 Windows 로그온 화면에 표시할지 여부를 결정합니다. 이 정책 설정을 활성화하면 마지막으로 로그온한 사용자의 이름이 Windows 로그온 대화 상자에 표시되지 않습니다.

대화형 로그온: 마지막 사용자 이름 표시 안 함 설정은 이 가이드에 정의된 세 가지 환경의 기준 서버 정책에서 사용으로 구성됩니다.

대화형 로그온: [CTRL+ALT+DEL]을 사용할 필요 없음

이 정책 설정은 사용자가 Windows에 로그온하기 위해 먼저 Ctrl+Alt+Delete를 눌러야 하는지 여부를 결정합니다. 이 정책 설정을 비활성화하면 모든 사용자는 Windows 로그온을 위해 스마트 카드를 사용하지 않는 한, 먼저 Ctrl+Alt+Delete를 눌러야 합니다.

대화형 로그온: [CTRL+ALT+DEL]을 사용할 필요 없음 설정은 공격자가 트로이 목마 프로그램을 통해 사용자 암호를 가로챌 수 있는 가능성을 줄이기 위해 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용 안 함으로 구성됩니다.

대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트

이 정책 설정은 로그온 시 사용자에게 표시되는 텍스트 메시지를 지정합니다. 일반적으로 이 텍스트는 종종 법적인 이유로 사용됩니다. 예를 들어 사용자에게 회사 정보를 허가되지 않은 상태로 액세스하거나 올바르지 않은 용도로 사용할 경우 생기는 문제에 대해 경고하거나 사용자의 동작이 감사될 수 있음을 경고하기 위해 사용됩니다.

대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트 보안 옵션 설정은 권장됩니다. 이 텍스트의 내용은 조직의 담당자와 협의해서 결정해야 합니다.

참고: 대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목 설정이 모두 활성화되어야만 두 설정이 올바르게 작동합니다.

대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목

이 정책 설정은 사용자가 시스템에 로그온할 때 표시되는 대화형 로그온 대화 상자의 제목 표시줄에 표시할 제목을 지정할 수 있도록 합니다. 이 정책 설정을 사용하는 이유는 로그온 시도하는 사용자에 대한 메시지 텍스트 설정을 사용하는 이유와 같습니다.

따라서 대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목 설정도 권장됩니다. 이 텍스트의 내용은 조직의 담당자와 협의해서 결정해야 합니다.

참고: 대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목 설정이 모두 활성화되어야만 두 설정이 올바르게 작동합니다.

대화형 로그온: 캐시할 로그온의 횟수(도메인 컨트롤러가 사용 불가능할 경우)

이 정책 설정은 사용자가 캐시된 계정 정보를 사용하여 Windows 도메인에 로그온할 수 있는지 여부를 결정합니다. 도메인 계정에 대한 로그온 정보를 로컬로 캐시할 수 있기 때문에 다음에 로그온할 때 도메인 컨트롤러에 접속할 수 없어도 사용자는 계속 로그온할 수 있습니다. 이 기능이 있으면 워크스테이션이 도메인 컨트롤러에 접속하지 않으므로 사용자는 해당 계정이 비활성화되었거나 삭제된 후에도 로그온할 수 있습니다. 이 정책 설정은 로그온 정보를 로컬로 캐시할 수 있는 대상 사용자의 수를 결정합니다. 이 설정을 0으로 구성하면 로그온 캐시가 비활성화됩니다.

대화형 로그온: 캐시할 로그온의 횟수(도메인 컨트롤러가 사용 불가능할 경우) 설정은 EC 및 SSLF 환경의 기준 정책에서 0으로 구성되지만 LC 환경에서는 도메인 컨트롤러에 접속할 수 없을 때 유효한 클라이언트에 대한 액세스를 허용하기 위해 1로 구성됩니다.

대화형 로그온: 암호 만료 전에 사용자에게 암호를 변경하도록 프롬프트

이 정책 설정은 암호가 만료되기 몇 일 전에 사용자에게 경고할 것인지 결정합니다. 3장의 "계정 정책" 섹션에서는 사용자 암호가 주기적으로 만료되도록 구성할 것을 권장합니다. 암호가 만료되기 전에 사용자에게 알림을 보내지 않으면 사용자는 암호가 만료될 때까지도 이를 알지 못하므로 로컬 사용자는 암호를 바꾸는 일이 어렵다고 생각할 수 있습니다. 예기치 않은 만료가 발생해도 원격 사용자는 전화 접속 또는 VPN(가상 사설망) 연결을 통해 로그인할 수 없습니다.

따라서 대화형 로그온: 암호 만료 전에 사용자에게 암호를 변경하도록 프롬프트 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본 설정인 14일로 구성됩니다.

대화형 로그온: 워크스테이션 잠금 해제를 위해 도메인 컨트롤러 인증 필요

도메인 계정에 대해 이 정책 설정은 컴퓨터의 잠금을 해제하기 위해 도메인 컨트롤러에 접속해야 하는지 여부를 결정합니다. 이 정책 설정은 대화형 로그온: 캐시할 로그온의 횟수(도메인 컨트롤러가 사용 불가능할 경우) 설정과 비슷한 보안 문제를 다룹니다. 사용자는 서버의 네트워크 케이블을 끊고, 기존 암호를 사용하여 서버의 잠금을 해제하고, 인증 없이 서버의 잠금을 해제할 수 있습니다.

이러한 상황을 막기 위해 이 가이드에 정의된 세 가지 환경의 기준 정책에서 대화형 로그온: 워크스테이션 잠금 해제를 위해 도메인 컨트롤러 인증 필요 설정은 사용으로 구성됩니다.

중요: 이 정책 설정은 Windows 2000, Windows XP 및 Windows Server 2003 실행 컴퓨터에 적용되지만 Windows 2000 실행 컴퓨터의 보안 구성 관리 도구를 통해서는 사용할 수 없습니다.

대화형 로그온: 스마트 카드 필요

이 정책 설정을 지정하면 사용자는 스마트 카드를 가지고 컴퓨터에 로그온해야 합니다. 사용자에게 인증을 위해 길고 복잡한 암호를 요구하고 암호를 정기적으로 변경하도록 하면 보안이 향상됩니다. 이렇게 하면 공격자가 무단 공격을 통해 사용자의 암호를 추측하기 어렵게 됩니다. 그러나 사용자에게 강력한 암호를 선택하도록 하는 것은 어려운 일이며 강력한 암호라도 여전히 공격을 받기 쉽습니다.

인증을 위해 암호 대신 스마트 카드를 사용하도록 하면 현재의 기술로는 공격자가 다른 사용자를 가장하는 것이 거의 불가능하므로 보안을 크기 향상시킬 수 있습니다. PIN(개인 ID 번호)을 필요로 하는 스마트 카드의 경우 사용자는 스마트 카드를 소유해야 하며 해당 PIN을 알고 있어야 합니다. 사용자 컴퓨터와 도메인 컨트롤러 사이의 인증 트래픽을 캡처한 공격자가 트래픽을 해독하기는 극히 어려우며 트래픽을 해독하더라도 사용자가 네트워크에 다시 로그온할 때 사용자와 도메인 컨트롤러 사이의 트래픽을 암호화하기 위해 새 세션 키가 생성됩니다.

따라서 조직에서는 스마트 카드 또는 기타 강력한 인증 기술로 마이그레이션하는 것이 바람직합니다. 그러나 스마트 카드가 이미 배포된 경우에는 대화형 로그온: 스마트 카드 필요 설정만 활성화하면 됩니다. 따라서 이 정책 설정은 LC 및 EC 환경의 기준 정책에서는 정의되지 않음으로 구성되지만 SSLF 환경의 기준 정책에서는 사용 안 함으로 구성됩니다.

대화형 로그온: 스마트 카드 제거 동작

이 정책 설정은 로그온한 사용자의 스마트 카드가 스마트 카드 판독기에서 제거될 때 일어나는 동작을 결정합니다. 이 설정을 워크스테이션 잠금으로 구성하면 스마트 카드가 제거될 때 워크스테이션이 잠기므로 사용자는 스마트 카드를 가지고 자리를 떠나기만 하면 됩니다. 이 설정을 강제 로그오프로 구성하면 스마트 카드를 제거할 때 자동으로 로그오프됩니다.

대화형 로그온: 스마트 카드 제거 동작 설정은 LC 환경의 기준 정책에서는 정의되지 않음으로, EC 및 SSLF 환경에서는 워크스테이션 잠금으로 구성됩니다.

Microsoft 네트워크 클라이언트 설정

표 4.17 보안 옵션: Microsoft 네트워크 클라이언트 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

디지털 서명 통신(항상)

사용 안 함

사용

사용

디지털 서명 통신(서버에서 동의한 경우)

사용

사용

사용

타사 SMB 서버에 암호화되지 않은 암호를 보냄

사용 안 함

사용 안 함

사용 안 함

Microsoft 네트워크 클라이언트: 디지털 서명 통신(항상)

이 정책 설정은 SMB 클라이언트 구성 요소에 패킷 서명이 필요한지 여부를 결정합니다. 이 정책을 활성화하면 Microsoft 네트워크 클라이언트는 Microsoft 네트워크 서버가 SMB 패킷 서명을 수행할 것을 동의하지 않으면 서버와 통신할 수 없습니다. 레거시 클라이언트를 포함하는 혼합 환경에서는 레거시 클라이언트가 도메인 컨트롤러에 대해 인증하거나 액세스 권한을 얻을 수 없으므로 이 옵션을 사용 안 함으로 설정해야 합니다. 그러나 Windows 2000, Windows XP 및 Windows Server 2003이 실행되는 환경에서는 이 설정을 사용할 수 있습니다. 이 가이드에 정의된 EC 및 SSLF 환경은 이러한 운영 체제를 실행하며 디지털 서명을 지원하는 컴퓨터만 포함합니다.

따라서 이러한 환경에서 컴퓨터 간 통신 보안을 향상시키기 위해 EC 및 SSLF 환경의 기준 정책에서 Microsoft 네트워크 클라이언트: 디지털 서명 통신(항상) 설정은 사용으로 구성됩니다.

Microsoft 네트워크 클라이언트: 디지털 서명 통신(서버에서 동의한 경우)

이 정책 설정은 SMB 클라이언트가 SMB 패킷 서명을 협상할지 여부를 결정합니다. Windows 네트워크에서 디지털 서명을 구현하면 세션이 하이재킹되는 것을 방지할 수 있습니다. 이 정책 설정을 활성화하면 구성원 서버의 Microsoft 네트워크 클라이언트는 통신 중인 서버에서 디지털 서명 통신을 수락하는 경우에만 서명을 요청하게 됩니다.

Microsoft 네트워크 클라이언트: 디지털 서명 통신(서버에서 동의한 경우) 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용으로 구성됩니다.

Microsoft 네트워크 클라이언트: 타사 SMB 서버에 암호화되지 않은 암호를 보냄

이 정책 설정을 활성화하면 인증 도중 암호 암호화를 지원하지 않는 Microsoft 이외의 타사 SMB 서버에 SMB 리디렉터가 일반 텍스트 암호를 보낼 수 있습니다.

Microsoft 네트워크 클라이언트: 타사 SMB 서버에 암호화되지 않은 암호를 보냄 설정은 비밀 암호를 유지해야 하는 것보다 응용 프로그램의 요구 사항이 우선적인 경우가 아니면 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본값인 사용 안 함으로 구성됩니다.

Microsoft 네트워크 서버 설정

표 4.18 보안 옵션: Microsoft 네트워크 서버 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

세션 연결을 중단하기 전에 필요한 유휴 시간

15분

15분

15분

디지털 서명 통신(항상)

사용 안 함

사용

사용

디지털 서명 통신(클라이언트에서 동의한 경우)

사용

사용

사용

로그온 시간이 만료되면 클라이언트 연결 끊기

사용

사용

사용

Microsoft 네트워크 서버: 세션 연결을 중단하기 전에 필요한 유휴 시간

이 정책 설정은 SMB 세션이 비활동으로 인해 일시 중단되기 전까지 세션에서 경과되어야 하는 연속 유휴 시간을 결정합니다. 관리자는 이 정책 설정을 사용하여 컴퓨터가 비활성 SMB 세션을 중단하는 시점을 제어할 수 있습니다. 클라이언트 활동이 다시 시작되면 세션이 자동으로 다시 설정됩니다.

Microsoft 네트워크 서버: 세션 연결을 중단하기 전에 필요한 유휴 시간 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 15분으로 구성됩니다.

Microsoft 네트워크 서버: 디지털 서명 통신(항상)

이 정책 설정은 SMB 클라이언트와 더 통신할 수 있도록 허용하기 전에 SMB 클라이언트 구성 요소에서 패킷 서명을 필요로 하는지 여부를 결정합니다. Windows 2000 Server, Windows 2000 Professional, Windows Server 2003 및 Windows XP Professional에는 상호 인증을 지원하는 SMB 버전이 포함되어 있습니다. 따라서 세션 하이재킹을 시도하지 못하게 하고 메시지 인증을 지원함으로써 끼어들기 공격을 방지합니다. SMB 서명에서는 각 SMB 패킷에 디지털 서명을 포함시켜 클라이언트와 서버가 모두 확인하도록 함으로써 이 인증 방식을 제공합니다. 컴퓨터가 서명되지 않은 모든 SMB 통신을 무시하도록 구성된 경우 레거시 응용 프로그램 및 운영 체제에서는 연결할 수 없습니다. 모든 SMB 서명이 완전히 비활성화되면 컴퓨터는 통신 세션을 하이재킹하려는 공격을 받기 쉽습니다.

Microsoft 네트워크 서버: 디지털 서명 통신(항상) 설정은 LC 환경의 기준 정책에서는 사용 안 함으로, EC 및 SSLF 환경에서는 사용으로 구성됩니다.

Microsoft 네트워크 서버: 디지털 서명 통신(클라이언트에서 동의한 경우)

이 정책 설정은 SMB 서버가 SMB 패킷 서명을 요청한 클라이언트와 서명을 협상할지 여부를 결정합니다. Windows 2000 Server, Windows 2000 Professional, Windows Server 2003 및 Windows XP Professional에는 상호 인증을 지원하는 SMB 버전이 포함되어 있습니다. 따라서 세션 하이재킹을 시도하지 못하게 하고 메시지 인증을 지원함으로써 끼어들기 공격을 방지합니다. SMB 서명에서는 각 SMB 패킷에 디지털 서명을 포함시켜 클라이언트와 서버가 모두 확인하도록 함으로써 이 인증 방식을 제공합니다. 컴퓨터가 서명되지 않은 모든 SMB 통신을 무시하도록 구성된 경우 레거시 응용 프로그램 및 운영 체제에서는 연결할 수 없습니다. 모든 SMB 서명이 완전히 비활성화되면 컴퓨터는 통신 세션을 하이재킹하려는 공격을 받기 쉽습니다.

Microsoft 네트워크 서버: 디지털 서명 통신(클라이언트에서 동의한 경우) 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용으로 구성됩니다.

Microsoft 네트워크 서버: 로그온 시간이 만료되면 클라이언트 연결 끊기

이 정책 설정은 사용자 계정의 유효한 로그온 시간을 초과하여 네트워크 컴퓨터에 연결되어 있는 사용자의 연결을 끊을지 여부를 결정합니다. 이 정책 설정은 SMB 구성 요소에 영향을 미칩니다. 조직에서 사용자의 로그온 시간을 구성한 경우에는 이 정책 설정을 사용하는 것이 적절합니다. 그렇지 않으면 사용자는 로그온 시간이 아닐 때는 네트워크 리소스에 액세스할 수 없거나 허용된 시간 동안 설정된 세션에서 네트워크 리소스를 계속 사용할 수 있습니다.

Microsoft 네트워크 서버: 로그온 시간이 만료되면 클라이언트 연결 끊기 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용으로 구성됩니다.

네트워크 액세스 설정

표 4.19 보안 옵션: 네트워크 액세스 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

익명 SID/이름 변환 허용

정의되지 않음

정의되지 않음

사용 안 함

SAM 계정의 익명 열거 허용 안 함

사용

사용

사용

SAM 계정과 공유의 익명 열거 허용 안 함

사용

사용

사용

네트워크 인증에 대한 자격 증명의 저장소나 .NET Passport 허용 안 함

사용

사용

사용

Everyone 사용 권한을 익명 사용자에게 적용

사용 안 함

사용 안 함

사용 안 함

익명으로 액세스할 수 있는 명명된 파이프

정의되지 않음

정의되지 않음

COMNAP, COMNODE, SQL\QUERY, SPOOLSS, LLSRPC, netlogon, lsarpc, samr, browser

원격으로 액세스할 수 있는 레지스트리 경로

System\
Current
ControlSet\
Control\
Product Options

System\
Current
ControlSet\
Control\

Server
Applications

Software\
Microsoft\

Windows NT\
Current

Version

System\
Current
ControlSet\
Control\
Product Options

System\
Current
ControlSet\
Control\

Server
Applications

Software\
Microsoft\

Windows NT\
Current

Version

System\
Current
ControlSet\
Control\
Product
Options

System\
Current
ControlSet\
Control\

Server
Applications

Software\
Microsoft\

Windows NT\
Current

Version

원격으로 액세스할 수 있는 레지스트리 경로 및 하위 경로

설정 정보는 다음 하위 섹션을 참조하십시오.

설정 정보는 다음 하위 섹션을 참조하십시오.

설정 정보는 다음 하위 섹션을 참조하십시오.

명명된 파이프와 공유에 대한 익명 액세스 제한

사용

사용

사용

익명으로 액세스할 수 있는 공유

정의되지 않음

정의되지 않음

없음

로컬 계정에 대한 공유 및 보안

일반—로컬 사용자를 그대로 인증

일반—로컬 사용자를 그대로 인증

일반—로컬 사용자를 그대로 인증

네트워크 액세스: 익명 SID/이름 변환 허용

이 정책 설정은 익명 사용자가 다른 사용자의 SID 특성을 요청할 수 있는지 여부를 결정합니다. 이 정책 설정을 활성화하면 로컬 액세스 권한이 있는 사용자가 잘 알려진 Administrators SID를 사용하여 기본 제공 Administrator 이름의 실제 이름을 알아낼 수 있습니다. 이것은 해당 계정의 이름을 바꾼 경우에도 가능합니다. 그런 다음 해당 계정을 사용하여 암호 추측 공격을 시작할 수 있습니다.

네트워크 액세스: 익명 SID/이름 변환 허용 설정은 LC 및 EC 환경의 기준 정책에서는 정의되지 않음으로 구성되지만 SSLF 환경의 기준 정책에서는 사용 안 함으로 구성됩니다.

네트워크 액세스: SAM 계정의 익명 열거 허용 안 함

이 정책 설정은 컴퓨터에 익명으로 연결한 사용자에게 할당될 추가 사용 권한을 결정합니다. Windows에서는 익명 사용자가 도메인 계정 이름을 열거하는 등의 특정 작업을 수행할 수 있습니다. 예를 들어 이 기능은 서로 신뢰가 유지되지 않는 트러스트된 도메인의 사용자에게 관리자가 액세스 권한을 부여하려는 경우 편리하게 사용할 수 있습니다. 그러나 이 설정을 활성화한 경우에도 익명 사용자는 기본 제공된 특수 그룹 ANONYMOUS LOGON을 명시적으로 포함하는 사용 권한이 있는 모든 리소스에 계속해서 액세스할 수 있습니다.

네트워크 액세스: SAM 계정의 익명 열거 허용 안 함 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용으로 구성됩니다.

네트워크 액세스: SAM 계정과 공유의 익명 열거 허용 안 함

이 정책 설정은 SAM 계정과 공유의 익명 열거를 허용할지 여부를 결정합니다.

네트워크 액세스: SAM 계정과 공유의 익명 열거 허용 안 함 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용으로 구성됩니다.

네트워크 액세스: 네트워크 인증에 대한 자격 증명의 저장소나 .NET Passport 허용 안 함

이 정책 설정은 도메인 인증을 얻은 후 나중에 사용할 수 있도록 암호, 자격 증명 또는 Microsoft .NET Passports를 저장된 사용자 이름 및 암호 설정으로 저장할지 여부를 결정합니다.

네트워크 액세스: 네트워크 인증에 대한 자격 증명의 저장소나 .NET Passport 허용 안 함 설정은 이 가이드에 정의된 세 가지 보안 환경의 기준 정책에서 사용으로 구성됩니다.

참고: 이 정책 설정의 구성에 대한 변경 내용은 Windows를 다시 시작해야만 적용됩니다.

네트워크 액세스: Everyone 사용 권한을 익명 사용자에게 적용

이 정책 설정은 컴퓨터에 익명으로 연결한 사용자에게 할당될 추가 사용 권한을 결정합니다. 이 정책 설정을 활성화하면 Windows 익명 사용자는 도메인 계정 및 네트워크 공유 이름의 열거와 같은 작업을 수행할 수 있습니다. 권한이 없는 사용자는 익명으로 계정 이름 및 공유 리소스를 나열하고 이 정보를 사용하여 암호를 추측하거나 사회 공학적 공격을 수행할 수 있습니다.

따라서 네트워크 액세스: Everyone 사용 권한을 익명 사용자에게 적용 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용 안 함으로 구성됩니다.

참고: 이 정책 설정이 활성화된 도메인에서는 Windows NT 4.0 도메인 또는 도메인 컨트롤러와의 트러스트를 설정하거나 유지할 수 없습니다.

네트워크 액세스: 익명으로 액세스할 수 있는 명명된 파이프

이 정책 설정은 익명 액세스를 허용하는 특성 및 사용 권한을 갖게 될 통신 세션(명명된 파이프)을 결정합니다.

SSLF 환경에서는 네트워크 액세스: 익명으로 액세스할 수 있는 명명된 파이프 설정의 기본값을 적용해야 합니다. 기본값은 다음의 명명된 파이프로 구성됩니다.

  • COMNAP – SNA 세션 액세스

  • COMNODE – SNA 세션 액세스

  • SQL\QUERY – SQL 인스턴스 액세스

  • SPOOLSS – 스풀러 서비스

  • LLSRPC – 라이센스 로깅 서비스

  • Netlogon – Net Logon 서비스

  • Lsarpc – LSA 액세스

  • Samr – SAM 액세스

  • browser – 컴퓨터 브라우저 서비스

    중요: 이 정책 설정을 사용하도록 구성해야 하는 경우에는 사용 환경의 응용 프로그램을 지원하는 데 필요한 명명된 파이프만 추가해야 합니다. 이 가이드의 다른 권장 설정과 마찬가지로 이 정책 설정도 철저히 테스트한 후에 프로덕션 환경에 배포해야 합니다.

네트워크 액세스: 원격으로 액세스할 수 있는 레지스트리 경로

이 정책 설정은 네트워크를 통해 액세스할 수 있는 레지스트리 경로를 결정합니다.

네트워크 액세스: 원격으로 액세스할 수 있는 레지스트리 경로 설정은 이 가이드에 정의된 세 가지 환경의 기준 보안 템플릿에서 해당 기본값으로 구성됩니다.

참고: 이 정책 설정을 구성한 경우에도 권한 있는 사용자가 네트워크를 통해 레지스트리에 액세스하려면 먼저 원격 레지스트리 시스템 서비스를 시작해야 합니다.

네트워크 액세스: 원격으로 액세스할 수 있는 레지스트리 경로 및 하위 경로

이 정책 설정은 네트워크를 통해 액세스할 수 있는 레지스트리 경로와 하위 경로를 결정합니다.

이 가이드에 정의된 세 가지 보안 환경의 기준 보안 템플릿에서는 네트워크 액세스: 원격으로 액세스할 수 있는 레지스트리 경로 및 하위 경로 설정의 기본값이 적용됩니다. 기본값은 다음의 경로 및 하위 경로로 구성됩니다.

  • System\CurrentControlSet\Control\Print\Printers

  • System\CurrentControlSet\Services\Eventlog

  • Software\Microsoft\OLAP Server

  • Software\Microsoft\Windows NT\CurrentVersion\Print

  • Software\Microsoft\Windows NT\CurrentVersion\Windows

  • System\CurrentControlSet\Control\ContentIndex

  • System\CurrentControlSet\Control\Terminal Server

  • System\CurrentControlSet\Control\Terminal Server\UserConfig

  • System\CurrentControlSet\Control\Terminal Server\DefaultUserConfiguration

  • Software\Microsoft\Windows NT\CurrentVersion\Perflib

  • System\CurrentControlSet\Services\SysmonLog

네트워크 액세스: 명명된 파이프와 공유에 대한 익명 액세스 제한

이 정책 설정은 다음 설정에서 공유 및 명명된 파이프에 대한 익명 액세스를 제한하는 데 사용됩니다.

  • 네트워크 액세스: 익명으로 액세스할 수 있는 명명된 파이프

  • 네트워크 액세스: 익명으로 액세스할 수 있는 공유

네트워크 액세스: 명명된 파이프와 공유에 대한 익명 액세스 제한 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본 설정인 사용으로 구성됩니다.

네트워크 액세스: 익명으로 액세스할 수 있는 공유

이 정책 설정은 익명 사용자가 액세스할 수 있는 네트워크 공유를 결정합니다. 모든 사용자는 서버의 공유 리소스에 액세스하기 전에 인증을 받아야 하므로 이 설정의 기본 구성을 사용할 경우에는 영향이 거의 없습니다.

네트워크 액세스: 익명으로 액세스할 수 있는 공유 설정은 LC 및 EC 환경에서는 정의되지 않음으로, SSLF 환경에서는 없음으로 구성됩니다.

참고: 이 정책 설정을 사용할 경우에는 모든 네트워크 사용자가 나열된 공유에 액세스할 수 있으므로 매우 위험합니다. 이 정책 설정이 활성화되면 중요한 데이터가 노출되거나 손상될 수 있습니다.

네트워크 액세스: 로컬 계정에 대한 공유 및 보안

이 정책 설정은 로컬 계정을 사용한 네트워크 로그온이 인증되는 방식을 결정합니다. 일반 구성을 사용하면 리소스에 대한 액세스를 세밀하게 제어할 수 있으며 같은 리소스에 대해 각기 다른 사용자에게 서로 다른 유형의 액세스 권한을 부여할 수 있습니다. 게스트 전용 설정을 사용하면 모든 사용자를 동일하게 처리할 수 있습니다. 이 경우 모든 사용자가 게스트 전용으로 인증되어 주어진 리소스에 대해 동일한 수준의 액세스 권한을 부여 받습니다.

네트워크 액세스: 로컬 계정에 대한 공유 및 보안 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본 구성인 일반으로 구성됩니다.

네트워크 보안 설정

표 4.20 보안 옵션: 네트워크 보안 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

다음 암호 변경 시 Lan Manager 해시 값 저장 안 함

사용

사용

사용

LAN Manager 인증 수준

NTLMv2 응답만 보냄

NTLMv2 응답만 보냄\LM 거부

NTLMv2 응답만 보냄\LM & NTLM 거부

LDAP 클라이언트 서명 필요

서명 협상

서명 협상

서명 협상

NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 클라이언트

최소 없음

모든 설정 사용

모든 설정 사용

NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 서버

최소 없음

모든 설정 사용

모든 설정 사용

네트워크 보안: 다음 암호 변경 시 Lan Manager 해시 값 저장 안 함

이 정책 설정은 암호가 변경될 때 새 암호에 대한 LM(LAN Manager) 해시 값을 저장할지 여부를 결정합니다. LM 해시는 비교적 약하며 암호화된 강력한 Windows NT 해시와 비교할 때 공격받기 쉽습니다.

이러한 이유로 네트워크 보안: 다음 암호 변경 시 Lan Manager 해시 값 저장 안 함 설정은 이 가이드에 정의된 세 가지 보안 환경의 기준 정책에서 사용으로 구성됩니다.

참고: 이 정책 설정을 사용하는 경우 아주 오래된 이전 운영 체제 및 응용 프로그램이 실패할 수도 있습니다. 또한 이 정책 설정을 활성화한 후에는 모든 계정의 암호를 변경해야 합니다.

네트워크 보안: LAN Manager 인증 수준

이 정책 설정은 네트워크 로그온에 사용할 Challenge/Response 인증 프로토콜을 결정합니다. 이 옵션은 다음과 같이 클라이언트 컴퓨터가 사용하는 인증 프로토콜의 수준, 협상되는 보안 수준 및 서버에서 받아들이는 인증 수준에 영향을 줍니다. 다음 표의 값은 LMCompatibilityLevel 레지스트리 값의 실제 설정입니다.

표 4.21 LMCompatibilityLevel 레지스트리 값 설정

프로토콜

0

클라이언트가 LAN Manager 및 NTLM 인증을 사용하고 NTLMv2 세션 보안은 사용하지 않습니다.

1

클라이언트가 LAN Manager 및 NTLM 인증을 사용하며 서버에서 지원하는 경우 NTLMv2 세션 보안을 사용합니다.

2

클라이언트가 NTLM 인증만 사용하고 서버에서 지원하는 경우 NTLMv2 세션 보안을 사용합니다.

3

클라이언트가 NTLMv2 인증만 사용하고 서버에서 지원할 경우에는 NTLMv2 세션 보안을 사용합니다.

4

클라이언트가 NTLM 인증만 사용하고 서버에서 지원하는 경우 NTLMv2 세션 보안을 사용합니다. 도메인 컨트롤러는 LAN Manager 인증을 거부합니다.

5

클라이언트가 NTLMv2 인증만 사용하고 서버에서 지원할 경우에는 NTLMv2 세션 보안을 사용합니다. 도메인 컨트롤러는 LAN Manager 및 NTLM 인증을 거부하고 NTLMv2만 수락합니다.


이 정책 설정은 다음 지침에 따라 사용 환경에서 허용하는 최고 수준으로 구성해야 합니다.

Windows NT 4.0 SP4, Windows 2000 및 Windows XP Professional만 포함되는 환경에서는 모든 클라이언트에서 이 정책 설정을 NTLMv2 응답만 보냄\LM & NTLM 거부로 구성한 후 모든 클라이언트가 구성된 후에 모든 서버에서 NTLMv2 응답만 보냄\LM & NTLM 거부로 구성합니다. 이 구성 설정이 NTLMv2 응답만 보냄\LM 거부보다 높게 설정되어 있으면 올바르게 작동하지 않는 Windows Server 2003 라우팅 및 원격 액세스 서버의 경우에는 이 권장 사항이 적용되지 않습니다.

EC 환경은 라우팅 및 원격 액세스 서버를 지원해야 하므로 이 환경의 네트워크 보안: LAN Manager 인증 수준 설정이 기준 정책에서 NTLMv2 응답만 보냄\LM 거부로 구성됩니다. 라우팅 및 원격 액세스 서버가 SSLF 환경에서는 지원되지 않으므로 이 환경의 정책 설정은 NTLMv2 응답만 보냄\LM & NTLM 거부로 구성됩니다.

DSClient를 설치할 수 있는 Windows 9x 클라이언트가 있는 경우 Windows NT(Windows NT, Windows 2000 및 Windows XP Professional)가 실행되는 컴퓨터에서 이 정책 설정을 NTLMv2 응답만 보냄\LM & NTLM 거부로 구성합니다. 그렇지 않은 경우에는 Windows 9x를 실행하지 않는 컴퓨터의 기준 정책에서 이 정책 설정을 NTLMv2 응답만 보냄보다 높지 않게 구성된 상태로 두어야 하며 LC 환경에서는 이와 같은 방식을 따라야 합니다.

이 설정을 사용할 때 문제가 발생하는 응용 프로그램이 발견되면 정책 설정을 한 번에 한 단계씩 롤백하여 문제를 찾습니다. 모든 컴퓨터의 기준 정책에서 이 정책 설정을 최소한 LM & NTLM – NTLMv2 세션 보안 사용(협상된 경우)로 구성해야 합니다. 일반적으로 작업 환경의 모든 컴퓨터에서 이 정책 설정을 NTLMv2 응답만 보냄으로 구성할 수 있습니다.

네트워크 보안: LDAP 클라이언트 서명 필요

이 정책 설정은 LDAP BIND 요청을 실행하는 클라이언트에 대해 요구되는 데이터 서명 수준을 결정합니다. 서명되지 않은 네트워크 트래픽은 끼어들기 공격을 받기 쉽습니다. LDAP 서버에서는 공격자가 LDAP 클라이언트의 잘못된 쿼리를 기준으로 서버에서 의사 결정을 내리도록 만들 수 있습니다.

따라서 네트워크 보안: LDAP 클라이언트 서명 필요 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 서명 협상으로 구성됩니다.

네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 클라이언트

이 정책 설정을 사용하면 클라이언트가 메시지 기밀성(암호화), 메시지 서명, 128비트 암호화 또는 NTLMv2 세션 보안의 협상을 요구할 수 있습니다. 이 정책 설정은 네트워크의 응용 프로그램이 완전히 기능할 수 있도록 유지하면서 가능하면 높게 구성합니다. 이 정책 설정을 적절히 구성하면 NTLM SSP 기반 서버의 네트워크 트래픽을 끼어들기 공격으로부터 보호하고 데이터의 노출을 방지할 수 있습니다.

네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 클라이언트 설정은 LC 환경의 기준 정책에서 최소 없음으로 구성됩니다. EC 및 SSLF 환경에서는 모든 설정이 활성화됩니다.

네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 서버

이 정책 설정을 사용하면 서버가 메시지 기밀성(암호화), 메시지 무결성, 128비트 암호화 또는 NTLMv2 세션 보안의 협상을 요구할 수 있습니다. 이 정책 설정은 네트워크의 응용 프로그램이 완전히 기능할 수 있도록 유지하면서 가능하면 높게 구성합니다. 이전 정책 설정과 마찬가지로 이 정책 설정을 적절히 구성하면 NTLM SSP 기반 클라이언트의 네트워크 트래픽을 끼어들기 공격으로부터 보호하고 데이터의 노출을 방지할 수 있습니다.

네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 서버 보안 옵션 설정은 LC 환경의 기준 정책에서 최소 없음으로 구성됩니다. EC 및 SSLF 환경에서는 모든 설정이 활성화됩니다.

복구 콘솔 설정

표 4.22 보안 옵션: 복구 콘솔 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

자동 관리 로그온 허용

사용 안 함

사용 안 함

사용 안 함

모든 드라이브 및 폴더에 플로피 복사 및 액세스 허용

사용

사용

사용 안 함

복구 콘솔: 자동 관리 로그온 허용

이 정책 설정은 시스템에 대한 액세스 권한을 부여하기 전에 Administrator 계정의 암호를 제공해야 하는지 여부를 결정합니다. 이 정책 설정을 활성화할 경우 복구 콘솔에서는 암호를 제공하라고 요구하지 않고 자동으로 컴퓨터에 로그온합니다. 복구 콘솔은 시작 문제가 있는 컴퓨터에서 작업해야 할 때 특히 유용할 수 있습니다. 그러나 이 설정을 활성화하면 모든 사람이 서버에 액세스하고, 전원 연결을 끊어 서버를 종료하고, 서버를 다시 시작하고, 다시 시작 메뉴에서 복구 콘솔을 선택한 다음 서버에 대한 모든 제어 권한을 얻을 수 있으므로 문제가 될 수 있습니다.

따라서 복구 콘솔: 자동 관리 로그온 허용 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본 설정인 사용 안 함으로 구성됩니다. 이 설정을 사용하지 않도록 구성한 경우 복구 콘솔을 사용하려면 사용자 이름과 암호를 입력하여 복구 콘솔 계정에 액세스해야 합니다.

복구 콘솔: 모든 드라이브 및 폴더에 플로피 복사 및 액세스 허용

복구 콘솔 SET 명령을 사용할 수 있게 하여 다음과 같은 복구 콘솔 환경 변수를 설정할 수 있도록 하려면 이 정책 설정을 활성화합니다.

  • AllowWildCards. DEL 명령 등의 일부 명령에 대해 와일드카드를 지원합니다.

  • AllowAllPaths. 컴퓨터의 모든 파일 및 폴더에 대한 액세스를 허용합니다.

  • AllowRemovableMedia. 플로피 디스크 등의 이동식 미디어로 파일을 복사할 수 있습니다.

  • NoCopyPrompt. 기존 파일을 덮어쓸 때 확인 메시지를 표시하지 않습니다.

최대한의 보안을 위해 복구 콘솔: 모든 드라이브 및 폴더에 플로피 복사 및 액세스 허용 설정은 SSLF 환경의 기준 정책에서 사용 안 함으로 구성됩니다. 그러나 LC 및 EC 환경에서는 사용으로 구성됩니다.

시스템 종료 설정

표 4.23 보안 옵션: 시스템 종료 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

로그온하지 않고 시스템 종료 허용

사용 안 함

사용 안 함

사용 안 함

가상 메모리 페이지 파일 지움

사용 안 함

사용 안 함

사용 안 함

시스템 종료: 로그온하지 않고 시스템 종료 허용

이 정책 설정은 사용자가 Windows 운영 체제에 로그온하지 않은 상태로 컴퓨터를 종료할 수 있는지 여부를 결정합니다. 콘솔에 액세스할 수 있는 사용자는 시스템을 종료할 수 있습니다. 이 옵션을 사용하면 공격자나 실수로 액세스한 사용자가 ID 확인 과정 없이도 터미널 서비스를 통해 서버에 연결한 다음 시스템을 종료하거나 다시 시작할 수 있습니다.

따라서 시스템 종료: 로그온하지 않고 시스템 종료 허용 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본 설정인 사용 안 함으로 구성됩니다.

시스템 종료: 가상 메모리 페이지 파일 지움

이 정책 설정은 시스템이 종료될 때 가상 메모리 페이지 파일을 지울지 여부를 결정합니다. 이 정책 설정을 활성화하면 시스템이 완전히 종료될 때마다 시스템 페이지 파일이 지워집니다. 휴대용 컴퓨터에서 최대 절전 모드가 사용되지 않도록 구성되어 있을 때 이 정책 설정을 활성화하면 최대 절전 모드 파일(Hiberfil.sys)도 지워집니다. 서버를 종료하고 다시 시작하는 시간이 길어질 수 있습니다. 특히 페이징 파일 크기가 큰 서버에서는 이 시간이 매우 길어집니다.

이러한 이유로 이 가이드에 정의된 세 가지 환경에서 시스템 종료: 가상 메모리 페이지 파일 지움 설정은 사용 안 함으로 구성됩니다.

참고: 서버에 물리적으로 액세스한 공격자는 서버의 전원 플러그를 빼기만 하면 이 보안 대책을 피할 수 있습니다.

시스템 암호화 설정

표 4.24 보안 옵션: 시스템 암호화 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

컴퓨터에 저장된 사용자 키에 대해 강력한 키 보호 사용

키를 처음 사용할 때 사용자에 질문

키를 처음 사용할 때 사용자에 질문

키를 사용할 때마다 암호를 매 번 입력해야 함

암호화, 해시, 서명에 FIPS 호환 알고리즘 사용

사용 안 함

사용 안 함

사용

시스템 암호화: 컴퓨터에 저장된 사용자 키에 대해 강력한 키 보호 사용

이 정책 설정은 사용자 개인 키(예: S-MIME 키)에 암호를 사용해야 하는지 여부를 결정합니다. 사용자가 키를 사용할 때마다 도메인 암호와는 다른 암호를 제공하도록 이 정책 설정을 구성하면 공격자가 로그온 암호를 알아내더라도 로컬로 저장된 키에 액세스하기 더욱 어려워집니다.

LC 및 EC 환경의 사용 편리성 요구를 충족하기 위해 기준 정책에서 시스템 암호화: 컴퓨터에 저장된 사용자 키에 대해 강력한 키 보호 사용 설정이 키를 처음 사용할 때 사용자에 질문으로 구성됩니다. 보안 강화를 위해 SSLF 환경에서는 이 정책 설정이 키를 사용할 때마다 암호를 매 번 입력해야 함으로 구성됩니다.

시스템 암호화: 암호화, 해시, 서명에 FIPS 호환 알고리즘 사용

이 정책 설정은 TLS/SSL(Transport Layer Security/Secure Sockets Layer) 보안 공급자가 TLS_RSA_WITH_3DES_EDE_CBC_SHA 암호 모음만 지원할지 여부를 결정합니다. 이 정책 설정을 사용하면 보안을 향상되지만 TLS 또는 SSL로 보안이 설정된 대부분의 공용 웹 사이트에서는 이러한 알고리즘을 지원하지 않습니다. 또한 많은 클라이언트 컴퓨터는 이러한 알고리즘을 지원하도록 구성되지 않습니다.

이러한 이유로 엔터프라이즈 클라이언트 환경에서 시스템 암호화: 암호화 , 해시 , 서명에 FIPS 호환 알고리즘 사용 설정은 LC 및 EC 환경의 기준 정책에서 사용 안 함으로 구성되며 SSLF 환경에서는 사용으로 구성됩니다.

시스템 개체 설정

표 4.25 보안 옵션: 시스템 개체 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

Administrators 그룹의 구성원에 의해 작성된 개체에 대한 기본 소유자

개체 작성자

개체 작성자

개체 작성자

비 Windows 하위 시스템에 대한 대/소문자 구분 사용 안 함 필요

사용

사용

사용

내부 시스템 개체(예: 심볼 링크)에 대한 기본 사용 권한을 강화

사용

사용

사용

시스템 개체: Administrators 그룹의 구성원에 의해 작성된 개체에 대한 기본 소유자

이 정책 설정은 새로 만든 시스템 개체의 기본 소유자가 Administrators 그룹인지 또는 개체 작성자인지 결정합니다. 시스템 개체를 만들 때 소유권은 보다 일반적인 Administrators 그룹 대신 개체를 만든 계정을 반영합니다.

시스템 개체: Administrators 그룹의 구성원에 의해 작성된 개체에 대한 기본 소유자 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 개체 작성자로 구성됩니다.

시스템 개체: 비 Windows 하위 시스템에 대한 대/소문자 구분 사용 안 함 필요

이 정책 설정은 모든 하위 시스템에 대해 대/소문자를 구분하지 않도록 지정할지 여부를 결정합니다. Microsoft Win32® 하위 시스템은 대/소문자를 구분하지 않습니다. 그러나 POSIX(Portable Operating System Interface for UNIX) 등의 다른 하위 시스템에 대해서는 커널이 대/소문자 구분을 지원합니다. Windows는 대/소문자를 구분하지 않지만 POSIX 하위 시스템은 대/소문자 구분을 지원하므로 이 정책 설정을 적용하지 않으면 POSIX 사용자가 파일 레이블에 대/소문자를 함께 사용하여 다른 파일과 이름이 같은 파일을 만들 수 있게 됩니다. 이 경우 단 하나의 파일만 사용할 수 있으므로 다른 사용자는 일반적인 Win32 도구를 사용하여 해당 파일에 액세스할 수 없게 됩니다.

파일 이름의 일관성을 보장하기 위해 시스템 개체: 비 Windows 하위 시스템에 대한 대/소문자 구분 사용 안 함 필요 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 사용으로 구성됩니다.

시스템 개체: 내부 시스템 개체(예: 심볼 링크)에 대한 기본 사용 권한을 강화

이 정책 설정은 개체에 대한 기본 DACL(임의 액세스 제어 목록)의 강도를 결정하며 프로세스 간에 보안 개체를 찾아 공유하기 쉽게 해줍니다. DACL을 강화하려면 기본값인 사용을 지정하여 관리자 이외의 사용자가 공유 개체를 읽을 수 있지만 직접 만들지 않은 개체를 수정할 수는 없도록 합니다.

시스템 개체: 내부 시스템 개체(예: 심볼 링크)에 대한 기본 사용 권한을 강화 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본값인 사용으로 구성됩니다.

시스템 설정

표 4.26 보안 옵션: 시스템 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

시스템 설정: 하위 시스템(옵션)

없음

없음

없음

시스템 설정: 소프트웨어 제한 정책에 대한 Windows 실행 파일에서 인증서 규칙 사용

정의되지 않음

사용 안 함

사용

시스템 설정: 하위 시스템(옵션)

이 정책 설정은 사용 환경의 응용 프로그램을 지원하는 데 사용되는 하위 시스템을 결정합니다. Windows Server 2003에서 이 설정의 기본값은 POSIX입니다.

POSIX 하위 시스템을 비활성화하기 위해 이 가이드에 정의된 세 가지 환경의 기준 정책에서 시스템 설정: 하위 시스템(옵션) 설정이 없음으로 구성됩니다.

시스템 설정: 소프트웨어 제한 정책에 대한 Windows 실행 파일에서 인증서 규칙 사용

이 정책 설정은 소프트웨어 제한 정책이 활성화된 상태에서 사용자나 프로세스가 .exe 확장명이 있는 소프트웨어를 실행할 때 디지털 인증서가 처리되는지 여부를 결정합니다. 이 정책 설정은 일종의 소프트웨어 제한 정책 규칙인 인증서 규칙을 사용하거나 사용하지 않는 데 사용합니다. 소프트웨어 제한 정책을 사용하면 Authenticode®에서 서명한 소프트웨어의 실행을 허용하거나 거부하는 인증서 규칙을 이 소프트웨어와 연결된 디지털 인증서를 기반으로 만들 수 있습니다. 소프트웨어 제한 정책에서 인증서 규칙을 적용하려면 이 정책 설정을 활성화해야 합니다.

시스템 설정: 소프트웨어 제한 정책에 대한 Windows 실행 파일에서 인증서 규칙 사용 설정은 SSLF 환경에서 사용으로 구성되지만 성능에 영향을 미칠 수 있으므로 EC 환경에서는 사용 안 함으로, LC 환경에서는 정의되지 않음으로 구성됩니다.

이벤트 로그

이벤트 로그는 시스템에 대한 이벤트를 기록하고 보안 로그는 감사 이벤트를 기록합니다. 그룹 정책의 이벤트 로그 컨테이너는 최대 로그 크기, 각 로그에 대한 액세스 권한, 보존 설정 및 방법과 같이 응용 프로그램, 보안 및 시스템 이벤트 로그의 특성을 정의하는 데 사용됩니다. 응용 프로그램, 보안 및 시스템 이벤트 로그 설정은 MSBP에서 구성되며 도메인의 모든 구성원 서버에 적용됩니다.

그룹 정책 개체 편집기 내의 다음 위치에서 Windows Server 2003 SP1의 이벤트 로그 설정을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\이벤트 로그

이 섹션에서는 이 가이드에 정의된 세 가지 환경에 대해 지정된 MSBP 이벤트 로그 설정을 자세히 설명합니다. 이 섹션에 나오는 규정된 설정은 이 가이드의 다운로드 가능 버전에 포함되어 있는 Microsoft Excel 통합 문서 "Windows Server 2003 보안 가이드 설정"에 요약되어 있습니다. 기본 구성 및 각 설정에 대한 자세한 설명은 관련 가이드인 위협 및 대책 - Windows Server 2003 및 Windows XP의 보안 설정을 참조하십시오. 이 가이드는 http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch01.mspx 사이트에서 다운로드할 수 있습니다.

다음 표에는 이 가이드에 정의된 세 가지 환경에 대한 이벤트 로그 설정 권장 사항이 요약되어 있습니다. 표 다음에 나오는 하위 섹션에서 각 설정에 대한 추가 정보가 제공됩니다.

표 4.27 이벤트 로그 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

응용 프로그램 로그 최대 크기

16,384KB

16,384KB

16,384KB

보안 로그 최대 크기

81,920KB

81,920KB

81,920KB

시스템 로그 최대 크기

16,384KB

16,384KB

16,384KB

응용 프로그램 로그에 로컬 Guest 그룹 액세스 제한

사용

사용

사용

보안 로그에 로컬 Guest 그룹 액세스 제한

사용

사용

사용

시스템 로그에 로컬 Guest 그룹 액세스 제한

사용

사용

사용

응용 프로그램 로그 보관 방법

필요하면

필요하면

필요하면

보안 로그 보존 방법

필요하면

필요하면

필요하면

시스템 로그 보관 방법

필요하면

필요하면

필요하면

응용 프로그램 로그 최대 크기

이 정책 설정은 응용 프로그램 이벤트 로그의 최대 크기를 지정합니다. 이 로그의 최대 용량은 4GB입니다. 그러나 메모리가 조각화되어 성능이 느려지고 이벤트 로깅의 신뢰도가 떨어지므로 최대 크기가 권장되지는 않습니다. 응용 프로그램 로그 크기에 대한 요구 사항은 플랫폼의 기능과 응용 프로그램 관련 이벤트의 기록 레코드에 필요한 사항에 따라 달라집니다.

응용 프로그램 로그 최대 크기 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본값인 16 , 384KB로 구성됩니다.

보안 로그 최대 크기

이 정책 설정은 보안 이벤트 로그의 최대 크기를 지정합니다. 이 로그의 최대 용량은 4GB입니다. 도메인 컨트롤러 및 독립 실행형 서버에서 보안 로그를 80MB 이상으로 구성할 때는 감사를 수행하기에 충분한 정보를 적절하게 저장해야 합니다. 다른 컴퓨터에 대해 이 정책 설정을 구성하는 방법은 로그를 검토하는 빈도, 사용 가능한 디스크 공간 등의 요인에 따라 좌우됩니다.

보안 로그 최대 크기 보안 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 81 , 920KB로 구성됩니다.

시스템 로그 최대 크기

이 정책 설정은 시스템 이벤트 로그의 최대 크기를 지정합니다. 이 로그의 최대 용량은 4GB입니다. 그러나 메모리가 조각화되어 성능이 느려지고 이벤트 로깅의 신뢰도가 떨어지므로 최대 크기가 권장되지는 않습니다. 시스템 로그 크기에 대한 요구 사항은 플랫폼의 기능과 기록 레코드에 필요한 사항에 따라 달라집니다.

시스템 로그 최대 크기 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 기본값인 16 , 384KB로 구성됩니다.

응용 프로그램 로그에 로컬 Guest 그룹 액세스 제한

이 정책 설정은 게스트 사용자의 응용 프로그램 이벤트 로그 액세스가 거부되는지 여부를 결정합니다. 기본적으로 Windows Server 2003 SP1에서는 모든 시스템에 대해 게스트 액세스가 금지되어 있습니다. 따라서 기본 구성이 지정된 컴퓨터에서는 이 정책 설정이 실질적인 영향을 미치지 않습니다.

그러나 이 구성은 부작용이 없는 완전 방어 대책으로 간주되므로 이 가이드에 정의된 세 가지 환경의 기준 정책에서는 응용 프로그램 로그에 로컬 Guest 그룹 액세스 제한 설정이 사용으로 구성됩니다.

참고: 이 설정은 로컬 컴퓨터 정책 개체에는 나타나지 않습니다.

보안 로그에 로컬 Guest 그룹 액세스 제한

이 정책 설정은 게스트 사용자의 보안 이벤트 로그 액세스가 제한되는지 여부를 결정합니다. 사용자는 이 가이드에 정의되지 않은 감사 및 보안 로그 관리 사용자 권한이 있어야만 보안 로그에 액세스할 수 있습니다. 따라서 기본 구성이 지정된 컴퓨터에서는 이 정책 설정이 실질적인 영향을 미치지 않습니다.

그러나 이 구성은 부작용이 없는 완전 방어 대책으로 간주되므로 이 가이드에 정의된 세 가지 환경의 기준 정책에서는 보안 로그에 로컬 Guest 그룹 액세스 제한 설정이 사용으로 구성됩니다.

참고: 이 설정은 로컬 컴퓨터 정책 개체에는 나타나지 않습니다.

시스템 로그에 로컬 Guest 그룹 액세스 제한

이 정책 설정은 게스트 사용자의 시스템 이벤트 로그 액세스가 제한되는지 여부를 결정합니다. 기본적으로 Windows Server 2003 SP1에서는 모든 시스템에 대해 게스트 액세스가 금지되어 있습니다. 따라서 기본 구성이 지정된 컴퓨터에서는 이 정책 설정이 실질적인 영향을 미치지 않습니다.

그러나 이 구성은 부작용이 없는 완전 방어 설정으로 간주되므로 이 가이드에 정의된 세 가지 환경의 기준 정책에서는 시스템 로그에 로컬 Guest 그룹 액세스 제한 설정이 사용으로 구성됩니다.

참고: 이 설정은 로컬 컴퓨터 정책 개체에는 나타나지 않습니다.

응용 프로그램 로그 보관 방법

이 정책 설정은 응용 프로그램 로그에 대한 "래핑" 방법을 결정합니다. 문제를 설명하거나 해결하는 데 기록 이벤트가 적합한 경우 응용 프로그램 로그를 정기적으로 보관해야 합니다. 이 구성을 사용하면 기록 데이터가 손실될 수 있지만 필요한 경우에만 이벤트가 덮어쓰여지면 로그에는 항상 최신 항목이 저장됩니다.

응용 프로그램 로그 보관 방법 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 필요하면으로 구성됩니다.

보안 로그 보존 방법

이 정책 설정은 보안 로그에 대한 "래핑" 방법을 결정합니다. 문제를 설명하거나 해결하는 데 기록 이벤트가 적합한 경우 보안 로그를 정기적으로 보관해야 합니다. 이 구성을 사용하면 기록 데이터가 손실될 수 있지만 필요한 경우에만 이벤트가 덮어쓰여지면 로그에는 항상 최신 항목이 저장됩니다.

보안 로그 보존 방법 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 필요하면으로 구성됩니다.

시스템 로그 보관 방법

이 정책 설정은 시스템 로그에 대한 "래핑" 방법을 결정합니다. 문제를 설명하거나 해결하는 데 기록 이벤트가 적합한 경우 로그를 정기적으로 보관해야 합니다. 이 구성을 사용하면 기록 데이터가 손실될 수 있지만 필요한 경우에만 이벤트가 덮어쓰여지면 로그에는 항상 최신 항목이 저장됩니다.

보안 로그 보존 방법 설정은 이 가이드에 정의된 세 가지 환경의 기준 정책에서 필요하면으로 구성됩니다.

추가 레지스트리 항목

추가 레지스트리 항목(레지스트리 값)은 이 가이드에 정의된 세 가지 보안 환경의 기본 관리 템플릿 파일(.adm)에 정의되지 않은 기준 보안 템플릿 파일을 위해 만들어졌습니다. .adm 파일은 데스크톱과 셸에 대한 제한 사항 및 정책을 비롯하여 Windows Server 2003에 대한 보안 설정을 정의합니다.

이러한 레지스트리 설정은 보안 템플릿의 "보안 옵션" 섹션에 포함되어 변경 내용을 자동화합니다. 정책이 제거되는 경우 이러한 레지스트리 항목은 정책과 함께 자동으로 제거되지 않으므로 Regedt32.exe와 같은 레지스트리 편집 도구를 사용하여 수동으로 변경해야 합니다. 세 가지 환경 모두에 동일한 레지스트리 항목이 적용됩니다.

이 가이드에는 SCE(보안 구성 편집기)에 추가된 추가 레지스트리 항목이 포함되어 있습니다. 이러한 레지스트리 항목을 추가하려면 %windir%\inf 폴더에 있는 Sceregvl.inf 파일을 수정한 후 Scecli.dll 파일을 다시 등록해야 합니다. 원래의 보안 항목과 추가 항목 모두 이 장 앞부분에 나오는 스냅인 및 도구의 로컬 정책\보안에 표시됩니다. 이 가이드와 함께 제공된 보안 템플릿 및 그룹 정책을 편집할 컴퓨터에서 Sceregvl.inf 파일을 업데이트하고 Scecli.dll 파일을 다시 등록해야 합니다. 이러한 파일의 업데이트 방법에 대한 자세한 내용은 관련 가이드인 위협 및 대책 - Windows Server 2003 및 Windows XP용 보안 설정을 참조하십시오. 이 가이드는 http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx 사이트에서 다운로드할 수 있습니다.

이 섹션에서는 추가 레지스트리 항목에 관한 간단한 내용만 다루며 자세한 내용은 함께 제공되는 가이드에서 설명합니다. 이 섹션에 나오는 각 설정에 대한 기본 구성 및 자세한 설명은 관련 가이드인 위협 및 대책 - Windows Server 2003 및 Windows XP용 보안 설정을 참조하십시오.

네트워크 공격에 대한 보안 고려 사항

DoS(서비스 거부) 공격은 네트워크 사용자가 컴퓨터 또는 컴퓨터의 특정 서비스를 사용할 수 없도록 하기 위한 네트워크 공격 유형입니다. DoS 공격은 방어하기 어려울 수 있습니다.

이러한 공격을 방지하려면 컴퓨터를 최신 보안 업데이트로 업데이트하고 잠재적 공격자에게 노출된 Windows Server 2003 SP1 실행 컴퓨터의 TCP/IP 프로토콜 스택을 강화해야 합니다. 기본 TCP/IP 스택 구성은 표준 인트라넷 트래픽을 처리하도록 조정되어 있습니다. 컴퓨터를 인터넷에 직접 연결하는 경우에는 DoS 공격에 대비하여 TCP/IP 스택을 강화하는 것이 좋습니다.

다음 표의 레지스트리 값을

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\

하위 키의 템플릿 파일에 추가할 수 있습니다.

표 4.28 권장되는 TCP/IP 레지스트리 항목

레지스트리 항목

형식

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

EnableICMPRedirect

DWORD

0

0

0

SynAttackProtect

DWORD

1

1

1

EnableDeadGWDetect

DWORD

0

0

0

KeepAliveTime

DWORD

300,000

300,000

300,000

DisableIPSourceRouting

DWORD

2

2

2

TcpMaxConnectResponseRetransmissions

DWORD

2

2

2

TcpMaxDataRetransmissions

DWORD

3

3

3

PerformRouterDiscovery

DWORD

0

0

0

기타 레지스트리 항목

TCP/IP에만 국한되지 않는 기타 권장 레지스트리 항목은 다음 표에 나와 있습니다. 표 다음에 나오는 하위 섹션에서 각 항목에 대한 추가 정보가 제공됩니다.

표 4.29 기타 권장 레지스트리 항목

레지스트리 항목

형식

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

MSS: (NoNameReleaseOnDemand) Allow the computer to ignore NetBIOS name release requests except from WINS servers

DWORD

1

1

1

MSS: (NtfsDisable8dot3NameCreation) Enable the computer to stop generating 8.3 style filenames (recommended)

DWORD

0

0

1

MSS: (NoDriveTypeAutoRun) Disable Autorun for all drives (recommended)

DWORD

0xFF

0xFF

0xFF

MSS: (ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires (0 recommended)

String

0

0

0

MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning

DWORD

90

90

90

MSS: (SafeDllSearchMode) Enable Safe DLL search mode (recommended)

DWORD

1

1

1

MSS: (AutoReboot) Allow Windows to automatically restart after a system crash (recommended except for highly secure environments)

DWORD

1

1

0

MSS: (AutoAdminLogon) Enable Automatic Logon (not recommended)

DWORD

0

0

0

MSS: (AutoShareWks) Enable Administrative Shares (recommended except for highly secure environments)

DWORD

1

1

0

MSS: (DisableSavePassword) Prevent the dial-up password from being saved (recommended)

DWORD

1

1

1

MSS: (NoDefaultExempt) Enable NoDefaultExempt for IPSec Filtering (recommended)

DWORD

3

3

3

Configure NetBIOS Name Release Security: Allow the computer to ignore NetBIOS name release requests except from WINS servers

이 항목은 SCE에서 MSS: (NoNameReleaseOnDemand) Allow the computer to ignore NetBIOS name release requests except from WINS servers으로 나타납니다.

NetBIOS over TCP/IP는 Windows 기반 시스템에 등록된 NetBIOS 이름을 해당 시스템에 구성된 IP 주소로 쉽게 확인할 수 있도록 하는 네트워크 프로토콜입니다. 이 값은 컴퓨터에서 이름 해제 요청을 받을 경우 NetBIOS 이름을 해제할지 여부를 결정합니다.

이 레지스트리 값을

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Netbt\Parameters\

하위 키의 템플릿 파일에 추가할 수 있습니다.

Disable Auto Generation of 8.3 File Names: Enable the computer to stop generating 8.3 style filenames

이 항목은 SCE에서 MSS: (NtfsDisable8dot3NameCreation) Enable the computer to stop generating 8.3 style filenames (recommended)로 나타납니다.

Windows Server 2003 SP1에서는 이전 버전인 16비트 응용 프로그램과의 호환성을 위해 8.3 파일 이름 형식을 지원합니다. 8.3 파일 이름 변환은 8자 이내의 파일 이름만 허용하는 형식입니다.

이 레지스트리 값을

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\FileSystem\

하위 키의 템플릿 파일에 추가할 수 있습니다.

Disable Autorun: Disable Autorun for all drives

이 항목은 SCE에서 MSS: (NoDriveTypeAutoRun) Disable Autorun for all drives (recommended)로 나타납니다.

자동 실행은 컴퓨터의 드라이브에 미디어가 삽입되는 즉시 읽기를 시작하는 기능입니다. 따라서 프로그램용 설치 파일이나 오디오 콘텐츠용 사운드 등이 바로 시작됩니다.

이 레지스트리 값을

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\

하위 키의 템플릿 파일에 추가할 수 있습니다.

Make Screensaver Password Protection Immediate: The time in seconds before the screen saver grace period expires (0 recommended)

이 항목은 SCE에서 MSS: (ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires (0 recommended)로 나타납니다.

Windows에는 기본적으로 화면 보호기 잠금이 활성화되어 있는 경우 화면 보호기가 실행된 후 실제로 콘솔이 자동으로 잠길 때까지의 유예 기간이 설정되어 있습니다.

이 레지스트리 값을

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\
Winlogon\

하위 키의 템플릿 파일에 추가할 수 있습니다.

Security Log Near Capacity Warning: Percentage threshold for the security event log at which the system will generate a warning

이 항목은 SCE에서 MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning으로 나타납니다.

이 옵션은 Windows 2000 SP3부터 사용할 수 있게 되었으며 보안 로그가 사용자가 정의한 임계값에 도달하면 로그에 보안 감사가 생성되도록 합니다. 예를 들어 이 레지스트리 값을 90으로 구성한 상태에서 보안 로그가 용량의 90%에 도달하면 로그에는 "보안 이벤트 로그가 90퍼센트 찼습니다."라는 텍스트가 표시됩니다.

참고: 로그 설정을 필요한 경우 이벤트 덮어쓰기 또는 x일보다 오래된 이벤트 덮어쓰기로 구성한 경우에는 이 이벤트가 생성되지 않습니다.

이 레지스트리 값을

HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Services\Eventlog\Security\

하위 키의 템플릿 파일에 추가할 수 있습니다.

Enable Safe DLL Search Order: Enable Safe DLL search mode (recommended)

이 항목은 SCE에서 MSS: (SafeDllSearchMode) Enable Safe DLL search mode (recommended)로 나타납니다.

다음 두 가지 중 한 가지 방법으로 프로세스를 실행하여 요청된 DLL을 검색하도록 DLL 검색 순서를 구성할 수 있습니다.

  • 시스템 경로에 지정된 폴더를 먼저 검색한 다음 현재 작업 중인 폴더를 검색합니다.

  • 현재 작업 중인 폴더를 먼저 검색한 다음 시스템 경로에 지정된 폴더를 검색합니다.

이 레지스트리 값을 1로 구성하면 시스템 경로에 지정된 폴더를 먼저 검색한 후 현재 작업 중인 폴더를 검색합니다. 이 항목을 0으로 구성하면 현재 작업 중인 폴더를 먼저 검색한 후 시스템 경로에 지정된 폴더를 검색합니다.

이 레지스트리 값을

HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Control\Session Manager\

하위 키의 템플릿 파일에 추가할 수 있습니다.

Automatic Reboot: Allow Windows to automatically restart after a system crash

이 항목은 SCE에서 MSS: (AutoReboot) Allow Windows to automatically restart after a system crash (recommended except for highly secure environments)로 나타납니다.

이 항목을 활성화하면 서버는 치명적인 크래시가 발생한 이후에 자동으로 다시 부팅될 수 있습니다. 이 설정은 기본적으로 활성화되어 있지만 높은 보안이 요구되는 서버에서는 활성화하지 않는 것이 좋습니다.

이 레지스트리 값을

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\CrashControl\

하위 키의 템플릿 파일에 추가할 수 있습니다.

Automatic Logon: Enable Automatic Logon

이 항목은 SCE에서 MSS: (AutoAdminLogon) Enable Automatic Logon (not recommended)로 나타납니다. 기본적으로 이 항목을 활성화되어 있지 않으며 어떤 경우에도 서버에서는 사용하면 안 됩니다.

자세한 내용은 Microsoft 기술 자료 문서 "Windows XP에서 자동 로그온을 설정하는 방법"(http://support.microsoft.com/default.aspx?kbid=315231)을 참조하십시오.

이 레지스트리 값을

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\
Winlogon\

하위 키의 템플릿 파일에 추가할 수 있습니다.    

Administrative Shares: Enable Administrative Shares

이 항목은 SCE에서 MSS: (AutoShareWks) Enable Administrative Shares (recommended except for highly secure environments)로 나타납니다. 기본적으로 서버에서 Windows 네트워킹이 활성화되면 Windows에서는 숨겨진 관리 공유를 만듭니다. 그러나 높은 보안이 요구되는 서버에서는 바람직하지 않습니다.

이 레지스트리 값을

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RasMan\Parameters\

하위 키의 템플릿 파일에 추가할 수 있습니다.

Disable Saved Passwords: Prevent the dial-up password from being saved

이 항목은 SCE에서 MSS: (DisableSavePassword) Prevent the dial-up password from being saved (recommended)로 나타납니다. 기본적으로 Windows에서는 서버에서는 바람직하지 않은 전화 접속 및 VPN 연결용 암호를 저장하기 위한 옵션을 제공합니다.

이 레지스트리 값을

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\
Parameters\

하위 키의 템플릿 파일에 추가할 수 있습니다.

Enable IPSec to protect Kerberos RSVP Traffic: Enable NoDefaultExempt for IPSec Filtering

이 항목은 SCE에서 MSS: (NoDefaultExempt) Enable NoDefaultExempt for IPSec Filtering (recommended)로 나타납니다. IPsec 정책 필터에 대한 기본 예외는 Microsoft Windows Server 2003 온라인 도움말에 설명되어 있습니다. 이러한 필터는 IKE(인터넷 키 교환) 및 Kerberos 인증 프로토콜이 작동될 수 있도록 합니다. 또한 데이터 트래픽이 IPsec을 통해 보호될 때 네트워크 QoS(서비스 품질)가 전달될 수 있으며 멀티캐스트 및 브로드캐스트 트래픽과 같이 IPsec을 통해 보호될 수 없는 트래픽도 필터링될 수 있습니다.

이 레지스트리 값을

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\IPSEC\

하위 키의 템플릿 파일에 추가할 수 있습니다.

제한된 그룹

제한된 그룹 기능은 정책 메커니즘을 통해 그룹 구성원 자격을 관리하고 강력한 사용자 권한이 있는 그룹의 무의식적 또는 고의적 이용을 금지할 수 있도록 합니다. 먼저 조직의 요구를 검토하여 제한하려는 그룹을 결정해야 합니다.

Backup OperatorsPower Users 그룹은 이 가이드에 정의된 세 가지 환경에서 제한됩니다. Backup OperatorsPower Users 그룹의 구성원은 Administrators 그룹의 구성원보다 액세스 권한이 약하지만 여전히 강력한 권한을 갖습니다.

참고: 조직에서 이러한 그룹을 사용할 경우에는 해당 구성원 자격을 주의해서 제어해야 하며 제안된 그룹 설정에 대한 지침을 구현하지 마십시오. 조직에서 Power Users 그룹에 사용자를 추가할 경우 다음에 나오는 “파일 시스템 보안 유지" 섹션에 설명된 선택적 파일 시스템 사용 권한을 구현할 수 있습니다.

그룹 정책 개체 편집기 내의 다음 위치에서 Windows Server 2003 SP1의 제한된 그룹 설정을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\제한된 그룹\

관리자는 원하는 그룹을 MSBP에 직접 추가하여 제한된 그룹을 구성할 수 있습니다. 그룹이 제한되면 해당 구성원과 구성원이 속하는 다른 그룹을 정의할 수 있습니다. 이러한 그룹 구성원을 지정하지 않으면 그룹이 전체적으로 제한된 상태를 유지합니다.

파일 시스템 보안 유지

NTFS 파일 시스템은 새 버전의 Microsoft Windows에서 향상되었으며 NTFS의 기본 사용 권한은 대부분의 조직에 적합합니다. 이 섹션에 나오는 설정은 제한된 권한을 사용하지 않으면서 서버의 보안을 좀 더 강화하려는 조직에 사용하면 좋습니다.

그룹 정책 개체 편집기의 다음 위치에서 파일 시스템 보안 설정을 구성할 수 있습니다.

컴퓨터 구성\Windows 설정\보안 설정\파일 시스템

참고: 변경한 기본 파일 시스템 보안 설정을 대규모 조직에서 배포하기 전에 랩 환경에서 철저히 테스트해야 합니다. 파일 사용 권한이 잘못 변경되어 영향 받은 컴퓨터를 완전히 다시 구축해야 하는 경우도 있었습니다.

Windows Server 2003 SP1의 기본 파일 사용 권한으로도 대부분의 조직에서는 충분합니다. 그러나 제한된 그룹 기능을 사용하여 Power Users 그룹의 구성원 자격을 차단하지 않으려는 경우나 네트워크 액세스: Everyone 사용 권한을 익명 사용자에게 적용 설정을 활성화하려는 경우 다음 단락에 설명된 선택적 사용 권한을 적용하려고 할 수 있습니다. 이러한 선택적 사용 권한은 매우 구체적이며 승격된 권한을 갖는 악의적인 사용자가 시스템이나 네트워크를 침입하는 데 사용할 수 있는 특정 실행 도구를 추가적으로 제한합니다.

이러한 사용 권한 변경은 시스템 볼륨의 루트나 여러 폴더에 영향을 주지 않습니다. 그러나 이러한 방식으로 사용 권한을 변경하는 것은 아주 위험할 수 있으며 시스템이 불안정해지는 결과를 가져올 수 있습니다. 다음의 모든 파일은 %SystemRoot%\System32\ 폴더에 있으며 Administrators: 모든 권한 , System: 모든 권한으로 설정합니다.

  • regedit.exe

  • arp.exe

  • at.exe

  • attrib.exe

  • cacls.exe

  • debug.exe

  • edlin.exe

  • eventcreate.exe

  • eventtriggers.exe

  • ftp.exe

  • nbtstat.exe

  • net.exe

  • net1.exe

  • netsh.exe

  • netstat.exe

  • nslookup.exe

  • ntbackup.exe

  • rcp.exe

  • reg.exe

  • regedt32.exe

  • regini.exe

  • regsvr32.exe

  • rexec.exe

  • route.exe

  • rsh.exe

  • sc.exe

  • secedit.exe

  • subst.exe

  • systeminfo.exe

  • telnet.exe

  • tftp.exe

  • tlntsvr.exe

편의를 위해 이러한 선택적 사용 권한은 이 가이드의 다운로드 가능 버전에 포함되어 있는 Optional-File-Permissions.inf라는 보안 템플릿에 이미 구성되어 있습니다.

추가 보안 설정

이 가이드에 정의된 기준 서버를 강화하는 데 사용되는 대부분의 보안 대책은 그룹 정책을 통해 적용되지만 일부 추가 설정은 그룹 정책을 사용하여 적용하기 어렵거나 불가능합니다. 이 섹션에서 설명하는 각 보안 대책에 대한 자세한 내용은 관련 가이드인 위협 및 대책 - Windows Server 2003 및 Windows XP용 보안 설정을 참조하십시오. 이 가이드는 http://www.microsoft.com/korea/technet/security/topics/serversecurity/tcg/tcgch00.mspx 사이트에서 다운로드할 수 있습니다.

수동 강화 절차

이 섹션에서는 이 가이드에 정의된 각 보안 환경에 대해 일부 추가 보안 대책(예: 계정 보안 설정)을 어떤 방식으로 수동으로 구현했는지에 대해 설명합니다.

사용자 권한 할당에 수동으로 고유 보안 그룹 추가

사용자 권한 할당에 대해 권장되는 대부분의 보안 그룹은 이 가이드와 함께 제공되는 보안 템플릿 내에 구성되어 있습니다. 그러나 특정 보안 그룹의 SID는 여러 Windows Server 2003 도메인 사이에서 고유하므로 일부 권한은 보안 템플릿에 포함되지 않았습니다. 이는 SID의 일부인 RID(관련 식별자)가 고유하기 때문입니다. 이러한 권한은 다음 표에 설명되어 있습니다.

경고: 다음 표에는 기본 제공 Administrator에 대한 값이 들어 있습니다. 기본 제공 Administrator는 기본 제공되는 사용자 계정으로 Administrators 보안 그룹과는 다릅니다. Administrators 보안 그룹이 아래에 있는 임의의 거부 액세스 사용자 권한에 추가되면 오류를 바로 잡기 위해 로컬로 로그온하게 됩니다.

또한 이 가이드 앞부분에 나오는 권장 사항대로 이름을 바꾸어 기본 제공 Administrator 계정에 새 이름을 지정할 수 있습니다. 임의의 액세스 거부 사용자 권한에 이 계정을 추가할 경우 새로 이름을 바꾼 Administrator 계정을 선택해야 합니다.

표 4.30 수동으로 추가되는 사용자 권한 할당

UI의 설정 이름

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

네트워크에서 이 컴퓨터 액세스 거부

기본 제공 Administrator, SUPPORT_388945a0,

Guest, 모든 비운영 체제 서비스 계정

기본 제공 Administrator, SUPPORT_388945a0,

Guest, 모든 비운영 체제 서비스 계정

기본 제공 Administrator, SUPPORT_388945a0,

Guest, 모든 비운영 체제 서비스 계정

일괄 작업으로 로그온 거부

Support_388945a0 및 Guest

Support_388945a0 및 Guest

Support_388945a0 및 Guest

터미널 서비스를 통한 로그온 거부

기본 제공 Administrator, Guests, SUPPORT_388945a0, Guest, 모든 비운영 체제 서비스 계정

기본 제공 Administrator, Guests, SUPPORT_388945a0, Guest, 모든 비운영 체제 서비스 계정

기본 제공 Administrator, Guests, SUPPORT_388945a0, Guest, 모든 비운영 체제 서비스 계정


중요: 모든 비운영 체제 서비스 계정은 회사 내의 특정 응용 프로그램에 대한 서비스 계정입니다. 운영 체제에서 사용하는 기본 제공 계정인 LOCAL SYSTEM, LOCAL SERVICE 또는 NETWORK SERVICE 계정은 여기에 포함되지 않습니다.

나열된 보안 그룹을 엔터프라이즈 클라이언트 - 구성원 서버 기준 정책에 수동으로 추가하려면 다음 단계를 완료하십시오.

사용자 권한 할당에 보안 그룹을 추가하려면

  1. Active Directory 사용자 및 컴퓨터에서 Member Servers OU를 마우스 오른쪽 단추로 클릭한 후 속성을 선택합니다.

  2. 그룹 정책 탭에서 Enterprise Client 구성원 서버 기준 정책을 선택하고 연결된 GPO를 편집합니다.

  3. Enterprise Client – 구성원 서버 기준 정책을 선택한 후 편집을 클릭합니다.

  4. 그룹 정책 창에서 컴퓨터 구성\Windows 설정\보안 설정\로컬 정책\사용자 권한 할당을 클릭하고 각 권한에 대해 앞의 표에 있는 고유한 보안 그룹을 추가합니다.

  5. 수정한 그룹 정책을 닫습니다.

  6. Member Servers OU 등록 정보 창을 닫습니다.

  7. 다음을 수행하여 모든 정책이 적용되도록 도메인 컨트롤러 간 복제를 강제로 실행합니다.

    1. 명령 프롬프트를 열고 gpupdate /Force를 입력한 후 Enter 키를 눌러 서버에서 정책을 새로 고치도록 합니다.

    2. 서버를 다시 부팅합니다.

  8. 이벤트 로그를 보고 그룹 정책이 다운로드되었는지와 서버가 도메인의 다른 도메인 컨트롤러와 통신할 수 있는지를 확인하십시오.

잘 알려진 계정의 보안 설정

Windows Server 2003 SP1에는 삭제할 수는 없지만 이름을 바꿀 수는 있는 다수의 기본 제공 사용자 계정이 있습니다. Windows Server 2003에서 가장 잘 알려진 두 가지 기본 제공 계정은 Guest 와 Administrator입니다.

Guest 계정은 구성원 서버와 도메인 컨트롤러에서 기본적으로 사용하지 않도록 설정됩니다. 이 구성은 변경하면 안 됩니다. 변형된 대부분의 악성 코드는 서버를 손상시키려는 초기 시도에서 기본 제공 Administrator 계정을 사용합니다. 따라서 공격자가 이러한 잘 알려진 계정을 사용하여 원격 서버를 손상시키지 못하도록 기본 제공 Administrator 계정의 이름이 바뀌고 설명도 변경됩니다.

기본 제공 Administrator 계정의 SID(보안 식별자)를 지정하여 해당 계정의 실제 이름을 확인함으로써 서버 침입을 시도하는 공격 도구가 등장한 이후 지난 몇 년 동안 이 구성 값을 변경하는 경우가 줄어들었습니다. SID는 네트워크의 각 사용자, 그룹, 컴퓨터 계정 및 로그온 세션을 고유하게 식별하는 값입니다. 기본 제공 계정의 SID는 변경할 수 없습니다. 그러나 이 SID를 고유한 이름으로 바꾸면 작업 그룹에서 Administrator 계정에 대해 시도된 공격을 모니터링하기 쉬워집니다.

도메인 및 서버의 잘 알려진 계정에 보안을 설정하려면 다음 단계를 수행하십시오.

  • 모든 도메인 및 서버에 대해 Administrator 및 Guest 계정의 이름을 변경하고 암호를 길고 복잡한 값으로 변경합니다.

  • 각 서버에 서로 다른 이름과 암호를 사용합니다. 모든 도메인 및 서버에 사용된 계정 이름과 암호가 동일하면 하나의 구성원 서버에 액세스한 공격자가 계정 이름 및 암호가 같은 다른 모든 서버에도 액세스할 수 있게 됩니다.

  • 계정을 쉽게 식별할 수 없도록 계정 설명을 기본값이 아닌 다른 값으로 변경합니다.

  • 지정한 변경 내용을 안전한 위치에 기록해 둡니다.

    참고: 그룹 정책을 통해 기본 제공 Administrator 계정의 이름은 변경할 수 있습니다. 이 설정이 활성화되면 모든 조직에서 이 계정에 대해 고유한 이름을 선택해야 하므로 기준 정책에는 이 설정이 구현되지 않았습니다. 그러나 EC 환경에서 Administrator 계정의 이름을 바꾸도록 계정: Administrator 계정 이름 바꾸기 설정을 구성할 수 있습니다. 이 정책 설정은 GPO의 보안 옵션 설정에 포함됩니다.

서비스 계정 보안 설정

꼭 필요한 경우가 아니면 서비스가 도메인 계정의 보안 컨텍스트에서 실행되도록 구성하지 않습니다. 서버가 물리적으로 손상되면 LSA 기밀 정보를 덤프하여 도메인 계정 암호를 알아낼 수 있습니다. 서비스 계정에 대해 보안을 설정하는 방법에 대한 자세한 내용은 서비스 및 서비스 계정 보안 계획 가이드(http://www.microsoft.com/korea/technet/security/topics/serversecurity/serviceaccount/default.mspx)를 참조하십시오.

NTFS

NTFS 파티션은 파일 및 폴더 수준에서 ACL을 지원합니다. FAT(파일 할당 테이블) 또는 FAT32 파일 시스템에서는 이 지원 기능을 사용할 수 없습니다. FAT32는 기본 클러스터 크기를 훨씬 더 작게 사용하고 하드 디스크의 크기를 2테라바이트까지 지원하도록 업데이트된 버전의 FAT 파일 시스템입니다. FAT32는 Windows 95 OSR2, Windows 98, Microsoft Windows Me, Windows 2000, Windows XP Professional 및 Windows Server 2003에 포함되어 있습니다.

NTFS를 사용하여 모든 서버의 모든 파티션을 포맷하십시오. 변환 유틸리티를 사용하면 FAT 파티션을 NTFS로 변환할 수 있지만 변환 유틸리티는 변환된 드라이버의 ACL을 Everyone: 모든 권한으로 설정합니다.

Windows 2003 Server SP1이 실행되는 컴퓨터에서는 다음의 두 가지 보안 템플릿을 로컬로 각각 적용하여 구성원 서버 및 도메인 컨트롤러에 대한 기본 파일 시스템 ACL을 구성합니다.

  • %windir%\inf\defltsv.inf

  • %windir%\inf\defltdc.inf

    참고: 기본 도메인 컨트롤러 보안 설정은 서버를 도메인 컨트롤러로 승격시킬 때 적용됩니다.

이 가이드에 정의된 세 가지 환경 모두에서 서버의 모든 파티션은 ACL을 통해 파일 및 디렉터리 보안을 관리할 수 있도록 하기 위해 NTFS 파티션으로 포맷됩니다.

터미널 서비스 설정

클라이언트 연결 암호화 수준 설정은 사용자 환경에서 터미널 서비스 클라이언트 연결의 암호화 수준을 결정합니다. 128비트 암호화를 사용하는 높은 수준 설정 옵션은 공격자가 패킷 분석기를 사용하여 터미널 서비스 세션을 도청하지 못하도록 합니다. 이전 버전의 터미널 서비스 클라이언트에서는 이 고급 수준의 암호화를 지원하지 않는 경우도 있습니다. 네트워크에 이러한 클라이언트가 포함된 경우에는 해당 클라이언트에서 지원하는 가장 높은 암호화 수준으로 데이터를 보내고 받도록 연결 암호화 수준을 설정합니다.

그룹 정책의 다음 위치에서 이 설정을 구성할 수 있습니다.

컴퓨터 구성\관리 템플릿\Windows 구성 요소\
터미널 서비스\암호화 및 보안

표 4.31 클라이언트 연결 암호화 수준 권장 설정

UI의 설정 이름

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

클라이언트 연결 암호화 수준 설정

높음

높음

높음


다음 표에는 사용 가능한 세 가지 암호화 수준이 설명되어 있습니다.

표 4.32 터미널 서비스 암호화 수준

암호화 수준

설명

높은 수준

클라이언트에서 서버로 보낸 데이터와 서버에서 클라이언트로 보낸 데이터를 강력한 128비트 암호화로 암호화합니다. 원격 데스크톱 연결 클라이언트와 같은 128비트 클라이언트만이 포함된 환경에서 터미널 서버를 실행 중인 경우 이 수준을 사용합니다. 이 암호화 수준을 지원하지 않는 클라이언트는 연결할 수 없습니다.

클라이언트 호환

클라이언트에서 지원하는 최대 키 강도로 클라이언트와 서버 간에 보낸 데이터를 암호화합니다. 혼합 또는 레거시 클라이언트가 포함된 환경에서 터미널 서버를 실행 중인 경우 이 수준을 사용합니다.

낮은 수준

클라이언트에서 서버로 보낸 데이터를 56비트 암호화로 암호화합니다.

중요: 서버에서 클라이언트로 보낸 데이터는 암호화하지 않습니다.

오류 보고

표 4.33 오류 보고 권장 설정

설정

레거시 클라이언트

엔터프라이즈 클라이언트

특수 보안 – 기능 제한

Windows 오류 보고 사용 안 함

사용

사용

사용


이 서비스는 Microsoft에서 오류를 추적하여 해결하는 데 도움을 줍니다. 이 서비스에서 운영 체제 오류, Windows 구성 요소 오류 또는 프로그램 오류에 대한 보고서를 생성하도록 구성할 수 있습니다. 이 서비스는 Windows XP Professional 및 Windows Server 2003에서만 사용할 수 있습니다.

오류 보고 서비스는 인터넷 또는 내부 파일 공유를 통해 Microsoft에 이러한 오류를 보고할 수 있습니다. 오류 보고에는 중요하거나 기밀인 회사 데이터가 포함될 수 있지만 오류 보고와 관련된 Microsoft 개인 정보 보호 정책은 Microsoft에서 이러한 데이터를 부적절하게 사용하지 않을 것임을 보장합니다. 데이터는 암호화되지 않은 텍스트로 HTTP(Hypertext Transfer Protocol)를 통해 전송되므로 인터넷 상에서 제3자가 가로채어 볼 수 있습니다.

Windows 오류 보고 사용 안 함 설정은 오류 보고 서비스가 데이터를 전송할지 여부를 제어할 수 있습니다.

Windows Server 2003에서는 그룹 정책 개체 편집기 내의 다음 위치에서 이 정책 설정을 구성할 수 있습니다.

컴퓨터 구성\관리 템플릿\시스템\인터넷 통신 관리\인터넷 통신 설정

이 가이드에 정의된 세 가지 환경의 DCBP에서는 Windows 오류 보고 사용 안 함 설정을 사용으로 구성하십시오.

수동 메모리 덤프 사용

Windows Server 2003 SP1에는 시스템을 멈춘 후 Memory.dmp 파일을 생성하는 데 사용할 수 있는 기능이 포함되어 있습니다. 이 기능은 명시적으로 활성화해야 하며 사용자 조직의 모든 서버에서 적절하지는 않을 수 있습니다. 일부 서버에서 메모리 덤프를 캡처하는 것이 중요하다고 판단될 경우 Windows 기능을 사용하면 Memory.dmp 파일을 키보드로 생성할 수 있다(http://support.microsoft.com/default.aspx?kbid=244139)에 제공된 지침을 따르십시오.

중요: 참조 문서에 설명된 것처럼 메모리를 디스크로 복사하면 중요한 정보가 Memory.dmp 파일에 포함될 수 있습니다. 이상적으로 모든 서버는 허가되지 않은 물리적 액세스로부터 보호됩니다. 물리적으로 침해될 수 있는 서버에 메모리 덤프 파일을 생성할 경우 문제가 발생하기 전에 해당 덤프 파일을 삭제해야 합니다.

SCW를 사용하여 기준 정책 만들기

필요한 보안 설정을 배포하려면 먼저 MSBP(구성원 서버 기준 정책)를 만들어야 합니다. 이를 위해 SCW(보안 구성 마법사 도구)와 이 가이드의 다운로드 가능 버전에 포함되어 있는 보안 템플릿을 사용해야 합니다.

자체의 정책을 만든 경우 "레지스트리 설정" 및 "감사 정책" 섹션을 건너뛰십시오. 이러한 설정은 선택한 환경에 대한 보안 템플릿에서 제공합니다. 이 방법은 템플릿에서 제공한 정책 요소가 SCW에 의해 구성된 정책보다 우선적으로 적용되도록 하는 데 필요합니다.

이전 구성에서 가져온 레거시 설정이나 소프트웨어가 없도록 운영 체제를 새로 설치하여 구성 작업을 시작해야 합니다. 가능한 경우 호환성이 최대한 보장되도록 배포에 사용된 하드웨어와 비슷한 하드웨어를 사용해야 합니다. 새 설치를 참조 시스템이라고 합니다.

MSBP 생성 단계 중에 검색된 역할 목록에서 파일 서버 역할을 제거할 수 있습니다. 이 역할은 일반적으로 이 역할을 필요로 하지 않는 서버에 구성되며 보안 위험으로 간주될 수 있습니다. 파일 서버 역할을 필요로 하는 서버에 대해 이 역할을 활성화하려는 경우 다음 프로세스 뒷부분에서 또 다른 정책을 적용할 수 있습니다.

MSBP(구성원 서버 기준 정책)를 만들려면

  1. 새 참조 컴퓨터에서 Windows Server 2003 SP1을 새로 설치합니다.

  2. 제어판, 프로그램 추가/제거, Windows 구성 요소 추가/제거를 통해 컴퓨터에 보안 구성 마법사 구성 요소를 설치합니다.

  3. 컴퓨터를 도메인에 가입시킵니다.

  4. 작업 환경의 모든 서버에 반드시 필요한 응용 프로그램만 설치하고 구성합니다. 예로 소프트웨어 및 관리 에이전트, 테이프 백업 에이전트 및 바이러스 백신이나 스파이웨어 백신 유틸리티를 들 수 있습니다.

  5. SCW GUI를 시작하고 새 보안 정책 만들기를 선택한 후 참조 컴퓨터를 가리키도록 지정합니다.

  6. 검색된 역할 목록에서 파일 서버 역할을 제거합니다.

  7. 검색된 서버 역할이 작업 환경에 적절한지 확인합니다.

  8. 검색된 클라이언트 기능이 작업 환경에 적절한지 확인합니다.

  9. 검색된 관리 옵션이 작업 환경에 적절한지 확인합니다.

  10. 백업 에이전트나 바이러스 백신 소프트웨어와 같이 기준 정책에 필요한 추가 서비스가 검색되는지 확인합니다.

  11. 작업 환경에 있는 미지정 서비스의 처리 방법을 결정합니다. 보안 강화를 위해 이 정책 설정을 사용 안 함으로 구성할 수도 있습니다. 프로덕션 서버가 참조 컴퓨터와 중복되지 않는 추가 서비스를 실행할 경우 문제가 발생할 수 있으므로 먼저 구성을 철저히 테스트한 후에 프로덕션 네트워크에 배포해야 합니다.

  12. "네트워크 보안" 섹션에서 현재 영역 건너뛰기 확인란의 선택을 취소한 후 다음을 클릭합니다. 앞에서 식별된 특정 포트 및 응용 프로그램이 Windows 방화벽에 대한 예외로 구성됩니다.

  13. "레지스트리 설정" 섹션에서 현재 영역 건너뛰기 확인란을 클릭한 후 다음을 클릭합니다 이러한 정책 설정은 제공된 INF 파일에서 가져옵니다.

  14. "레지스트리 설정" 섹션에서 현재 영역 건너뛰기 확인란을 클릭한 후 다음을 클릭합니다 이러한 정책 설정은 제공된 INF 파일에서 가져옵니다.

  15. 적절한 보안 템플릿(예: EC-Member Server Baseline.inf)을 포함시킵니다.

  16. 적절한 이름(예: Member Server Baseline.xml)을 지정하여 정책을 저장합니다.

SCW를 사용하여 정책 테스트

정책을 만들어 저장한 후에는 반드시 테스트 환경에 배포해 보십시오. 이상적으로는 테스트 서버가 프로덕션 서버와 동일한 하드웨어 및 소프트웨어 구성을 갖는 것이 좋습니다. 이렇게 하면 특정 하드웨어 장치에 필요한 예상치 못한 서비스가 존재하는 경우와 같은 잠재적인 문제를 찾아 해결할 수 있습니다.

정책을 테스트하기 위해서는 두 가지 방법을 사용할 수 있습니다. 바로 네이티브 SCW 배포 기능을 사용하는 방법과 GPO를 통해 정책을 배포하는 것입니다.

정책 감사를 시작할 경우에는 네이티브 SCW 배포 기능을 사용해야 합니다. SCW를 사용하여 한 번에 한 서버에 정책을 밀어 넣거나 Scwcmd를 사용하여 서버 그룹에 정책을 밀어 넣을 수 있습니다. 네이티브 배포 방법은 SCW 내에서 배포된 정책을 쉽게 롤백할 수 있는 기능을 제공합니다. 이 기능은 테스트 프로세스 중에 정책을 많이 변경해야 할 경우에 특히 유용합니다.

정책을 대상 서버에 적용했을 때 중요한 기능이 영향을 받지 않는지 확인하기 위해 정책을 테스트합니다. 구성 변경 내용을 적용한 후에는 컴퓨터의 핵심 기능을 확인해야 합니다. 예를 들어 서버가 CA(인증 기관)로 구성된 경우 클라이언트에서 인증서를 요청하고 얻을 수 있는지, 인증서 해지 목록을 다운로드할 수 있는지 등을 확인해야 합니다.

만든 정책 구성에 문제가 없으면 다음 절차에 표시된 대로 Scwcmd를 사용하여 정책을 GPO로 변환합니다.

SCW 정책을 테스트하는 방법에 대한 자세한 내용은 보안 구성 마법사에 대한 배포 가이드 (영문)보안 구성 마법사 설명서 (영문)(http://go.microsoft.com/fwlink/?linkid=43450, 검토 및 테스트했습니다. 이 장에 나오는 각 설정에 대한 기본 )를 참조하십시오

정책 변환 및 배포

정책을 철저히 테스트한 후에는 다음 단계를 완료하여 정책을 GPO로 변환한 후 배포합니다.

  1. 명령 프롬프트에서 다음 명령을 입력합니다.

    scwcmd transform /p:<PathToPolicy.xml> /g:<GPODisplayName>
    

    그런 후 Enter 키를 누릅니다. 예를 들면 다음과 같습니다.

    
    scwcmd transform /p:"C:\Windows\Security\msscw\Policies\Member 
    Server Baseline.xml" /g:"Member Server Baseline Policy"
    		
    

    참고: 여기서는 표시상의 문제 때문에 명령 프롬프트에 입력할 정보가 여러 줄로 표시됩니다. 실제로 이 정보는 모두 한 줄로 입력해야 합니다.

  2. 그룹 정책 관리 콘솔을 사용하여 새로 만든 GPO를 해당 OU에 연결합니다.

SCW 보안 정책 파일에 Windows 방화벽 설정이 포함되어 있을 경우 이 절차가 성공적으로 완료되려면 로컬 컴퓨터에서 Windows 방화벽이 활성 상태여야 합니다. Windows 방화벽이 활성 상태인지 확인하려면 제어판을 열고 Windows 방화벽을 두 번 클릭합니다.

이제 최종 테스트를 수행하여 GPO가 원하는 설정을 적용하는지 확인합니다. 이 절차를 완료하려면 적절한 설정이 구성되었으며 기능에 영향을 주지 않는지 확인합니다.

요약

이 장에서는 이 가이드에 정의된 세 가지 보안 환경에서 Windows Server 2003 SP1이 실행되는 모든 서버에 맨 처음 적용되는 서버 보안 강화 절차에 대해 설명했습니다. 이러한 대부분의 절차에서는 각 보안 환경에 맞는 고유한 보안 템플릿을 만든 다음 이 보안 템플릿을 구성원 서버의 상위 OU에 연결된 GPO로 가져와 원하는 수준의 보안을 달성합니다.

그러나 이러한 강화 절차의 일부는 그룹 정책을 통해 적용할 수 없으므로 이러한 설정을 수동으로 구성하는 방식에 대한 지침이 제공되었습니다. 특정 서버 역할의 경우에는 해당 역할 내에서 가능한 한 안전한 방식으로 작동하도록 하기 위해 추가 단계를 수행했습니다.

서버 역할과 관련된 단계에는 추가 보안 강화 절차와 기준 보안 정책에서 보안 설정을 줄이기 위한 절차가 모두 포함됩니다. 이러한 변경 내용에 대한 자세한 내용은 이 가이드의 다음 장에 설명되어 있습니다.

추가 정보

다음 링크는 보안 및 Windows Server 2003 SP1이 실행되는 서버의 보안 강화와 관련된 항목에 대한 추가 정보를 제공합니다.


다운로드

Windows Server 2003 보안 가이드 받기 (영문)

업데이트 알림

업데이트 및 최신 릴리스 정보 수신 등록 (영문)

사용자 의견 보내기

의견 및 제안 보내기



이 정보가 도움이 되었습니까?
(1500자 남음)
의견을 주셔서 감사합니다.
Microsoft는 MSDN 웹 사이트에 대한 귀하의 의견을 이해하기 위해 온라인 설문 조사를 진행하고 있습니다. 참여하도록 선택하시면 MSDN 웹 사이트에서 나가실 때 온라인 설문 조사가 표시됩니다.

참여하시겠습니까?
표시:
© 2014 Microsoft. All rights reserved.