내보내기(0) 인쇄
모두 확장
3명 중 3명이 도움이 되는 것으로 평가 - 이 항목 평가

Internet Explorer 8.0 보안 소개

업데이트 날짜: 2009년 6월

적용 대상: Windows 7

IT 전문가를 위한 이 제품 평가 항목에서는 다음과 같은 위험 요소에 대한 방어 수단을 제공하는 Windows Internet Explorer 8의 향상된 보안 기능에 대해 설명합니다.

  • 브라우저 기반 악용

  • 웹 서버 취약점

  • 사회 공학 공격

서버 운영 체제에서 Internet Explorer 8의 보안 강화 구성 옵션도 향상되었습니다.

Internet Explorer 8 보안 변경 내용

브라우저 및 추가 기능 취약점

  • DEP/NX 메모리 보호. DEP(데이터 실행 방지) 또는 NX(실행 안 함)는 실행할 수 없는 것으로 표시된 메모리에서 코드가 실행되지 않도록 함으로써 공격을 저지할 수 있습니다. ASLR(Address Space Layout Randomization) 등의 다른 기술과 함께 DEP/NX를 사용하면 공격자가 버퍼 오버런 같은 특정한 유형의 메모리 관련 취약점을 악용하는 것을 더욱 어렵게 만들 수 있습니다. 이러한 보호 기능은 Internet Explorer 8 및 Internet Explorer 8에서 로드되는 추가 기능에 모두 적용됩니다. 이러한 보호 기능을 제공하기 위한 사용자의 추가 조작은 필요하지 않으며 새로운 확인 메시지도 표시되지 않습니다.

  • ActiveX. Internet Explorer 8의 ActiveX 컨트롤 처리 방식은 다음 두 가지가 변경되었습니다.

    • 사이트별 ActiveX. 사이트별 ActiveX는 컨트롤에 대한 악의적인 용도 변경을 방지하기 위한 방어 메커니즘입니다. 사용자가 ActiveX 컨트롤이 포함된 웹 사이트로 이동하면 Internet Explorer 8에서 컨트롤 실행이 허용되는 위치 확인을 비롯하여 다양한 검사를 수행합니다. 컨트롤이 설치되지만 특정 웹 사이트에서 실행이 허용되지 않는 경우 알림 표시줄에 현재 웹 사이트에서 해당 컨트롤의 실행을 허용할지 여부를 묻는 메시지가 표시됩니다. Internet Explorer 8 실행 클라이언트 컴퓨터를 관리하는 IT 전문가는 허용되는 컨트롤 및 해당 컨트롤의 연결된 도메인을 설정할 수 있습니다. 이러한 설정은 그룹 정책을 사용하여 구성할 수 있습니다.

    • 사용자별 ActiveX. 표준 사용자는 관리자 권한 없이도 자신의 고유 사용자 프로필에 ActiveX 컨트롤을 설치할 수 있습니다. 이 향상된 기능을 통해 표준 사용자는 일상적인 검색 작업에 사용되는 ActiveX 컨트롤을 설치할 수 있습니다. 또한 사용자가 악의적인 ActiveX 컨트롤을 설치하더라도 해당 컨트롤이 사용자의 계정 아래에만 설치되기 때문에 전체 시스템에 영향을 주지 않습니다. Internet Explorer 8 실행 클라이언트 컴퓨터를 관리하는 IT 전문가는 그룹 정책을 사용하여 이 기능을 사용하거나 사용하지 않도록 설정할 수 있습니다.

  • 보호 모드. Internet Explorer 7에 처음 도입된 보호 모드는 악성 코드 설치를 방지하여 Internet Explorer 및 Internet Explorer에서 실행되는 확장 프로그램에 대한 위협의 심각도를 줄여 줍니다. Internet Explorer 7과 달리 Internet Explorer 8에서는 동일 브라우저 창 내에서 보호 모드 및 비보호 모드 탭을 모두 호스팅할 수 있습니다. 성능 및 응용 프로그램 호환성 향상을 위해 Internet Explorer 8에서는 로컬 인트라넷 영역에서 보호 모드가 사용되지 않습니다. Internet Explorer 8 사용자 및 도메인 관리자는 로컬 인트라넷 영역에 대해 보호 모드를 사용하도록 설정할 수 있습니다.

  • 응용 프로그램 프로토콜 프롬프트. 응용 프로그램 프로토콜 처리기는 스트리밍 미디어 플레이어 및 인터넷 전화 통신 응용 프로그램과 같은 타사 응용 프로그램을 브라우저 내에서 시작할 수 있게 해 줍니다. 이로 인해 공격에 대한 노출 가능성이 높아질 수 있습니다. 사용자가 검색 환경을 계속 올바르게 제어할 수 있도록 Internet Explorer 8에서는 응용 프로그램 프로토콜을 시작하기 전에 확인 메시지를 표시합니다.

  • 파일 업로드 컨트롤. 사용자가 컨트롤에 로컬 파일 경로를 입력하도록 유도하는 키 입력 도용 공격을 차단하기 위해 파일 경로 대화 상자는 이제 읽기 전용입니다. 사용자가 파일 찾아보기 대화 상자를 사용하여 업로드할 파일을 명시적으로 선택해야 하며, Internet Explorer 8에서는 전체 경로가 아닌 파일 이름만 전송합니다. 파일을 업로드할 때 로컬 디렉터리 경로 포함 보안 설정은 인터넷 영역에 대해 기본적으로 사용하지 않도록 설정됩니다.

웹 응용 프로그램 보안 향상 기능

  • 교차 사이트 스크립팅. Internet Explorer 8에는 비영구 취약점 또는 반영된 취약점이라고도 하는 Type-1 교차 사이트 스크립팅 결함을 악용하기가 더 어렵게 만드는 교차 사이트 스크립팅 필터가 도입되었습니다. Type-1 교차 사이트 스크립팅 결함은 보고된 취약점 전체 중에서 점점 더 많은 부분을 차지하고 있으며 갈수록 높은 비율로 악용되고 있습니다. 교차 사이트 스크립팅 필터는 잠재적으로 악의적인 교차 사이트 스크립트를 식별하고, 스크립트 실행이 서버에 반영되는 것을 차단하고 클라이언트 컴퓨터에서 공격을 멈춤으로써 공격을 무력화할 수 있습니다. 알림 표시줄에는 사용자에게 알림 메시지가 표시됩니다.

  • 교차 사이트 데이터 집계. Internet Explorer 8의 XDR(XDomainRequest) 개체는 서버 간 요청 대신에 브라우저 내에서 교차 도메인 데이터 요청을 수행합니다. 교차 도메인 요청을 수행하려면 웹 페이지와 서버 간의 상호 동의가 필요하며, 웹 사이트에서 XDR을 지원하고 도메인 간에 데이터를 사용할 수 있어야 합니다. XDR 개체는 클라이언트 쪽 교차 도메인 통신에 대한 W3C(World Wide Web Consortium)의 Web Application Working Group 초안 프레임워크와 통합됩니다.

    또한 Internet Explorer 8에는 DOM(문서 개체 모델) 격리를 유지하면서 IFRAME 요소가 보다 안전하게 통신할 수 있게 해 주는 교차 문서 메시징(postMessage라고도 함)에 대한 지원이 도입되었습니다.

  • MIME 처리 변경 내용. Internet Explorer 8 MIME(Multipurpose Internet Mail Extensions) 형식 감지 알고리즘이 다음과 같이 변경되었습니다.

    • MIME 형식 감지 제한. Internet Explorer 8에서는 image/* MIME 콘텐츠 형식을 HTML 또는 스크립트에 사용한 파일의 감지 또는 데이터 검사를 방지합니다. 파일에 스크립트가 포함되어 있고 서버가 이를 이미지 파일로 선언할 경우 Internet Explorer 8은 포함된 스크립트를 실행하지 않습니다.

    • MIME 형식 감지 방지. 이제 웹 응용 프로그램에서 MIME 형식 감지를 방지할 수 있습니다. 새로운 X-Content-Type-Options: nosniff 헤더를 전송하면 Internet Explorer가 서버에서 선언한 콘텐츠 형식을 변경하기 위해 MIME 형식 감지를 사용할 수 없습니다.

    • 강제 저장. 신뢰할 수 없는 HTML 파일을 처리해야 하는 웹 응용 프로그램의 경우 Internet Explorer 8은 신뢰할 수 없는 콘텐츠로 인해 사이트 보안이 손상되는 것을 방지하기 위해 신뢰할 수 없는 HTML 파일을 열기 전에 사용자가 해당 파일을 로컬로 강제 저장하도록 하는 메커니즘을 사용합니다.

  • 여러 유형의 CSRF 공격에 대한 방어. Internet Explorer 8은 공격자의 웹 페이지에서 개인 정보를 다른 웹 사이트 또는 전자 메일 주소로 보내는 등의 사용자가 인지하지 못하는 작업을 수행하는 코드가 포함된 다음 단추와 같은 개체를 사용자가 클릭하도록 유도하는 여러 유형의 CSRF(사이트 간 요청 위조) 공격을 방지합니다. 이러한 공격은 대부분의 CSRF 방지 기술을 무력화하며 특정 브라우저 추가 기능을 안전하지 않은 방식으로 다시 구성하는 데 사용될 수 있습니다.

사회 공학 및 개인 정보 보호

  • 주소 표시줄 도메인 강조 표시. Internet Explorer 8에서는 사용자가 보다 쉽게 웹 주소(URL)을 해석하고 허위 또는 피싱 사이트를 피할 수 있도록 사이트의 도메인 이름이 강조 표시됩니다. 주소 표시줄에서 도메인 이름은 검정 문자로 표시되고 URL 문자열의 나머지 부분은 회색으로 표시됩니다. 사용자는 사이트의 진정한 실체를 더욱 쉽게 식별할 수 있습니다. Internet Explorer 8의 향상된 주소 표시줄 기능을 확장 유효성 검사 SSL 인증서와 같은 다른 기술과 함께 사용하면 보다 쉽게 사용자가 신뢰하는 사이트에만 개인 정보를 제공하도록 할 수 있습니다.

  • SmartScreen 필터. SmartScreen 필터의 맬웨어 보호 기능은 악의적인 소프트웨어를 배포하는 웹 사이트를 식별하고 차단하는 데 초점을 맞춥니다. 신뢰도 기반 기능으로서 SmartScreen 필터는 기존 악성 사이트에서 발생하는 새로운 위협이 기존의 바이러스 백신 소프트웨어 또는 맬웨어 방지 서명에 의해 아직 차단되지 않는 경우에도 이러한 위협을 차단할 수 있습니다. SmartScreen 필터는 탐색 또는 파일 다운로드를 차단할 수 있습니다. 이러한 제어 수준을 통해 Internet Explorer 8에서 악성 사이트 전체, 사이트 일부 또는 단일 악성 다운로드(예: 정보 교류 네트워킹 또는 파일 공유 사이트)를 차단할 수 있습니다. SmartScreen 필터가 활성화되어 있는 경우 사용자가 잠재적으로 안전하지 않은 소프트웨어를 다운로드하려고 하면 수행할 수 있는 대체 조치가 나열된 알림 메시지가 표시됩니다. IT 관리자는 경고 메시지가 표시될 경우 사용자가 선택할 수 있는 대체 조치를 비롯해 그룹 정책을 사용하여 SmartScreen 필터를 관리할 수 있습니다.

  • 개인 정보 보호 기능. Internet Explorer 8에서는 사용자가 개인 정보를 보다 효과적으로 제어할 수 있도록 몇 가지 새로운 개인 정보 보호 기능 및 향상된 기능을 제공합니다. 이러한 기능은 모두 그룹 정책을 사용하여 관리할 수 있습니다.

    • 즐겨찾기 및 검색 기록 삭제. Internet Explorer 8에서는 사용자가 자신의 검색 기록을 삭제할 때 즐겨찾기 메뉴와 연결된 정보를 보존할 수 있습니다. 이를 통해 사용자는 쿠키, 저장된 암호, 웹 양식 정보 등 브라우저 기록에서 삭제할 항목을 보다 효과적으로 제어할 수 있습니다.

    • InPrivate 브라우징. 사용자가 워크스테이션, 휴대용 컴퓨터 또는 공개 키오스크를 공유하는 상황에서 다음 사용자가 사용할 수 있도록 브라우저 기록을 남겨 둘 경우 개인 정보 보호 및 보안이 침해될 수 있습니다. Internet Explorer 8의 InPrivate 브라우징 기능은 검색 기록, 쿠키, 임시 인터넷 파일 또는 기타 데이터를 저장하지 않음으로써 이러한 브라우저 기록이 남아 있지 않도록 해 줍니다.

    • InPrivate 필터링. 시간이 지남에 따라 사용자의 기록 및 프로필 정보가 자신도 모르게 악성 스크립트 또는 추적 쿠키에 의해 집계되고 추적될 수 있습니다. InPrivate 필터링은 다양한 웹 사이트를 방문할 때 발견되는 이러한 스크립트 및 쿠키를 추적하고 11회 이상 발견될 경우 이를 자동으로 차단합니다. 또한 InPrivate 필터링에서는 사용자 및 IT 관리자가 허용하거나 차단할 사이트를 수동으로 선택할 수 있습니다.

서버 운영 체제를 위한 Internet Explorer 8의 보안 강화 구성 변경 내용

Internet Explorer에서 사용자는 로컬 인트라넷 영역 및 신뢰할 수 있는 사이트 영역에 대한 보안 설정을 구성할 수 있습니다. 기본적으로 인터넷 영역 및 제한된 사이트 영역에 대한 보안 설정은 변경할 수 없습니다. Internet Explorer 보안 강화 구성은 이러한 영역에 대해 다음과 같이 보안 수준을 할당합니다.

  • 인터넷 영역의 경우 보안 수준은 높음으로 설정됩니다.

  • 신뢰할 수 있는 사이트 영역의 경우 보안 수준은 대부분의 인터넷 사이트 검색을 허용하는 보통으로 설정됩니다.

  • 로컬 인트라넷 영역의 경우 보안 수준은 사용자 자격 증명(사용자 이름 및 암호)을 필요한 사이트 및 응용 프로그램에 자동으로 보내도록 허용하는 보통-낮음으로 설정됩니다.

  • 제한된 사이트 영역의 경우 보안 수준은 높음으로 설정됩니다.

note참고
모든 인터넷 및 인트라넷 사이트는 기본적으로 인터넷 영역에 할당됩니다. 인트라넷 사이트는 명시적으로 추가하는 경우에만 로컬 인트라넷 영역에 속합니다.

추가 리소스

이 정보가 도움이 되었습니까?
(1500자 남음)
의견을 주셔서 감사합니다.

커뮤니티 추가 항목

추가
Microsoft는 MSDN 웹 사이트에 대한 귀하의 의견을 이해하기 위해 온라인 설문 조사를 진행하고 있습니다. 참여하도록 선택하시면 MSDN 웹 사이트에서 나가실 때 온라인 설문 조사가 표시됩니다.

참여하시겠습니까?
표시:
© 2014 Microsoft. All rights reserved.