Office 2013에 대한 Office 파일 유효성 검사 설정 계획

 

적용 대상: Office 365 ProPlus, Office client

마지막으로 수정된 항목: 2016-12-16

요약: Office 파일 유효성 검사 설정을 통해 Office 2013에서 파일 형식 공격을 방지할 수 있는 방법을 설명합니다.

대상: IT 전문가

Office 파일 유효성 검사는 Excel 2013, PowerPoint 2013 또는 Word 2013에서 Office 파일을 열기 전에 Office 이진 파일 형식을 검사하여 파일 형식 공격을 방지하도록 도와주는 Office 2013의 보안 기능입니다. Office 파일 유효성 검사 설정을 구성하여 Office 2013에서 Microsoft Office 이진 파일에 저장된 파일의 유효성을 검사하는 방식을 변경할 수 있습니다.

Office 보안을 안내하기 위한 로드맵 화살표

이 문서는 Office 2013 보안 가이드의 일부입니다. 이 로드맵을 Office 2013 보안 평가를 위한 문서, 다운로드, 포스터 및 비디오의 시작 지점으로 활용하십시오.

개별 Office 2013 응용 프로그램에 대한 보안 정보가 필요하십니까? Office.com에서 "2013 보안"으로 검색하면 필요한 정보를 확인하실 수 있습니다.

이 문서의 내용

  • Office 2013에서 Office 파일 유효성 검사 설정 계획

  • Office 2013에서 Office 파일 유효성 검사 해제

  • Office 2013에서 유효성 검사에 실패한 경우 문서 동작 변경

  • Office 2013에서 Office 파일 유효성 검사 보고 해제

Office 2013에서 Office 파일 유효성 검사 설정 계획

Office 파일 유효성 검사를 통해 파일 형식 공격 또는 파일 퍼지 공격으로 알려진 일종의 익스플로잇을 감지하고 방지할 수 있습니다. 파일 형식 공격은 파일의 무결성을 악용합니다. 이 공격은 악성 코드를 추가할 의도로 파일 구조를 수정하는 방식으로 실행됩니다. 악성 코드는 원격으로 실행되는 경우가 많고 컴퓨터에서 제한된 계정의 권한을 상승시키는 데 사용됩니다. 따라서 공격자는 이전에 액세스할 수 없던 컴퓨터에 대한 액세스 권한을 얻을 수 있습니다. 이를 통해 공격자는 컴퓨터의 하드 디스크 드라이브에서 중요한 정보를 읽거나 웜 또는 키 로깅 프로그램과 같은 맬웨어를 설치할 수 있습니다. Office 파일 유효성 검사 기능을 사용하면 파일을 열기 전에 파일을 검사하고 유효성을 확인하여 파일 형식 공격을 방지할 수 있습니다. 파일의 유효성을 검사하기 위해 Office 파일 유효성 검사에서는 파일 구조를 미리 정의된 파일 스키마, 즉 읽을 수 있는 파일의 모양을 결정하는 규칙 집합과 비교합니다. Office 파일 유효성 검사에서 파일 구조가 스키마에 설명된 일부 규칙을 따르지 않는 것으로 감지된 경우 해당 파일은 유효성 검사를 통과하지 못합니다.

파일 형식 공격은 Office 이진 파일 형식으로 저장된 파일에서 가장 자주 발생합니다. Office 파일 유효성 검사에서는 다음과 같은 종류의 파일을 검사하고 유효성을 확인합니다.

  • Excel 97~2003 통합 문서 파일. 이러한 파일은 확장명이 .xls이며, 모든 BIFF8(Binary Interchange File Format 8) 파일을 포함합니다.

  • Excel 97~2003 서식 파일. 이러한 파일은 확장명이 .xlt이며, 모든 BIFF8 파일을 포함합니다.

  • Microsoft Excel 5.0/95 파일. 이러한 파일은 확장명이 .xls이며, 모든 BIFF5 파일을 포함합니다.

  • PowerPoint 97~2003 프레젠테이션 파일. 이러한 파일은 확장명이 .ppt입니다.

  • PowerPoint 97~2003 쇼 파일. 이러한 파일은 확장명이 .pps입니다.

  • PowerPoint 97~2003 서식 파일. 이러한 파일은 확장명이 .pot입니다.

  • Word 97~2003 문서 파일. 이러한 파일은 확장명이 .doc입니다.

  • Word 97~2003 서식 파일. 이러한 파일은 확장명이 .dot입니다.

Office 2013에서는 Office 파일 유효성 검사 기능의 동작 방식을 변경할 수 있는 여러 가지 설정을 제공합니다. 이러한 설정을 사용하여 다음을 수행할 수 있습니다.

  • Office 파일 유효성 검사 해제

  • 파일이 유효성 검사에 실패한 경우 문서 동작 지정

  • Office 2013에서 Microsoft에 Office 파일 유효성 검사 정보를 보내지 못하도록 차단

참고

OCT(Office 사용자 지정 도구) 및 Office 2013 관리 템플릿에서 보안 설정을 구성하는 방법에 대한 자세한 내용은 OCT 또는 그룹 정책을 사용하여 Office 2013에 대한 보안 구성을 참조하세요.

Office 파일 유효성 검사는 Excel 2013, PowerPoint 2013 및 Word 2013에서 기본적으로 사용하도록 설정됩니다. 유효성 검사에 실패한 모든 파일은 제한된 보기로 열립니다. 사용자는 이러한 파일에 대한 편집을 사용하도록 설정할 수 있습니다. 또한 사용자에게 Office 파일 유효성 검사 정보를 Microsoft로 보낼지 묻는 메시지가 나타납니다. 사용자가 사용 권한을 부여한 경우, 유효성 검사에 실패한 파일에 대한 정보만 수집되어 Microsoft로 전송됩니다.

Office 파일 유효성 검사의 기본 설정은 변경하지 않는 것이 좋지만, 일부 조직에서는 특정 보안 요구 사항에 맞게 Office 파일의 유효성 검사 설정을 구성해야 할 수 있습니다. 특히 다음과 같은 유형의 조직에는 Office 파일 유효성 검사 기능의 기본 설정을 변경해야 할 수도 있는 보안 요구 사항이 있습니다.

  • 인터넷 액세스를 제한하는 조직. Office 파일 유효성 검사에서는 사용자에게 약 2주 간격으로 유효성 검사 오류 정보를 Microsoft로 보낼지 묻는 메시지를 표시합니다. 이는 조직의 인터넷 액세스 정책을 위반할 수 있습니다. 이 경우 Office 파일 유효성 검사에서 Microsoft로 정보를 보내지 못하도록 선택할 수 있습니다. 자세한 내용은 이 문서 뒷부분에 나오는 Office 2013에서 Office 파일 유효성 검사 보고 해제를 참조하세요.

  • 보안 환경이 매우 엄격한 조직. 유효성 검사에 실패한 파일을 열 수 없거나 제한된 보기로만 열 수 있도록 Office 파일 유효성 검사를 구성할 수 있습니다. 이는 Office 파일 유효성 검사의 기본 설정보다 더 제한적이므로 잠겨 있는 보안 환경을 유지하는 조직에 적합할 수 있습니다. 문서 동작을 변경하는 방법에 대한 자세한 내용은 이 문서 뒷부분에 나오는 Office 2013에서 유효성 검사에 실패한 경우 문서 동작 변경을 참조하세요.

  • 파일을 Microsoft로 보내지 않으려는 조직. 사용자가 허용한 경우 Office 파일 유효성 검사에서는 유효성 검사에 실패한 모든 파일의 복사본을 Microsoft로 보냅니다. 사용자에게 유효성 검사 정보를 Microsoft로 보낼지 묻는 메시지를 표시하지 않도록 Office 파일 유효성 검사를 구성할 수 있습니다.

Office 2013에서 Office 파일 유효성 검사 해제

파일 유효성 검사 해제 설정을 사용하여 Office 파일 유효성 검사를 사용하지 않도록 설정할 수 있습니다. 이 설정은 Excel 2013, PowerPoint 2013 및 Word 2013에서 응용 프로그램 단위로 구성해야 합니다. 이 설정은 Office 이진 파일 형식으로 저장된 파일에 대한 검사 및 유효성 확인을 차단합니다. 예를 들어 Excel 2013에서 파일 유효성 검사 해제 설정을 사용하도록 설정한 경우 Office 파일 유효성 검사 시 Excel 97-2003 통합 문서 파일, Excel 97-2003 서식 파일 또는 Microsoft Excel 5.0/95 파일을 검사하거나 유효성을 확인하지 않습니다. 이러한 파일 형식 중 하나에 파일 형식 공격이 포함된 경우에 사용자가 이 파일을 열면 다른 보안 제어에서 이러한 공격을 감지하고 방지하지 않는 한 공격이 감지되거나 방지되지 않습니다.

따라서 Office 파일 유효성 검사를 해제하지 않는 것이 좋습니다. Office 파일 유효성 검사는 Office 2013의 계층형 방어 전략에서 중요한 부분을 차지하므로 조직 전체의 모든 컴퓨터에서 사용하도록 설정해야 합니다. Office 파일 유효성 검사를 통해 파일의 유효성을 검사하지 않으려는 경우에는 신뢰할 수 있는 위치 기능을 사용하는 것이 좋습니다. 이 기능을 사용하면 신뢰할 수 있는 위치에서 열린 파일에 대한 Office 파일 유효성 검사가 생략됩니다. 또한 신뢰할 수 있는 문서 기능을 사용하여 Office 파일 유효성 검사를 통한 파일의 유효성 검사를 방지할 수도 있습니다. 이 경우 신뢰할 수 있는 문서로 간주되는 파일에는 Office 파일 유효성 검사가 실행되지 않습니다.

Office 2013에서 유효성 검사에 실패한 경우 문서 동작 변경

파일 유효성 검사가 실패할 경우의 문서 동작 설정 그룹 정책 설정을 사용하여 유효성 검사에 실패한 경우 문서의 동작 방식을 변경할 수 있습니다. 이 설정을 사용하도록 설정한 경우 다음의 두 옵션 중 하나를 선택할 수 있습니다.

  • 파일 차단 유효성 검사에 실패한 파일이 제한된 보기로 열리지 않으며 사용자가 파일을 열어 편집할 수 없습니다.

    제한된 보기에서 열기 옵션을 선택한 경우 파일이 유효성 검사에 실패하면 메시지 표시줄에 다음 텍스트가 표시됩니다.

    제한된 보기 이 파일에 문제가 있습니다. 자세한 내용을 보려면 클릭하세요.

    사용자가 메시지 표시줄을 클릭하면 문제를 자세히 설명하는 Microsoft Office Backstage 보기가 나타납니다. 이 보기에서 사용자는 파일을 편집할 수 있습니다.

  • 제한된 보기에서 열기 옵션을 선택한 경우 사용자가 파일의 내용을 볼 수는 있지만 파일을 열어 편집할 수는 없습니다. 이 옵션은 Office 파일 유효성 검사 기능의 기본 동작을 나타냅니다.

    파일 차단 옵션을 선택한 경우 파일이 유효성 검사에 실패하면 사용자의 대화 상자에 다음 텍스트가 표시됩니다.

    이 파일을 여는 데 문제가 있습니다. 컴퓨터를 보호하기 위해 이 파일을 열지 못하도록 합니다.

    사용자는 대화 상자를 확장하여 파일이 열리지 않는 이유에 대한 자세한 설명을 확인하거나, 확인을 선택하여 대화 상자를 닫을 수 있습니다.

Office 2013에서 Office 파일 유효성 검사 보고 해제

파일 유효성 검사가 실패한 파일에 대한 오류 보고 해제 그룹 정책 설정을 사용하여 사용자에게 Microsoft로 정보를 보낼지 묻는 메시지를 표시하는 대화 상자를 표시하지 않을 수 있습니다. 이 설정을 사용하면 유효성 검사 정보도 Microsoft로 전송되지 않습니다.

파일이 유효성 검사에 실패할 때마다 Office 2013에서는 유효성 검사에 실패한 이유에 대한 정보를 수집합니다. 파일이 유효성 검사에 실패한 후 약 2주가 지나면 Office 2013에서 Office 파일 유효성 검사 정보를 Microsoft로 보낼지 묻는 메시지를 표시합니다. 유효성 검사 정보에는 파일 형식, 파일 크기, 파일을 여는 데 걸린 시간, 파일의 유효성을 검사하는 데 걸린 시간 등의 정보가 포함됩니다. 유효성 검사에 실패한 파일의 복사본도 Microsoft로 전송됩니다. 유효성 검사 정보를 Microsoft로 보낼지 묻는 메시지가 표시될 때 사용자에게 파일 목록이 표시됩니다. 사용자는 유효성 검사 정보를 Microsoft로 보내는 것을 거부할 수 있습니다. 이 경우 실패한 유효성 검사에 대한 정보가 Microsoft로 전송되지 않으며 어떤 파일도 Microsoft로 전송되지 않습니다. 조직에서 인터넷 액세스를 제한하거나, 제한적인 인터넷 액세스 정책을 유지하거나, 파일을 Microsoft로 보내는 것을 원치 않는 경우 파일 유효성 검사가 실패한 파일에 대한 오류 보고 해제 그룹 정책 설정을 사용하도록 설정해야 할 수도 있습니다.

중요

경우에 따라서는 Office 파일 유효성 검사 기능에서 실제로 파일이 유효한 경우에도 유효성 검사에 실패했음을 나타낼 수 있습니다. 유효성 검사 보고 기능은 Microsoft에서 Office 파일 유효성 검사 기능을 개선하고 가양성 결과의 발생을 최소화하도록 도와줍니다.

참고

그룹 정책 설정에 대한 최신 정보는 Office 2013 관리 템플릿 파일(ADM, ADMX, ADML) 및 OTC(Office 사용자 지정 도구) 문서를 참조하세요.

참고 항목

Office 2013의 보안 개요
Office 2013의 보안 위협 및 대책 이해
Office 2013에 대한 파일 차단 설정 계획
Office 2013에 대한 Office 파일 유효성 검사 설정 계획
Office 2013의 제한된 보기 설정 계획
OCT 또는 그룹 정책을 사용하여 Office 2013에 대한 보안 구성