Lync Server 2010용 클라이언트 보안

마지막으로 수정된 항목: 2011-07-17

Microsoft Lync Server 2010 네트워크를 배포하기 전에 클라이언트를 구성할 경우 클라이언트 보안을 향상시키기 위해 다음과 같은 권장 방법을 따르십시오.

• 최신 서비스 팩이 적용된 Windows 7, Windows Vista 또는 Windows XP를 사용합니다.

• 미디어 암호화 및 기타 기능에 대한 클라이언트 정책을 구성합니다. 이러한 주요 정책 중 일부는 예를 들어 로그인이 완료될 때까지 클라이언트에서 사용해야 하는 기본 서버 및 보안 모드를 지정하는 클라이언트 부트스트랩 정책입니다. 이러한 정책은 클라이언트가 로그인하여 서버에서 인밴드 프로비전 설정을 받기 시작하기 전에 적용되므로 처음 로그인하기 전에 클라이언트 컴퓨터의 레지스트리에 존재해야 합니다. 전역 정책을 사용하여 이러한 정책을 구성할 수 있습니다. 또한 클라이언트 배포 전에 Lync Server 관리 셸을 사용하여 구성해야 하는 특정 설정이 있습니다. 이러한 정책 및 설정에 대한 자세한 내용은 계획 설명서에서 주요 클라이언트 정책 및 설정을 참조하십시오.

• 암호화된 신호를 제공하는 TLS를 사용하도록 Lync 2010을 구성합니다. 사용자가 TCP를 사용하는 서버에 연결할 때는 미디어와는 달리 암호화되는 통신의 경우에도 기밀이 보호되지 않습니다. 즉, 공격자가 암호화 키를 가로채 메시지 암호를 해독하는 데 사용할 수 있습니다. TCP를 통한 클라이언트 연결을 허용해야 하는 경우에는 이러한 취약점에 주의하십시오.

• 사용자 간에 파일을 전송할 때는 피어 투 피어 방식을 사용합니다. 모든 파일 전송은 기본적으로 암호화됩니다. 사용자가 전송된 파일을 열기 전에 바이러스 검사를 실행하도록 하십시오.

• 클라이언트 연결 및 메시지에 대한 제한을 고려합니다.

• 사용 요구 사항에 따라 사용자를 격리합니다.

• 클라이언트에서 바이러스 백신 소프트웨어를 실행합니다.

• 업데이트와 보안 업데이트를 자주 확인하여 적용합니다.

• 권장하는 강력한 암호 작성 방법을 사용합니다.

• 필요한 서비스 및 응용 프로그램만 실행합니다.

• 사용자 GPO에 대해 SIP 상위 보안 모드 필요 그룹 정책 설정을 사용하도록 설정합니다.

일반적으로 Active Directory에서 각 사용자 계정을 활성화 또는 비활성화하여 사용자 계정에 대한 액세스를 제어합니다. 하지만 사용자 계정을 비활성화했을 때 사용자가 Lync Server 2010에 로그인되어 있으면 사용자가 로그아웃할 때까지 계속해서 액세스 권한을 갖습니다. 또한 사용자는 해당 사용자 계정이 Active Directory에서 비활성화된 후에도 최대 180일(기본 Lync 인증서 만료 시간) 동안 로그인할 수 있습니다. 이를 방지하기 위해서는 인증서 기반 인증을 비활성화하거나 인증서 만료 시간을 줄일 수 있습니다. 적합한 인증서가 있는 사용자만 Lync Server 2010에 액세스하도록 보장하기 위해 다음을 수행할 수도 있습니다.

• Active Directory에서 사용자를 비활성화하고 해당 사용자가 Lync Server 2010에 액세스할 수 없는지 확인하려면 Lync Server 관리 셸을 사용하여 Disable-CsUser cmdlet을 실행합니다. 그러면 사용자가 강제로 로그아웃되고(사용자가 로그인된 경우) 사용자를 다시 활성화하지 않는 한 사용자가 다시 로그인할 수 없도록 방지합니다.

  주의:
  Disable-CsUser cmdlet을 실행하면 사용자 데이터가 삭제됩니다. 사용자 데이터를 유지해야 할 경우 이 cmdlet을 사용하지 마십시오. 대신 Set-CSUser -Enabled $false -Identity <userIdentity>를 사용하여 모든 Lync 기능(인증서 인증뿐만 아니라 모든 기능)을 비활성화하지만 사용자 데이터는 계속 유지합니다. 또한 Revoke-CsClientCertificate를 사용하여 클라이언트 액세스를 방지할 수도 있습니다.

• 사용자의 암호가 손상되었을 가능성이 있어서 이를 Active Directory에서 다시 설정한 경우 Lync Server 관리 셸을 사용하여 Revoke-CSClientCertificate cmdlet을 실행합니다. 그러면 클라이언트 인증서가 취소되고 이후에 이전 암호를 사용하여 계정에 로그인할 수 없도록 방지합니다.

이러한 cmdlet의 사용에 대한 자세한 내용은 작업 설명서의 Lync Server 관리 셸 섹션에서 특정 cmdlet을 참조하십시오.