이 부록에는 EC(엔터프라이즈 클라이언트) 환경과 SSLF(특수 보안 - 기능 제한) 환경에 대한 보안 정책 설정이 나와 있습니다. 이 부록에서는 WindowsVista 보안 가이드의 1장, "기본 보안 구현"과 5장, "특수 보안 - 기능 제한"에 나와 있는 자동화된 프로세스를 통해 구성된 권장 설정도 제공합니다. 이 가이드와 함께 제공되는 Windows Vista Security Guide Settings.xls 파일에서는 설정 값을 비교하는 데 사용할 수 있는 다른 리소스를 제공합니다.
이 부록에 나와 있는 설정은 Windows Vista™ 운영 체제의 그룹 정책 개체 편집기 UI(사용자 인터페이스)에 표시된 방식을 따르고 있습니다.
참고 Windows Vista에 새로 추가된 그룹 정책 설정에는 § 기호를 표시했습니다.
이 가이드에서 다루는 보안 설정은 다음과 같은 세 가지 주요 섹션으로 나뉘어 있습니다.
도메인 정책. 이 섹션의 설정은 도메인에 적용됩니다.
컴퓨터 정책. 이 섹션의 설정은 도메인의 데스크톱 및 랩톱 컴퓨터에 적용됩니다.
사용자 정책. 이 섹션의 설정은 도메인의 사용자에 적용됩니다.
각 주요 섹션의 표에는 설정 이름이 나열되어 있으며 이 가이드에 규정되어 있는 EC 및 SSLF 보안 구성에 대해 엔지니어링 팀에서 개발한 기본 값도 제시되어 있습니다.
사용 가능한 값은 설정에 따라 크게 달라질 수 있습니다. 대부분의 설정은 사용 또는 사용 안 함이나 그룹 정책 개체 편집기에 나와 있는 다른 값으로 구성됩니다. 그러나 설정에 따라서는 숫자 값이나 보안 그룹을 지정해야 하는 경우도 많습니다.
사용자 권한 정책 설정에는 특정 사용자 및 그룹 이름이 필요합니다. 특정 사용자 권한이 사용자 또는 그룹에 부여되지 않은 경우에는 그룹 정책 개체 편집기에 해당 설정이 사용 가능한 것으로 표시되더라도 이와 관련한 사용자나 그룹이 나열되지 않습니다. 이 부록의 표에서는 이와 같이 구성된 설정을 나타내는 데 없음이라는 값을 사용합니다.
정의되지 않음 또는 구성되지 않음으로 지정되어 있는 설정은 이 가이드에 포함된 GPO(그룹 정책 개체)의 영향을 받지 않습니다. 이는 앞서 설명한 없음으로 지정된 설정과 전혀 다릅니다. 이 가이드에 포함된 GPO를 통해 수정되지 않는 설정은 사용자의 환경에서 다른 GPO를 통해 이미 설정을 구성한 경우 로컬 컴퓨터 관리자가 손쉽게 수정할 수 있습니다. 이 경우 해당 환경에서 구성을 일관되게 유지하기 어려우므로 보안에 문제가 발생할 수 있습니다. 따라서 대부분의 규범적 설정에서는 단순히 Windows Vista 기본 설정을 적용합니다.
다음 표에서는 서로 다른 결과를 가져올 수 있는 구성을 이해하는 데 도움이 되는 몇 가지 예를 보여 줍니다.
표 A1. 사용자 권한 할당 예
설정
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
터미널 서비스를 통한 로그온 허용
Administrators, Remote Desktop Users
정의되지 않음
없음
프로세스에 대한 메모리 할당량 조정
Administrators, Local Service, Network Service
정의되지 않음
Administrators, Local Service, Network Service
**터미널 서비스를 통한 로그온 허용** 설정의 기본값을 살펴보십시오. **EC 컴퓨터 GPO**에서는 이 설정이 **정의되지 않음**입니다. 즉, 기본값이 변경되지 않았습니다. 그러나 **SSLF 컴퓨터 GPO**에서는 이 설정이 **없음**(그룹 정책 개체 편집기에서 비어 있는 활성 설정)입니다. 즉, 어떠한 사용자나 그룹도 터미널 서비스를 통해 로그온하는 데 필요한 권한을 갖고 있지 않습니다. 또한, 로컬 컴퓨터 관리자는 이 설정을 쉽사리 변경할 수 없습니다. 이 설정이 그룹 정책을 통해 적용되고 있기 때문입니다.
**프로세스에 대한 메모리 할당량 조정** 설정의 기본값을 살펴보십시오. 이 경우에도 **EC 컴퓨터 GPO**에서는 기본값을 수정하지 않았습니다. 이 구성에서는 로컬 컴퓨터 관리자가 이 설정을 손쉽게 수정할 수 있습니다. 그러나 SSLF 환경에서는 **SSLF 컴퓨터 GPO**를 통해 기본 설정이 강제 적용되므로 이 설정을 쉽게 수정할 수 없습니다.
마지막으로, 이 가이드에서 규정하고 있는 설정 중에는 올바른 기능을 수행하기 위해 특정 환경 정보를 필요로 하는 설정이 여럿 있습니다. 이 가이드에 포함된 GPO에서 이러한 설정을 다루기는 불가능하므로 해당 설정을 표에서 구성할 때는 **권장**이라는 값을 사용합니다. 이러한 설정을 올바르게 구성하려면 더 자세한 조사가 필요합니다.
.gif)**경고:**
이 부록에 나와 있는 여러 가지 설정의 기능은 다른 설정을 필요로 하며, 이러한 종속성은 설계 의도에 따른 것입니다. 또한 일부 설정의 값은 사용자 환경의 특정 요구 사항에 맞도록 사용자 지정해야 올바르게 작동합니다. 따라서 EC 또는 SSLF 환경에 대한 규범적 설정 값을 변경할 때는 해당 환경에서 클라이언트 컴퓨터를 충분히 테스트하여 그 기능이 모두 올바르게 작동하는지 미리 확인해야 합니다.
[](#mainsection)[페이지 위쪽](#mainsection)
### 도메인 정책
부록의 이 섹션에 나와 있는 보안 설정은 도메인에 적용됩니다. 이들 설정은 그룹 정책 개체 편집기의 **컴퓨터 구성** 노드를 통해 적용됩니다. 이 노드 내의 **Windows 설정** 하위 노드에는 다음과 같은 설정 그룹이 있습니다.
- [암호 정책 설정](#_password_policy_settings)
- [계정 잠금 정책 설정](#_account_lockout_policy)
#### 암호 정책 설정
복잡한 암호를 정기적으로 바꿔서 사용하면 암호 공격의 가능성이 낮추는 데 도움이 됩니다. 암호 정책 설정을 통해 암호의 복잡성과 수명을 제어할 수 있습니다. 암호 정책 설정은 도메인 수준의 그룹 정책을 통해서만 구성해야 합니다.
그룹 정책 개체 편집기의 다음 위치에서 암호 정책 설정을 구성할 수 있습니다.
**컴퓨터 구성\\Windows 설정\\보안 설정\\계정 정책\\암호 정책**
다음 표에서는 이 가이드에 정의된 두 가지 유형의 보안 환경에 대한 암호 정책 설정 권장 사항을 요약해서 보여 줍니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A2. 암호 정책 설정 권장 사항**
설정
Windows Vista 기본값
도메인 컨트롤러 기본값
VSG EC 도메인 GPO
VSG SSLF 도메인 GPO
최근 암호 기억
0개 암호 기억됨
24개 암호 기억됨
24개 암호 기억됨
24개 암호 기억됨
최대 암호 사용 기간
42일
42일
90일
90일
최소 암호 사용 기간
0일
1일
1일
1일
최소 암호 길이
0문자
7문자
8문자
12문자
암호는 복잡성을 만족해야 함
사용 안 함
사용
사용
사용
해독 가능한 암호화를 사용하여 암호 저장
사용 안 함
사용 안 함
사용 안 함
사용 안 함
**최근 암호 기억**
이 정책 설정은 사용자 계정과 연결할 갱신된 고유 암호 수를 결정합니다. 이와 같이 사용자 계정에 연결된 상태에서는 이전의 암호를 새 암호로 다시 사용할 수 없습니다. 이 정책 설정의 암호 수는 0부터 24개 사이여야 합니다. Windows Vista의 기본 설정은 0개이지만 도메인의 기본 설정은 24개입니다. 이 정책 설정을 유효하게 하려면 **최소 암호 사용 기간** 설정을 사용하여 사용자가 암호를 반복해서 변경하지 못하도록 합니다.
**최근 암호 기억** 설정을 **24개 암호 기억됨**으로 구성합니다.
**최대 암호 사용 기간**
이 정책 설정 값의 범위는 1일부터 999일까지입니다. 이 값을 0으로 설정하여 암호가 만료되지 않도록 지정할 수도 있습니다. 이 정책 설정은 암호가 만료되기까지 암호를 사용할 수 있는 기간을 정의합니다. 이 정책 설정의 기본값은 42일입니다. 공격자가 암호를 해독할 수도 있으므로 암호를 더 자주 변경할수록 공격자가 해독한 암호를 사용할 기회가 줄어듭니다. 그러나 이 값을 낮게 설정할수록 사용자가 암호를 변경해야 하거나 현재 암호를 잊어버려 지원 부서에 도움을 요청하는 횟수가 늘어날 수 있습니다.
**최대 암호 사용 기간** 설정을 **90일**로 구성합니다.
**최소 암호 사용 기간**
이 정책 설정은 암호를 변경하지 않은 채 계속 사용해야 할 일 수를 결정합니다. 이 정책 설정 값의 범위는 1일부터 999일까지입니다. 이 값을 0으로 설정하여 암호를 즉시 변경 가능하도록 허용할 수도 있습니다. 이 설정의 기본값은 0일입니다.
**최대 암호 사용 기간** 설정 값을 0으로 구성하지 않는 이상, **최소 암호 사용 기간** 설정 값은 **최대 암호 사용 기간** 설정에 지정된 값보다 작아야 합니다. **최대 암호 사용 기간** 설정 값이 0으로 구성되어 있으면 이 정책 설정 값을 0에서 999 사이의 어떤 값으로든 구성할 수 있습니다.
**최근 암호 기억** 설정을 유효하게 하려면 이 값을 0보다 큰 값으로 구성합니다. **최소 암호 사용 기간** 설정 값이 0이면 사용자가 이전에 즐겨 쓰던 암호가 나올 때까지 반복해서 암호를 바꿀 수 있습니다.
**최소 암호 사용 기간** 설정을 **1일**로 구성합니다. 이 값을 지정하면 암호를 변경하기 위해 하루를 꼬박 기다려야 하므로 같은 암호를 반복해서 다시 사용할 수 없습니다. 또한 암호를 다시 설정하기 전까지 적어도 하루 이상 그 암호를 사용해야 하므로 새 암호를 기억하기 쉬워집니다. 뿐만 아니라 **최근 암호 기억** 설정에 따른 제한을 효과적으로 적용할 수 있습니다.
**최소 암호 길이**
이 정책 설정은 사용자 계정의 암호를 구성하는 최소 문자 수를 결정합니다. 조직에 가장 적합한 암호 길이를 결정하는 방법에 대해서는 여러 가지 많은 이론이 있지만 "통과 구문"이 "암호"보다 더 좋은 방법일 수 있습니다. Microsoft® Windows 2000 이상의 버전에서는 통과 구문이 아주 길 수 있으며 공백을 포함할 수도 있습니다. 따라서 "I want to drink a $5 milkshake"와 같은 구문도 유효한 통과 구문입니다. 이는 임의의 숫자와 문자로 된 8자리 또는 10자리 문자열보다 훨씬 더 강력하면서도 더 쉽게 기억할 수 있습니다. 사용자는 암호를 적절히 선택하고 유지 관리하는 방법을 배워야 하며 암호 길이에 대한 지침도 숙지해야 합니다.
EC 환경에서는 **최소 암호 길이** 설정 값을 **8문자**로 구성합니다. 이 정책 설정으로도 적정 수준의 보안을 유지하기에 충분합니다. SSLF 환경에서는 이 값을 **12문자**로 구성합니다.
**암호는 복잡성을 만족해야 함**
이 정책 설정은 모든 새 암호를 검사하여 강력한 암호에 대한 기본 요구 사항을 충족하는지 확인합니다. 기본적으로 Windows Vista에서는 이 정책 설정의 값이 **사용 안 함**으로 구성되지만, 이 가이드에서 설명하는 두 환경의 Microsoft Windows Server® 2003 도메인에서는 **사용**으로 구성됩니다.
이 정책을 사용하는 경우에는 암호가 최소한 다음과 같은 요구 사항을 충족해야 합니다.
- 사용자의 계정 이름이나 사용자의 전체 이름 중 일부가 세 문자 이상 연속으로 포함되지 않아야 합니다.
- 길이가 적어도 6문자 이상이어야 합니다.
- 다음의 네 가지 범주 중 세 가지에 해당하는 문자를 포함해야 합니다.
- 영어 대문자(A – Z)
- 영어 소문자(a – z)
- 10개의 숫자(0 – 9)
- 영문자 이외의 문자(예: !, $, \#, %)
암호 길이가 한 자리씩 길어질 때마다 복잡성은 엄청나게 증가합니다. 예를 들어, 모두 영어 소문자로 이루어진 7문자로 만들 수 있는 암호의 조합은 267(약 8 x 109 또는 80억)가지입니다. 일반적인 암호 해독 유틸리티의 성능을 가정하여 초당 1,000,000번 시도할 경우 133분이면 암호를 해독할 수 있습니다. 대/소문자를 구분하는 7자리 영문자 암호의 조합은 527가지입니다. 문장 부호를 사용하지 않고 대/소문자를 구분하는 7자리의 영숫자 암호는 627가지 조합이 가능합니다. 8문자로는 268(또는 2 x 1011)가지 암호의 조합이 가능합니다. 이러한 조합의 수는 대단히 많은 것처럼 보이지만 초당 1,000,000번 시도할 경우 가능한 모든 암호를 검사하는 데 59시간이면 족합니다. Alt 문자와 " !" 또는 "@" 같은 그 밖의 특수 키보드 문자를 사용하는 암호의 경우 해독하는 데 훨씬 많은 시간이 필요합니다. 암호 설정을 제대로 사용하면 암호를 해독하려는 무작위 공격에 효과적으로 대처할 수 있습니다.
**해독 가능한 암호화를 사용하여 암호 저장**
이 정책 설정은 운영 체제에서 해독 가능한 암호화를 사용하여 암호를 저장할지를 결정합니다. 이 설정을 사용하면 인증을 위해 사용자 암호를 알아야 하는 응용 프로그램 프로토콜이 지원됩니다. 해독 가능한 암호화를 사용하여 저장한 암호는 기본적으로 암호의 일반 텍스트 버전과 동일합니다. 따라서 이 정책 설정은 암호 정보를 보호해야 할 필요성보다 응용 프로그램 요구 사항의 비중이 더 큰 경우에만 사용해야 합니다. 이 정책 설정의 기본값은 **사용 안 함**입니다.
원격 액세스 또는 IAS(인터넷 인증 서비스)를 통해 CHAP(Challenge-Handshake 인증 프로토콜)을 사용하려면 이 정책 설정을 사용해야 합니다. IIS(인터넷 정보 서비스)에서 다이제스트 인증을 사용할 때도 이 정책 설정이 필요합니다.
**도메인 내의 모든 사용자에 대해 해독 가능한 암호화를 사용하여 암호 저장** 설정은 워크스테이션 및 서버의 로컬 보안 정책과 Windows Server 2003의 기본 도메인 GPO(그룹 정책 개체)에 포함되어 있으므로 이 설정을 **사용 안 함**으로 구성해야 합니다. 이 가이드에 정의된 두 환경에서도 이 정책 설정은 **사용 안 함**입니다.
##### 필요한 경우에만 사용자 암호를 변경하는 방법
이러한 암호 정책 외에도 조직에 따라서는 모든 사용자를 중앙 집중식으로 제어해야 하는 경우가 있습니다. 이 섹션에서는 필요한 경우가 아니면 사용자가 자신의 암호를 변경하지 못하도록 하는 방법을 설명합니다.
사용자 암호를 중앙에서 제어하는 시스템은 잘 만들어진 Windows Vista 보안 구성의 기초가 됩니다. 그룹 정책을 사용하면 앞서 살펴본 바와 같이 최소 및 최대 암호 사용 기간을 설정할 수 있습니다. 그러나 암호를 자주 변경하도록 지정하면 작업 환경에 대한 **최근 암호 기억** 설정이 효과를 발휘할 수 없습니다. 너무 긴 암호를 사용하도록 지정하면 암호를 잊어버린 사람들이 지원 부서에 문의하는 일이 많아질 수 있습니다.
사용자는 최소 및 최대 암호 사용 기간으로 설정된 범위 내에서 자신의 암호를 변경할 수 있습니다. 그러나 SSLF 환경의 보안 디자인에서는 암호 사용 기간이 최대 42일에 도달한 후 운영 체제에서 해당 메시지가 나타날 경우에만 사용자가 암호를 변경하도록 해야 합니다. 이 수준의 제어 권한을 얻기 위해 관리자는 Ctrl+Alt+Delete를 누를 때 나타나는 **Windows 보안** 대화 상자에서 **암호 변경** 단추를 비활성화할 수 있습니다.
그룹 정책을 통해 전체 도메인에 대해 이 구성을 구현하거나, 레지스트리를 편집하여 한 명 이상의 특정 사용자에 대해 구성을 구현할 수 있습니다. 이 구성에 대한 자세한 내용은 Microsoft 기술 자료 문서 324744, "[Windows Server 2003에서 필요한 경우를 제외하고 사용자가 암호를 변경하지 못하게 하는 방법](https://support.microsoft.com/kb/324744)"을 참조하십시오. Windows 2000 기반 도메인을 사용하는 경우에는 기술 자료 문서 309799, "[How To: Prevent Users from Changing a Password Except When Required in Windows 2000](https://support.microsoft.com/kb/309799)"을 참조하십시오.
#### 계정 잠금 정책 설정
계정 잠금 정책은 사용자 계정을 잠그는 Active Directory® 디렉터리 서비스 보안 기능입니다. 이 잠금 기능을 사용하면 지정된 기간 내에 지정된 횟수만큼 로그온을 시도하여 실패하는 경우 더 이상 로그온하지 못하도록 해당 계정을 차단할 수 있습니다. 도메인 컨트롤러에서는 계정 로그아웃 설정에 대해 구성된 값을 기준으로 하여 허용된 로그온 시도 횟수 및 기간과 로그온 시도를 추적합니다. 뿐만 아니라 잠금 기간을 지정할 수도 있습니다.
이러한 정책 설정은 공격자가 사용자 암호를 추측하여 로그온을 시도하지 못하게 하는 데 도움이 되며 네트워크 환경의 공격 가능성을 줄여 줍니다. 그러나 계정 잠금 정책을 설정하면 네트워크 사용자에 대한 지원 문제가 더 많이 발생할 수 있습니다. 다음 설정을 사용하기 전에 조직에서 이러한 추가 관리 오버헤드를 수용할 수 있는지 확인해야 합니다. 많은 조직에서는 도메인 컨트롤러의 보안 이벤트 로그를 자동으로 검사하고 누군가가 사용자 계정의 암호를 추측하려고 시도할 때 관리 경고를 발생시키는 저렴하고 뛰어난 솔루션을 필요로 합니다.
그룹 정책 개체 편집기의 다음 위치에서 계정 잠금 정책 설정을 구성할 수 있습니다.
**컴퓨터 구성\\Windows 설정\\보안 설정**
**\\계정 정책\\계정 잠금 정책**
다음 표에는 이 가이드에 정의된 두 보안 환경에 대한 계정 잠금 정책 설정의 권장 사항이 나와 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A3. 계정 잠금 정책 설정 권장 사항**
설정
Windows Vista 기본값
도메인 컨트롤러 기본값
VSG EC 도메인 GPO
VSG SSLF 도메인 GPO
계정 잠금 기간
정의되지 않음
정의되지 않음
15분
15분
계정 잠금 임계값
0번의 잘못된 로그온 시도
0번의 잘못된 로그온 시도
50번의 잘못된 로그온 시도
10번의 잘못된 로그온 시도
다음 시간 후 계정 잠금 수를 원래대로 설정
정의되지 않음
정의되지 않음
15분
15분
**계정 잠금 기간**
이 정책 설정은 계정을 잠가 두는 기간을 결정합니다. 여기서 지정한 기간이 경과해야만 잠긴 계정의 잠금이 해제되고 사용자가 다시 로그온을 시도할 수 있습니다. 이 설정은 잠긴 계정을 사용할 수 없는 시간(분)을 지정합니다. 이 정책 설정 값을 0으로 구성하면 잠긴 계정은 관리자가 해당 계정의 잠금을 수동으로 해제할 때까지 잠긴 상태로 유지됩니다. 이 정책 설정에 대한 Windows Vista 기본값은 **정의되지 않음**입니다.
지원 요청 횟수를 줄이고 보안 인프라를 제공하려면 이 가이드에 정의된 EC 및 SSLF 환경에 대한 **계정 잠금 기간** 설정 값을 **15**분으로 구성합니다.
이 정책 설정을 높은 값으로 구성하는 것이 적절해 보일 수 있지만, 이와 같이 구성하면 지원 부서에서는 실수로 잠근 계정에 대한 해제 요청을 많이 받을 수 있습니다. 권장 설정 값인 15분은 사용자가 다시 로그온할 수 있을 때까지 기다리기에 적당한 시간이며, 무작위로 암호를 알아내려는 공격으로부터 방어하는 데 적절한 수준의 보호 수단이 될 수 있습니다. 사용자에게는 잠금이 유지되는 시간을 미리 알려줘야 합니다. 이렇게 하면 해당 컴퓨터에 즉시 액세스해야 하는 매우 급한 상황을 제외하고는 지원 부서에 도움을 요청하는 경우를 줄일 수 있습니다.
**계정 잠금 임계값**
이 정책 설정은 로그온에 실패하더라도 계정이 잠기기 전까지 다시 로그온을 시도할 수 있는 횟수를 결정합니다. 권한이 부여된 사용자라도 암호를 잘못 입력하거나, 암호를 잘못 기억하고 있거나, 다른 컴퓨터에 로그온한 상태에서 현재 컴퓨터의 암호를 변경하려 할 수 있으며, 이 경우 해당 사용자 자신의 계정이 잠길 수 있습니다. 컴퓨터에서 계속하여 잘못된 암호로 사용자를 인증하려 하고, 사용자를 인증하는 데 사용되는 암호가 올바르지 않으므로 계정이 잠집니다. 권한이 부여된 사용자의 계정이 실수로 잠기지 않도록 하려면 계정 잠금 임계값을 더 큰 값으로 설정하십시오. 이 정책 설정의 기본값은 0번의 잘못된 로그온 시도이며 이 경우 계정 잠금 기능이 사용되지 않습니다.
**계정 잠금 임계값** 설정 값을 EC 환경에 대해서는 **50번의 잘못된 로그온 시도**로, SSLF 환경에 대해서는 **10번의 잘못된 로그온 시도**로 구성합니다.
공격자가 수많은 계정에 대한 잠금을 트리거하여 이 잠금 상태를 DoS(서비스 거부) 공격으로 사용할 수 있으므로 조직에서는 확인된 위협과 완화하려는 위험 요소를 기준으로 이 정책 설정을 사용할지 결정해야 합니다. 이 정책을 설정할 때는 두 가지 옵션을 고려해야 합니다.
- **계정 잠금 임계값**을 **0**으로 구성합니다. 이 설정 값은 조직의 계정을 잠그려고 시도하는 DoS 공격을 방지합니다. 또한 사용자들이 계정을 실수로 잠그는 경우가 발생하지 않으므로 지원 부서에 도움을 요청하는 횟수도 줄어듭니다. 그러나 이 값을 설정하면 암호를 해독하려는 무작위 공격을 막을 수 없습니다. 다음과 같은 방어 대책도 고려해야 합니다.
- 모든 사용자에게 8자 이상으로 구성된 복잡한 암호를 사용하도록 요구하는 암호 정책을 세울 수 있습니다.
- 해당 환경에서 일련의 계정 잠금이 발생할 때 관리자에게 경고하는 강력한 감사 메커니즘을 활용할 수 있습니다. 예를 들어, 로그온 실패를 나타내는 보안 이벤트 539가 발생했는지 모니터링하도록 감사 솔루션을 구현해야 합니다. 이 이벤트는 로그온할 때 해당 계정이 잠겼음을 의미합니다.
두 번째 옵션은 다음과 같습니다.
- **계정 잠금 임계값**을 구성합니다. 잘못된 로그온 시도 횟수를 EC 환경에서는 50번으로, SSLF 환경에서는 10번으로 설정하면 보안과 편리성을 어느 정도 만족시킬 수 있습니다. 이 구성은 부주의로 인한 계정 잠금을 방지하고 지원 부서에 접수되는 도움 요청을 줄이지만 DoS 공격을 막지는 않습니다.
**다음 시간 후 계정 잠금 수를 원래대로 설정**
이 정책 설정은 **계정 잠금 임계값**이 0으로 다시 설정되기까지의 시간을 결정합니다. 이 정책 설정의 기본값은 **정의되지 않음**입니다. **계정 잠금 임계값**을 정의한 경우 이 재설정 시간은 **계정 잠금 기간** 설정 값보다 작거나 같아야 합니다.
이 가이드에 정의된 EC 및 SSLF 환경 모두에 대해 **다음 시간 후 계정 잠금 수를 원래대로 설정** 값을 **15분**으로 구성합니다.
이 정책 설정을 기본값으로 두거나 너무 긴 간격으로 구성하면 DoS 공격을 받기 쉬워질 수 있습니다. 공격자는 악의적인 의도를 갖고 조직의 모든 사용자 계정을 통해 여러 차례에 걸친 로그온 시도 실패를 유발할 수 있으며 이 경우 이 부록의 앞부분에서 설명하고 있는 것처럼 계정이 잠깁니다. 계정 잠금을 재설정하는 정책을 결정하지 않았다면 관리자가 직접 이 작업을 수행해야 합니다. 반대로, 이 정책 설정을 적당한 시간 값으로 구성하면 사용자의 잠김 상태가 유지되다가 설정된 기간이 지나면 모든 계정의 잠금이 자동으로 해제됩니다. 권장되는 설정 값인 15분은 사용자가 수긍할 수 있는 적당한 시간이며 지원 부서에 대한 문의 횟수를 최소화하는 데도 도움이 됩니다. 사용자에게는 다시 로그온을 시도할 수 있을 때까지 기다려야 하는 시간을 미리 알려줘야 합니다. 이렇게 하면 해당 컴퓨터에 즉시 액세스해야 하는 매우 급한 상황을 제외하고는 지원 부서에 도움을 요청하는 경우를 줄일 수 있습니다.
[](#mainsection)[페이지 위쪽](#mainsection)
### 컴퓨터 정책
부록의 이 섹션에서는 도메인의 데스크톱 및 랩톱 컴퓨터에 적용되는 보안 정책을 설명합니다. 이들 설정은 그룹 정책 개체 편집기의 **컴퓨터 구성** 노드를 통해 적용됩니다. 이 설정은 이 노드의 하위 노드인 **Windows 설정** 및 **관리 템플릿**에 표시됩니다.
#### 컴퓨터 구성\\Windows 설정
다음 설정 그룹은 컴퓨터 구성\\Windows 설정\\보안 설정\\로컬 정책 하위 디렉터리에 표시됩니다.
- [감사 정책 설정](#_audit_policy_settings_1)
- [사용자 권한 할당 설정](#_user_rights_assignment_1)
- [보안 옵션 설정](#_security_options_settings)
다음 설정 그룹은 컴퓨터 구성\\Windows 설정\\보안 설정 하위 디렉터리에 표시됩니다.
- [이벤트 로그 보안 설정](#_event_log_security)
- [고급 보안이 포함된 Windows 방화벽 설정](#_windows_firewall_with)
##### 감사 정책 설정
감사 정책은 관리자에게 보고할 보안 이벤트를 결정하여 지정된 이벤트 범주에 속하는 사용자 또는 시스템 활동을 기록합니다. 관리자는 특정 개체에 액세스한 사람, 사용자가 컴퓨터에 로그온하거나 컴퓨터에서 로그오프한 시간, 감사 정책 설정의 변경 여부 등과 같은 보안 관련 활동을 모니터링할 수 있습니다. 따라서 해당 환경에서 관리자가 구현할 수 있는 감사 정책을 세우는 것이 좋습니다.
감사 정책을 구현하려면 먼저 해당 환경에서 감사가 필요한 이벤트 범주를 조사해야 합니다. 이벤트 범주 내에서 어떤 감사 설정을 선택하는가에 따라 감사 정책이 결정됩니다. 특정 이벤트 범주에 대한 감사 설정을 정의할 때 관리자는 조직의 보안 요구에 맞는 감사 정책을 만들 수 있습니다.
감사 설정을 구성하지 않으면 보안 사고 발생 시 어떠한 일이 일어났는지 파악하기가 어렵거나 불가능합니다. 그러나 허가된 활동 중 너무 많은 작업에 대해 이벤트를 생성하도록 감사 설정을 구성하면 보안 이벤트 로그가 지나치게 많은 데이터로 가득 차게 됩니다. 다음 섹션에서는 조직에서 관련 감사 데이터를 원활히 수집하기 위해 모니터링해야 할 대상을 결정하는 데 도움이 되는 정보를 제공합니다.
Windows Vista에는 이전 버전의 Windows와 마찬가지로 다음과 같은 아홉 가지 감사 정책 범주가 포함되어 있습니다.
- [시스템](#_system_2)
- [로그온/로그오프](#_logon/logoff_1)
- [개체 액세스](#_object_access)
- [권한 사용](#_privilege_use)
- [세부 추적](#_detailed_tracking_1)
- [정책 변경](#_policy_change)
- [계정 관리](#_account_management)
- [DS 액세스](#_ds_access_1)
- [계정 로그온](#_account_logon)
그러나 Windows Vista에서는 오십 가지 감사 정책 하위 범주를 포함하여 훨씬 더 구체적인 방식으로 감사 정책을 관리할 수 있습니다. 모든 하위 범주가 Windows Vista 기반 컴퓨터에 적용되는 것은 아니지만 그 중 많은 범주를 구성하여 중요한 정보를 제공하는 특정 이벤트를 기록할 수 있습니다.
이전에는 그룹 정책을 사용하여 9가지 감사 범주를 모두 손쉽게 구성할 수 있었습니다. Windows Vista에서도 같은 방법을 사용할 수 있기는 하지만 새로 추가된 감사 하위 범주는 그룹 정책 개체 편집기를 사용하여 개별 구성할 수 없습니다. 그룹 정책 개체 편집기에는 하위 범주가 따로 표시되지 않기 때문입니다. Windows Vista에서 그룹 정책 개체 편집기에 있는 설정을 사용하여 특정 감사 범주를 구성하는 경우에는 모든 하위 범주가 함께 구성됩니다. 이렇게 하면 기록해야 할 감사 항목이 너무 많아 이벤트 로그가 금방 가득 찰 수 있습니다.
따라서 가능하면 필요한 감사 하위 범주만 구성하는 것이 좋습니다. 각 하위 범주를 구성하려면 Windows Vista에 포함되어 있는 *AuditPol.exe*라는 명령줄 도구를 사용해야 합니다.
여러 대의 컴퓨터에 규범적 감사 정책을 구현하기 위해 명령줄 도구를 사용해야 한다는 점이 큰 부담으로 작용할 수도 있습니다. 이를 해결하기 위해 Microsoft에서는 그룹 정책을 사용하여 감사 하위 범주를 구성하기 위한 솔루션을 개발했습니다. 이 솔루션은 이 가이드에 포함되어 있는 GPO와 스크립트를 통해 자동으로 구현됩니다.
이 가이드의 1장과 5장에서 설명하고 있는 GPOAccelerator.wsf 스크립트를 실행하면 도메인 컨트롤러 중 하나의 NETLOGON 공유 위치로 다음 파일이 자동 복사됩니다.
EC 환경:
- EC-VSGAuditPolicy.cmd
- EC-VSGApplyAuditPolicy.cmd
- EC-VSGAuditPolicy.txt
SSLF 환경:
- SSLF-VSGAuditPolicy.cmd
- SSLF-VSGApplyAuditPolicy.cmd
- SSLF-VSGAuditPolicy.txt
그런 다음 이들 파일이 Active Directory 도메인에 있는 도메인 컨트롤러의 NETLOGON 공유 위치로 자동 복제됩니다. GPOAccelerator.wsf 스크립트를 통해 만들어지는 컴퓨터별 GPO에는 규범적 감사 정책 설정을 구성하기 위해 이들 파일을 실행하는 컴퓨터 시작 스크립트가 포함됩니다. 컴퓨터에서 이들 파일을 처음으로 실행하면 VSGAudit이라는 예약 작업이 작성됩니다. 이 작업은 한 시간 간격으로 실행되므로 감사 정책 설정을 최신 상태로 유지할 수 있습니다.
Windows Server 2003 기반 도메인에서 Windows Vista의 새 감사 정책 설정을 구성하는 솔루션에 대한 자세한 내용은 기술 자료 문서 921469, "[그룹 정책을 사용하여 Windows Server 2003 또는 Windows 2000 도메인의 Windows Vista 클라이언트 컴퓨터에 대한 세부 보안 감사 설정을 구성하는 방법](https://support.microsoft.com/kb/921469)"을 참조하십시오.
다음 표에는 이 가이드에서 다룬 두 가지 유형의 보안 환경에서 데스크톱 및 랩톱 클라이언트 컴퓨터에 적용되는 감사 정책 설정의 권장 사항에 대한 간략한 설명이 나와 있습니다. 이러한 권장 사항을 검토한 후 조직에 맞게 조정해야 합니다. 이 가이드에 포함되어 있는 GPO를 통해 구성된 감사 정책 설정을 수정하는 방법에 대한 자세한 내용은 이 섹션의 끝부분에 나와 있습니다.
그러나 많은 양의 트래픽이 발생할 수 있는 감사 설정을 조정할 때는 특히 주의해야 합니다. 예를 들어, **권한 사용 하위 범주** 전체에 대해 성공 또는 실패 감사를 수행하도록 설정하면 많은 양의 감사 이벤트가 생성되어 보안 이벤트 로그에서 다른 유형의 항목을 찾기가 어려워질 수 있습니다. 또한 이러한 구성은 성능에 심각한 영향을 미칠 수 있습니다.
다음 섹션에서는 감사 정책 각각에 대해 간략하게 설명합니다. 각 섹션의 표에는 이 가이드에서 다룬 두 가지 유형의 보안 환경에서 데스크톱 및 랩톱 클라이언트 컴퓨터에 모두 적용되는 권장 사항이 포함되어 있습니다.
**참고** 시간이 충분하지 않아 이 가이드에서는 감사 정책 하위 범주 각각에 대한 설명은 생략합니다. 오십 가지 감사 정책 하위 범주 각각에 대한 자세한 설명은 추후 발표할 [*위협 및 대책 (영문)*](https://go.microsoft.com/fwlink/?linkid=15159) 가이드에서 제공하도록 하겠습니다.
###### 시스템
시스템 감사 범주를 사용하면 성공하거나 실패한 시스템 이벤트를 모니터링할 수 있고, 이러한 이벤트를 기록할 수 있으므로 승인되지 않은 시스템 액세스가 발생하는 경우 이를 쉽게 확인할 수 있습니다. 시스템 이벤트에는 사용자 환경에서 컴퓨터를 시작하거나 종료하는 작업, 전체 이벤트 로그, 전체 시스템에 영향을 주는 기타 보안 관련 이벤트 등이 포함됩니다.
Windows Vista의 시스템 감사 범주에는 다음 표에 나와 있는 것과 같은 하위 범주가 포함됩니다.
**표 A4. 시스템 감사 정책 하위 범주 권장 사항**
하위 범주
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
§ 보안 시스템 확장
감사 안 함
성공 및 실패
성공 및 실패
§ 시스템 무결성
성공 및 실패
성공 및 실패
성공 및 실패
§ IPsec 드라이버
감사 안 함
성공 및 실패
성공 및 실패
§ 기타 시스템 이벤트
성공 및 실패
감사 안 함
감사 안 함
§ 보안 상태 변경
성공
성공 및 실패
성공 및 실패
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
###### 로그온/로그오프
이 감사 범주는 로그온 세션의 생성 및 소멸을 기록하는 이벤트를 생성합니다. 이러한 이벤트는 액세스한 컴퓨터에서 발생합니다. 대화형 로그온의 경우 이러한 이벤트는 로그온한 대상 컴퓨터에서 발생합니다. 네트워크 로그온을 통해 공유 위치에 액세스하는 경우 이러한 이벤트는 액세스 대상 리소스를 호스팅하는 컴퓨터에서 발생합니다.
**로그온 이벤트 감사** 설정을 **감사 안 함**으로 구성하면 조직의 컴퓨터에 액세스했거나 액세스를 시도한 사용자를 확인하기 어렵거나 불가능합니다.
Windows Vista의 로그온/로그오프 감사 범주에는 다음 표에 나와 있는 것과 같은 하위 범주가 포함됩니다.
**표 A5. 로그온/로그오프 감사 정책 하위 범주 권장 사항**
하위 범주
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
§ 로그온
성공
성공
성공 및 실패
§ 로그오프
성공
성공
성공
§ 계정 잠금
참고 이 하위 범주에는 어떠한 이벤트도 해당하지 않습니다.
성공
감사 안 함
감사 안 함
§ IPsec 주 모드
감사 안 함
감사 안 함
감사 안 함
§ IPsec 빠른 모드
감사 안 함
감사 안 함
감사 안 함
§ IPsec 확장 모드
감사 안 함
감사 안 함
감사 안 함
§ 특수 로그온
성공
성공
성공
§ 기타 로그온/로그오프 이벤트
감사 안 함
감사 안 함
감사 안 함
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
###### 개체 액세스
기본적으로 이 정책 설정은 어떠한 이벤트에 대해서도 감사를 수행하지 않습니다. 이 정책 설정은 파일, 폴더, 레지스트리 키 또는 프린터 등과 같이 지정된 SACL(시스템 액세스 제어 목록)이 있는 개체에 액세스하는 사용자의 이벤트를 감사할지 결정하여 감사 작업 전반의 효율성을 높입니다.
SACL은 ACE(액세스 제어 항목)로 구성되어 있습니다. 각 ACE에는 다음 세 가지 정보가 포함되어 있습니다.
- 감사 대상 보안 주체(사용자, 컴퓨터 또는 그룹)
- 감사 대상 특정 액세스 유형(액세스 마스크)
- 실패한 액세스 이벤트를 감사할지, 성공한 액세스 이벤트를 감사할지, 둘 모두를 감사할지 여부를 나타내는 플래그
**개체 액세스 감사** 설정을 **성공**으로 구성하면 지정된 SACL이 있는 개체에 사용자가 성공적으로 액세스할 때마다 감사 항목이 생성됩니다. 이 정책 설정을 **실패**로 구성하면 지정된 SACL이 있는 개체에 대한 사용자의 액세스 시도가 실패할 때마다 감사 항목이 생성됩니다.
조직에서는 SACL을 구성할 때 활성화할 작업만 정의해야 합니다. 예를 들어, 컴퓨터 바이러스, 웜 및 트로이 목마는 일반적으로 실행 파일을 대상으로 하므로 변경 또는 교체되는 경우 추적할 실행 파일에 대해 **데이터 쓰기 및 추가 감사** 설정을 사용할 수 있습니다. 마찬가지로, 중요한 문서를 누군가가 열었거나 변경한 경우 이를 추적할 수도 있습니다.
개체 액세스 이벤트 감사 범주에는 다음 표에 나와 있는 것과 같은 하위 범주가 포함됩니다.
**표 A6. 개체 액세스 감사 정책 하위 범주 권장 사항**
하위 범주
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
§ 파일 시스템
감사 안 함
감사 안 함
실패
§ 레지스트리
감사 안 함
감사 안 함
실패
§ 커널 개체
감사 안 함
감사 안 함
감사 안 함
§ SAM
감사 안 함
감사 안 함
감사 안 함
§ 인증 서비스
감사 안 함
감사 안 함
감사 안 함
§ 응용 프로그램 생성됨
감사 안 함
감사 안 함
감사 안 함
§ 핸들 조작
감사 안 함
감사 안 함
감사 안 함
§ 파일 공유
감사 안 함
감사 안 함
감사 안 함
§ 필터링 플랫폼 패킷 삭제
감사 안 함
감사 안 함
감사 안 함
§ 필터링 플랫폼 연결
감사 안 함
감사 안 함
감사 안 함
§ 기타 개체 액세스 이벤트
감사 안 함
감사 안 함
감사 안 함
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
다음 절차에서는 파일 또는 폴더에 대한 감사 규칙을 구성하는 방법과 지정된 파일 또는 폴더에서 각 개체에 대한 감사 규칙 각각을 테스트하는 방법을 설명합니다.
**참고** 다음 단계에 따라 보안 이벤트 로그에 이벤트를 기록하려면 **성공 및 실패** 이벤트를 감사하도록 *Auditpol.exe*를 사용하여 파일 시스템 하위 범주를 구성해야 합니다.
**파일 또는 폴더의 감사 규칙을 정의하려면**
1. Windows 탐색기를 사용하여 파일 또는 폴더를 찾은 후 클릭합니다.
2. **파일** 메뉴에서 **속성**을 클릭합니다.
3. **보안** 탭을 클릭하고 **고급** 단추를 클릭합니다.
4. **감사** 탭을 클릭합니다.
5. **계속**을 클릭하고 사용자 이름과 암호를 입력한 후 Enter 키를 누릅니다.
6. **추가** 단추를 클릭합니다. **사용자 선택,** **컴퓨터 선택** **또는** **그룹 선택** 대화 상자가 열립니다.
7. **개체 유형** 단추를 클릭하고 **개체 유형** 대화 상자에서 찾을 개체 유형을 선택합니다.
**참고** **사용자**, **그룹** 및 **기본 제공 보안 계정 개체** 유형이 기본적으로 선택됩니다.
8. **위치** 단추를 클릭하고 **위치** 대화 상자에서 도메인이나 로컬 컴퓨터를 선택합니다.
9. **사용자, 컴퓨터, 또는 그룹을(를) 선택하십시오** 대화 상자에서 감사 대상 그룹이나 사용자의 이름을 입력합니다. 그런 다음 **선택할 개체 이름을 입력하십시오.** 대화 상자에서 **Authenticated Users**를 입력하고(인증된 모든 사용자의 액세스를 감사하려는 경우) **확인**을 클릭합니다. **감사 항목** 대화 상자가 열립니다.
10. **감사 항목** 대화 상자에서 파일이나 폴더에 대해 감사하려는 액세스 유형을 결정합니다.
**참고** 액세스할 때마다 이벤트 로그에 여러 이벤트가 생성되어 로그가 금방 커질 수 있다는 점을 염두에 둬야 합니다.
11. **감사 항목** 대화 상자에서 **폴더 목록 / 데이터 읽기** 옆에 있는 **성공 및 실패**를 선택하고 **확인**을 클릭합니다.
12. **고급 보안 설정** 대화 상자의 **감사** 탭에 표시됩니다.
13. **확인**을 클릭하여 **속성** 대화 상자를 닫습니다.
**파일 또는 폴더의 감사 규칙을 테스트하려면**
1. 파일 또는 폴더를 엽니다.
2. 파일 또는 폴더를 닫습니다.
3. 이벤트 뷰어를 시작합니다. **이벤트 ID 4663**의 여러 개체 액세스 이벤트가 보안 이벤트 로그에 나타납니다.
4. 필요한 이벤트를 두 번 클릭하여 자세한 정보를 봅니다.
###### 권한 사용
권한 사용 감사 범주는 사용자 권한을 행사하는 사용자의 각 인스턴스를 감사할지 여부를 결정합니다. 이 값을 **성공**으로 구성하면 사용자 권한이 성공적으로 사용될 때마다 감사 항목이 생성됩니다. 이 값을 **실패**로 구성하면 사용자 권한이 성공적으로 사용되지 않을 때마다 감사 항목이 생성됩니다. 이 정책을 설정하면 상당히 많은 수의 이벤트 레코드가 생성될 수 있습니다.
**권한 사용** 이벤트 감사 범주에는 다음 표에 나와 있는 것과 같은 하위 범주가 포함됩니다.
**표 A7. 권한 사용 감사 정책 하위 범주 권장 사항**
하위 범주
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
§ 중요한 권한 사용
감사 안 함
감사 안 함
성공 및 실패
§ 중요하지 않은 권한 사용
감사 안 함
감사 안 함
감사 안 함
§ 기타 권한 사용 이벤트 참고 이 하위 범주에는 어떠한 이벤트도 해당하지 않습니다.
감사 안 함
감사 안 함
감사 안 함
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
###### 세부 추적
세부 추적 감사 범주는 프로그램 활성화, 프로세스 종료, 핸들 복제 및 간접적 개체 액세스 등의 이벤트에 대한 자세한 추적 정보를 감사할지 여부를 결정합니다. **프로세스 추적 감사**를 사용하면 많은 양의 이벤트가 생성되므로 일반적으로 이 값은 **감사 안 함**으로 설정합니다. 그러나 이 설정은 시작된 프로세스와 프로세스가 시작된 시간에 대한 자세한 로그를 제공하므로 문제에 대처하는 데 매우 유용할 수 있습니다.
세부 추적 이벤트 감사 범주에는 다음 표에 나와 있는 것과 같은 하위 범주가 포함됩니다.
**표 A8. 세부 추적 감사 정책 하위 범주 권장 사항**
하위 범주
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
§ 프로세스 종료
감사 안 함
감사 안 함
감사 안 함
§ DPAPI 작업
감사 안 함
감사 안 함
감사 안 함
§ RPC 이벤트
감사 안 함
감사 안 함
감사 안 함
§ 프로세스 만들기
감사 안 함
성공
성공
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
###### 정책 변경
정책 변경 감사 범주는 사용자 권한 할당 정책, Windows 방화벽 정책, 트러스트 정책의 변경이나 감사 정책 자체의 변경을 모두 감사할지 결정합니다. 권장 설정을 사용하면 공격자가 **프로그램 디버깅** 권한이나 **파일 및 디렉터리 백업** 권한을 추가하는 등과 같이 권한 승격을 시도하는 데 사용한 계정 권한을 확인할 수 있습니다.
**정책 변경** 이벤트 감사 범주에는 다음 표에 나와 있는 것과 같은 하위 범주가 포함됩니다.
**표 A9. 정책 변경 감사 정책 하위 범주 권장 사항**
하위 범주
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
§ 감사 정책 변경
성공
성공 및 실패
성공 및 실패
§ 인증 정책 변경
성공
성공
성공
§ 권한 부여 정책 변경
감사 안 함
감사 안 함
감사 안 함
§ MPSSVC 규칙 수준 정책 변경
감사 안 함
감사 안 함
감사 안 함
§ 필터링 플랫폼 정책 변경
감사 안 함
감사 안 함
감사 안 함
§ 기타 정책 변경 이벤트
감사 안 함
감사 안 함
감사 안 함
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
###### 계정 관리
계정 관리 감사 범주는 새 사용자 또는 그룹 만들기, 사용자 또는 그룹의 이름 바꾸기, 사용자 계정 활성화 또는 비활성화, 계정 암호 변경, 계정 관리 이벤트에 대한 감사 활성화 등의 시도를 추적하는 데 사용됩니다. 이 감사 정책 설정을 사용하면 관리자가 이벤트를 추적하여 사용자 및 그룹 계정을 만들 때 악의적인 의도가 있었는지, 계정 생성이 실수에 의한 것인지 아니면 승인 하에 이루어진 것인지 확인할 수 있습니다.
**계정 관리** 이벤트 감사 범주에는 다음 표에 나와 있는 것과 같은 하위 범주가 포함됩니다.
**표 A10. 계정 관리 시스템 감사 정책 하위 범주 권장 사항**
하위 범주
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
§ 사용자 계정 관리
성공
성공
성공 및 실패
§ 컴퓨터 계정 관리
감사 안 함
성공
성공 및 실패
§ 보안 그룹 관리
성공
성공
성공 및 실패
§ 메일 그룹 관리
감사 안 함
감사 안 함
감사 안 함
§ 응용 프로그램 그룹 관리
감사 안 함
감사 안 함
감사 안 함
§ 기타 계정 관리 이벤트
감사 안 함
성공
성공 및 실패
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
###### DS 액세스
DS 액세스 감사 범주는 도메인 컨트롤러에만 적용됩니다. 따라서 DS 액세스 감사 범주와 모든 관련 하위 범주는 이 가이드에서 다루는 두 환경 모두에 대해 **감사 안 함**으로 구성됩니다.
DS 액세스 이벤트 감사 범주에는 다음 표에 나와 있는 것과 같은 하위 범주가 포함됩니다.
**표 A11. DS 액세스 감사 정책 하위 범주 권장 사항**
하위 범주
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
§ 디렉터리 서비스 변경
감사 안 함
감사 안 함
감사 안 함
§ 디렉터리 서비스 복제
감사 안 함
감사 안 함
감사 안 함
§ 세부 디렉터리 서비스 복제
감사 안 함
감사 안 함
감사 안 함
§ 디렉터리 서비스 액세스
감사 안 함
감사 안 함
감사 안 함
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
###### 계정 로그온
계정 로그온 감사 범주는 자격 증명 유효성 검사와 관련된 이벤트를 생성합니다. 이러한 이벤트는 자격 증명에 대한 권한이 있는 컴퓨터에서 발생합니다. 도메인 계정의 경우 도메인 컨트롤러에 권한이 있고, 로컬 계정의 경우 로컬 컴퓨터에 권한이 있습니다. 도메인 환경에서 대부분의 계정 로그온 이벤트는 도메인 계정에 대해 권한이 있는 도메인 컨트롤러의 보안 로그에 발생합니다. 그러나 이러한 이벤트는 로컬 계정을 사용하여 로그온하는 경우 조직의 다른 컴퓨터에서 발생할 수 있습니다.
**계정 로그온** 이벤트 감사 범주에는 다음 표에 나와 있는 것과 같은 하위 범주가 포함됩니다.
**표 A12. 계정 로그온 감사 정책 하위 범주 권장 사항**
하위 범주
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
§ 자격 증명 유효성 검사
감사 안 함
성공
성공 및 실패
§ Kerberos 티켓 이벤트
감사 안 함
감사 안 함
감사 안 함
§ 기타 계정 로그온 이벤트
참고 이 하위 범주에는 어떠한 이벤트도 해당하지 않습니다.
감사 안 함
감사 안 함
감사 안 함
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
###### 감사 정책 설정 수정
이 가이드에 포함되어 있는 GPO를 통해 구성된 감사 정책 하위 범주와 설정을 수정하려면 사용자 환경의 컴퓨터 한 대에서 Auditpol.exe를 사용하여 구성을 수정하고 해당 환경에 대한 감사 정책 설정이 포함된 파일을 생성해야 합니다. 그런 다음 이 가이드에 포함되어 있는 컴퓨터 GPO를 통해 수정된 감사 정책을 사용자 환경의 다른 모든 컴퓨터에 적용합니다.
**감사 정책 구성을 수정하려면**
1. GPO를 만들려는 Active Directory 사용 도메인에 가입되어 있고 Windows Vista가 실행되는 컴퓨터에 도메인 관리자로 로그온합니다.
2. 바탕 화면에서 Windows Vista 시작 단추, **모든 프로그램**, **보조 프로그램**을 클릭하고 **명령 프롬프트**를 마우스 오른쪽 단추로 클릭한 다음 **Administrator로 실행**을 클릭합니다.
3. 현재 감사 정책 설정을 지웁니다. 감사 정책 설정을 지우려면 명령 프롬프트에 다음 명령을 입력한 후 Enter 키를 누릅니다.
```
auditpol /clear
```
4. Auditpol.exe 명령줄 도구를 사용하여 원하는 사용자 지정 감사 정책 설정을 구성합니다. 예를 들어, 명령 프롬프트에 다음과 같은 명령을 입력합니다. 각 줄이 끝날 때마다 Enter 키를 누릅니다.
**참고** 다음 코드 예제는 읽기 편하도록 여러 줄로 이루어져 있지만 실제로 이 코드를 입력할 때는 모든 내용을 한 줄로 입력해야 합니다.
```
auditpol /set /subcategory:"user account management"
/success:enable /failure:enable
```
```
auditpol /set /subcategory:"logon" /success:enable /failure:enable
```
```
auditpol /set /subcategory:"IPSEC Main Mode" /failure:enable
```
**참고** 사용할 수 있는 모든 범주와 하위 범주를 보려면 명령 프롬프트에 다음 명령을 입력한 후 Enter 키를 누릅니다.
**auditpol /list /subcategory:\***
명령 프롬프트에 다음 명령을 입력한 후 Enter 키를 누릅니다.
```
auditpol /backup /file:EC-AuditPolicy.txt(또는 SSLF-AuditPolicy.txt)
```
EC-AuditPolicy.txt(또는 SSLF-AuditPolicy.txt) 파일을 해당 환경에 있는 도메인 컨트롤러 중 하나의 NETLOGON 공유 위치로 복사하여 기존 버전을 덮어씁니다.
이 가이드에 포함되어 있는 컴퓨터 GPO에서 새 EC-AuditPolicy.txt(또는 SSLF-AuditPolicy.txt) 파일을 사용하여 사용자 컴퓨터의 감사 정책 설정을 수정 및 구성합니다.
감사 정책 구성 제거
앞서 설명했듯이 감사 정책 하위 범주를 구성하기 위해 이 가이드에 포함되어 있는 GPO를 통해 구현되는 솔루션은 사용자 환경의 모든 컴퓨터에 대해 VSGAudit 예약 작업을 만듭니다. 이 가이드에 포함되어 있는 GPO를 사용자 환경에서 제거하면 VSGAudit 예약 작업을 삭제할 수 있습니다. 이 가이드에 포함되어 있는 GPO를 사용자 환경에서 제거하더라도 VSGAudit 예약 작업은 Windows Vista가 실행되는 컴퓨터의 성능에 영향을 주지 않습니다.
사용자의 환경에 있는 모든 컴퓨터에서 VSGAudit 예약 작업을 삭제하려면
해당 환경에 따라 도메인 컨트롤러 중 하나의 NETLOGON 공유 위치에서 다음 세 파일을 삭제합니다.
EC 환경:
EC-VSGAuditPolicy.cmd
EC-VSGApplyAuditPolicy.cmd
EC-VSGAuditPolicy.txt
SSLF 환경:
SSLF-VSGAuditPolicy.cmd
SSLF-VSGApplyAuditPolicy.cmd
SSLF-VSGAuditPolicy.txt
DeleteVSGAudit.txt라는 빈 텍스트 파일을 만들어 해당 환경에 있는 도메인 컨트롤러 중 하나의 NETLOGON 공유 위치로 복사합니다. 사용자의 환경에 있는 모든 도메인 컨트롤러에 이 텍스트 파일이 자동으로 복제됩니다.
VSGAudit 예약 작업에서는 이를 실행할 때마다 DeleteVSGAudit.txt 파일을 찾고, 이 파일이 발견되면 VSGAudit 예약 작업 자체를 삭제합니다. VSGAudit 예약 작업은 한 시간 간격으로 실행하도록 구성되어 있으므로 사용자의 환경에 있는 모든 컴퓨터에서 이 작업을 삭제하는 데는 그리 오랜 시간이 걸리지 않습니다.
EC 환경에서 Windows XP를 사용하는 컴퓨터에 대한 감사 정책
이 가이드와 함께 제공되는 GPO에는 이전 버전의 Windows에 있는 감사 범주를 구성하는 설정이 포함되어 있습니다. 이 가이드에 포함되어 있는 GPO와 스크립트를 사용하면 Windows Vista가 실행되는 컴퓨터에 이러한 설정이 적용되지 않습니다.
EC 환경에서 사용할 목적으로 설계된 GPO는 Windows XP 기반 컴퓨터에서도 작동하도록 되어 있습니다. 이러한 GPO에 포함된 감사 범주의 설정은 사용자의 환경에서 Windows XP가 실행되는 컴퓨터에는 Windows XP 기반 컴퓨터에 대한 감사 정책 권장 설정을 적용하도록 구성되어 있습니다.
그룹 정책 개체 편집기의 다음 위치에서 Windows Vista의 감사 정책 설정을 구성할 수 있습니다.
컴퓨터 구성\Windows 설정\보안 설정 \로컬 정책\감사 정책
다음 표에는 이 가이드에서 다룬 두 가지 유형의 보안 환경에서 데스크톱 및 랩톱 클라이언트 컴퓨터에 적용되는 감사 정책 설정의 권장 사항에 대한 간략한 설명이 나와 있습니다.
표 A13. 감사 정책 설정 권장 사항
설정
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
계정 로그온 이벤트 감사
감사 안 함
성공
정의되지 않음
계정 관리 감사
감사 안 함
성공
정의되지 않음
디렉터리 서비스 액세스 감사
감사 안 함
정의되지 않음
정의되지 않음
로그온 이벤트 감사
감사 안 함
성공
정의되지 않음
개체 액세스 감사
감사 안 함
감사 안 함
정의되지 않음
정책 변경 감사
감사 안 함
성공
정의되지 않음
권한 사용 감사
감사 안 함
감사 안 함
정의되지 않음
프로세스 추적 감사
감사 안 함
감사 안 함
정의되지 않음
시스템 이벤트 감사
감사 안 함
성공
정의되지 않음
**참고** EC 환경의 GPO는 Windows XP가 실행되는 컴퓨터에서 작동하도록 설계되었으므로 이러한 GPO에 감사 정책 권장 설정이 포함됩니다. 그러나 SSLF GPO는 Windows Vista가 실행되는 컴퓨터에서만 작동하도록 설계되었으므로 SSLF GPO에 감사 정책 설정이 포함되지 않습니다.
##### 사용자 권한 할당 설정
Windows Vista의 많은 권한 그룹과 함께 일반적인 사용자에게 없는 여러 가지 사용자 권한을 특정 사용자나 그룹에 할당할 수 있습니다.
**없음**으로 설정하려면 해당 설정을 사용하되 사용자나 그룹을 설정에 추가하지 말아야 합니다. 사용자 권한의 값을 **정의되지 않음**으로 설정하려면 해당 설정을 사용하지 말아야 합니다.
그룹 정책 개체 편집기의 다음 위치에서 Windows Vista의 사용자 권한 할당 설정을 구성할 수 있습니다.
**컴퓨터 구성\\Windows 설정\\보안 설정\\로컬 정책\\사용자 권한 할당**
다음 표에서는 영어를 기준으로 첫 문자가 A부터 E로 시작하는 사용자 권한에 대한 사용자 권한 할당 설정 권장 사항을 요약해서 설명합니다. 여기서는 이 가이드를 통해 다루는 두 가지 유형의 보안 환경에 있는 데스크톱 및 랩톱 클라이언트 컴퓨터에 대한 권장 사항을 제공합니다. 각 설정에 대한 자세한 내용은 뒤이어 나오는 하위 섹션을 참조하십시오.
그 외 알파벳 문자로 시작하는 사용자 권한에 대한 권장 사항은 표 A15에 요약되어 있으며, 해당 사용자 권한에 대한 추가 정보는 표 다음에 있는 하위 섹션에 나와 있습니다.
**참고** IIS의 여러 기능을 사용하려면 IIS\_WPG, IIS IUSR\_*<컴퓨터 이름>* 및* *IWAM\_*<컴퓨터 이름>*과 같은 특정 계정에 특정 권한이 있어야 합니다. IIS와 관련하여 계정에 어떤 사용자 권한이 필요한지에 대한 자세한 내용은 [IIS and Built-in Accounts (IIS 6.0) (영문)](https://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/iis/3648346f-e4f5-474b-86c7-5a86e85fa1ff.mspx)를 참조하십시오.
###### 사용자 권한 A – E
다음 표에서는 영어를 기준으로 첫 문자가 A부터 E로 시작하는 사용자 권한에 대한 사용자 권한 할당 설정 권장 사항을 요약해서 설명합니다. 이들 설정 각각에 대한 자세한 내용은 이 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A14. 사용자 권한 할당 설정 권장 사항,** **1부**
설정
Windows Vista 기본값
VSG EC 컴퓨터 GPO
VSG SSLF 컴퓨터 GPO
네트워크에서 이 컴퓨터 액세스
Everyone, Administrators, Users, Backup Operators
Administrators, Users
Administrators
운영 체제의 일부로 작동
없음
없음
없음
프로세스에 대한 메모리 할당량 조정
Administrators, Local Service, Network Service
정의되지 않음
Administrators, Local Service, Network Service
로컬 로그온 허용
Guest, Administrators, Users, Backup Operators
Administrators, Users
Administrators, Users
터미널 서비스를 통한 로그온 허용
Administrators, Remote Desktop Users
정의되지 않음
없음
파일 및 디렉터리 백업
Administrators, Backup Operators
정의되지 않음
Administrators
트래버스 검사 무시
Everyone, Administrators, Users, Backup Operators, Local Service, Network Service
정의되지 않음
Administrators, Users, Local Service, Network Service
시스템 시간 변경
Local Service, Administrators
Local Service, Administrators
Local Service, Administrators
§ 시간대 변경
Local Service, Administrators, Users
정의되지 않음
Local Service, Administrators, Users
페이지 파일 만들기
Administrators
Administrators
Administrators
영구 공유 개체 만들기
없음
정의되지 않음
없음
토큰 개체 만들기
없음
정의되지 않음
없음
전역 개체 만들기
Administrators, Service, Local Service, Network Service
정의되지 않음
Administrators, Service, Local Service, Network Service
§ 기호 링크 만들기
Administrators
정의되지 않음
Administrators
프로그램 디버깅
Administrators
Administrators
없음
네트워크에서 이 컴퓨터 액세스 거부
Guest
Guests
Guests
일괄 작업으로 로그온 거부
없음
정의되지 않음
Guests
로컬 로그온 거부
Guest
Guests
Guests
터미널 서비스를 통한 로그온 거부
없음
정의되지 않음
Everyone
위임 시 컴퓨터 및 사용자 계정을 신뢰할 수 있도록 설정
없음
정의되지 않음
없음
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
**네트워크에서 이 컴퓨터 액세스**
이 정책 설정을 사용하면 네트워크의 다른 사용자가 해당 컴퓨터에 연결할 수 있습니다. 이 설정은 SBS(서버 메시지 블록) 기반 프로토콜, NetBIOS, CIFS(Common Internet File System) 및 COM+(Component Object Model Plus)를 비롯한 다양한 네트워크 프로토콜을 사용할 때 필요합니다.
EC 환경에서는 **네트워크에서 이 컴퓨터 액세스** 설정을 **Administrators** 및 **Users**로 구성하고, SSLF 환경에서는 이 설정을 **Administrators**로 구성합니다.
**운영 체제의 일부로 작동**
이 정책 설정을 사용하면 프로세스에서 사용자의 ID를 사용하므로 해당 사용자에게 액세스가 허용된 리소스에 대한 액세스 권한을 얻을 수 있습니다.
**운영 체제의 일부로 작동** 설정이 **없음**으로 제한됩니다.
**프로세스에 대한 메모리 할당량 조정**
이 정책 설정을 사용하면 프로세스에 사용 가능한 최대 메모리 양을 사용자가 조정할 수 있습니다. 메모리 할당량을 조정할 수 있는 권한은 시스템 조정 작업에 유용하지만 악용될 소지도 있습니다. 예를 들어, 공격자가 이 권한을 손에 넣으면 DoS(서비스 거부) 공격을 감행할 수 있습니다.
따라서 SSLF 환경에서는 **프로세스에 대한 메모리 할당량 조정** 설정을 **Administrators**, **Local Service** 및 **Network Service**로 제한하고, EC 환경에서는 **정의되지 않음**으로 구성합니다.
**로컬 로그온 허용**
이 정책 설정은 사용자 환경의 컴퓨터에 대화형으로 로그온할 수 있는 사용자를 결정합니다. 클라이언트 컴퓨터에서 키보드의 Ctrl+Alt+Delete 키 시퀀스를 눌러 로그온을 시작하려면 이 사용자 권한이 필요합니다. 터미널 서비스 또는 IIS를 통해 로그온하려는 경우에도 이 사용자 권한이 필요합니다.
**Guest** 계정에는 이 사용자 권한이 기본적으로 부여됩니다. 이 계정은 기본적으로 사용하지 않도록 설정되어 있지만 그룹 정책을 통해 이 설정을 사용하는 것이 좋습니다. 그러나 이 사용자 권한은 일반적으로 **Administrators** 및 **Users** 그룹으로 제한되어야 합니다. 조직의 백업 운영자에게 이 기능이 필요할 경우 이 사용자 권한을 **Backup Operators** 그룹에 할당합니다.
**로컬 로그온 허용** 설정이 **Users** 및 **Administrators** 그룹으로 제한됩니다.
**터미널 서비스를 통한 로그온 허용**
이 정책 설정은 터미널 서비스 클라이언트 로그온 권한이 있는 사용자나 그룹을 결정합니다. 원격 데스크톱 사용자에게는 이 사용자 권한이 필요합니다. 조직에서 고객 지원 전략의 일부로 원격 지원을 사용할 경우 그룹을 만든 후 그룹 정책을 통해 이 사용자 권한을 할당합니다. 조직의 지원 부서에서 원격 지원을 사용하지 않는 경우 **Administrators** 그룹에만 이 사용자 권한을 할당하거나 제한된 그룹 기능을 사용하여 어떠한 사용자 계정도 **Remote Desktop Users** 그룹에 속하지 않도록 합니다.
**Administrators** 그룹과 **Remote Desktop Users** 그룹으로 제한합니다.
EC 환경에서는 **터미널 서비스를 통한 로그온 허용** 설정을 **정의되지 않음**으로 구성합니다. 보안 강화를 위해 SSLF 환경에서는 이 정책 설정을 **없음**으로 구성합니다.
**파일 및 디렉터리 백업**
이 정책 설정을 사용하면 파일 및 디렉터리 사용 권한이 없는 사용자도 시스템을 백업할 수 있습니다. 이 사용자 권한은 응용 프로그램(예: NTBACKUP)에서 NTFS 파일 시스템 백업 API(응용 프로그래밍 인터페이스)를 통해 파일이나 디렉터리에 액세스할 때만 활성화됩니다. 그 이외에는 할당된 파일 및 디렉터리 사용 권한이 적용됩니다.
EC 환경의 컴퓨터에 대해서는 **파일 및 디렉터리 백업** 설정을 **정의되지 않음**으로, SSLF 환경에 대해서는 **Administrators** 그룹으로 구성합니다.
**트래버스 검사 무시**
이 정책 설정을 사용하면 특별한 "폴더 트래버스" 액세스 권한이 없는 사용자가 NTFS 파일 시스템 또는 레지스트리에서 개체 경로를 탐색할 때 폴더를 "통과"할 수 있습니다. 이 사용자 권한이 있을 경우 폴더 내용을 나열할 수 없으며 디렉터리를 통과할 수만 있습니다.
EC 환경의 컴퓨터에 대해서는 **트래버스 검사 무시** 설정을 **정의되지 않음**으로 구성합니다. SSLF 환경에 대해서는 이 설정을 **Administrators,** **Users,** **Local Service** **및** **Network Service** 그룹과 계정으로 구성합니다.
**시스템 시간 변경**
이 정책 설정은 사용자의 환경에 있는 컴퓨터에서 내부 시계의 시간과 날짜를 변경할 수 있는 사용자 및 그룹을 결정합니다. 이 사용자 권한이 있으면 이벤트 로그에 표시되는 내용에 영향을 줄 수 있습니다. 컴퓨터의 시간 설정을 변경하면 기록된 이벤트에는 실제로 이벤트가 발생한 시간이 아닌 새로운 시간이 반영됩니다.
**시스템 시간 변경** 설정을 **Local Service** 및 **Administrators** 그룹으로 구성합니다.
**참고** 사용자 환경에서 로컬 컴퓨터와 도메인 컨트롤러의 시간이 일치하지 않으면 Kerberos 인증 프로토콜에 문제가 발생하여 사용자가 도메인에 로그온할 수 없거나 로그온한 후 도메인 리소스에 대한 액세스 권한을 얻을 수 없습니다. 또한 시스템 시간이 도메인 컨트롤러와 동기화되어 있지 않으면 클라이언트 컴퓨터에 그룹 정책을 적용할 때 문제가 발생합니다.
**시간대 변경**
이 설정은 컴퓨터의 표준 시간대를 변경할 수 있는 사용자를 결정합니다. 이 기능을 사용한다고 해서 컴퓨터에 큰 위험이 발생하는 것은 아니며, 이 기능은 이동이 잦은 사용자에게 유용할 수 있습니다.
EC 환경에서는 **시간대 변경** 설정을 **정의되지 않음**으로 구성하고, SSLF 환경에서는 **Administrators**, **Local Service** 및 **Users**로 구성합니다.
**페이지 파일 만들기**
이 정책 설정을 사용하면 페이지 파일의 크기를 사용자가 변경할 수 있습니다. 이 권한을 손에 넣은 공격자는 페이지 파일을 매우 크거나 매우 작게 만들어 대상 컴퓨터의 성능을 쉽게 저하시킬 수 있습니다.
EC 환경과 SSLF 환경 모두에 대해 **페이지 파일 만들기** 설정은 **Administrators**로 구성합니다.
**영구 공유 개체 만들기**
이 정책 설정을 활성화하면 사용자가 개체 관리자에서 디렉터리 개체를 만들 수 있습니다. 이 사용자 권한은 개체 네임스페이스를 확장하는 커널 모드 구성 요소에 유용합니다. 그러나 커널 모드로 실행되는 구성 요소에는 이 사용자 권한이 내재해 있으므로 일반적으로는 이 사용자 권한을 특별히 할당할 필요가 없습니다.
EC 환경에서는 **영구 공유 개체 만들기** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **없음**으로 구성합니다.
**토큰 개체 만들기**
이 정책 설정을 사용하면 프로세스에서 액세스 토큰을 만들 수 있습니다. 이러한 액세스 토큰은 중요한 데이터에 액세스하는 데 필요한 승격된 권한을 얻는 데 사용될 수 있습니다. 보안이 대단히 중요한 환경에서는 어떠한 사용자에게도 이 사용자 권한을 할당하면 안 됩니다. 이 권한을 필요로 하는 모든 프로세스에서는 기본적으로 이 사용자 권한이 부여되는 로컬 시스템 계정을 사용해야 합니다.
EC 환경에서는 **토큰 개체 만들기** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **없음**으로 구성합니다.
**전역 개체 만들기**
이 정책 설정은 모든 세션에서 사용할 수 있는 전역 개체를 사용자가 만들 수 있도록 할지 여부를 결정합니다. 이 사용자 권한이 없더라도 사용자 자신의 세션에만 해당하는 개체는 만들 수 있습니다.
전역 개체를 만들 수 있는 사용자는 다른 사용자의 세션에서 실행되는 프로세스에 영향을 줄 수 있습니다. 이 권한을 잘못 사용하면 응용 프로그램 오류나 데이터 손상 같은 여러 가지 문제가 발생할 수 있습니다.
EC 환경에서는 **전역 개체 만들기** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **Administrators**, **Service**, **Local Service**, 및 **Network Service**로 구성합니다.
**기호 링크 만들기**
이 정책 설정은 기호 링크를 만들 수 있는 사용자를 결정합니다. Windows Vista에서는 기호 링크라는 새로운 종류의 파일 시스템 개체를 사용하여 파일 및 폴더 같은 기존의 NTFS 파일 시스템 개체에 액세스할 수 있습니다. 기호 링크는 파일, 폴더, 바로 가기 또는 다른 기호 링크 같은 다른 파일 시스템 개체를 가리키는 포인터입니다. 이는 기존의 바로 가기나 .lnk 파일과 매우 비슷합니다. 바로 가기와 기호 링크 사이의 차이점은 바로 가기의 경우 Windows 셸 내에서만 작동한다는 데 있습니다. 다른 프로그램이나 응용 프로그램의 입장에서 볼 때 바로 가기는 단지 또 하나의 파일에 불과합니다. 이와 달리 기호 링크의 경우에는 바로 가기 개념이 NTFS 파일 시스템의 기능으로 구현됩니다.
기호 링크는 이를 사용하도록 설계되지 않은 응용 프로그램에서 보안의 취약점을 드러낼 위험을 안고 있습니다. 따라서 기호 링크를 만들 수 있는 권한은 신뢰할 수 있는 사용자에게만 할당해야 합니다. 기본적으로 Administrators 그룹의 구성원만 기호 링크를 만들 수 있습니다.
EC 환경의 컴퓨터에 대해서는 **기호 링크 만들기** 설정을 **정의되지 않음**으로 구성하고, SSLF 환경에서는 **Administrators** 그룹으로 구성하여 기본 구성을 적용합니다.
**프로그램 디버깅**
이 정책 설정은 디버거를 프로세스나 커널에 연결하여 중요한 운영 체제 구성 요소에 완전하게 액세스할 수 있는 권한을 어떤 사용자 계정에 부여할지 결정합니다. 자신의 응용 프로그램을 디버깅하려는 개발자에게는 이 사용자 권한을 할당할 필요가 없습니다. 그러나 새 시스템 구성 요소를 디버깅하려는 개발자에게는 이 권한이 필요합니다.
**참고** Microsoft는 관리자에게 **프로그램 디버깅** 사용자 권한이 있어야 실행할 수 있는 Update.exe 버전이 사용된 몇 가지 보안 업데이트를 2003년 10월에 발표했습니다. 이 사용자 권한이 없는 관리자는 사용자 권한을 다시 구성해야만 이러한 보안 업데이트를 설치할 수 있습니다. 이는 운영 체제를 업데이트하는 일반적인 방식과는 거리가 있습니다. 자세한 내용은 기술 자료 문서 830846, "[Windows 제품 업데이트가 응답하지 않거나 CPU 리소스를 대부분 또는 모두 사용할 수 있다](https://support.microsoft.com/default.aspx?kbid=830846)"를 참조하십시오.
공격자가 이 사용자 권한을 악용할 수 있으므로 이 권한은 기본적으로 Administrators 그룹에만 할당됩니다. EC 환경에서는 **프로그램 디버깅** 정책 설정을 **Administrators**로 구성하고, SSLF 환경에서는 **없음**으로 구성합니다.
**네트워크에서 이 컴퓨터 액세스 거부**
이 정책 설정은 사용자가 네트워크를 통해 컴퓨터에 연결할 수 없도록 하여 원격으로 데이터에 액세스하고 수정할 수 없도록 합니다. SSLF 환경에서는 원격 사용자가 컴퓨터의 데이터에 액세스할 필요가 없도록 구성해야 합니다. 대신 네트워크 서버를 사용하여 파일을 공유하도록 구성합니다.
**네트워크에서 이 컴퓨터 액세스 거부** 설정을 **Guests** 그룹으로 구성합니다.
**일괄 작업으로 로그온 거부**
이 정책 설정은 나중에 한 번 이상 자동으로 작업을 실행하도록 예약하는 데 사용되는 Windows Server 2003의 기능인 일괄 대기열 기능을 통해 사용자가 로그온하지 못하도록 금지합니다.
EC 환경에서는 **일괄 작업으로 로그온 거부** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **Guests** 그룹으로 구성합니다.
**로컬 로그온 거부**
이 정책 설정은 사용자가 컴퓨터 콘솔에 로컬로 로그온하지 못하도록 금지합니다. 허가되지 않은 사용자가 컴퓨터에 로컬로 로그온할 수 있으면 컴퓨터에 악성 코드를 다운로드하거나 해당 컴퓨터에서 사용자 권한을 관리자 수준으로 승격할 수 있습니다. (공격자가 콘솔에 물리적으로 액세스할 수 있는 경우에는 이 밖에 다른 위험 요소도 고려해야 합니다.) 컴퓨터 콘솔에 물리적으로 액세스해야 하는 사용자에게는 이 사용자 권한을 할당하지 않도록 해야 합니다.
**로컬 로그온 거부** 설정을 **Guests** 그룹으로 구성합니다. 또한 SSLF 환경에서 컴퓨터에 추가된 모든 서비스 계정에는 권한이 남용되는 것을 방지하기 위해 이 사용자 권한을 할당해야 합니다.
**터미널 서비스를 통한 로그온 거부**
이 정책 설정은 사용자가 원격 데스크톱 연결을 통해 해당 환경의 컴퓨터에 로그온하지 못하도록 금지합니다. 이 사용자 권한을 **Everyone** 그룹에 할당하면 기본 **Administrators** 그룹의 구성원이 터미널 서비스를 사용하여 해당 환경의 컴퓨터에 로그온하는 것도 금지됩니다.
EC 환경에서는 **터미널 서비스를 통한 로그온 거부** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **Everyone** 그룹으로 구성합니다.
**위임 시 컴퓨터 및 사용자 계정을 신뢰할 수 있도록 설정**
이 정책 설정을 사용하면 Active Directory의 컴퓨터 개체에 대한 **위임용으로 트러스트** 설정을 사용자가 변경할 수 있습니다. 이 권한을 남용하면 허가되지 않은 사용자가 네트워크의 다른 사용자를 가장할 수 있습니다.
따라서 EC 환경에서는 **위임 시 컴퓨터 및 사용자 계정을 신뢰할 수 있도록 설정**을 **정의되지 않음**으로, SSLF 환경에서는 **없음**으로 구성합니다.
###### 사용자 권한 F – T
다음 표에서는 영어를 기준으로 첫 문자가 F부터 T로 시작하는 사용자 권한에 대한 사용자 권한 할당 설정 권장 사항을 요약해서 설명합니다. 이들 설정 각각에 대한 자세한 내용은 이 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A15. 사용자 권한 할당 설정 권장 사항,** **2부**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
원격 시스템에서 강제 종료
Administrators
Administrators
Administrators
보안 감사 생성
Local Service, Network Service
Local Service, Network Service
Local Service, Network Service
인증 후 클라이언트 가장
Administrators, Service, Local Service, Network Service
정의되지 않음
Administrators, Service, Local Service, Network Service
§ 프로세스 작업 집합 향상
Users
정의되지 않음
Administrators
예약 우선 순위 증가
Administrators
Administrators
Administrators
장치 드라이버 로드 및 언로드
Administrators
Administrators
Administrators
메모리에 페이지 잠금
없음
없음
없음
일괄 작업으로 로그온
Administrators, Backup Operators
정의되지 않음
없음
서비스로 로그온
없음
정의되지 않음
없음
감사 및 보안 로그 관리
Administrators
Administrators
Administrators
펌웨어 환경 값 수정
Administrators
Administrators
Administrators
볼륨 유지 관리 작업 수행
Administrators
Administrators
Administrators
프로필 단일 프로세스
Administrators
정의되지 않음
Administrators
프로필 시스템 성능
Administrators
Administrators
Administrators
도킹 스테이션에서 컴퓨터 제거
Administrators, Users
Administrators, Users
Administrators, Users
프로세스 수준 토큰 바꾸기
Local Service, Network Service
Local Service, Network Service
Local Service, Network Service
파일 및 디렉터리 복원
Administrators, Backup Operators
정의되지 않음
Administrators
시스템 종료
Administrators, Backup Operators, Users
Administrators, Users
Administrators, Users
파일 또는 기타 개체의 소유권 가져오기
Administrators
Administrators
Administrators
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
**원격 시스템에서 강제 종료**
이 정책 설정을 사용하면 네트워크의 원격 위치에서 Windows Vista 기반 컴퓨터를 종료할 수 있습니다. 이 사용자 권한이 할당된 사람은 누구든지 DoS(서비스 거부) 공격을 유발하여 시스템에서 사용자 요청을 처리할 수 없게 만들 수 있습니다. 따라서 완전히 신뢰할 수 있는 관리자에게만 이 사용자 권한을 할당해야 합니다.
**원격 시스템에서 강제 종료** 설정을 **Administrators** 그룹으로 구성합니다.
**보안 감사 생성**
이 정책 설정은 보안 로그에 감사 레코드를 생성할 수 있는 사용자 또는 프로세스를 결정합니다. 이 권한을 손에 넣은 공격자는 시스템 관리자가 불법적인 활동을 찾기 어렵도록 매우 많은 수의 감사 이벤트를 만들 수 있습니다. 또한 필요에 따라 다른 이벤트를 덮어쓰도록 이벤트 로그를 구성하면 승인되지 않은 활동의 증거까지도 관련 없는 수많은 이벤트가 덮어쓸 수 있습니다.
**보안 감사 생성** 설정을 **Local Service** 및 **Network Service** 그룹으로 구성합니다.
**인증 후 클라이언트 가장**
이 정책 설정을 사용하면 사용자 측에서 실행한 프로그램이 해당 사용자 또는 지정된 다른 계정을 가장할 수 있으므로 해당 프로그램이 사용자 역할을 대신할 수 있습니다. 이러한 종류의 가장에 이 사용자 권한이 필요하도록 지정하면 허가되지 않은 사용자가 클라이언트를 속여 RPC(원격 프로시저 호출) 또는 명명된 파이프 등을 통해 자신이 만든 서비스에 연결한 후 해당 클라이언트로 가장할 수 없습니다. 이렇게 하면 권한이 없는 사용자가 자신의 권한을 관리 또는 시스템 수준으로 높이지 못하게 할 수 있습니다.
서비스 제어 관리자를 통해 시작되는 서비스의 액세스 토큰에는 기본 제공 Service 그룹이 기본적으로 추가되어 있습니다. 특정 계정으로 실행되도록 구성되어 있고 COM 인프라를 통해 시작되는 COM 서버의 액세스 토큰에도 Service 그룹이 추가되어 있습니다. 따라서 이러한 프로세스를 시작할 때는 이 사용자 권한이 해당 프로세스에 부여됩니다.
또한 다음과 같은 조건이 하나라도 충족되면 사용자가 액세스 토큰을 가장할 수 있습니다.
- 가장되는 액세스 토큰이 이 사용자에 해당합니다.
- 이 로그온 세션에서 사용자는 명시적 자격 증명을 사용하여 네트워크에 로그온한 후 액세스 토큰을 만듭니다.
- 요청된 수준이 가장 수준보다 낮습니다(예: 익명 또는 확인).
**인증 후 클라이언트 가장** 사용자 권한을 획득하면 서비스를 만들고 클라이언트를 속여 해당 서비스에 연결하도록 유도한 후 이 클라이언트를 가장하여 공격자 자신의 액세스 수준을 해당 클라이언트의 액세스 수준으로 높일 수 있습니다.
따라서 EC 환경에서는 **인증 후 클라이언트 가장** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **Administrators,** **Service,** **Local Service** **및** **Network Service**로 구성합니다.
**프로세스 작업 집합 향상**
이 권한은 프로세스의 작업 집합 크기를 늘리거나 줄일 수 있는 사용자 계정을 결정합니다. 프로세스의 작업 집합은 물리적 RAM 메모리에서 프로세스에 현재 사용할 수 있는 메모리 페이지의 집합입니다. 이러한 페이지는 페이지 없음 오류를 발생시키지 않고 사용할 수 있도록 응용 프로그램에 상주하는 방식으로 제공됩니다. 최소 및 최대 작업 집합 크기는 프로세스의 가상 메모리 페이징 동작에 영향을 줍니다.
이 권한은 기본적으로 모든 사용자에게 할당됩니다. 그러나 프로세스의 작업 집합 크기를 늘리면 시스템의 나머지 부분에 사용할 수 있는 물리적 메모리의 양이 줄어듭니다. 악성 코드에서 프로세스 작업 집합의 크기를 크게 늘려 시스템 성능을 심각하게 저해하거나 DoS(서비스 거부) 공격을 일으킬 수도 있습니다. 환경에 따라서는 프로세스 작업 집합을 늘릴 수 있는 사용자를 제한하여 이러한 위험을 완화할 수 있습니다.
이와 같은 이유를 고려하여 EC 환경에서는 프로세스 작업 집합 향상 사용자 권한을 **정의되지 않음**으로, SSLF 환경에서는 **Administrators**로 구성합니다.
**예약 우선 순위 증가**
이 정책 설정을 사용하면 프로세스에 활용되는 프로세서 시간의 양을 사용자가 변경할 수 있습니다. 공격자는 이 기능을 이용하여 프로세스의 우선 순위를 실시간 등급으로 높이고 컴퓨터의 서비스가 거부되는 상황을 연출할 수 있습니다.
**예약 우선 순위 증가** 설정을 **Administrators** 그룹으로 구성합니다.
**장치 드라이버 로드 및 언로드**
이 정책 설정을 사용하면 시스템에 새 장치 드라이버를 사용자가 동적으로 로드할 수 있습니다. 공격자는 이 기능을 이용하여 장치 드라이버로 인식될 수 있는 악성 코드를 설치할 수 있습니다. Windows Vista에서 로컬 프린터나 프린터 드라이버를 추가하려는 사용자에게는 이 사용자 권한이 필요합니다.
**장치 드라이버 로드 및 언로드** 설정을 **Administrators** 그룹으로 구성합니다.
**메모리에 페이지 잠금**
이 정책 설정을 사용하면 프로세스에서 데이터를 실제 메모리에 보관할 수 있습니다. 이렇게 하면 시스템에서 데이터를 디스크의 가상 메모리로 페이징하지 않게 됩니다. 이 사용자 권한을 할당하면 시스템 성능이 크게 저하될 수 있습니다.
**메모리에 페이지 잠금** 설정을 **없음**으로 구성합니다.
**일괄 작업으로 로그온**
이 정책 설정을 사용하면 작업 스케줄러 서비스를 사용하여 계정을 로그온할 수 있습니다. 작업 스케줄러는 주로 관리 목적으로 사용되므로 EC 환경에 필요할 수 있습니다. 그러나 SSLF 환경에서는 시스템 리소스의 오용을 막고 공격자가 컴퓨터에 대해 사용자 수준의 액세스 권한을 얻은 후 이 권한을 이용하여 악성 코드를 실행하지 못하도록 하기 위해 이 사용자 권한을 제한해야 합니다.
따라서 EC 환경에서는 **일괄 작업으로 로그온** 사용자 권한을 **정의되지 않음**으로, SSLF 환경에서는 **없음**으로 구성합니다.
**서비스로 로그온**
이 정책 설정을 사용하면 계정을 통해 네트워크 서비스를 실행하거나 프로세스를 시스템에서 실행되는 서비스로 등록할 수 있습니다. SSLF 환경의 모든 컴퓨터에서는 이 사용자 권한을 제한해야 하지만, EC 환경에서는 응용 프로그램을 실행하기 위해 이 권한이 필요한 경우가 많으므로 신중하게 평가하고 테스트한 후에 권한을 구성해야 합니다. Windows Vista 기반 컴퓨터에서는 기본적으로 어떠한 사용자나 그룹에도 이 권한이 부여되지 않습니다.
EC 환경에서는 **서비스로 로그온** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **없음**으로 구성합니다.
**감사 및 보안 로그 관리**
이 정책 설정은 파일 및 디렉터리에 대한 감사 옵션을 변경하고 보안 로그를 지울 수 있는 사용자를 결정합니다.
**감사 및 보안 로그 관리** 설정을 기본값인 **Administrators** 그룹으로 구성합니다.
**펌웨어 환경 값 수정**
이 정책 설정을 사용하면 하드웨어 구성에 영향을 미치는 시스템 전체 차원의 환경 변수를 사용자가 구성할 수 있습니다. 이 정보는 일반적으로 마지막으로 성공한 구성에 저장됩니다. 이러한 값을 잘못 수정하면 하드웨어 장애가 발생하고 결과적으로 서비스가 거부되는 상황이 발생할 수 있습니다.
**펌웨어 환경 값 수정** 설정을 기본값인 **Administrators** 그룹으로 구성합니다.
**볼륨 유지 관리 작업 수행**
이 정책 설정을 사용하면 시스템 볼륨 또는 디스크 구성을 사용자가 관리할 수 있습니다. 이 경우 사용자가 볼륨을 삭제할 수도 있으므로 데이터 손실이나 DoS(서비스 거부) 등의 문제가 발생할 수 있습니다.
**볼륨 유지 관리 작업 수행** 설정을 기본값인 **Administrators** 그룹으로 구성합니다.
**프로필 단일 프로세스**
이 정책 설정은 도구를 사용하여 비시스템 프로세스의 성능을 모니터링할 수 있는 사용자를 결정합니다. 일반적으로 MMC(Microsoft Management Console) 성능 스냅인을 사용하기 위해 이 사용자 권한을 구성할 필요는 없습니다. 그러나 WMI(Windows Management Instrumentation)를 사용하여 데이터를 수집하도록 시스템 모니터를 구성한 경우에는 이 사용자 권한이 필요합니다. **프로필 단일 프로세스** 사용자 권한을 제한하면 시스템을 공격하는 데 사용할 수 있는 추가 정보가 침입자의 손에 들어가지 않게 방지할 수 있습니다.
EC 환경의 컴퓨터에 대해서는 **프로필 단일 프로세스** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **Administrators** 그룹으로 구성합니다.
**프로필 시스템 성능**
이 정책 설정을 사용하면 도구를 사용하여 다른 시스템 프로세스의 성능을 볼 수 있습니다. 따라서 이 설정을 잘못 사용하면 공격자가 시스템의 활성 프로세스를 확인하고 잠재적인 공격 취약점을 알아낼 수 있습니다.
**프로필 시스템 성능** 설정을 기본값인 **Administrators** 그룹으로 구성합니다.
**도킹 스테이션에서 컴퓨터 제거**
이 정책 설정을 사용하면 휴대용 컴퓨터 사용자가 **시작** 메뉴의 **컴퓨터 도킹 해제**를 클릭하여 컴퓨터를 도킹 해제할 수 있습니다.
**도킹 스테이션에서 컴퓨터 제거** 설정을 **Administrators** 및 **Users** 그룹으로 구성합니다.
**프로세스 수준 토큰 바꾸기**
이 정책 설정을 사용하면 한 프로세스나 서비스에서 다른 보안 액세스 토큰을 사용하여 다른 서비스나 프로세스를 시작할 수 있습니다. 이 권한이 있으면 해당 하위 프로세스의 보안 액세스 토큰을 수정할 수 있고 이에 따라 권한 승격이 발생할 수도 있습니다.
**프로세스 수준 토큰 바꾸기** 설정을 기본값인 **Local Service** 및 **Network Service**로 구성합니다.
**파일 및 디렉터리 복원**
이 정책 설정은 사용자의 환경에서 Windows Vista가 실행되는 컴퓨터를 사용하여 백업 파일과 디렉터리를 복원할 때 파일, 디렉터리, 레지스트리 및 기타 영구 개체 사용 권한을 무시할 수 있는 사용자를 결정합니다. 또한 이 사용자 권한은 유효한 보안 계정을 개체 소유자로 설정할 수 있는 사용자도 결정합니다. 이러한 측면은 **파일 및 디렉터리 백업** 사용자 권한과 비슷합니다.
EC 환경에서는 **파일 및 디렉터리 복원** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **Administrators** 그룹으로 구성합니다.
**시스템 종료**
이 정책 설정은 작업 환경의 컴퓨터에 로컬로 로그온하여 시스템 종료 명령으로 운영 체제를 종료할 수 있는 사용자를 결정합니다. 이 사용자 권한을 잘못 사용하면 서비스가 거부될 수 있습니다. SSLF 환경에서는 이 권한을 **Administrators** 및 **Users** 그룹에만 부여하는 것이 좋습니다.
**시스템 종료** 설정을 **Administrators** 및 **Users** 그룹으로 구성합니다.
**파일 또는 기타 개체의 소유권 가져오기**
이 정책 설정을 사용하면 사용자가 파일, 폴더, 레지스트리 키, 프로세스 또는 스레드의 소유권을 가질 수 있습니다. 이 사용자 권한은 개체를 보호하고 지정된 사용자에게 소유권을 부여하기 위한 다른 모든 권한을 무시합니다.
**파일 또는 기타 개체의 소유권 가져오기** 설정을 기본값인 **Administrators** 그룹으로 구성합니다.
##### 보안 옵션 설정
작업 환경의 Windows Vista 실행 컴퓨터에서 그룹 정책을 통해 적용되는 보안 옵션 설정은 플로피 디스크 드라이브 액세스, CD-ROM 드라이브 액세스 및 로그온 프롬프트와 같은 기능을 활성화하거나 비활성화하는 데 사용됩니다. 또한 이러한 설정은 데이터의 디지털 서명, 관리자 및 게스트 계정 이름, 드라이버 설치 방식 등과 같은 여러 가지 설정을 구성하는 데도 사용됩니다.
그룹 정책 개체 편집기의 다음 위치에서 보안 옵션 설정을 구성할 수 있습니다.
**컴퓨터 구성\\Windows 설정\\보안 설정\\로컬 정책\\보안 옵션**
시스템 유형에 따라서는 이 섹션에 포함된 설정 중 일부가 해당하지 않을 수도 있습니다. 그러므로 이 섹션에 정의된 그룹 정책의 보안 옵션 부분을 구성하는 설정이 시스템에 있는 경우 해당 설정이 완벽한 기능을 발휘할 수 있도록 이를 수동으로 수정해야 할 수도 있습니다. 또는 적절한 설정 옵션이 포함되도록 그룹 정책 템플릿을 개별적으로 편집하여 규정된 설정을 전체적으로 적용할 수도 있습니다.
다음 섹션에서는 개체 유형별로 보안 옵션 설정의 권장 사항을 설명합니다. 각 섹션에서는 설정이 요약된 표를 먼저 제시한 후 각 표 다음에 나오는 하위 섹션을 통해 자세한 정보를 제공합니다. 여기에는 이 가이드에서 다루는 두 가지 유형의 보안 환경인 EC(엔터프라이즈 클라이언트) 환경과 SSLF(특수 보안 - 기능 제한) 환경에 사용되는 데스크톱 및 랩톱 클라이언트 컴퓨터 모두에 대한 권장 사항이 나와 있습니다.
**보안** **옵션** 하위 디렉터리에 있는 다음과 같은 개체 유형 설정에 대한 표와 권장 사항이 포함되어 있습니다.
- [계정](#_accounts)
- [감사](#_audit)
- [장치](#_devices)
- [도메인 구성원](#_domain_member)
- [대화형 로그온](#_interactive_logon)
- [Microsoft 네트워크 클라이언트](#_microsoft_network_client)
- [MSS 설정](#_mss_settings_1)
- [Microsoft 네트워크 서버](#_microsoft_network_server)
- [네트워크 액세스](#_network_access)
- [네트워크 보안](#_network_security)
- [복구 콘솔](#_recovery_console)
- [시스템 종료](#_shutdown)
- [시스템 암호화](#_system_cryptography)
- [시스템 개체](#_system_objects)
- [사용자 계정 제어](#_user_account_control)
###### 계정
다음 표에는 계정에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A16. 보안 옵션 설정 권장 사항 – 계정**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
계정: Administrator 계정 상태
사용 안 함
정의되지 않음
사용 안 함
계정: Guest 계정 상태
사용 안 함
사용 안 함
사용 안 함
계정: 콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한
사용
사용
사용
계정: Administrator 계정 이름 바꾸기
Administrator
권장
권장
계정: Guest 계정 이름 바꾸기
Guest
권장
권장
**계정: Administrator 계정 상태**
이 정책 설정은 정상 작업 중에 Administrator 계정을 활성화하거나 비활성화합니다. 컴퓨터를 안전 모드로 부팅하면 이 설정이 어떻게 구성되어 있는지와 상관없이 Administrator 계정이 항상 활성화됩니다.
**계정: Administrator 계정 상태** 설정은 EC 환경에서는 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성됩니다.
**계정: Guest 계정 상태**
이 정책 설정은 Guest 계정의 활성화 여부를 결정합니다. Guest 계정을 사용하면 인증되지 않은 네트워크 사용자가 시스템에 액세스할 수 있습니다.
**계정: Guest 계정 상태** 보안 옵션 설정은 이 가이드에 나오는 두 환경에서 **사용 안 함**으로 구성됩니다.
**계정: 콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한**
이 정책 설정은 암호로 보호되지 않은 로컬 계정을 사용하여 실제 컴퓨터 콘솔 이외의 위치에서 로그온할 수 있는지 여부를 결정합니다. 이 정책 설정을 활성화하면 암호가 비어 있는 로컬 계정으로는 원격 클라이언트 컴퓨터에 로그온할 수 없으며 해당 컴퓨터의 키보드로만 로그온할 수 있습니다.
**계정: 콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**계정: Administrator 계정 이름 바꾸기**
기본 제공되는 로컬 관리자 계정인 Administrator는 잘 알려진 계정 이름이며 외부 공격자의 공격 대상입니다. 이 계정에 대해 다른 이름을 선택하되 관리자 계정 또는 액세스 권한이 높은 계정임을 의미하는 이름은 피하는 것이 좋습니다. 컴퓨터 관리 콘솔을 사용하여 로컬 관리자에 대한 기본 설명도 변경해야 합니다.
**계정: Administrator 계정 이름 바꾸기** 설정 사용에 대한 권장 사항은 이 가이드에 나오는 두 환경에 모두 적용됩니다.
**참고** 이 정책 설정은 보안 템플릿에 구성되어 있지 않습니다. 이 가이드에서는 이 계정에 대한 사용자 이름을 제안하지도 않습니다. 이 가이드의 지침을 구현하는 조직에서 동일한 새 사용자 이름을 사용하는 일이 없도록 사용자 이름은 제안하지 않습니다.
**계정: Guest 계정 이름 바꾸기**
기본 제공된 로컬 게스트 계정인 Guest도 공격자에게 잘 알려진 이름 중 하나입니다. 이 계정 역시 그 용도를 암시하지 않는 다름 이름으로 바꾸는 것이 좋습니다. 권장하는 대로 이 계정을 비활성화한 경우에도 보안 강화를 위해 이름을 바꾸는 것이 좋습니다.
**계정: Guest 계정 이름 바꾸기** 설정 사용에 대한 권장 사항은 이 가이드에 나오는 두 환경에 모두 적용됩니다.
**참고** 이 정책 설정은 보안 템플릿에 구성되어 있지 않습니다. 이 가이드에서는 이 계정에 대한 새 사용자 이름을 제안하지도 않습니다. 이 가이드의 지침을 구현하는 조직에서 동일한 새 사용자 이름을 사용하는 일이 없도록 사용자 이름은 제안하지 않습니다.
###### 감사
다음 표에는 감사에 대한 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A17. 보안 옵션 설정 권장 사항 – 감사**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
감사: 글로벌 시스템 개체에 대한 액세스 감사
사용 안 함
정의되지 않음
사용 안 함
감사: 백업 및 복원 권한 사용을 감사
사용 안 함
정의되지 않음
사용 안 함
§ 감사: Force audit policy subcategory settings (Windows Vista or later) to override audit policy category settings
정의되지 않음
사용
사용
감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료
사용 안 함
정의되지 않음
사용 안 함
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
**감사: 글로벌 시스템 개체에 대한 액세스 감사**
이 정책 설정은 뮤텍스(mutex, 상호 배제), 이벤트, 세마포 및 MS-DOS® 장치와 같은 시스템 개체에 대한 기본 SACL(시스템 액세스 제어 목록)을 만들고 이러한 시스템 개체에 대한 액세스를 감사합니다.
**감사: 글로벌 시스템 개체에 대한 액세스 감사** 설정을 활성화하면 시스템 이벤트 로그가 많은 양의 보안 이벤트로 금방 가득 찰 수 있습니다. 따라서 이 정책 설정을 EC 환경에서는 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**감사: 백업 및 복원 권한 사용을 감사**
이 정책 설정은 **권한 사용 감사** 설정을 사용할 때 백업 및 복원을 포함한 모든 사용자 권한의 사용을 감사할지 결정합니다. 두 정책을 모두 활성화하면 백업 또는 복원되는 모든 파일에 대해 감사 이벤트가 생성됩니다.
**감사: 백업 및 복원 권한 사용을 감사** 설정을 활성화하면 시스템 이벤트 로그가 많은 양의 보안 이벤트로 금방 가득 찰 수 있습니다. 따라서 이 정책 설정을 EC 환경에서는 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**감사: Force audit policy subcategory settings (Windows Vista or later) to override audit policy category settings**
이 정책 설정을 사용하면 관리자가 Windows Vista의 더 세분화된 감사 기능을 사용할 수 있습니다.
Windows Server 2003 Active Directory에서 사용 가능한 감사 정책 설정에는 새 감사 하위 범주를 관리하기 위한 설정이 아직 포함되지 않았습니다. 이 가이드에서 설명하는 감사 정책을 제대로 적용하려면 이 가이드에 나오는 두 환경 모두에 대해 **감사: 감사 정책 하위 범주 설정(Windows Vista 이상 버전)을 적용하여 감사 정책 범주 설정 재정의** 설정을 **사용**으로 구성해야 합니다.
**감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료**
이 정책 설정은 보안 이벤트를 기록할 수 없는 경우 시스템을 종료할지 결정합니다. 이 설정은 감사 시스템을 통해 감사 이벤트를 기록할 수 없는 경우 이러한 이벤트가 발생하지 않도록 하기 위해 TCSEC(Trusted Computer System Evaluation Criteria)-C2 및 Common Criteria 인증에 필요합니다. 이 요구 사항을 충족하기 위해 Microsoft에서는 감사 시스템에 오류가 발생할 경우 시스템을 중지하고 중지 메시지가 표시되도록 설정했습니다. 이 정책 설정을 활성화하면 어떠한 이유로든 보안 감사를 기록할 수 없을 때 시스템이 종료됩니다.
**감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료** 설정을 활성화하면 갑작스러운 시스템 장애가 발생할 수 있습니다. 따라서 이 정책 설정을 EC 환경에서는 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
###### 장치
다음 표에는 장치에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A18. 보안 옵션 설정 권장 사항 – 장치**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
장치: 로그온할 필요 없이 도킹 해제 허용
사용
정의되지 않음
사용 안 함
장치: 이동식 미디어 포맷 및 꺼내기 허용
정의되지 않음(기본적으로 레지스트리 값이 없음)
Administrators, Interactive Users
Administrators
장치: 사용자가 프린터 드라이버를 설치할 수 없게 함
(데스크톱 컴퓨터)
사용 안 함
사용
사용
장치: 사용자가 프린터 드라이버를 설치할 수 없게 함
(랩톱 컴퓨터)
사용 안 함
사용 안 함
사용 안 함
장치: 로컬로 로그온한 사용자만이 CD ROM에 액세스 가능
정의되지 않음(기본적으로 레지스트리 값이 없음)
정의되지 않음
사용 안 함
장치: 로컬로 로그온한 사용자만이 플로피 드라이브에 액세스 가능
정의되지 않음(기본적으로 레지스트리 값이 없음)
정의되지 않음
사용 안 함
**장치: 로그온할 필요 없이 도킹 해제 허용**
이 정책 설정은 사용자가 시스템에 로그온하지 않고도 휴대용 컴퓨터의 도킹을 해제할 수 있는지 여부를 결정합니다. 로그온할 필요 없이 외부 하드웨어 꺼내기 단추를 사용하여 컴퓨터를 도킹 해제할 수 있도록 하려면 이 정책 설정을 활성화합니다. 이 정책 설정을 비활성화한 경우 컴퓨터의 도킹을 해제하려면 사용자가 로그온하여 **도킹 스테이션에서 컴퓨터 제거** 사용자 권한을 부여 받아야 합니다.
**장치:** **로그온할 필요 없이 도킹 해제 허용** 설정은 EC 환경에서는 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성됩니다.
**장치: 이동식 미디어 포맷 및 꺼내기 허용**
이 정책 설정은 이동식 미디어를 포맷하거나 꺼낼 수 있는 사용자를 결정합니다. 이 정책 설정을 사용하면 허가되지 않은 사용자가 다른 컴퓨터의 이동식 장치를 꺼내 자신이 로컬 관리자로 있는 컴퓨터에서 해당 데이터를 사용하는 것을 방지할 수 있습니다.
**장치:** **이동식 미디어 포맷 및 꺼내기 허용** 설정은 EC 환경에서는 **Administrators** 및 **Interactive Users** 그룹으로 제한되고, SSLF 환경에서는 보안 강화를 위해 **Administrators** 그룹으로만 제한됩니다.
**장치: 사용자가 프린터 드라이버를 설치할 수 없게 함**
공격자는 트로이 목마 프로그램을 프린터 드라이버로 위장할 수도 있습니다. 이러한 프로그램은 인쇄에 꼭 필요한 것처럼 보일 수 있지만 사용자의 컴퓨터 네트워크에 악성 코드를 유포할 수 있습니다. 이와 같은 문제의 발생 가능성을 줄이려면 관리자만 프린터 드라이버를 설치할 수 있도록 제한해야 합니다. 그러나 랩톱은 모바일 장치이므로 랩톱 사용자는 작업을 진행하기 위해 원격 소스에서 프린터 드라이버를 설치하는 경우가 있습니다. 따라서 랩톱 사용자에 대해서는 이 정책 설정을 비활성화하고, 데스크톱 사용자에 대해서는 이 설정을 항상 활성화해야 합니다.
**장치:** **사용자가 프린터 드라이버를 설치할 수 없게 함** 설정은 이 가이드에 나오는 두 환경 모두에 대해 데스크톱에서는 **사용**으로, 랩톱에서는 **사용 안 함**으로 구성됩니다.
**장치: 로컬로 로그온한 사용자만이 CD ROM에 액세스 가능**
이 정책 설정은 로컬 및 원격 사용자가 동시에 CD-ROM 드라이브에 액세스할 수 있는지 결정합니다. 이 정책 설정을 활성화하면 대화형으로 로그온한 사용자만 CD-ROM 드라이브의 미디어에 액세스할 수 있습니다. 이 정책 설정이 활성화되어 있어도 다른 사용자가 로그온하지 않은 상태라면 네트워크를 통해 CD-ROM 드라이브에 액세스할 수 있습니다. 백업 작업에 대해 볼륨 섀도 복사본을 지정한 상태에서 이 설정을 활성화하면 Windows 백업 유틸리티가 올바르게 실행되지 않습니다. 또한 볼륨 섀도 복사본을 사용하는 타사 백업 제품에서도 문제가 발생합니다.
**장치:** **로컬로 로그온한 사용자만이 CD ROM에 액세스 가능** 설정은 EC 환경에서는 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성됩니다.
**장치: 로컬로 로그온한 사용자만이 플로피 드라이브에 액세스 가능**
이 정책 설정은 로컬 및 원격 사용자가 동시에 플로피 드라이브에 액세스할 수 있는지 결정합니다. 이 정책 설정을 활성화하면 대화형으로 로그온한 사용자만 플로피 드라이브 미디어에 액세스할 수 있습니다. 이 정책 설정이 활성화되어 있어도 다른 사용자가 로그온하지 않은 상태라면 네트워크를 통해 플로피 드라이브 미디어에 액세스할 수 있습니다. 백업 작업에 대해 볼륨 섀도 복사본을 지정한 상태에서 이 설정을 활성화하면 Windows 백업 유틸리티가 올바르게 실행되지 않습니다. 또한 볼륨 섀도 복사본을 사용하는 타사 백업 제품에서도 문제가 발생합니다.
**장치:** **로컬로 로그온한 사용자만이 플로피 드라이브에 액세스 가능** 설정은 EC 환경에서는 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성됩니다.
###### 도메인 구성원
다음 표에는 도메인 구성원에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A19. 보안 옵션 설정 권장 사항 – 도메인 구성원**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
도메인 구성원: 보안 채널 데이터를 디지털 암호화 또는 서명(항상)
사용
사용
사용
도메인 구성원: 보안 채널 데이터를 디지털 암호화(가능하면)
사용
사용
사용
도메인 구성원: 보안 채널 데이터를 디지털 서명(가능하면)
사용
사용
사용
도메인 구성원: 컴퓨터 계정 암호 변경 사용 안 함
사용 안 함
사용 안 함
사용 안 함
도메인 구성원: 컴퓨터 계정 암호 최대 사용 기간
30일
30일
30일
도메인 구성원: 고급 세션 키 요청(Windows 2000 또는 그 이상)
사용 안 함
사용
사용
**도메인 구성원: 보안 채널 데이터를 디지털 암호화 또는 서명(항상)**
이 정책 설정은 도메인 구성원이 시작한 모든 보안 채널 트래픽을 서명 또는 암호화해야 하는지 여부를 결정합니다. 보안 채널 데이터를 항상 암호화하거나 서명하도록 시스템을 설정한 경우에는 모든 보안 채널 데이터가 서명되고 암호화되므로 모든 보안 채널 트래픽을 서명하거나 암호화할 수 없는 도메인 컨트롤러에서는 보안 채널을 구성할 수 없습니다.
**도메인 구성원: 보안 채널 데이터를 디지털 암호화 또는 서명(항상)** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**도메인 구성원: 보안 채널 데이터를 디지털 암호화(가능하면)**
이 정책 설정은 도메인 구성원이 시작한 모든 보안 채널 트래픽에 대해 암호화를 협상할 수 있는지 여부를 결정합니다. 이 정책 설정을 활성화하면 도메인 구성원은 모든 보안 채널 트래픽에 대한 암호화를 요청하고, 이 정책 설정을 비활성화하면 도메인 구성원은 보안 채널 암호화를 협상하지 못합니다.
**도메인 구성원: 보안 채널 데이터를 디지털 암호화(가능하면)** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**도메인 구성원: 보안 채널 데이터를 디지털 서명(가능하면)**
이 정책 설정은 도메인 구성원이 시작한 모든 보안 채널 트래픽에 대해 디지털 서명을 협상할 수 있는지 결정합니다. 디지털 서명이 있으면 다른 사용자가 네트워크를 통과하는 데이터 트래픽을 포착하여 수정할 수 없습니다.
**도메인 구성원: 보안 채널 데이터를 디지털 서명(가능하면)** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**도메인 구성원: 컴퓨터 계정 암호 변경 사용 안 함**
이 정책 설정은 도메인 구성원이 컴퓨터 계정 암호를 주기적으로 변경할 수 있는지 여부를 결정합니다. 이 정책 설정을 활성화하면 도메인 구성원은 컴퓨터 계정 암호를 변경할 수 없습니다. 정책 설정을 비활성화하면 **도메인 구성원: 컴퓨터 계정 암호 최대 사용 기간** 설정(기본값: 30일)에 지정된 대로 컴퓨터 계정 암호를 변경할 수 있습니다. 해당 계정 암호를 자동으로 변경할 수 없는 컴퓨터는 공격자가 시스템의 도메인 계정 암호를 알아낼 수 있으므로 공격을 받기 쉽습니다.
**도메인 구성원: 컴퓨터 계정 암호 변경 사용 안 함** 설정은 이 가이드에 나오는 두 환경에서 **사용 안 함**으로 구성됩니다.
**도메인 구성원: 컴퓨터 계정 암호 최대 사용 기간**
이 정책 설정은 컴퓨터 계정 암호를 사용할 수 있는 최대 허용 기간을 결정합니다. 기본적으로 도메인 구성원은 도메인 암호를 30일마다 자동으로 변경합니다. 이 간격을 크게 늘리거나 컴퓨터에서 더 이상 암호를 변경하지 못하도록 값을 0으로 설정하면 공격자가 컴퓨터 계정 중 하나의 암호를 알아내기 위해 무작위 대입 공격을 실행할 수 있는 시간이 더 많아집니다.
**도메인 구성원: 컴퓨터 계정 암호 최대 사용 기간** 설정은 이 가이드에 나오는 두 환경에서 **30일**로 구성됩니다.
**도메인 구성원: 고급 세션 키 요청(Windows 2000 또는 그 이상)**
이 정책 설정을 활성화하면 고급 세션 키(128비트)로 보안 채널 데이터를 암호화할 수 있는 도메인 컨트롤러와만 보안 채널을 설정할 수 있습니다.
이 정책 설정을 활성화하려면 도메인의 모든 도메인 컨트롤러에서 고급 키를 사용하여 보안 채널 데이터를 암호화할 수 있어야 합니다. 즉, 모든 도메인 컨트롤러에서 Microsoft Windows 2000 이상을 실행해야 합니다. Windows 2000을 기반으로 하지 않는 도메인과의 통신이 필요하면 이 정책 설정을 비활성화하는 것이 좋습니다.
**도메인 구성원: 고급 세션 키 요청(Windows** **2000 또는 그 이상)** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
###### 대화형 로그온
다음 표에는 대화형 로그온에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A20. 보안 옵션 설정 권장 사항 – 대화형 로그온**
대화형 로그온: 워크스테이션 잠금 해제를 위해 도메인 컨트롤러 인증 필요(데스크톱 컴퓨터)
사용 안 함
사용
사용
대화형 로그온: 워크스테이션 잠금 해제를 위해 도메인 컨트롤러 인증 필요(랩톱 컴퓨터)
사용 안 함
사용 안 함
사용 안 함
대화형 로그온: 스마트 카드 제거 동작
동작 없음
워크스테이션 잠금
워크스테이션 잠금
**대화형 로그온: 마지막 사용자 이름 표시 안 함**
이 정책 설정은 조직에서 클라이언트 컴퓨터에 로그온하는 마지막 사용자의 계정 이름을 각 컴퓨터의 해당 Windows 로그온 화면에 표시할지 결정합니다. 이 정책 설정을 사용하면 침입자가 조직 내 데스크톱 또는 랩톱 컴퓨터의 화면에서 계정 이름을 볼 수 없습니다.
**대화형 로그온: 마지막 사용자 이름 표시 안 함** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**대화형 로그온: \[CTRL+ALT+DEL\]을 사용할 필요 없음**
Ctrl+Alt+Delete 키 조합은 사용자가 사용자 이름과 암호를 입력할 때 운영 체제에서 신뢰할 수 있는 경로를 설정하는 데 사용됩니다. 이 정책 설정을 사용하면 사용자가 네트워크에 로그온할 때 이 키 조합을 사용하지 않아도 됩니다. 그러나 이 구성을 사용하면 더 약한 로그온 자격 증명으로 로그온할 수 있게 되므로 보안 위험에 노출됩니다.
**대화형 로그온: \[CTRL+ALT+DEL\]을 사용할 필요 없음** 설정은 이 가이드에 나오는 두 환경에서 **사용 안 함**으로 구성됩니다.
**대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트**
이 정책 설정은 로그온 시 사용자에게 표시되는 텍스트 메시지를 지정합니다. 이 텍스트는 종종 법적인 이유로 사용됩니다. 예를 들어, 사용자에게 회사 정보를 올바르지 않은 용도로 사용할 경우 생기는 문제에 대해 경고하거나 사용자의 동작이 감사될 수 있음을 경고하기 위해 사용됩니다.
**참고** 표시되는 모든 경고는 먼저 조직의 법무 담당자와 인사 담당자의 승인을 받아야 합니다. 또한 **대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트** 및 **대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목** 설정이 *모두* 활성화되어야만 각 설정이 올바르게 작동합니다.
**대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목**
이 정책 설정을 활성화하면 시스템에 로그온할 때 사용자에게 표시되는 창의 제목 표시줄에 사용할 텍스트를 지정할 수 있습니다. 이 정책 설정을 사용하는 이유는 앞에 나온 메시지 텍스트 설정을 사용하는 이유와 같습니다. 이 정책 설정을 사용하지 않는 조직은 시스템을 공격하는 불법 침입자가 법적 규제 없이 공격할 수 있는 대상이 되기 쉽습니다.
**참고** 표시되는 모든 경고는 먼저 조직의 법무 담당자와 인사 담당자의 승인을 받아야 합니다. 또한 **대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 텍스트** 및 **대화형 로그온: 로그온 시도하는 사용자에 대한 메시지 제목** 설정이 모두 활성화되어야만 각 설정이 올바르게 작동합니다.
**대화형 로그온: 캐시할 로그온의 횟수(도메인 컨트롤러가 사용 불가능할 경우)**
이 정책 설정은 사용자가 캐시된 계정 정보를 사용하여 Windows 도메인에 로그온할 수 있는지 결정합니다. 도메인 계정에 대한 로그온 정보를 로컬로 캐시하면 도메인 컨트롤러에 연결할 수 없는 경우에도 사용자가 로그온할 수 있습니다. 이 정책 설정은 로그온 정보를 로컬로 캐시할 수 있는 대상 사용자의 수를 결정합니다. 이 정책 설정의 기본값은 10입니다. 이 값을 0으로 설정하면 로그온 캐시 기능을 사용할 수 없습니다. 서버의 파일 시스템에 액세스할 수 있는 공격자는 이와 같이 캐시된 정보를 찾아 사용자 암호를 해독하는 무작위 공격을 시도할 수 있습니다.
**대화형 로그온: 캐시할 로그온의 횟수(도메인 컨트롤러가 사용 불가능할 경우)** 설정은 EC 환경의 데스크톱 및 랩톱 컴퓨터와 SSLF 환경의 랩톱 컴퓨터에 대해서는 **2**로 구성됩니다. 그러나 SSLF 환경의 데스크톱 컴퓨터는 조직의 네트워크에 항상 안전하게 연결되어 있어야 하므로 이 정책 설정이 **0**으로 구성됩니다.
**대화형 로그온: 암호 만료 전에 사용자에게 암호를 변경하도록 프롬프트**
이 정책 설정은 암호가 만료될 예정임을 사용자에게 얼마나 미리 경고할지를 결정합니다. 이 정책 설정의 값은 암호 만료를 미리 경고하기에 충분한 시간인 14일로 구성하는 것이 좋습니다.
**대화형 로그온: 암호 만료 전에 사용자에게 암호를 변경하도록 프롬프트** 설정은 이 가이드에 나오는 두 환경에서 **14일**로 구성됩니다.
**대화형 로그온: 워크스테이션 잠금 해제를 위해 도메인 컨트롤러 인증 필요**
이 정책 설정을 활성화한 경우 컴퓨터의 잠금을 해제하려면 잠금 해제에 사용되는 도메인 계정을 도메인 컨트롤러에서 인증해야 합니다. 이 정책 설정을 비활성화하면 캐시된 자격 증명을 사용하여 컴퓨터의 잠금을 해제할 수 있습니다. 모바일 사용자는 네트워크를 통해 도메인 컨트롤러에 액세스할 수 없으므로 두 환경의 랩톱 사용자에 대해서는 이 정책 설정을 비활성화하는 것이 좋습니다.
**대화형 로그온: 워크스테이션 잠금 해제를 위해 도메인 컨트롤러 인증 필요** 설정은 EC 및 SSLF 환경의 데스크톱 컴퓨터에 대해 **사용**으로 구성됩니다. 그러나 랩톱 컴퓨터에서는 해당 사용자가 사무실 밖에서도 계속 작업할 수 있도록 두 환경 모두 이 정책 설정을 **사용 안 함**으로 구성합니다.
**대화형 로그온: 스마트 카드 제거 동작**
이 정책 설정은 로그온한 사용자의 스마트 카드를 스마트 카드 판독기에서 제거할 때 일어나는 동작을 결정합니다. 이 정책 설정을 **워크스테이션 잠금**으로 구성하면 스마트 카드를 제거할 때 워크스테이션이 잠기므로 사용자가 다른 곳으로 이동하면서 스마트 카드를 가져가면 워크스테이션이 자동으로 잠깁니다. 이 정책 설정을 **강제 로그오프**로 구성하면 스마트 카드를 제거할 때 사용자가 자동으로 로그오프됩니다.
**대화형 로그온: 스마트 카드 제거 동작** 설정은 이 가이드에 나오는 두 환경에서 **워크스테이션 잠금** 옵션으로 구성됩니다.
###### Microsoft 네트워크 클라이언트
다음 표에는 Microsoft 네트워크 클라이언트 컴퓨터에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A21. 보안 옵션 설정 권장 사항 – Microsoft 네트워크 클라이언트**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
Microsoft 네트워크 클라이언트: 디지털 서명 통신(항상)
사용 안 함
사용
사용
Microsoft 네트워크 클라이언트: 디지털 서명 통신(서버에서 동의한 경우)
사용
사용
사용
Microsoft 네트워크 클라이언트: 타사 SMB 서버에 암호화되지 않은 암호를 보냄
사용 안 함
사용 안 함
사용 안 함
**Microsoft 네트워크 클라이언트: 디지털 서명 통신(항상)**
이 정책 설정은 SMB 클라이언트 구성 요소에 패킷 서명이 필요한지 여부를 결정합니다. 이 정책 설정을 활성화할 경우 Microsoft 네트워크 서버가 SMB 패킷에 서명하는 데 동의하지 않으면 Microsoft 네트워크 클라이언트 컴퓨터는 해당 네트워크 서버와 통신할 수 없습니다. 레거시 클라이언트 컴퓨터가 포함된 혼합 환경에서는 이러한 레거시 컴퓨터가 도메인 컨트롤러에서 인증을 받거나 액세스 권한을 얻을 수 없으므로 이 옵션을 **사용 안 함**으로 설정합니다. 이 정책 설정은 Windows 2000 이상의 환경에서 사용할 수 있습니다.
**Microsoft 네트워크 클라이언트: 디지털 서명 통신(항상)** 설정은 이 가이드에 나오는 두 환경의 컴퓨터 모두에 대해 **사용**으로 구성됩니다.
**참고** 이 정책 설정이 활성화된 Windows Vista 기반 컴퓨터에서 원격 서버에 있는 파일 또는 인쇄 공유 위치에 연결할 경우 이 설정을 해당 서버의 관련 설정인 **Microsoft 네트워크 서버: 디지털 서명 통신(항상)**과 동기화해야 합니다. 이러한 설정에 대한 자세한 내용은 [*위협 및 대책 (영문)*](https://go.microsoft.com/fwlink/?linkid=15159) 가이드의 5장에 있는 ""Microsoft 네트워크 클라이언트 및 서버: 디지털 서명 통신(네 가지 관련 설정)" 섹션을 참조하십시오.
**Microsoft 네트워크 클라이언트: 디지털 서명 통신(서버에서 동의한 경우)**
이 정책 설정은 SMB 클라이언트가 SMB 패킷 서명을 협상할지 결정합니다. Windows 기반 네트워크에서 디지털 서명을 구현하면 세션이 하이재킹되는 것을 방지할 수 있습니다. 이 정책 설정을 활성화하면 Microsoft 네트워크 클라이언트는 통신 대상 서버가 디지털 서명된 통신을 수락할 경우에만 서명을 사용하게 됩니다.
**Microsoft 네트워크 클라이언트: 디지털 서명 통신(서버에서 동의한 경우)** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**참고** 네크워크에 있는 SMB 클라이언트는 이 정책 설정을 사용하여 사용자 환경 내의 모든 클라이언트 및 서버에 대해 패킷 서명 작업을 매우 효율적으로 처리할 수 있습니다.
**Microsoft 네트워크 클라이언트: 타사 SMB 서버에 암호화되지 않은 암호를 보냄**
이 정책 설정을 비활성화하면 SMB 리디렉터는 암호 부호화를 지원하지 않는 타사 SMB 서버에서 인증을 받는 동안 일반 텍스트 암호를 보낼 수 없습니다. 업무상 반드시 활성화해야 하는 경우가 아니면 이 정책 설정을 비활성화하는 것이 좋습니다. 이 정책 설정을 활성화하면 네트워크에서 암호화되지 않은 암호가 허용됩니다.
**Microsoft 네트워크 클라이언트: 타사 SMB 서버에 암호화되지 않은 암호를 보냄** 설정은 이 가이드에 나오는 두 환경에서 **사용 안 함**으로 구성됩니다.
###### Microsoft 네트워크 서버
다음 표에는 Microsoft 네트워크 서버에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A22. 보안 옵션 설정 권장 사항 – Microsoft 네트워크 서버**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
Microsoft 네트워크 서버: 세션 연결을 중단하기 전에 필요한 유휴 시간
15분
15분
15분
Microsoft 네트워크 서버: 디지털 서명 통신(항상)
사용 안 함
사용
사용
Microsoft 네트워크 서버: 디지털 서명 통신(클라이언트에서 동의한 경우)
사용 안 함
사용
사용
Microsoft 네트워크 서버: 로그온 시간이 만료되면 클라이언트 연결 끊기
사용
사용
사용
**Microsoft 네트워크 서버: 세션 연결을 중단하기 전에 필요한 유휴 시간**
이 정책 설정을 사용하면 SMB 세션의 활동이 없더라도 해당 세션을 일시 중단하지 않은 채 대기하는 연속 유휴 시간을 지정할 수 있습니다. 관리자는 이 정책 설정을 사용하여 컴퓨터가 비활성 SMB 세션을 일시 중단하는 시점을 제어할 수 있습니다. 클라이언트 활동이 재개되면 세션이 자동으로 다시 설정됩니다.
**Microsoft 네트워크 서버: 세션 연결을 중단하기 전에 필요한 유휴 시간** 설정은 이 가이드에 나오는 두 환경에서 **15분**으로 구성됩니다.
**Microsoft 네트워크 서버: 디지털 서명 통신(항상)**
이 정책 설정은 서버쪽 SMB 서비스가 SMB 패킷 서명을 수행해야 하는지 결정합니다. 혼합 환경에서 이 정책 설정을 사용하면 다운스트림 클라이언트는 워크스테이션을 네트워크 서버로 사용하지 못합니다.
**Microsoft 네트워크 서버: 디지털 서명 통신(항상)** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**Microsoft 네트워크 서버: 디지털 서명 통신(클라이언트에서 동의한 경우)**
이 정책 설정은 연결을 설정하려는 클라이언트에서 요청할 경우 서버쪽 SMB 서비스가 SMB 패킷에 서명할 수 있는지 결정합니다. **Microsoft 네트워크 서버: 디지털 서명 통신(항상)** 설정이 비활성화된 경우에는 클라이언트가 서명을 요청하지 않으면 서명 없이 연결이 허용됩니다.
**Microsoft 네트워크 서버: 디지털 서명 통신(클라이언트에서 동의한 경우)** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**참고** 네크워크에 있는 SMB 클라이언트는 이 정책 설정을 사용하여 사용자 환경 내의 모든 클라이언트 및 서버에 대해 패킷 서명 작업을 매우 효율적으로 처리할 수 있습니다.
**Microsoft 네트워크 서버: 로그온 시간이 만료되면 클라이언트 연결 끊기**
이 정책 설정은 사용자 계정의 유효한 로그온 시간을 초과하여 로컬 컴퓨터에 연결되어 있는 사용자의 연결을 끊을지 여부를 결정합니다. 이는 SMB 구성 요소에 영향을 줍니다. 이 정책 설정을 사용하면 클라이언트의 로그온 시간이 만료될 때 SMB 서비스가 실행되는 클라이언트 세션의 연결이 강제로 끊어집니다. 이 정책 설정을 사용하지 않으면 클라이언트의 로그온 시간이 만료된 후에도 설정된 클라이언트 세션이 유지됩니다. 이 정책 설정을 활성화한 경우에는 **네트워크 보안:** **로그온 시간이 만료되면 강제로 로그오프** 설정도 활성화해야 합니다.
조직에서 사용자의 로그온 시간을 구성하는 경우에는 이 정책 설정을 사용해야 합니다.
**Microsoft 네트워크 클라이언트: 로그온 시간이 만료되면 클라이언트 연결 끊기** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
###### MSS 설정
다음 설정에는 SCE(보안 구성 편집기)를 통해 기본적으로 표시되지 않는 레지스트리 값 항목이 포함됩니다. 이러한 설정의 이름 앞에는 모두 **MSS:**가 붙습니다. 이들 설정은 기존의 보안 지침을 마련하기 위해 Microsoft Solutions for Security 그룹에서 개발한 것입니다. 1장, "기본 보안 구현"에서 설명하는 GPOAccelerator.wsf 스크립트를 사용하면 MSS 설정이 올바르게 표시되도록 SCE를 수정할 수 있습니다.
다음 표에는 이 가이드에 나오는 각 환경에 대한 권장 MSS 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A23. 보안 옵션 설정 권장 사항 – MSS 설정**
MSS: (ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires
(0 recommended)
0
0
MSS: (SynAttackProtect) Syn attack protection level (protects against DoS)
정의되지 않음
Connections timeout sooner if SYN attack is detected
MSS: (TCPMaxConnectResponseRetransmissions) SYN-ACK retransmissions when a connection request is not acknowledged
정의되지 않음
3 & 6 seconds, half-open connections dropped after 21 seconds
MSS: (TCPMaxDataRetransmissions) How many times unacknowledged data is retransmitted
(3 recommended, 5 is default)
정의되지 않음
3
MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning
정의되지 않음
90
**MSS: (AutoAdminLogon) Enable Automatic Logon**
레지스트리 값 항목 **AutoAdminLogon**이 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (AutoAdminLogon) Enable Automatic Logon (not recommended)**으로 표시됩니다.
이 설정은 Windows XP 및 Windows Vista의 시작 화면 기능과는 별개이므로 해당 기능을 비활성화해도 이 설정은 비활성화되지 않습니다. 자동 로그온 기능을 사용하도록 컴퓨터를 구성한 경우 컴퓨터에 물리적으로 액세스할 수 있는 사람은 누구든지 컴퓨터가 연결되어 있는 네트워크 또는 기타 네트워크를 비롯하여 해당 컴퓨터에 있는 모든 항목에 액세스할 수 있습니다. 또한 자동 로그온을 활성화하면 암호가 일반 텍스트로 레지스트리에 저장되며 Authenticated Users 그룹의 사용자는 이 값이 저장된 특정 레지스트리 키를 원격으로 읽을 수 있습니다. 따라서 EC 환경에서는 이 설정을 **정의되지 않음**으로 구성하고, SSLF 환경에서는 기본값인 **사용 안 함** 설정을 명시적으로 적용합니다.
자세한 내용은 기술 자료 문서 315231, "[Windows XP에서 자동 로그온을 설정하는 방법](https://support.microsoft.com/default.aspx?scid=315231)"을 참조하십시오.
**MSS: (DisableIPSourceRouting) IP source routing protection level**
레지스트리 값 항목 **DisableIPSourceRouting**이 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Services\\Tcpip\\Parameters\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (DisableIPSourceRouting) IP source routing protection level (protects against packet spoofing)**로 표시됩니다.
IP 원본 라우팅은 데이터그램의 IP 네트워크 경로를 보낸 사람이 결정할 수 있는 메커니즘입니다. EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **Highest Protection,** **source routing is completely disabled**로 구성합니다.
**MSS: (EnableDeadGWDetect) Allow automatic detection of dead network gateways**
레지스트리 값 항목 **EnableDeadGWDetect**가 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Services\\Tcpip\\Parameters\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (EnableDeadGWDetect) Allow automatic detection of dead network gateways (could lead to DoS)**로 표시됩니다.
작동하지 않는 게이트웨이 감지 기능을 설정한 경우 많은 연결에서 문제가 발생하면 IP가 백업 게이트웨이로 변경될 수 있습니다. EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes**
레지스트리 값 항목 **EnableICMPRedirect**가 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Services\\Tcpip\\Parameters\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (EnableICMPRedirect) Allow ICMP redirects to override OSPF generated routes**로 표시됩니다.
ICMP(Internet Control Message Protocol) 리디렉션을 통해 스택은 호스트 경로를 연결하게 됩니다. 이러한 경로는 OSPF(Open Shortest Path First)를 통해 생성된 경로보다 우선합니다. EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**MSS: (Hidden) Hide Computer From the Browse List**
레지스트리 값 항목 **Hidden**이 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Services\\Lanmanserver\\Parameters\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (Hidden) Hide Computer From the Browse List (not recommended except for highly secure environments)**로 표시됩니다.
도메인의 브라우저로 알림을 보내지 않도록 컴퓨터를 구성할 수 있습니다. 이를 위해서는 브라우저 목록에서 해당 컴퓨터를 숨겨야 합니다. 이렇게 하면 동일한 네트워크에 있는 다른 컴퓨터에 해당 컴퓨터가 표시되지 않습니다. 공격자가 컴퓨터의 이름을 알고 있으면 해당 시스템에 대한 추가 정보를 더 쉽게 수집할 수 있습니다. 이 설정을 활성화하면 공격자가 네트워크에서 컴퓨터에 대한 정보를 수집하는 데 사용할 수 있는 방법 하나가 사라지는 셈입니다. 또한 이 설정은 네트워크 트래픽을 줄이는 데도 도움이 될 수 있습니다. 그러나 공격자는 다른 여러 가지 방법으로 잠재적인 대상을 식별하고 찾을 수 있으므로 이 설정을 사용한다 하더라도 보안상의 효과는 별로 높지 않습니다. 따라서 SSLF 환경에서만 이 설정을 활성화하는 것이 좋습니다.
EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
자세한 내용은 기술 자료 문서 321710, "[HOW TO: Hide a Windows 2000-Based Computer from the Browser List](https://support.microsoft.com/default.aspx?scid=321710)"를 참조하십시오.
**MSS: (KeepAliveTime) How often keep-alive packets are sent in milliseconds**
레지스트리 값 항목 **KeepAliveTime**이 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Services\\Tcpip\\Parameters\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (KeepAliveTime) How often keep-alive packets are sent in milliseconds (300,000 is recommended)**로 표시됩니다.
이 값은 TCP가 활성 상태 패킷을 보내 유휴 연결이 원래 상태를 유지하는지 확인하는 빈도를 결정합니다. 원격 컴퓨터에 연결 가능한 경우 TCP는 활성 상태 패킷을 확인합니다. EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **30000** 또는 **5분**으로 구성합니다.
**MSS: (NoDefaultExempt) Configure IPSec exemptions for various types of network traffic**
레지스트리 값 항목 **NoDefaultExempt**가 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Services\\IPSEC\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (NoDefaultExempt) Configure IPSec exemptions for various types of network traffic**으로 표시됩니다.
IPsec 정책 필터의 기본 면제에 대한 설명은 해당 운영 체제의 온라인 도움말에 나와 있습니다. 이러한 필터는 IKE(인터넷 키 교환) 및 Kerberos 인증 프로토콜이 작동할 수 있도록 합니다. 또한 IPsec을 통해 데이터 트래픽을 보호할 때 전달되는 네트워크 QoS(서비스 품질)를 필터링할 수 있으며(RSVP) 멀티캐스트 및 브로드캐스트 트래픽 같이 IPsec을 통해 보호할 수 없는 트래픽도 필터링할 수 있습니다.
IPsec은 기본 호스트-방화벽 패킷 필터링에 점점 더 많이 사용되고 있으며 인터넷을 사용하는 경우에 특히 많이 사용됩니다. 그러나 이러한 기본 면제에 따른 효과를 충분히 이해하고 있는 경우는 많지 않습니다. 일부 IPsec 관리자는 자신이 만든 IPsec 정책이 안전하다고 생각하지만 기본 면제를 사용하는 인바운드 공격으로부터 해당 정책이 실제로는 안전하지 않을 수 있습니다. 이 가이드에 나오는 두 환경에서는 모두 Windows XP SP2의 기본 설정인 **Multicast,** **broadcast,** **and ISAKMP are exempt**를 적용하는 것이 좋습니다.
자세한 내용은 기술 자료 문서 811832, "[일부 시나리오에서 IPSec 기본 면제를 사용하여 IPSec 보호를 무시할 수 있다](https://support.microsoft.com/default.aspx?scid=811832)"를 참조하십시오.
**MSS: (NoDriveTypeAutoRun) Disable Autorun for all drives**
레지스트리 값 항목 **NoDriveTypeAutoRun**이 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\**
**Policies\\Explorer\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (NoDriveTypeAutoRun) Disable Autorun for all drives (recommended)**로 표시됩니다.
자동 실행은 컴퓨터의 드라이브에 미디어가 삽입되는 즉시 읽는 기능입니다. 따라서 프로그램의 설치 파일이나 오디오 미디어의 사운드 등이 즉시 시작됩니다. 이 가이드에 나오는 두 환경 모두에서 이 설정을 **255,** **모든 드라이브에 대해 자동 실행 사용 안 함**으로 구성합니다.
**MSS: (NoNameReleaseOnDemand) Allow the computer to ignore NetBIOS name release requests except from WINS servers**
레지스트리 값 항목 **NoNameReleaseOnDemand**가 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Services\\Netbt\\**
**Parameters\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (NoNameReleaseOnDemand) Allow the computer to ignore NetBIOS name release requests except from WINS servers**로 표시됩니다.
NetBIOS over TCP/IP는 Windows 기반 시스템에 등록된 NetBIOS 이름을 해당 시스템에 구성된 IP 주소로 쉽게 확인할 수 있는 네트워크 프로토콜입니다. 이 설정은 컴퓨터에서 이름 릴리스 요청을 받을 경우 NetBIOS 이름을 릴리스할지 결정합니다. EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
**MSS: (NtfsDisable8dot3NameCreation) Enable the computer to stop generating 8.3 style filenames**
레지스트리 값 항목 **NtfsDisable8dot3NameCreation**이 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Control\\FileSystem\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (NtfsDisable8dot3NameCreation) Enable the computer to stop generating 8.3 style filenames (recommended)**로 표시됩니다.
Windows Server 2003에서는 기존의 16비트 응용 프로그램과 호환성을 유지하기 위해 8.3 파일 이름 형식을 지원합니다. 8.3 파일 이름 규칙은 파일 이름에 8자까지 사용할 수 있는 명명 형식입니다. EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
**MSS: (PerformRouterDiscovery) Allow IRDP to detect and configure Default Gateway addresses**
레지스트리 값 항목 **PerformRouterDiscovery**가 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Services\\Tcpip\\Parameters\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (PerformRouterDiscovery) Allow IRDP to detect and configure Default Gateway addresses (could lead to DoS)**로 표시됩니다.
이 설정은 IRDP(Internet Router Discovery Protocol)를 활성화하거나 비활성화하는 데 사용됩니다. RFC 1256에서 설명하는 것처럼 이를 통해 시스템에서 인터페이스를 기준으로 기본 게이트웨이 주소를 자동으로 검색하고 구성할 수 있습니다. EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**MSS: (SafeDllSearchMode) Enable Safe DLL Search Order**
레지스트리 값 항목 **SafeDllSearchMode**가 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\ SYSTEM\\CurrentControlSet\\Control\\Session Manager\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (SafeDllSearchMode) Enable Safe DLL search mode (recommended)**로 표시됩니다.
다음 두 가지 중 한 가지 방법으로 프로세스를 실행하여 요청된 DLL을 검색하도록 DLL 검색 순서를 구성할 수 있습니다.
- 시스템 경로에 지정된 폴더를 먼저 검색한 후 현재 작업 중인 폴더를 검색합니다.
- 현재 작업 중인 폴더를 먼저 검색한 후 시스템 경로에 지정된 폴더를 검색합니다.
이 설정을 활성화하려면 레지스트리 값을 1로 설정합니다. 이 값을 1로 설정하면 시스템에서 시스템 경로에 지정된 폴더를 먼저 검색한 후 현재 작업 중인 폴더를 검색합니다. 이 설정을 비활성화하려면 값을 0으로 설정합니다. 이 경우 시스템에서는 현재 작업 중인 폴더를 먼저 검색한 후 시스템 경로에 지정된 폴더를 검색합니다. 이 가이드에 나오는 두 환경에서 모두 이 설정을 **사용**으로 구성합니다.
**MSS: (ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires**
레지스트리 값 항목 **ScreenSaverGracePeriod**가 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\SYSTEM\\Software\\Microsoft\\**
**Windows NT\\CurrentVersion\\Winlogon\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (ScreenSaverGracePeriod) The time in seconds before the screen saver grace period expires (0 recommended)**로 표시됩니다.
Windows에는 기본적으로 화면 보호기 잠금이 활성화되어 있는 경우 화면 보호기가 실행된 후 실제로 콘솔이 자동으로 잠길 때까지의 유예 기간이 설정되어 있습니다. 이 가이드에 나오는 두 환경에서 모두 이 설정을 **0**초로 구성합니다.
**MSS: (SynAttackProtect) Syn attack protection level**
레지스트리 값 항목 **SynAttackProtect**가 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Services\\Tcpip\\Parameters\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (SynAttackProtect) Syn attack protection level (protects against DoS)**로 표시됩니다.
이 설정이 있으면 TCP는 SYN-ACK 재전송을 조정합니다. 이 값을 구성하면 연결 요청(SYN) 공격이 발생할 경우 연결 응답이 더 빨리 시간 초과됩니다. EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **Connections timeout sooner if SYN attack is detected**로 구성합니다.
**MSS: (TCPMaxConnectResponseRetransmissions) SYN-ACK retransmissions when a connection request is not acknowledged**
레지스트리 값 항목 **TCPMaxConnectResponseRetransmissions**가 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\**
**Services\\Tcpip\\Parameters**\\ 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (TcpMaxConnectResponseRetransmissions) SYN-ACK retransmissions when a connection request is not acknowledged**로 표시됩니다.
이 설정은 연결 시도가 중단되기 전까지 TCP가 SYN을 다시 전송하는 횟수를 결정합니다. 재전송 제한 시간은 해당 연결 시도에서 재전송을 반복할 때마다 두 배로 증가합니다. 초기 시간 제한 값은 3초입니다. EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **3 & 6 seconds,** **half-open connections dropped after 21 seconds**로 구성합니다.
**MSS: (TCPMaxDataRetransmissions) How many times unacknowledged data is retransmitted**
레지스트리 값 항목 **TCPMaxDataRetransmissions**가 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\System\\CurrentControlSet\\Services\\Tcpip**
**\\Parameters\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (TcpMaxDataRetransmissions) How many times unacknowledged data is retransmitted (3 recommended,** **5 is default)**로 표시됩니다.
이 설정은 연결이 중단되기 전에 TCP에서 개별 데이터 세그먼트(연결되지 않은 세그먼트)를 재전송하는 횟수를 결정합니다. 재전송 제한 시간은 연결에서 재전송을 반복할 때마다 두 배로 증가합니다. 응답이 재개되면 값이 다시 설정됩니다. 기본 제한 시간 값은 연결 시 측정된 왕복 시간에 따라 동적으로 결정됩니다. EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **3**으로 구성합니다.
**MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning**
레지스트리 값 항목 **WarningLevel**이 템플릿 파일의 **HKEY\_LOCAL\_MACHINE\\ SYSTEM\\CurrentControlSet\\Services\\Eventlog\\Security\\** 레지스트리 키에 추가되었습니다. 이 항목은 SCE에서 **MSS: (WarningLevel) Percentage threshold for the security event log at which the system will generate a warning**으로 표시됩니다.
사용자가 정의한 임계값에 로그가 도달하면 이 설정으로 인해 보안 이벤트 로그에 보안 감사가 생성될 수 있습니다. EC 환경에서는 이 설정을 **정의되지 않음**으로, SSLF 환경에서는 **90**으로 구성합니다.
**참고** 로그 설정을 **필요한 경우 이벤트 덮어쓰기** 또는 **다음보다 오래된 이벤트 덮어쓰기** ***x*일**로 구성한 경우에는 이 이벤트가 생성되지 않습니다.
###### 네트워크 액세스
다음 표에는 네트워크 액세스에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A24. 보안 옵션 설정 권장 사항 – 네트워크 액세스**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
네트워크 액세스: 익명 SID/이름 변환 허용
사용 안 함
사용 안 함
사용 안 함
네트워크 액세스: SAM 계정의 익명 열거 허용 안 함
사용
사용
사용
네트워크 액세스: SAM 계정과 공유의 익명 열거 허용 안 함
사용 안 함
사용
사용
네트워크 액세스: 네트워크 인증에 대한 자격 증명의 저장소나 .NET Passport 허용 안 함
System\CurrentControlSet\
Control\Print\Printers
System\CurrentControlSet\
Services\Eventlog
Software\Microsoft\OLAP Server
Software\Microsoft\Windows NT\CurrentVersion\Print
Software\Microsoft\Windows NT\CurrentVersion\Windows
System\CurrentControlSet\
ContentIndex
System\CurrentControlSet\
Control\Terminal Server
System\CurrentControlSet\
Control\Terminal Server\User Config
System\CurrentControlSet\
Control\Terminal Server\Default User Config
Software\Microsoft\Windows NT\CurrentVersion\perflib
System\CurrentControlSet\
Services\SysmonLog
정의되지 않음
System\CurrentControlSet\
Control\Print\Printers
System\CurrentControlSet\
Services\Eventlog
Software\Microsoft\OLAP Server
Software\Microsoft\Windows NT\CurrentVersion\Print
Software\Microsoft\Windows NT\CurrentVersion\Windows
System\CurrentControlSet\
ContentIndex
System\CurrentControlSet\
Control\Terminal Server
System\CurrentControlSet\
Control\Terminal Server\User Config
System\CurrentControlSet\
Control\Terminal Server\Default User Config
Software\Microsoft\Windows NT\CurrentVersion\perflib
System\CurrentControlSet\
Services\SysmonLog
네트워크 액세스: 명명된 파이프와 공유에 대한 익명 액세스 제한
사용
정의되지 않음
사용
네트워크 액세스: 익명으로 액세스할 수 있는 공유
없음
정의되지 않음
없음
네트워크 액세스: 로컬 계정에 대한 공유 및 보안
일반 - 로컬 사용자를 그대로 인증
일반 - 로컬 사용자를 그대로 인증
일반 - 로컬 사용자를 그대로 인증
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
**네트워크 액세스: 익명 SID/이름 변환 허용**
이 정책 설정은 익명 사용자가 다른 사용자의 SID(보안 식별자) 특성을 요청할 수 있는지 또는 SID를 사용하여 해당 사용자 이름을 알아낼 수 있는지 결정합니다. 이 정책 설정을 비활성화하면 허가되지 않은 사용자가 해당 SID와 연결된 사용자 이름을 알아내지 못합니다.
EC 환경에서는 **네트워크 액세스: 익명 SID/이름 변환 허용** 설정은 이 가이드에 나오는 두 환경에서 **사용 안 함**으로 구성됩니다.
**네트워크 액세스: SAM 계정의 익명 열거 허용 안 함**
이 정책 설정은 익명 사용자가 SAM(보안 계정 관리자)에서 계정을 열거할 수 있는지 제어합니다. 이 정책 설정을 활성화하면 익명으로 연결된 사용자가 작업 환경의 워크스테이션에서 도메인 계정 사용자 이름을 열거할 수 없습니다. 이 정책 설정을 통해 익명 연결을 추가로 제한할 수도 있습니다.
EC 환경에서는 **네트워크 액세스: SAM 계정의 익명 열거 허용 안 함** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**네트워크 액세스: SAM 계정과 공유의 익명 열거 허용 안 함**
이 정책 설정은 익명 사용자가 SAM 계정과 공유를 열거할 수 있는지 제어합니다. 이 정책 설정을 활성화하면 익명 사용자가 작업 환경의 워크스테이션에서 도메인 계정 사용자 이름과 네트워크 공유 이름을 열거할 수 없습니다.
EC 환경에서는 **네트워크 액세스: SAM 계정과 공유의 익명 열거 허용 안 함** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**네트워크 액세스: 네트워크 인증에 대한 자격 증명의 저장소나 .NET Passport 허용 안 함**
이 정책 설정은 로컬 시스템의 인증 자격 증명 저장소와 암호를 제어합니다.
EC 환경에서는 **네트워크 액세스: 네트워크 인증에 대한 자격 증명의 저장소나 .NET Passport 허용 안 함** 설정은 이 가이드에 나오는 두 가지 환경에서 **사용**으로 구성됩니다.
**네트워크 액세스: Everyone 사용 권한을 익명 사용자에게 적용**
이 정책 설정은 컴퓨터에 익명으로 연결한 사용자에게 할당할 추가 사용 권한을 결정합니다. 이 정책 설정을 활성화하면 Windows 익명 사용자가 도메인 계정 및 네트워크 공유 이름을 열거하는 등과 같은 작업을 수행할 수 있습니다. 이 경우 권한이 없는 사용자가 익명으로 계정 이름 및 공유 리소스를 나열하고 이 정보를 사용하여 암호를 추측하거나 사회 공학적 공격을 수행할 수 있습니다.
**네트워크 액세스: Everyone 사용 권한을 익명 사용자에게 적용** 설정은 이 가이드에 나오는 두 환경에서 **사용 안 함**으로 구성됩니다.
**네트워크 액세스: 익명으로 액세스할 수 있는 명명된 파이프**
이 정책 설정은 익명 액세스를 허용하는 특성 및 사용 권한을 갖게 될 통신 세션 또는 파이프를 결정합니다.
EC 환경에서는 **네트워크 액세스: 익명으로 액세스할 수 있는 명명된 파이프** 설정이 **정의되지 않음**으로 구성되지만, SSLF 환경에서는 다음 기본값이 적용됩니다.
- Netlogon
- Isarpc
- Samr
- Browser
**네트워크 액세스: 원격으로 액세스할 수 있는 레지스트리 경로**
이 정책 설정은 레지스트리 경로에 대한 액세스 권한을 결정하기 위해 WinReg 키를 참조한 후 액세스할 수 있는 레지스트리 경로를 결정합니다.
EC 환경에서는 **네트워크 액세스: 원격으로 액세스할 수 있는 레지스트리 경로** 설정이 **정의되지 않음**으로 구성되지만, SSLF 환경에서는 다음 기본값이 적용됩니다.
- System\\CurrentControlSet\\Control\\ProductOptions
- System\\CurrentControlSet\\Control\\Server Applications
- Software\\Microsoft\\Windows NT\\CurrentVersion
**네트워크 액세스: 원격으로 액세스할 수 있는 레지스트리 경로 및 하위 경로**
이 정책 설정은 액세스 권한을 결정하기 위해 응용 프로그램이나 프로세스에서 **WinReg** 키를 참조할 때 액세스할 수 있는 레지스트리 경로 및 하위 경로를 결정합니다.
EC 환경에서는 **네트워크 액세스: 원격으로 액세스할 수 있는 레지스트리 경로 및 하위 경로** 설정이 **정의되지 않음**으로 구성되지만, SSLF 환경에서는 이 설정이 다음과 같이 구성됩니다.
- System\\CurrentControlSet\\Control\\Print\\Printers
- System\\CurrentControlSet\\Services\\Eventlog
- Software\\Microsoft\\OLAP Server
- Software\\Microsoft\\Windows NT\\CurrentVersion\\Print
- Software\\Microsoft\\Windows NT\\CurrentVersion\\Windows
- System\\CurrentControlSet\\ContentIndex
- System\\CurrentControlSet\\Control\\Terminal Server
- System\\CurrentControlSet\\Control\\Terminal Server\\User Config
- System\\CurrentControlSet\\Control\\Terminal Server\\Default User Config
- Software\\Microsoft\\Windows NT\\CurrentVersion\\perflib
- System\\CurrentControlSet\\Services\\SysmonLog
**네트워크 액세스: 명명된 파이프와 공유에 대한 익명 액세스 제한**
이 정책 설정을 활성화하면 **네트워크 액세스: 익명으로 액세스할 수 있는 명명된 파이프** 및 **네트워크 액세스: 익명으로 액세스할 수 있는 공유** 설정을 통해 지정한 공유 위치와 파이프로만 익명 액세스가 제한됩니다. 이 정책 설정은 컴퓨터의 공유 위치에 대한 null 세션 액세스를 제어합니다. 이를 위해 **RestrictNullSessAccess**의 값을 **1**로 설정하여 **HKLM\\System**
**\\CurrentControlSet\\Services\\LanManServer\\Parameters** 레지스트리 키에 추가합니다. 이 레지스트리 값을 사용하면 null 세션 공유를 켜거나 끄는 방식으로 서버 서비스에서 명명된 리소스에 대한 인증되지 않은 클라이언트의 액세스를 제한할지 여부를 제어할 수 있습니다. null 세션은 사용자 환경의 컴퓨터에서 기본 공유 위치를 포함한 여러 공유 위치를 통해 취약점을 드러낼 수 있는 부분이기도 합니다.
EC 환경에서는 **네트워크 액세스: 명명된 파이프와 공유에 대한 익명 액세스 제한** 설정이 **정의되지 않음**으로 구성되고, SSLF 환경에서는 **사용**으로 구성됩니다.
**네트워크 액세스: 익명으로 액세스할 수 있는 공유**
이 정책 설정은 익명 사용자가 액세스할 수 있는 네트워크 공유를 결정합니다. 이 정책 설정의 기본 구성을 사용할 경우에는 모든 사용자가 서버의 공유 리소스에 액세스하기 전에 인증을 받아야 하므로 결과에 큰 차이가 없습니다.
EC 환경에서는 **네트워크 액세스: 익명으로 액세스할 수 있는 공유** 설정이 **정의되지 않음**으로 구성되지만, SSLF 환경에서는 **없음**으로 구성됩니다.
**참고** 이 그룹 정책 설정에 다른 공유를 추가하는 것은 매우 위험할 수 있습니다. 나열된 모든 공유 위치에 임의의 네트워크 사용자가 액세스할 수 있으므로 중요한 데이터가 노출되거나 손상될 위험이 있습니다.
**네트워크 액세스: 로컬 계정에 대한 공유 및 보안**
이 정책 설정은 로컬 계정을 사용한 네트워크 로그온의 인증 방식을 결정합니다. **일반** 옵션을 사용하면 리소스에 대한 전반적인 액세스를 더 구체적으로 제어할 수 있습니다. 예를 들어, 같은 리소스에 대해 각 사용자에게 서로 다른 유형의 액세스 권한을 부여할 수 있습니다. **게스트 전용** 옵션을 사용하면 모든 사용자를 동일하게 처리할 수 있습니다. 이 경우 모든 사용자가 **게스트 전용**으로 인증되어 주어진 리소스에 대해 동일한 수준의 액세스 권한을 부여 받습니다.
**로컬 계정에 대한 공유 및 보안** 설정에 기본 **일반** 옵션을 사용합니다.
###### 네트워크 보안
다음 표에는 네트워크 보안에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A25. 보안 옵션 설정 권장 사항 – 네트워크 보안**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
네트워크 보안: 다음 암호 변경 시 Lan Manager 해시 값 저장 안 함
사용
사용
사용
네트워크 보안: 로그온 시간이 만료되면 강제로 로그오프
사용 안 함
정의되지 않음
정의되지 않음
네트워크 보안: LAN Manager 인증 수준
NTLMv2 응답만 보냄
NTLMv2 응답만 보냄. LM 거부
NTLMv2 응답만 보냄. LM NTLM 거부
네트워크 보안: LDAP 클라이언트 서명 필요
서명 협상
서명 협상
서명 협상
네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 클라이언트
최소 없음
NTLMv2 세션 보안 필요, 128비트 암호화 필요
NTLMv2 세션 보안 필요, 128비트 암호화 필요
네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 서버
최소 없음
NTLMv2 세션 보안 필요, 128비트 암호화 필요
NTLMv2 세션 보안 필요, 128비트 암호화 필요
**네트워크 보안: 다음 암호 변경 시 Lan Manager 해시 값 저장 안 함**
이 정책 설정은 암호가 변경될 때 새 암호에 대한 LM(LAN Manager) 해시 값을 저장할지 여부를 결정합니다. LM 해시는 비교적 약하며, 암호화되어 더 강력한 Microsoft Windows NT® 해시와 비교할 때 공격을 받기 쉽습니다.
**네트워크 보안: 다음 암호 변경 시 Lan Manager 해시 값 저장 안 함** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**참고** 이 정책 설정을 사용하는 경우 오래된 운영 체제와 몇몇 타사 응용 프로그램이 제대로 작동하지 않을 수도 있습니다. 또한 이 설정을 활성화한 후에는 모든 계정의 암호를 변경해야 합니다.
**네트워크 보안: 로그온 시간이 만료되면 강제로 로그오프**
사용자 계정의 유효한 로그온 시간을 초과하여 로컬 컴퓨터에 연결되어 있는 사용자의 연결을 끊을지 여부를 결정하는 이 정책 설정은 SMB 구성 요소에 영향을 줍니다. 이 정책 설정을 사용하면 클라이언트의 로그온 시간이 만료될 때 SMB 서버가 있는 클라이언트 세션의 연결이 끊어집니다. 이 정책 설정을 사용하지 않으면 클라이언트의 로그온 시간이 만료된 후에도 설정된 클라이언트 세션이 유지됩니다.
EC 환경에서는 **네트워크 보안: 로그온 시간이 만료되면 강제로 로그오프** 설정은 이 가이드에 나오는 두 환경에서 **정의되지 않음**으로 구성됩니다.
**네트워크 보안: LAN Manager 인증 수준**
이 정책 설정은 네트워크 로그온에 대한 Challenge/Response 인증 유형을 지정합니다. LM(LAN Manager) 인증은 안전성이 가장 낮은 방법으로, 이 방법을 사용할 경우 네트워크에서 누군가가 부호화된 암호를 쉽게 가로채 해독할 수 있습니다. NTLM(NT LAN Manager)은 LM 인증보다 좀 더 안전합니다. NTLMv2는 Windows Vista, Windows XP Professional, Windows Server 2003, Windows 2000 및 Windows NT 4.0 SP4(서비스 팩 4) 이상에서 사용할 수 있는 NTLM의 가장 강력한 버전입니다. 디렉터리 서비스 클라이언트가 옵션으로 제공되는 Windows 95 및 Windows 98에서도 NTLMv2를 사용할 수 있습니다.
이 정책 설정은 사용자의 환경에서 적용할 수 있는 가능한 가장 강력한 인증 수준으로 구성하는 것이 좋습니다. Windows 2000 Server 또는 Windows Server 2003과 Windows Vista 또는 Windows XP Professional 기반 워크스테이션만 사용하는 환경에서는 이 정책 설정을 **NTLMv2 응답만 보냄. LM NTLM 거부** 옵션으로 구성하여 가장 강력한 보안을 구현할 수 있습니다.
EC 환경에서는 **네트워크 보안: LAN Manager 인증 수준** 설정을 **NTLMv2 응답만 보냄. LM 거부**로 구성하지만, SSLF 환경에서는 이 정책 설정을 좀 더 제한적인 **NTLMv2 응답만 보냄. LM NTLM 거부**로 구성합니다.
**네트워크 보안: LDAP 클라이언트 서명 필요**
이 정책 설정은 LDAP BIND를 요청하는 클라이언트에 대해 요구되는 데이터 서명 수준을 결정합니다. 서명되지 않은 네트워크 트래픽은 끼어들기 공격에 취약점을 갖고 있으므로 공격자는 LDAP 서버가 LDAP 클라이언트의 잘못된 쿼리를 기준으로 의사 결정을 내리도록 만들 수 있습니다.
**네트워크 보안: LDAP 클라이언트 서명 필요** 설정은 이 가이드에 나오는 두 환경에서 **서명 협상**으로 구성됩니다.
**네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 클라이언트**
이 정책 설정은 클라이언트에 대한 최소한의 응용 프로그램-응용 프로그램 통신 보안 표준을 결정합니다. 이 정책 설정의 옵션은 다음과 같습니다.
- NTLMv2 세션 보안 필요
- 128비트 암호화 필요
네트워크의 모든 컴퓨터가 NTLMv2 및 128비트 암호화를 지원할 수 있으면(예: Windows Vista, Windows XP Professional SP2 및 Windows Server 2003 SP1) 최대한의 보안을 위해 네 가지 설정 옵션을 모두 선택할 수 있습니다.
**NTLMv2 세션 보안 필요** 및 **128비트 암호화 필요** 옵션을 **네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 클라이언트** 설정에 대해 활성화합니다.
**네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 서버**
이 정책 설정은 앞에 나온 설정과 비슷하지만 응용 프로그램과의 서버쪽 통신에 영향을 줍니다. 설정 옵션은 다음과 같이 동일합니다.
- NTLMv2 세션 보안 필요
- 128비트 암호화 필요
네트워크의 모든 컴퓨터가 NTLMv2 및 128비트 암호화를 지원할 수 있으면(예: Windows Vista, Windows XP Professional SP2 및 Windows Server 2003 SP1) 최대한의 보안을 위해 네 가지 옵션을 모두 선택할 수 있습니다.
**NTLMv2 세션 보안 필요** 및 **128비트 암호화 필요** 옵션을 **네트워크 보안: NTLM SSP 기반에 대한 최소 세션 보안 (보안 RPC 포함) 서버** 설정에 대해 활성화합니다.
###### 복구 콘솔
다음 표에는 복구 콘솔에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A26. 보안 옵션 설정 권장 사항 – 복구 콘솔**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
복구 콘솔: 자동 관리 로그온 허용
사용 안 함
사용 안 함
사용 안 함
복구 콘솔: 모든 드라이브 및 폴더에 플로피 복사 및 액세스 허용
사용 안 함
정의되지 않음
사용 안 함
**복구 콘솔: 자동 관리 로그온 허용**
복구 콘솔은 시스템에 문제가 발생했을 때 이를 복구하는 데 사용되는 명령줄 환경입니다. 이 정책 설정을 활성화한 경우에는 시스템을 시작하는 동안 복구 콘솔이 호출되면 관리자 계정이 복구 콘솔에 자동으로 로그온됩니다. 관리자가 복구 콘솔에 액세스하기 위해 암호를 입력해야 하므로 이 정책 설정은 비활성화하는 것이 좋습니다.
EC 환경에서는 **복구 콘솔: 자동 관리 로그온 허용** 설정은 이 가이드에 나오는 두 환경에서 **사용 안 함**으로 구성됩니다.
**복구 콘솔: 모든 드라이브 및 폴더에 플로피 복사 및 액세스 허용**
이 정책 설정은 복구 콘솔 SET 명령을 사용할 수 있도록 허용합니다. 이를 통해 다음과 같은 복구 콘솔 환경 변수를 설정할 수 있습니다.
- **AllowWildCards**. DEL 명령 등의 일부 명령에 대해 와일드카드를 지원합니다.
- **AllowAllPaths**. 컴퓨터의 모든 파일 및 폴더에 대한 액세스를 허용합니다.
- **AllowRemovableMedia**. 플로피 디스크 등의 이동식 미디어로 파일을 복사할 수 있습니다.
- **NoCopyPrompt**. 기존 파일을 덮어쓸 때 확인 메시지를 표시하지 않습니다.
EC 환경에서는 **복구 콘솔: 모든 드라이브 및 폴더에 플로피 복사 및 액세스 허용** 설정이 **정의되지 않음**으로 구성되지만, SSLF 환경에서는 최대한의 보안을 위해 이 설정이 **사용 안 함**으로 구성됩니다.
###### 시스템 종료
다음 표에는 시스템 종료에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A27. 보안 옵션 설정 권장 사항 – 시스템 종료**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
시스템 종료: 로그온하지 않고 시스템 종료 허용
사용
정의되지 않음
사용 안 함
시스템 종료: 가상 메모리 페이지 파일 지움(데스크톱 컴퓨터)
사용 안 함
사용 안 함
사용 안 함
시스템 종료: 가상 메모리 페이지 파일 지움(랩톱 컴퓨터)
사용 안 함
사용 안 함
사용
**시스템 종료: 로그온하지 않고 시스템 종료 허용**
이 정책 설정은 사용자가 로그온하지 않은 상태로 컴퓨터를 종료할 수 있는지 결정합니다. 이 정책 설정을 활성화하면 Windows 로그온 화면에서 시스템 종료 명령을 사용할 수 있습니다. 이 정책 설정을 비활성화하여 컴퓨터를 종료할 수 있는 권한을 시스템에서 자격 증명이 있는 사용자로만 제한하는 것이 좋습니다.
EC 환경에서는 **시스템 종료: 로그온하지 않고 시스템 종료 허용** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**시스템 종료: 가상 메모리 페이지 파일 지움**
이 정책 설정은 시스템이 종료될 때 가상 메모리 페이지 파일을 지울지 결정합니다. 이 정책 설정을 사용하면 시스템을 완전히 종료할 때마다 시스템 페이지 파일이 지워집니다. 휴대용 컴퓨터 시스템에서 최대 절전 모드를 사용하지 않도록 구성한 경우 이 보안 설정을 사용하면 최대 절전 모드 파일(Hiberfil.sys)도 지워집니다. 이 설정을 사용하면 컴퓨터를 종료했다가 다시 시작하는 데 시간이 더 오래 걸립니다.이 현상은 페이지 파일의 크기가 크게 설정되어 있는 컴퓨터에서 특히 두드러지게 나타납니다.
이러한 이유로 SSLF 환경의 랩톱 컴퓨터에 대해서는 **시스템 종료: 가상 메모리 페이지 파일 지움** 설정을 **사용**으로 구성하고, 이 가이드에 나오는 두 환경의 다른 모든 컴퓨터 유형에 대해서는 이 설정을 **사용 안 함**으로 구성합니다.
###### 시스템 암호화
다음 표에는 시스템 암호화에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A28. 보안 옵션 설정 권장 사항 - 시스템 암호화**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
시스템 암호화: 암호화, 해시, 서명에 FIPS 호환 알고리즘 사용
사용 안 함
정의되지 않음
사용 안 함
**시스템 암호화: 암호화, 해시, 서명에 FIPS 호환 알고리즘 사용**
이 정책 설정은 TLS/SSL(Transport Layer Security/Secure Sockets Layer) 보안 공급자가 TLS\_RSA\_WITH\_3DES\_EDE\_CBC\_SHA 암호 모음만 지원할지 여부를 결정합니다. 이 정책 설정을 사용하면 보안이 강화되지만 TLS 또는 SSL로 보안이 설정된 대부분의 공용 웹 사이트에서는 이러한 알고리즘을 지원하지 않습니다. 또한 이 정책 설정이 활성화된 클라이언트 컴퓨터는 FIPS 호환 알고리즘을 사용하도록 구성되지 않은 서버의 터미널 서비스에 연결할 수 없습니다.
EC 환경에서는 **시스템 암호화: 암호화,** **해시,** **서명에 FIPS 호환 알고리즘 사용** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**참고** 이 정책 설정을 활성화할 경우 파일의 각 데이터 블록에 대해 세 번씩 3DES 프로세스가 수행되므로 컴퓨터 성능이 저하됩니다. 이 정책 설정은 조직에서 FIPS 호환 알고리즘을 필요로 하는 경우에만 사용해야 합니다.
###### 시스템 개체
다음 표에는 시스템 개체에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A29. 보안 옵션 설정 권장 사항 - 시스템 개체**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
시스템 개체: 비 Windows 하위 시스템에 대한 대/소문자 구분 사용 안 함 필요
사용
정의되지 않음
사용
시스템 개체: 내부 시스템 개체(예: 심볼 링크)에 대한 기본 사용 권한을 강화
사용
사용
사용
**시스템 개체: 비 Windows 하위 시스템에 대한 대/소문자 구분 사용 안 함 필요**
이 정책 설정은 모든 하위 시스템에 대해 대/소문자를 구분하지 않도록 지정할지 여부를 결정합니다. Microsoft Win32® 하위 시스템은 대/소문자를 구분하지 않습니다. 그러나 POSIX(Portable Operating System Interface for UNIX) 등의 다른 하위 시스템에 대해서는 커널이 대/소문자 구분을 지원합니다. Windows는 대/소문자를 구분하지 않지만 POSIX 하위 시스템은 대/소문자를 구분하므로 이 정책 설정을 적용하지 않으면 POSIX 하위 시스템의 사용자가 파일 레이블에 대/소문자만 다르게 지정하여 다른 파일과 이름이 같은 파일을 만들 수 있습니다. 이러한 상황이 발생하면 해당 파일 중 하나만 사용할 수 있으므로 일반적인 Win32 도구를 사용하는 다른 사용자가 이들 파일에 액세스할 수 없게 됩니다.
파일 이름의 일관성을 보장하기 위해 EC 환경에서는 **시스템 개체: 비 Windows 하위 시스템에 대한 대/소문자 구분 사용 안 함 필요** 설정을 **정의되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
**시스템 개체: 내부 시스템 개체(예: 심볼 링크)에 대한 기본 사용 권한을 강화**
이 정책 설정은 개체에 대한 기본 DACL(임의 액세스 제어 목록)의 강도를 결정합니다. 이 설정을 사용하면 프로세스 간에 보안 개체를 찾아 공유하기 쉬워지며, 기본 구성을 사용할 경우 관리자 이외의 사용자가 공유 개체를 읽을 수 있지만 직접 만들지 않은 개체를 수정할 수는 없으므로 DACL이 강화됩니다.
**시스템 개체: 내부 시스템 개체(예: 심볼 링크)에 대한 기본 사용 권한을 강화** 설정을 기본 설정인 **사용**으로 구성합니다.
###### 사용자 계정 제어
UAC(사용자 계정 제어)를 사용하면 모든 사용자가 표준 사용자 모드로 작업을 실행해야 하며 여기에는 관리 자격 증명을 사용하여 로그온한 사용자라 해도 예외가 아니므로 운영 체제의 노출과 공격 취약점을 줄일 수 있습니다. 이 제한을 적용하면 컴퓨터를 감염시킨 발견되지 않은 악성 프로그램을 통해 네트워크를 바이러스에 실수로 노출하거나 컴퓨터를 불안정하게 만들 수 있는 변경 작업을 사용자가 함부로 수행하지 못하도록 그러한 위험을 최소화할 수 있습니다.
사용자가 관리 작업을 수행하려면 운영 체제에서 해당 보안 수준을 높여야만 원하는 작업을 진행할 수 있습니다. GPO의 UAC 설정에서는 보안 권한을 높이려는 요청에 운영 체제가 응답하는 방식을 구성합니다.
다음 표에는 사용자 계정 제어에 대한 보안 옵션의 권장 설정이 간략하게 정리되어 있습니다. 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A30. 보안 옵션 설정 권장 사항 – 사용자 계정 제어**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
§ 사용자 계정 제어: 기본 제공 관리자 계정의 관리 승인 모드
사용 안 함
사용
사용
§ 사용자 계정 제어: 관리 승인 모드에서 관리자의 상승 프롬프트 동작
동의 확인
자격 증명 확인
자격 증명 확인
§ 사용자 계정 제어: 표준 사용자의 상승 프롬프트 동작
자격 증명 확인
권한 상승 요청 자동 거부
권한 상승 요청 자동 거부
§ 사용자 계정 제어: 응용 프로그램 설치 검색 및 상승 확인
사용
사용
사용
§ 사용자 계정 제어: 서명되고 유효성 검사를 통과한 실행 파일만 상승
사용 안 함
사용 안 함
사용 안 함
§ 사용자 계정 제어: 안전한 위치에 설치되어 있는 UIAccess 응용 프로그램만 상승
사용
사용
사용
§ 사용자 계정 제어: 관리 승인 모드에서 모든 관리자 실행
사용
사용
사용
§ 사용자 계정 제어: 상승을 물을 때 보안된 데스크톱으로 전환
사용
사용
사용
§ 사용자 계정 제어: 사용자 단위 위치에 파일 및 레지스트리 쓰기 오류 가상화
사용
사용
사용
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
**사용자 계정 제어: 기본 제공 관리자 계정의 관리 승인 모드**
이 정책 설정은 기본 제공 Administrator 계정을 관리 승인 모드로 실행할지 여부를 결정합니다. Windows Vista에서는 특정 설치 조건에 따라 기본 제공 Administrator 계정을 구성하므로 이 설정의 기본 동작은 하나로 정해져 있지 않습니다.
기본 제공 Administrator가 컴퓨터의 유일한 로컬 활성 관리자가 *아닌* 경우 기본적으로 Windows Vista에서는 새 설치 및 업그레이드에 대해 이 설정을 **사용 안 함**으로 구성합니다. 도메인에 가입한 컴퓨터에서의 설치 및 업그레이드에 대해 기본적으로 Windows Vista에서는 기본 제공 Administrator 계정을 비활성화합니다.
기본 제공 Administrator 계정이 컴퓨터의 유일한 로컬 활성 관리자임을 확인한 경우 기본적으로 Windows Vista에서는 업그레이드에 대해 이 설정을 **사용**으로 구성합니다. 또한, 이 경우 Windows Vista에서는 업그레이드 후에 기본 제공 Administrator 계정을 활성화합니다.
**사용자 계정 제어: 기본 제공 관리자 계정의 관리 승인 모드** 설정은 이 가이드에 나오는 두 환경에서 **사용**으로 구성됩니다.
**사용자 계정 제어: 관리 승인 모드에서 관리자의 상승 프롬프트 동작**
이 설정은 로그온한 관리자가 상승된 권한을 필요로 하는 작업을 수행하려는 경우 Windows Vista의 동작을 결정합니다. 이 설정에는 다음 세 가지 값을 사용할 수 있습니다.
- **확인 안 함**. 이 값을 사용하면 사용자의 별도 확인 없이 권한이 자동으로 상승됩니다.
- **동의 확인**. 이 값을 사용하면 권한을 상승하기 전에 UAC에서 동의를 구하지만 자격 증명을 요청하지는 않습니다.
- **자격 증명 확인**. 이 값을 사용하면 권한을 상승하기 전에 확인 과정에서 유효한 관리자 자격 증명을 입력하라는 UAC의 메시지가 관리자에게 표시됩니다.
**사용자 계정 제어: 관리 승인 모드에서 관리자의 상승 프롬프트 동작**을 **자격 증명 확인**으로 구성합니다.
**사용자 계정 제어: 표준 사용자의 상승 프롬프트 동작**
이 설정은 로그온한 사용자가 상승된 권한을 필요로 하는 작업을 수행하려는 경우 Windows Vista의 동작을 결정합니다. 이 설정에는 다음 두 가지 값을 사용할 수 있습니다.
- **권한 상승 요청 자동 거부**. 이 값을 사용하면 상승 프롬프트가 표시되지 않습니다. 사용자가 관리 작업을 수행하려면 관리자 계정으로 로그온하거나 관리자 자격으로 **실행** 명령을 사용해야 합니다.
- **자격 증명 확인**. 이 값을 사용하면 권한을 상승하기 전에 확인 과정에서 유효한 관리자 자격 증명을 입력하라는 UAC의 메시지가 사용자에게 표시됩니다.
**사용자 계정 제어: 표준 사용자의 상승 프롬프트 동작** 설정을 **권한 상승 요청 자동 거부**로 구성합니다.
이 설정을 사용하면 표준 사용자가 자신의 권한을 높일 수 없습니다. 즉, 표준 사용자가 관리 작업을 수행하는 데 필요한 관리 계정 자격 증명을 입력할 수 없습니다. 프로그램 파일을 마우스 오른쪽 단추로 클릭한 후 **Administrator로 실행**을 선택하는 방식은 표준 사용자에게 적용되지 않습니다. 관리 작업을 수행해야 하는 표준 사용자는 먼저 로그오프한 후 관리 계정을 사용하여 다시 로그온해야만 관리 작업을 수행할 수 있습니다. 이 과정이 다소 불편하기는 하지만 사용자의 환경을 그만큼 더 안전하게 보호할 수 있습니다.
**사용자 계정 제어: 응용 프로그램 설치 검색 및 상승 확인**
이 설정은 응용 프로그램 설치 요청에 Windows Vista가 어떻게 반응할지 결정합니다. 응용 프로그램을 설치하려면 권한 상승이 필요합니다. 이 설정에는 다음 두 가지 값을 사용할 수 있습니다.
- **사용**. 이 값을 사용하면 설치 프로그램이 발견된 경우 상승 프롬프트 설정의 동작이 어떻게 구성되어 있는지에 따라 사용자에게 동의 또는 자격 증명을 요구하는 Windows Vista의 프롬프트 메시지가 표시됩니다.
- **사용 안 함**. 이 값을 사용하면 응용 프로그램이 자동으로 또는 확정되지 않은 방식으로 설치되는 것을 막을 수 있습니다.
**사용자 계정 제어: 응용 프로그램 설치 검색 및 상승 확인** 설정을 **사용**으로 구성합니다.
**사용자 계정 제어: 서명되고 유효성 검사를 통과한 실행 파일만 상승**
이 설정을 사용하면 서명되지 않았거나 유효성 검사를 통과하지 못한 응용 프로그램이 실행되는 것을 막을 수 있습니다. 이 설정을 활성화하려면 먼저 필요한 모든 응용 프로그램이 서명되어 있고 유효한지 여부를 관리자가 확인해야 합니다. 이 설정에는 다음 두 가지 값을 사용할 수 있습니다.
- **사용**. 이 값을 사용하면 서명된 실행 파일만 실행할 수 있습니다. 이 설정은 서명되지 않은 응용 프로그램이 실행되는 것을 차단합니다.
- **사용 안 함**. 이 값을 사용하면 서명된 실행 파일과 서명되지 않은 실행 파일을 모두 실행할 수 있습니다.
**사용자 계정 제어: 서명되고 유효성 검사를 통과한 실행 파일만 상승** 설정을 **사용 안 함**으로 구성합니다.
**사용자 계정 제어: 안전한 위치에 설치되어 있는 UIAccess 응용 프로그램만 상승**
이 설정을 사용하면 파일 시스템에서 Program Files 또는 Windows\\System32 폴더 같이 안전한 위치에 설치된 응용 프로그램만 상승된 권한으로 실행할 수 있으므로 Windows Vista 기반 컴퓨터를 보호하는 데 도움이 됩니다.
**사용자 계정 제어: 안전한 위치에 설치되어 있는 UIAccess 응용 프로그램만 상승** 설정을 **사용**으로 구성합니다.
**사용자 계정 제어: 관리 승인 모드에서 모든 관리자 실행**
이 설정은 UAC를 효과적으로 비활성화합니다. 이 설정에는 다음 두 가지 값을 사용할 수 있습니다.
- **사용**. 이 값을 사용하면 관리자나 표준 사용자가 관리 작업을 수행하려 할 때 프롬프트 메시지가 표시됩니다. 프롬프트 스타일은 정책에 따라 다릅니다.
- **사용 안 함**. 이 값을 사용하면 관리 승인 모드 사용자 유형과 모든 관련 UAC 정책이 비활성화됩니다. 이 설정을 사용하면 운영 체제의 전반적인 보안 수준이 낮아졌음을 보안 센터에서 통보 받게 됩니다.
**사용자 계정 제어: 관리 승인 모드에서 모든 관리자 실행** 설정을 **사용**으로 구성합니다.
**사용자 계정 제어: 상승을 물을 때 보안된 데스크톱으로 전환**
이 설정을 사용하면 컴퓨터와 사용자가 상승 프롬프트를 악용하지 못하도록 방어하는 데 도움이 됩니다. Windows Vista 보안 데스크톱에서는 SYSTEM 프로세스만 실행할 수 있으므로 악성 소프트웨어의 메시지가 대부분 차단됩니다. 따라서 보안 데스크톱에서는 일반적으로 동의 및 자격 증명 확인 프롬프트를 입력 스푸핑할 수 없습니다. 또한 동의 확인 프롬프트는 출력 스푸핑할 수도 없습니다. 자격 증명 확인 프롬프트를 사용할 때는 악성 프로그램을 통해 이를 스푸핑할 수 있으므로 위험 요소가 잔존합니다. 이 설정에는 다음 두 가지 값을 사용할 수 있습니다.
- **사용**. 이 값을 사용하면 UAC 상승 프롬프트가 보안 데스크톱에 표시됩니다.
- **사용 안 함**. 이 값을 사용하면 UAC 상승 프롬프트가 사용자 데스크톱에 표시됩니다.
**사용자 계정 제어: 상승을 물을 때 보안된 데스크톱으로 전환** 설정을 **사용**으로 구성합니다.
**사용자 계정 제어: 사용자 단위 위치에 파일 및 레지스트리 쓰기 오류 가상화**
응용 프로그램 매니페스트에 요청된 실행 수준 표시가 없거나 응용 프로그램 호환성 데이터베이스 항목이 없는 응용 프로그램은 UAC와 호환되지 않습니다. UAC와 호환되지 않는 응용 프로그램에서 Program Files 및 %*systemroot*%를 비롯한 보호된 영역에 쓰기 작업을 시도할 수 있습니다. 이 쓰기 프로세스를 완료할 수 없으면 이러한 응용 프로그램이 제대로 실행되지 않습니다. 이 설정을 사용하면 Windows Vista에서 파일 및 레지스트리 쓰기 작업을 사용자 위치로 가상화하여 응용 프로그램을 실행할 수 있습니다.
UAC 호환 응용 프로그램에서는 보호된 영역에 쓰기 작업을 시도하지 않으므로 쓰기와 관련된 문제가 발생하지 않습니다. 따라서 UAC 호환 응용 프로그램만 사용하는 환경에서는 이 설정을 비활성화해야 합니다.
이 설정에는 다음 두 가지 값을 사용할 수 있습니다.
- **사용**. UAC와 호환되지 않는 소프트웨어를 사용하는 환경에서는 이 설정을 **사용**으로 구성해야 합니다.
- **사용 안 함**. UAC와 호환되는 소프트웨어를 사용하는 환경에서는 이 설정을 **사용 안 함**으로 구성해야 합니다.
해당 환경의 응용 프로그램이 모두 UAC와 호환되는지 여부를 확신할 수 없으면 이 설정을 **사용**으로 구성해야 합니다.
**사용자 계정 제어: 사용자 단위 위치에 파일 및 레지스트리 쓰기 오류 가상화** 설정을 **사용**으로 구성합니다.
##### 이벤트 로그 보안 설정
이벤트 로그는 시스템에 대한 이벤트를 기록하고, 보안 로그는 감사 이벤트를 기록합니다. 그룹 정책의 이벤트 로그 컨테이너는 최대 로그 크기, 각 로그에 대한 액세스 권한, 보존 설정 및 방법과 같이 응용 프로그램, 보안 및 시스템 이벤트 로그와 관련된 특성을 정의하는 데 사용됩니다.
그룹 정책 개체 편집기의 다음 위치에서 이벤트 로그 설정을 구성할 수 있습니다.
**컴퓨터 구성\\Windows 설정\\보안 설정\\이벤트 로그**
이 섹션에서는 이 가이드에 나오는 환경에 대해 규정된 설정을 자세히 설명합니다. 이 섹션에서 설명하는 규범적 설정의 요약 정보를 보려면 Windows Vista Security Guide Settings.xls를 참조하십시오. 이 섹션에서 설명하는 각 설정에 대한 자세한 내용과 기본 설정에 대한 추가 정보를 보려면 [*위협 및 대책 (영문)*](https://go.microsoft.com/fwlink/?linkid=15159) 가이드를 참조하십시오. 함께 제공되는 이 가이드에서는 로그 크기를 매우 큰 값으로 설정할 경우 발생하는 이벤트 로그 데이터의 소실 가능성에 대해서도 자세히 설명합니다.
다음 표에서는 이 가이드에 나오든 두 가지 유형의 환경에서 데스크톱 및 랩톱 클라이언트 모두에 대해 권장하는 이벤트 로그 보안 설정을 요약하여 설명합니다. 각 설정에 대한 자세한 내용은 뒤이어 나오는 하위 섹션을 참조하십시오.
**표 A31. 보안 옵션 설정 권장 사항 – 이벤트 로그 보안 설정**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
응용 프로그램 로그 최대 크기
(기본값 = 20480)
32768KB
32768KB
보안 로그 최대 크기
(기본값 = 20480)
81920KB
81920KB
시스템 로그 최대 로그 크기
(기본값 = 20480)
32768KB
32768KB
응용 프로그램 로그 보관 방법
적용할 수 없음(기본값 = 필요한 경우 덮어쓰기)
필요하면
필요하면
보안 로그 보존 방법
적용할 수 없음(기본값 = 필요한 경우 덮어쓰기)
필요하면
필요하면
시스템 로그 보관 방법
적용할 수 없음(기본값 = 필요한 경우 덮어쓰기)
필요하면
필요하면
**응용 프로그램 로그 최대 크기**
이 정책 설정은 응용 프로그램 이벤트 로그의 최대 크기를 지정합니다. 이 로그의 최대 크기는 4GB입니다. 그러나 메모리가 조각화되어 성능이 저하되고 이벤트 로깅의 신뢰도가 떨어지므로 최대 크기는 권장하지 않습니다. 응용 프로그램 로그 크기를 얼마로 설정할지는 플랫폼의 기능과 응용 프로그램 관련 이벤트의 기록 레코드에 대한 요구 사항에 따라 달라집니다.
**응용 프로그램 로그 최대 크기** 설정을 **32768KB** 로 구성합니다.
**보안 로그 최대 크기**
이 정책 설정은 보안 이벤트 로그의 최대 크기를 지정합니다. 이 로그의 최대 크기는 4GB입니다. 그러나 메모리가 조각화되어 성능이 저하되고 이벤트 로깅의 신뢰도가 떨어지므로 최대 크기는 권장하지 않습니다. 보안 로그 크기를 얼마로 설정할지는 플랫폼의 기능과 응용 프로그램 관련 이벤트의 기록 레코드에 대한 요구 사항에 따라 달라집니다.
**보안 로그 최대 크기** 설정을 **81920KB**로 구성합니다.
**시스템 로그 최대 로그 크기**
이 정책 설정은 시스템 이벤트 로그의 최대 크기를 지정합니다. 이 로그의 최대 크기는 4GB입니다. 그러나 메모리가 조각화되어 성능이 저하되고 이벤트 로깅의 신뢰도가 떨어지므로 최대 크기는 권장하지 않습니다. 시스템 로그 크기를 얼마로 설정할지는 플랫폼의 기능과 응용 프로그램 관련 이벤트의 기록 레코드에 대한 요구 사항에 따라 달라집니다.
**시스템 로그 최대 로그 크기** 설정을 **32768KB**로 구성합니다.
**응용 프로그램 로그 보관 방법**
이 정책 설정은 응용 프로그램 로그에 대한 "래핑" 방법을 결정합니다. 문제를 설명하거나 해결하는 데 기록 이벤트가 필요한 경우 응용 프로그램 로그를 정기적으로 보관해야 합니다. 필요에 따라 이벤트 덮어쓰기 기능을 사용하면 로그에 항상 가장 최근의 이벤트를 저장할 수 있습니다. 그러나 이 구성을 사용하면 기록 데이터를 잃을 수도 있습니다.
**응용 프로그램 로그 보관 방법**을 **필요하면**으로 구성합니다.
**보안 로그 보존 방법**
이 정책 설정은 보안 로그에 대한 "래핑" 방법을 결정합니다. 문제를 설명하거나 해결하는 데 기록 이벤트가 필요한 경우 보안 로그를 정기적으로 보관해야 합니다. 필요에 따라 이벤트 덮어쓰기 기능을 사용하면 로그에 항상 가장 최근의 이벤트를 저장할 수 있습니다. 그러나 이 구성을 사용하면 기록 데이터를 잃을 수도 있습니다.
**보안 로그 보존 방법**을 **필요하면**으로 구성합니다.
**시스템 로그 보관 방법**
이 정책 설정은 시스템 로그에 대한 "래핑" 방법을 결정합니다. 문제를 설명하거나 해결하는 데 기록 이벤트가 필요한 경우 시스템 로그를 정기적으로 보관해야 합니다. 필요에 따라 이벤트 덮어쓰기 기능을 사용하면 로그에 항상 가장 최근의 이벤트를 저장할 수 있습니다. 그러나 이 구성을 사용하면 기록 데이터를 잃을 수도 있습니다.
**시스템 로그 보관 방법**을 **필요하면**으로 구성합니다.
##### 고급 보안이 포함된 Windows 방화벽 설정
Windows Vista에 포함된 방화벽에서는 그 구성을 더 구체적인 부분까지 제어할 수 있습니다.
그룹 정책 개체 편집기의 다음 위치에서 고급 보안이 포함된 Windows 방화벽 설정을 구성할 수 있습니다.
**컴퓨터 구성\\Windows 설정\\보안 설정**
**\\고급 보안이 포함된 Windows 방화벽**
이러한 설정을 제어하려면 그룹 정책 개체 편집기의 고급 보안이 포함된 Windows 방화벽 섹션에서 **Windows 방화벽 속성** 링크를 클릭합니다. **고급 보안이 포함된 Windows 방화벽** 대화 상자에서 도메인, 개인 및 공개 프로필의 설정을 지정할 수 있습니다. 각 프로필에 대해 **상태** 섹션에서 일반적인 설정을 지정한 후 **설정** 섹션에서 **사용자 지정** 단추를 클릭하여 사용자 지정된 설정을 구성할 수 있습니다. 이 부록 섹션에는 **고급 보안이 포함된 Windows 방화벽** 대화 상자에서 구성할 수 있는 각 프로필에 대한 권장 사항과 관련 표가 나와 있습니다.
###### 도메인 프로필
이 프로필은 컴퓨터가 네트워크에 연결되어 있고 컴퓨터가 속한 도메인의 도메인 컨트롤러에 대해 인증된 경우에 적용됩니다.
**표 A32. 도메인 프로필 설정 권장 사항**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
§ 방화벽 상태
구성되지 않음
사용(권장)
사용(권장)
§ 인바운드 연결
구성되지 않음
차단(기본값)
차단(기본값)
§ 아웃바운드 연결
구성되지 않음
허용(기본값)
허용(기본값)
사용자 지정된 설정
§ 알림 표시
구성되지 않음
예(기본값)
아니요
§ 유니캐스트 응답 허용
구성되지 않음
아니요
아니요
§ 로컬 방화벽 규칙 적용
구성되지 않음
예(기본값)
아니요
§ 로컬 연결 보안 규칙 적용
구성되지 않음
예(기본값)
아니요
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
EC 환경에서는 고급 보안이 포함된 Windows 방화벽을 구성할 때 원격 데스크톱을 허용하고 원격 지원 통신이 가능하도록 설정된 방화벽 규칙을 포함하는 것이 좋습니다. 또한 EC 환경에서는 컴퓨터의 로컬 관리자가 로컬 방화벽 규칙을 구성하여 컴퓨터에 대한 통신을 추가로 허용할 수 있습니다.
SSLF 환경에서는 모든 인바운드 통신이 기본적으로 차단되며 로컬 방화벽 규칙이 컴퓨터에서 무시됩니다. 방화벽 규칙을 추가하거나 수정하려면 그룹 정책 개체 편집기를 사용하여 구성 작업을 수행해야 합니다.
**중요** SSLF 환경에 대한 규범적 방화벽 설정에서는 컴퓨터에 대한 인바운드 연결을 크게 제한하고 있습니다. 사용자의 환경에서 이 방화벽 구성을 사용할 때는 먼저 충분한 테스트를 통해 모든 응용 프로그램이 제대로 작동하는지 확인해야 합니다.
도메인 프로필에 대해 정의된 규칙을 보려면 그룹 정책 개체 편집기의 고급 보안이 포함된 Windows 방화벽 섹션에서 **인바운드 규칙** 링크를 클릭하십시오.
###### 개인 프로필
이 프로필은 로컬 관리자 권한이 있는 사용자가 앞서 공개 프로필을 사용하도록 설정된 네트워크에 이를 할당하는 경우에만 적용됩니다. 신뢰할 수 있는 네트워크에 대해서만 프로필을 개인 프로필로 변경하는 것이 좋습니다.
**표 A33. 개인 프로필 설정 권장 사항**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
§ 방화벽 상태
구성되지 않음
사용(권장)
사용(권장)
§ 인바운드 연결
구성되지 않음
차단(기본값)
차단(기본값)
§ 아웃바운드 연결
구성되지 않음
허용(기본값)
허용(기본값)
사용자 지정된 설정
§ 알림 표시
구성되지 않음
예(기본값)
아니요
§ 유니캐스트 응답 허용
구성되지 않음
아니요
아니요
§ 로컬 방화벽 규칙 적용
구성되지 않음
예(기본값)
아니요
§ 로컬 연결 보안 규칙 적용
구성되지 않음
예(기본값)
아니요
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
EC 환경에서는 고급 보안이 포함된 Windows 방화벽을 구성할 때 원격 데스크톱 통신이 가능하도록 설정된 방화벽 규칙을 포함하는 것이 좋습니다. 또한 EC 환경에서는 컴퓨터의 로컬 관리자가 로컬 방화벽 규칙을 구성하여 컴퓨터에 대한 통신을 추가로 허용할 수 있습니다.
SSLF 환경에서는 모든 인바운드 통신이 기본적으로 차단되며 로컬 방화벽 규칙이 컴퓨터에서 무시됩니다. 방화벽 규칙을 추가하거나 수정하려면 그룹 정책 개체 편집기를 사용하여 구성 작업을 수행해야 합니다.
개인 프로필에 대해 정의된 규칙을 보려면 그룹 정책 개체 편집기의 고급 보안이 포함된 Windows 방화벽 섹션에서 **인바운드 규칙** 링크를 클릭하십시오.
###### 공개 프로필
이 프로필은 컴퓨터가 도메인에 연결되어 있지 않은 경우 적용되는 기본 네트워크 위치 유형입니다. IT 환경 내에서만큼 철저하게 보안을 제어할 수 없는 공용 네트워크에 컴퓨터가 연결되는 경우이므로 공개 프로필 설정은 가장 제한적이어야 합니다.
**표 A34. 공개 프로필 설정 권장 사항**
설정
Windows Vista 기본값
EC VSG 컴퓨터 GPO
SSLF VSG 컴퓨터 GPO
§ 방화벽 상태
구성되지 않음
사용(권장)
사용(권장)
§ 인바운드 연결
구성되지 않음
차단(기본값)
차단(기본값)
§ 아웃바운드 연결
구성되지 않음
허용(기본값)
허용(기본값)
사용자 지정된 설정
§ 알림 표시
구성되지 않음
아니요
아니요
§ 유니캐스트 응답 허용
구성되지 않음
아니요
아니요
§ 로컬 방화벽 규칙 적용
구성되지 않음
아니요
아니요
§ 로컬 연결 보안 규칙 적용
구성되지 않음
아니요
아니요
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
EC 환경과 SSLF 환경 모두 기본적으로 모든 인바운드 통신이 차단되며 컴퓨터에 대한 통신을 추가로 허용하는 어떠한 방화벽 규칙도 없습니다. 또한 이 가이드에 나오는 두 환경 모두 로컬 방화벽 규칙이 컴퓨터에서 무시됩니다. 공개 프로필에 적용되는 방화벽 규칙을 추가하거나 수정하려면 그룹 정책 개체 편집기를 사용하여 구성 작업을 수행해야 합니다.
다음 섹션에서는 방화벽 프로필 각각에 대해 구성할 수 있는 설정을 간략하게 설명합니다.
**방화벽 상태**
고급 보안이 포함된 Windows 방화벽에서 해당 프로필에 대한 설정을 사용하여 네트워크 트래픽을 필터링하도록 하려면 **사용(권장)**을 선택합니다. **사용 안 함**을 선택하면 고급 보안이 포함된 Windows 방화벽에서 해당 프로필에 대한 어떠한 방화벽 규칙이나 연결 보안 규칙도 사용하지 않습니다.
**인바운드 연결**
이 설정은 인바운드 방화벽 규칙과 일치하지 않는 인바운드 연결에 대한 동작을 결정합니다. 기본 동작은 방화벽 규칙을 통해 연결을 허용하지 않은 경우 해당 연결을 차단하도록 구성되어 있습니다.
**아웃바운드 연결**
이 설정은 아웃바운드 방화벽 규칙과 일치하지 않는 아웃바운드 연결에 대한 동작을 결정합니다. 기본 동작은 방화벽 규칙을 통해 연결을 차단하지 않은 경우 해당 연결을 허용하도록 구성되어 있습니다.
**중요 아웃바운드 연결**을 **차단**으로 설정한 후 GPO를 사용하여 방화벽 정책을 배포하는 경우 그룹 정책이 적용되도록 활성화하는 아웃바운드 규칙을 만들어 배포하지 않으면 이 GPO 설정을 적용 받는 컴퓨터에서 이후에 업데이트된 그룹 정책을 수신할 수 없습니다. 핵심 네트워킹에 대해 미리 정의된 규칙에는 그룹 정책이 적용되도록 활성화하는 아웃바운드 규칙이 포함되어 있습니다. 이러한 아웃바운드 규칙을 활성화하고 방화벽 프로필을 충분히 테스트한 후 배포해야 합니다.
**알림 표시**
이 옵션을 선택하면 프로그램에 대해 인바운드 연결 수신이 차단되었을 때 고급 보안이 포함된 Windows 방화벽 기능이 이를 사용자에게 표시합니다.
**참고** **로컬 방화벽 규칙 적용** 설정을 **아니요**로 구성한 경우에는 **알림 표시** 설정도 **아니요**로 구성하는 것이 좋습니다. 그렇지 않으면 제한된 인바운드 연결을 차단 해제할지 묻는 메시지가 사용자에게 계속 표시되지만 정작 사용자의 선택은 무시되는 결과가 발생합니다.
**유니캐스트 응답 허용**
이 옵션은 현재 컴퓨터가 내보내는 멀티캐스트 또는 브로드캐스트 메시지에 대해 유니캐스트 응답을 수신할지 여부를 제어해야 하는 경우에 유용합니다. 이 설정을 활성화한 경우 현재 컴퓨터에서 다른 컴퓨터로 멀티캐스트 또는 브로드캐스트 메시지를 보내면 고급 보안이 포함된 Windows 방화벽에서는 다른 컴퓨터로부터 유니캐스트 응답이 수신되기를 3초 동안 기다린 후 이후의 모든 응답을 차단합니다. 이 설정을 비활성화한 경우 현재 컴퓨터에서 다른 컴퓨터로 멀티캐스트 또는 브로드캐스트 메시지를 보내면 고급 보안이 포함된 Windows 방화벽에서는 다른 컴퓨터로부터 전달받은 유니캐스트 응답을 차단합니다.
**로컬 방화벽 규칙 적용**
이 설정은 그룹 정책을 통해 구성된 방화벽 규칙과 함께 적용할 로컬 방화벽 규칙을 로컬 관리자가 만들 수 있는지 여부를 제어합니다. 이 설정을 **아니요**로 구성하더라도 관리자가 방화벽 규칙을 만들 수 있지만 이 규칙이 실제로 적용되지는 않습니다. 이 설정은 그룹 정책을 통해 정책을 구성하는 경우에만 사용할 수 있습니다.
**로컬 연결 보안 규칙 적용**
이 설정은 그룹 정책을 통해 구성된 연결 보안 규칙과 함께 적용할 연결 보안 규칙을 로컬 관리자가 만들 수 있는지 여부를 제어합니다. 이 설정을 **아니요**로 구성하더라도 관리자가 방화벽 규칙을 만들 수 있지만 이 규칙이 실제로 적용되지는 않습니다. 이 설정은 그룹 정책을 통해 정책을 구성하는 경우에만 사용할 수 있습니다.
#### 컴퓨터 구성\\관리 템플릿
컴퓨터 정책의 다음 설정 그룹에는 이 가이드에서 규정하는 설정이 포함되어 있습니다. 이러한 설정은 그룹 정책 개체 편집기의 **컴퓨터 구성\\관리 템플릿** 하위 노드에 표시됩니다.
- [네트워크 연결](#_network_connections)
- [시스템](#_system)
- [로그온](#_logon)
- [그룹 정책](#_group_policy)
- [원격 지원](#_remote_assistance)
- [원격 프로시저 호출](#_remote_procedure_call)
- [인터넷 통신 관리\\인터넷 통신 설정](#_internet_communication_management--)
- [Windows 구성 요소](#_windows_components_2)
- [자동 실행 정책](#_autoplay_policies)
- [자격 증명 사용자 인터페이스](#_credential_user_interface)
- [Internet Explorer](#_internet_explorer_2)
- [NetMeeting](#_netmeeting)
- [터미널 서비스](#_terminal_services)
- [Windows Messenger](#_windows_messenger)
- [Windows Update](#_windows_update)
##### 네트워크 연결
그룹 정책의 네트워크 컨테이너에는 보안과 관련된 특별한 구성이 없습니다. 그러나 **네트워크 연결\\Windows 방화벽** 컨테이너에는 매우 중요한 여러 가지 설정이 있습니다.
Windows 방화벽을 구성하는 데는 그룹 정책 개체 편집기에서 사용할 수 있는 고급 보안이 포함된 Windows 방화벽 설정을 사용하는 것이 좋습니다. 그러나 고급 보안이 포함된 Windows 방화벽의 설정을 사용하면 그룹 정책의 이 영역에서 여러 가지 설정 상태가 변경될 수 있습니다. 또한 이 가이드에 나오는 EC 환경에서 Windows XP를 사용하는 컴퓨터와 호환성을 유지하는 데 도움이 되는 여러 가지 권장 설정도 있습니다.
Windows XP에서는 Windows 방화벽 설정을 구성하는 데 도메인 프로필과 표준 프로필이라는 두 가지 프로필을 사용합니다. 도메인 환경이 감지되면 도메인 프로필이 사용되고, 도메인 환경을 사용할 수 없으면 표준 프로필이 사용됩니다.
다음 두 표 중 하나에서 Windows 방화벽 설정이 **권장**인 경우 조직마다 사용해야 할 값이 다를 수 있습니다. 각 조직마다 Windows 방화벽에 대해 정의된 예외를 필요로 하는 응용 프로그램의 고유한 목록이 있을 수 있으므로 이 가이드에서 대부분의 경우에 적합하게 사용되는 목록을 정의하기란 사실상 불가능합니다.
예외를 필요로 할 수 있는 응용 프로그램이나 포트를 결정해야 하는 경우에는 Windows 방화벽 로깅, Windows 방화벽 감사 및 네트워크 추적을 사용하는 것이 도움이 됩니다. 자세한 내용은 "[Configuring a Computer for Windows Firewall Troubleshooting (영문)](https://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/operations/bfdeda55-46fc-4b53-b4cd-c71838ef4b41.mspx)" 문서를 참조하십시오.
일반적으로 도메인 환경에서 보호 계층을 추가로 적용할 수 있으므로 도메인 프로필은 표준 프로필보다 덜 제한적으로 구성됩니다. 정책 설정 이름은 두 프로필에서 동일합니다. 다음 두 표에는 각 프로필의 정책 설정에 대한 요약 정보만 나와 있습니다. 자세한 설명은 표 다음에 나오는 하위 섹션을 참조하십시오.
###### 네트워크 연결\\Windows 방화벽\\도메인 프로필
이 섹션의 설정은 Windows 방화벽 도메인 프로필을 구성합니다. 그룹 정책 개체 편집기의 다음 위치에서 이러한 설정을 구성할 수 있습니다.
**관리 템플릿\\네트워크\\네트워크 연결**
**\\Windows 방화벽\\도메인 프로필**
**표 A35. Windows 방화벽 도메인 프로필 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
Windows 방화벽: ICMP 허용
권장하지 않음
권장하지 않음
구성되지 않음
구성되지 않음
Windows 방화벽: 파일 및 프린터 공유 허용
사용 안 함
사용 안 함
구성되지 않음
구성되지 않음
Windows 방화벽: 원격 관리 허용
구성되지 않음
구성되지 않음
구성되지 않음
구성되지 않음
Windows 방화벽: 원격 데스크톱 허용
사용
사용
구성되지 않음
구성되지 않음
Windows 방화벽: UPnP 프레임워크 허용
권장하지 않음
권장하지 않음
구성되지 않음
구성되지 않음
Windows 방화벽: 예외 로컬 포트 허용
사용 안 함
사용 안 함
사용 안 함
사용 안 함
Windows 방화벽: 예외 로컬 프로그램 허용
권장하지 않음
권장하지 않음
사용 안 함
사용 안 함
Windows 방화벽: 예외 포트 정의
권장하지 않음
권장하지 않음
구성되지 않음
구성되지 않음
Windows 방화벽: 예외 프로그램 정의
권장
권장
구성되지 않음
구성되지 않음
Windows 방화벽: 예외 허용 안 함
권장하지 않음
권장하지 않음
구성되지 않음
구성되지 않음
Windows 방화벽: 알림 금지
사용 안 함
사용 안 함
사용
사용
Windows 방화벽: 멀티캐스트 또는 브로드캐스트 요청에 대한 유니캐스트 응답을 금지
사용
사용
사용
사용
Windows 방화벽: 모든 네트워크 연결을 보호
사용
사용
사용
사용
**참고** 이 표에서 Windows 방화벽 설정이 **권장**이면 조직마다 사용해야 할 값이 다를 수 있습니다. 예를 들어, 각 조직에는 Windows 방화벽에 대해 정의된 예외를 요구하는 고유한 응용 프로그램 목록이 있을 수 있습니다. 따라서 이 가이드에서 대부분의 경우에 적합하게 사용되는 목록을 정의하기란 사실상 불가능합니다.
###### 네트워크 연결\\Windows 방화벽\\표준 프로필
이 섹션의 설정은 Windows 방화벽 표준 프로필을 구성합니다. 도메인 환경이 기본 수준의 보안을 제공한다고 할 때 표준 프로필은 일반적으로 도메인 프로필보다 좀 더 제한적입니다. 표준 프로필은 컴퓨터가 호텔 네트워크나 공용 무선 액세스 지점과 같은 신뢰할 수 없는 네트워크에 연결되어 있을 때 주로 사용됩니다. 이러한 환경에서는 알 수 없는 보안 위협이 발생할 수 있으므로 추가적인 보안 조치가 필요합니다.
**참고** 표준 프로필은 Windows XP를 사용하는 컴퓨터에만 적용됩니다. 다음 권장 사항은 이 가이드에 나오는 EC 환경에만 적용되며 이는 Windows XP와의 호환성을 유지하기 위한 것입니다.
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**관리 템플릿\\네트워크\\네트워크 연결**
**\\Windows 방화벽\\표준 프로필**
**표 A36. Windows 방화벽 표준 프로필 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
Windows 방화벽: ICMP 허용
사용 안 함
사용 안 함
구성되지 않음
구성되지 않음
Windows 방화벽: 파일 및 프린터 공유 허용
사용 안 함
사용 안 함
구성되지 않음
구성되지 않음
Windows 방화벽: 원격 관리 허용
사용 안 함
사용 안 함
구성되지 않음
구성되지 않음
Windows 방화벽: 원격 데스크톱 허용
사용
사용
구성되지 않음
구성되지 않음
Windows 방화벽: UPnP 프레임워크 허용
사용 안 함
사용 안 함
구성되지 않음
구성되지 않음
Windows 방화벽: 예외 로컬 포트 허용
사용 안 함
사용 안 함
구성되지 않음
구성되지 않음
Windows 방화벽: 예외 로컬 프로그램 허용
권장하지 않음
권장하지 않음
구성되지 않음
구성되지 않음
Windows 방화벽: 예외 포트 정의
권장하지 않음
권장하지 않음
구성되지 않음
구성되지 않음
Windows 방화벽: 예외 프로그램 정의
권장
권장
구성되지 않음
구성되지 않음
Windows 방화벽: 예외 허용 안 함
권장
권장
구성되지 않음
구성되지 않음
Windows 방화벽: 알림 금지
사용 안 함
사용 안 함
구성되지 않음
구성되지 않음
Windows 방화벽: 멀티캐스트 또는 브로드캐스트 요청에 대한 유니캐스트 응답을 금지
사용
사용
구성되지 않음
구성되지 않음
Windows 방화벽: 모든 네트워크 연결을 보호
사용
사용
구성되지 않음
구성되지 않음
**참고** 이 표에서 Windows 방화벽 설정이 **권장**이면 조직마다 사용해야 할 값이 다를 수 있습니다. 예를 들어, 각 조직에는 Windows 방화벽에 대해 정의된 예외를 요구하는 고유한 응용 프로그램 목록이 있을 수 있습니다. 따라서 이 가이드에서 대부분의 경우에 적합하게 사용되는 목록을 정의하기란 사실상 불가능합니다.
**Windows 방화벽: ICMP 허용**
이 정책 설정은 Windows 방화벽이 허용하는 ICMP(Internet Control Message Protocol) 메시지 유형 모음을 정의합니다. 유틸리티에서는 ICMP 메시지를 사용하여 다른 컴퓨터의 상태를 확인할 수 있습니다. 예를 들어, PING에는 에코 요청 메시지가 사용됩니다.
**Windows 방화벽: ICMP 허용** 설정을 **사용**으로 구성하면 Windows 방화벽을 통해 해당 컴퓨터가 주고받을 수 있는 ICMP 메시지 유형을 지정해야 합니다. 이 정책 설정을 **사용 안 함**으로 구성하면 Windows 방화벽은 요청되지 않은 모든 인바운드 ICMP 메시지 유형과 나열된 아웃바운드 ICMP 메시지 유형을 차단합니다. 따라서 ICMP에 의존하는 유틸리티가 작동되지 않을 수 있습니다.
공격 도구 중에는 ICMP 메시지 유형을 받아들이는 컴퓨터를 이용하여 이러한 메시지를 통해 다양한 공격을 감행하는 것이 많습니다. 그러나 일부 응용 프로그램은 제대로 작동하기 위해 특정 ICMP 메시지를 필요로 합니다. 또한 ICMP 메시지는 그룹 정책을 다운로드하여 처리할 때 네트워크 성능을 측정하는 데 사용됩니다. 따라서 ICMP 메시지가 차단되면 그 영향을 받는 시스템에 그룹 정책을 적용할 수 없습니다. 따라서 가능하면 **Windows 방화벽: ICMP 허용** 설정을 **사용 안 함**으로 구성하는 것이 좋습니다. 작업 환경에서 일부 ICMP 메시지가 Windows 방화벽을 통과해야 할 경우 적절한 메시지 유형을 지정하여 이 정책 설정을 구성해야 합니다.
**Windows 방화벽: ICMP 허용** 설정이 **사용 안 함**으로 구성됩니다.
**참고** 만일 어떤 정책 설정을 통해 TCP 포트 445가 열리면 **Windows 방화벽: ICMP 허용** 정책 설정에서 인바운드 ICMP 에코 요청 메시지(예: PING 유틸리티가 전송하는 메시지)를 차단하려고 해도 Windows 방화벽은 해당 메시지를 허용합니다. TCP 포트 445를 열 수 있는 정책 설정에는 **Windows 방화벽: 파일 및 프린터 공유 허용**, **Windows 방화벽: 원격 관리 허용** 및 **Windows 방화벽: 예외 포트 정의**가 있습니다.
**Windows 방화벽: 파일 및 프린터 공유 허용**
이 정책 설정은 파일 및 프린터 공유를 허용하는 예외를 만듭니다. 또한 이 설정은 UDP 포트 137 및 138과 TCP 포트 139 및 445를 열도록 Windows 방화벽을 구성합니다. 이 정책 설정을 활성화하면 컴퓨터가 인쇄 작업 및 공유 파일 액세스 요청을 받을 수 있도록 Windows 방화벽에서 이러한 포트가 열립니다. 이러한 메시지가 허용되는 IP 주소 또는 서브넷을 지정해야 합니다.
**Windows 방화벽: 파일 및 프린터 공유 허용** 설정을 비활성화하면 Windows 방화벽은 이러한 포트를 차단하고 컴퓨터가 파일 및 프린터를 공유할 수 없도록 합니다.
작업 환경에서 Windows Vista가 실행되는 컴퓨터는 일반적으로 파일 및 프린터를 공유하지 않으므로 **Windows 방화벽: 파일 및 프린터 공유 허용** 설정을 **사용 안 함**으로 구성하는 것이 좋습니다.
**참고** 만일 어떤 정책 설정을 통해 TCP 포트 445가 열리면 **Windows 방화벽: ICMP 허용** 정책 설정에서 인바운드 ICMP 에코 요청 메시지(예: PING 유틸리티가 전송하는 메시지)를 차단하려고 해도 Windows 방화벽은 해당 메시지를 허용합니다. TCP 포트 445를 열 수 있는 정책 설정에는 **Windows 방화벽: 파일 및 프린터 공유 허용**, **Windows 방화벽: 원격 관리 허용** 및 **Windows 방화벽: 예외 포트 정의**가 있습니다.
**Windows 방화벽: 원격 관리 허용**
많은 조직에서는 일상적인 업무를 처리하는 데 원격 컴퓨터 관리 기능을 활용합니다. 그러나 원격 관리 프로그램에 주로 사용되는 포트가 공격에 이용될 수 있으므로 Windows 방화벽을 통해 이러한 포트를 차단할 수 있습니다.
**Windows 방화벽: 원격 관리 허용** 설정을 사용할 수 있습니다. 이 정책 설정을 활성화하면 컴퓨터는 TCP 포트 135 및 445에서 원격 관리와 관련하여 요청되지 않은 들어오는 메시지를 수신할 수 있습니다. 또한 이 정책 설정을 사용하면 Svchost.exe 및 Lsass.exe에서 요청되지 않은 들어오는 메시지를 수신할 수 있고, 동적으로 할당된 추가 포트를 호스팅된 서비스에서 열 수 있습니다. 동적으로 할당되는 추가 포트의 범위는 일반적으로 1024부터 1034까지이나 1024부터 65535까지의 어떤 번호도 이 포트로 사용될 수 있습니다. 이 정책 설정을 활성화할 경우 이러한 들어오는 메시지가 허용되는 IP 주소 또는 서브넷을 지정해야 합니다.
**Windows 방화벽: 원격 관리 허용** 설정을 **사용 안 함**으로 구성하면 Windows 방화벽은 설명된 어떠한 예외도 만들지 않습니다. 이 정책 설정을 **사용 안 함**으로 구성하면 여러 가지 원격 관리 도구 및 보안 취약성을 검사하는 도구가 제대로 작동하지 않으므로 대부분의 조직에서는 이와 같은 구성이 권장되지 않습니다. 따라서 보안이 아주 중요한 조직에서만 이 정책 설정을 활성화하는 것이 좋습니다.
도메인 프로필의 경우 EC 환경의 컴퓨터에 대해서는 필요한 경우에만 **Windows 방화벽: 원격 관리 허용** 설정을 **사용**으로 구성하는 것이 좋습니다. 이 설정을 활성화하면 해당 환경의 컴퓨터가 가능한 한 적은 수의 컴퓨터로부터만 원격 관리 요청을 받아들이도록 해야 합니다. Windows 방화벽에 의한 보호를 최대화하려면 원격 관리에 사용되는 컴퓨터의 필요한 IP 주소 및 서브넷만 지정하도록 합니다.
**Windows 방화벽: 원격 관리 허용** 설정을 **사용 안 함**으로 구성하는 것이 좋습니다.
**참고** 만일 어떤 정책 설정을 통해 TCP 포트 445가 열리면 **Windows 방화벽: ICMP 허용** 정책 설정에서 인바운드 ICMP 에코 요청 메시지(예: PING 유틸리티가 전송하는 메시지)를 차단하려고 해도 Windows 방화벽은 해당 메시지를 허용합니다. TCP 포트 445를 열 수 있는 정책 설정에는 **Windows 방화벽: 파일 및 프린터 공유 허용**, **Windows 방화벽: 원격 관리 허용** 및 **Windows 방화벽: 예외 포트 정의**가 있습니다.
**Windows 방화벽: 원격 데스크톱 허용**
많은 조직에서는 일반적인 문제 해결 절차나 작업에 원격 데스크톱 연결을 사용합니다. 그러나 원격 데스크톱에서 주로 사용되는 포트가 공격에 이용될 수 있습니다.
**Windows 방화벽: 원격 데스크톱** **허용** 설정을 사용할 수 있습니다. 이 정책 설정을 활성화하면 Windows 방화벽은 인바운드 연결을 위해 TCP 포트 3389를 엽니다. 이 경우 이러한 인바운드 메시지가 허용되는 IP 주소 또는 서브넷도 지정해야 합니다.
이 정책 설정을 비활성화하면 Windows 방화벽은 해당 포트를 차단하고 컴퓨터가 원격 데스크톱 요청을 받아들일 수 없도록 합니다. 관리자가 해당 포트를 열기 위해 예외 로컬 포트 목록에 추가하더라도 Windows 방화벽은 이 포트를 열지 않습니다.
EC 환경에서는 원격 데스크톱이 제공하는 고급 관리 기능을 유지하기 위해 이 정책 설정을 **사용**으로 구성해야 합니다. 이때 원격 관리에 사용되는 컴퓨터의 IP 주소 및 서브넷을 지정해야 합니다. 작업 환경의 컴퓨터에서는 가능한 한 적은 수의 컴퓨터로부터만 원격 데스크톱 요청을 수락해야 합니다.
**Windows 방화벽: UPnP 프레임워크 허용**
이 정책 설정을 사용하면 기본 제공 방화벽이 있는 라우터 등의 네트워크 장치에서 전송하는 요청하지 않은 플러그 앤 플레이 메시지를 컴퓨터가 수신할 수 있습니다. 이러한 메시지를 수신할 수 있도록 Windows 방화벽은 TCP 포트 2869 및 UDP 포트 1900을 엽니다.
**Windows 방화벽: UPnP 프레임워크 허용** 설정을 활성화하면 Windows 방화벽은 컴퓨터가 플러그 앤 플레이 메시지를 수신할 수 있도록 해당 포트를 엽니다. 이 경우 이러한 인바운드 메시지가 허용되는 IP 주소 또는 서브넷도 지정해야 합니다. 이 정책 설정을 비활성화하면 Windows 방화벽은 해당 포트를 닫아 컴퓨터가 플러그 앤 플레이 메시지를 수신하지 못하도록 합니다.
UPnP 네트워크 트래픽을 효과적으로 차단하면 작업 환경의 컴퓨터가 공격에 노출될 가능성이 줄어듭니다. 신뢰할 수 있는 네트워크에서는 UPnP 장치를 사용하지 않을 경우 **Windows 방화벽: UPnP 프레임워크 허용** 설정을 **사용 안 함**으로 구성하는 것이 좋습니다. 신뢰할 수 없는 네트워크에서는 이 정책 설정을 항상 **사용 안 함**으로 구성해야 합니다.
**Windows 방화벽: 예외 로컬 포트 허용**
이 정책 설정을 사용하면 관리자가 제어판의 Windows 방화벽 구성 요소를 사용하여 예외 로컬 포트 목록을 정의할 수 있습니다. Windows 방화벽에서는 두 개의 예외 포트 목록을 사용할 수 있습니다. 나머지 한 목록은 **Windows 방화벽: 예외 포트 정의**를 통해 정의됩니다.
**Windows 방화벽: 예외 로컬 포트 허용** 설정을 활성화하면 관리자가 제어판의 Windows 방화벽 구성 요소에서 예외 로컬 포트 목록을 정의할 수 있습니다. 이 정책 설정을 비활성화하면 관리자가 제어판의 Windows 방화벽 구성 요소에서 이러한 목록을 정의할 수 없습니다.
일반적으로 로컬 관리자는 조직 정책을 무시하고 자신의 고유한 예외 포트 목록을 설정할 권한이 없습니다. 따라서 **Windows 방화벽: 예외 로컬 포트 허용** 설정을 **사용 안 함**으로 구성하는 것이 좋습니다.
**Windows 방화벽: 예외 로컬 프로그램 허용**
이 정책 설정은 관리자가 제어판의 Windows 방화벽 구성 요소를 사용하여 예외 로컬 프로그램 목록을 정의할 수 있는지를 제어합니다. 이 정책 설정을 비활성화하면 관리자가 예외 로컬 프로그램 목록을 정의할 수 없습니다. 또한 이 구성을 사용하면 그룹 정책에서 가져온 예외 프로그램을 그대로 사용해야 합니다. 이 정책 설정을 활성화하면 로컬 관리자가 제어판을 사용하여 예외 프로그램을 로컬로 정의할 수 있습니다.
엔터프라이즈 클라이언트 컴퓨터에서는 예외 로컬 프로그램을 한정하는 조건이 있을 수 있습니다. 이러한 조건에는 조직의 방화벽 정책을 수립할 때 분석되지 않은 응용 프로그램이나 비표준 포트 구성을 필요로 하는 새로운 응용 프로그램 등이 포함될 수 있습니다. 이러한 상황에서 **Windows 방화벽: 예외 로컬 프로그램 허용** 설정을 활성화하면 그 영향을 받는 컴퓨터가 공격에 더 많이 노출될 수 있습니다.
**Windows 방화벽: 예외 포트 정의**
Windows 방화벽 예외 포트 목록은 그룹 정책을 통해 정의해야 합니다. 이렇게 하면 예외 포트를 중앙 집중식으로 관리 및 배포할 수 있고 로컬 관리자가 보안이 약한 설정을 임의로 만들지 못하도록 규제할 수 있습니다.
**Windows 방화벽: 예외 포트 정의** 설정을 활성화하면 그룹 정책에 정의된 예외 포트 목록을 보고 변경할 수 있습니다. 예외 포트 목록을 보고 수정하려면 해당 설정을 **사용**으로 구성한 후 **표시** 단추를 클릭합니다. 사용자가 잘못된 정의 문자열을 입력해도 Windows 방화벽에서는 오류를 검사하지 않은 채 해당 항목을 목록에 그대로 추가합니다. 즉, 이 목록을 정의할 때 주의를 기울이지 않으면 동일한 포트에 대해 여러 항목이 작성되어 범위 또는 상태 값이 서로 충돌할 수 있습니다.
**Windows 방화벽: 예외 포트 정의** 설정을 비활성화하면 그룹 정책에 정의된 예외 포트 목록이 삭제되지만 다른 설정으로 포트를 계속 열거나 차단할 수 있습니다. 또한 예외 로컬 포트 목록이 있어도 **Windows 방화벽: 예외 로컬 포트 허용** 설정을 활성화하지 않으면 이 목록이 무시됩니다.
특정 포트를 열도록 요구하는 비표준 응용 프로그램을 사용하는 환경에서는 예외 포트 목록 대신 예외 프로그램 목록을 사용하는 것이 좋습니다. 이러한 유형의 공격을 방지하려면 **Windows 방화벽: 예외 포트 정의** 설정을 **사용**으로 구성하고 예외 포트 목록을 지정하는 것이 좋습니다. 예외 프로그램 목록을 사용하면 지정된 프로그램이 실행되는 동안에만 Windows 방화벽에서 요청되지 않은 네트워크 트래픽을 수락할 수 있습니다. 이와 달리 예외 포트 목록을 사용하면 지정된 포트가 항상 열려 있습니다.
**참고** 만일 어떤 정책 설정을 통해 TCP 포트 445가 열리면 **Windows 방화벽: ICMP 허용** 정책 설정에서 인바운드 ICMP 에코 요청 메시지(예: PING 유틸리티가 전송하는 메시지)를 차단하려고 해도 Windows 방화벽은 해당 메시지를 허용합니다. TCP 포트 445를 열 수 있는 정책 설정에는 **Windows 방화벽: 파일 및 프린터 공유 허용**, **Windows 방화벽: 원격 관리 허용** 및 **Windows 방화벽: 예외 포트 정의**가 있습니다.
**Windows 방화벽: 예외 프로그램 정의**
일부 응용 프로그램에서는 Windows 방화벽이 일반적으로 허용하지 않는 네트워크 포트를 열어 사용해야 할 수 있습니다. **Windows 방화벽: 예외 프로그램 정의** 설정을 사용하면 그룹 정책에 정의된 예외 프로그램 목록을 보고 변경할 수 있습니다.
**사용**으로 구성하면 예외 프로그램 목록을 보고 변경할 수 있습니다. 이 목록에 프로그램을 추가하고 해당 상태를 **사용**으로 설정하면 해당 프로그램은 요청되지 않은 들어오는 메시지를 Windows 방화벽에 열도록 요청한 임의의 포트에서 수신할 수 있습니다. 해당 포트가 다른 설정에 의해 차단되었는지 여부는 상관이 없습니다. 이 정책 설정을 **사용 안 함**으로 구성하면 그룹 정책에 정의된 예외 프로그램 목록이 삭제됩니다.
**참고** 사용자가 잘못된 정의 문자열을 입력해도 Windows 방화벽에서는 오류를 검사하지 않은 채 해당 항목을 목록에 그대로 추가합니다. 이와 같이 항목이 검사되지 않으므로 아직 설치되지 않은 프로그램을 추가할 수 있습니다. 또한 이 목록을 정의할 때 주의를 기울이지 않으면 동일한 프로그램에 대해 여러 항목이 작성되어 범위 또는 상태 값이 서로 충돌할 수 있습니다.
**Windows 방화벽: 예외 허용 안 함**
이 정책 설정은 요청되지 않은 들어오는 모든 메시지를 Windows 방화벽이 차단하도록 합니다. 이 설정은 이러한 메시지를 허용하는 다른 모든 Windows 방화벽 설정보다 우선적으로 적용됩니다. 제어판의 Windows 방화벽 항목에서 이 정책 설정을 활성화하면 **예외 허용 안 함** 확인란이 선택되며 관리자는 이 선택을 취소할 수 없습니다.
많은 작업 환경에는 일반적인 작업 중에 요청되지 않은 인바운드 통신의 수신을 허용해야 하는 응용 프로그램 및 서비스가 포함되어 있습니다. 이러한 환경에서는 해당 응용 프로그램 및 서비스가 제대로 실행될 수 있도록 **Windows 방화벽: 예외 허용 안 함** 설정을 **사용 안 함**으로 구성해야 할 수도 있습니다. 그러나 이러한 정책 설정을 구성하기 전에 작업 환경을 테스트하여 정확히 어떤 통신을 허용해야 하는지 결정해야 합니다.
**참고** 이 정책 설정은 외부 공격자를 막는 강력한 방어 장치를 제공합니다. 새로운 네트워크 웜의 출현 같은 외부 공격으로부터 시스템을 완전히 보호해야 하는 경우에는 이 정책을 **사용**으로 설정해야 합니다. 이 정책 설정을 **사용 안 함**으로 설정하면 Windows 방화벽에서는 요청되지 않은 들어오는 메시지를 허용하는 다른 정책 설정을 적용할 수 있습니다.
**Windows 방화벽: 알림 금지**
Windows 방화벽은 특정 프로그램이 예외 프로그램 목록에 이 프로그램을 추가하도록 요청할 때 사용자에게 알림을 표시할 수 있습니다. 프로그램이 포트를 열려고 하지만 현재의 Windows 방화벽 규칙 때문에 해당 포트를 열 수 없을 때 이러한 상황이 발생합니다.
**Windows 방화벽: 알림 금지** 설정은 이러한 설정을 사용자에게 표시할지 여부를 결정합니다. 이 정책 설정을 **사용**으로 구성하면 Windows 방화벽은 이러한 알림이 표시되지 않도록 하고, **사용 안 함**으로 구성하면 Windows 방화벽은 이러한 알림이 표시되도록 허용합니다.
**Windows 방화벽: 멀티캐스트 또는 브로드캐스트 요청에 대한 유니캐스트 응답을 금지**
이 정책 설정은 내보낸 멀티캐스트 또는 브로드캐스트 메시지에 대한 유니캐스트 응답을 컴퓨터가 수신하지 못하도록 차단합니다. 이 정책 설정을 활성화한 상태에서 컴퓨터가 멀티캐스트 또는 브로드캐스트 메시지를 다른 컴퓨터로 전송하면 Windows 방화벽은 다른 컴퓨터에서 보낸 유니캐스트 응답을 차단합니다. 이 정책 설정을 비활성화한 상태에서 컴퓨터가 멀티캐스트 또는 브로드캐스트 메시지를 다른 컴퓨터로 전송하면 Windows 방화벽은 최대 3초까지 다른 컴퓨터의 유니캐스트 응답을 기다렸다가 그 이후의 모든 응답을 차단합니다.
일반적으로는 멀티캐스트 또는 브로드캐스트 메시지에 대한 유니캐스트 응답을 수신하지 않는 것이 좋을 수 있습니다. 이러한 응답은 DoS(서비스 거부) 공격이거나 알려진 컴퓨터를 검색하려는 시도일 수 있습니다. 이러한 유형의 공격을 방지하려면 **Windows 방화벽: 멀티캐스트 또는 브로드캐스트 요청에 대한 유니캐스트 응답을 금지** 설정을 **사용**으로 구성하는 것이 좋습니다.
**참고** 유니캐스트 메시지가 이 컴퓨터에서 보낸 DHCP 브로드캐스트 메시지에 대한 응답일 경우 이 정책 설정은 적용되지 않습니다. Windows 방화벽은 항상 이와 같은 DHCP 응답을 허용합니다. 그러나 이 정책 설정으로 인해 이름 충돌을 확인하는 NetBIOS 메시지가 제 기능을 수행하지 못할 수도 있습니다.
**Windows 방화벽: 모든 네트워크 연결을 보호**
이 정책 설정은 Windows Vista가 실행되는 모든 컴퓨터에서 인터넷 연결 방화벽을 대신하는 Windows 방화벽을 활성화합니다. 이 가이드에 나오든 모든 환경에서 컴퓨터에 대한 모든 네트워크 연결을 보호할 수 있도록 이 정책 설정을 **사용**으로 구성하는 것이 좋습니다.
**Windows 방화벽: 모든 네트워크 연결을 보호** 설정을 **사용 안 함**으로 구성하면 Windows 방화벽이 해제되고 Windows 방화벽에 대한 다른 모든 설정이 무시됩니다.
**참고** 이 정책 설정을 활성화하면 Windows 방화벽이 실행되고 **컴퓨터 구성\\관리 템플릿\\네트워크\\네트워크 연결**
**\\사용자의 DNS 도메인 네트워크에서 인터넷 연결 방화벽의 사용을 금지**에 대한 설정이 무시됩니다.
##### 시스템
컴퓨터 구성\\관리 템플릿\\시스템 위치에는 다음과 같은 추가 섹션이 구성되어 있습니다.
- [로그온](#_logon)
- [그룹 정책](#_group_policy)
- [원격 지원](#_remote_assistance)
- [원격 프로시저 호출](#_remote_procedure_call)
- [인터넷 통신 관리\\인터넷 통신 설정](#_internet_communication_management--)
###### 로그온
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\시스템\\로그온**
다음 표에는 로그온에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A37. 로그온 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
레거시 실행 목록 처리 안 함
구성되지 않음
구성되지 않음
사용
사용
한 번만 실행 목록 처리 안 함
구성되지 않음
구성되지 않음
사용
사용
**레거시 실행 목록 처리 안 함**
이 정책 설정을 사용하면 Windows Vista를 시작할 때 자동으로 실행되는 프로그램 목록인 실행 목록이 무시됩니다. Windows Vista용으로 사용자 지정된 실행 목록은 레지스트리의 다음 위치에 저장됩니다.
- **HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run**
- **HKEY\_CURRENT\_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run**
**레거시 실행 목록 처리 안 함**을 활성화하면 악의적인 사용자가 컴퓨터의 데이터를 훼손하거나 기타 문제를 일으킬 수 있는 프로그램을 Windows Vista가 시작될 때마다 실행할 수 없습니다. 이 정책 설정을 활성화하면 바이러스 백신 소프트웨어, 소프트웨어 배포 및 모니터링 소프트웨어 등과 같은 특정 시스템 프로그램이 실행되지 않을 수 있습니다. 조직에서는 이 정책 설정의 사용 여부를 결정하기 전에 해당 작업 환경에서 체감하는 위협 수준이 어느 정도인지 먼저 평가하는 것이 좋습니다.
EC 환경에서는 **레거시 실행 목록 처리 안 함** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
**한 번만 실행 목록 처리 안 함**
이 정책 설정을 사용하면 Windows Vista를 시작할 때 자동으로 실행되는 프로그램 목록인 한 번 실행 목록이 무시됩니다. 이 정책 설정은 클라이언트 컴퓨터를 다음 번에 다시 시작할 때 이 목록의 프로그램이 한 번만 실행된다는 점에서 **레거시 실행 목록 처리 안 함** 설정과 다릅니다. 경우에 따라서는 클라이언트 컴퓨터를 다시 시작한 후 설치를 완료하기 위해 설치 및 설정 프로그램이 이 목록에 추가됩니다. 이 정책 설정을 활성화하면 대부분의 공격자는 과거에 공격 방법으로 주로 이용되었던 것처럼 한 번 실행 목록을 사용하여 악의적인 응용 프로그램을 시작할 수 없습니다. 악의적인 사용자는 한 번 실행 목록을 이용하여 Windows Vista 기반 클라이언트 컴퓨터의 보안을 침해하는 프로그램을 설치할 수 있습니다.
**참고** 사용자 지정된 한 번 실행 목록은 레지스트리의 다음 위치에 저장됩니다. **HKEY\_LOCAL\_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce**.
**한 번만 실행 목록 처리 안 함** 설정을 사용하더라도 작업 환경의 사용자들이 경험하는 기능 저하는 크지 않습니다. 특히 그룹 정책을 통해 이 정책 설정을 적용하기 전에 조직의 모든 표준 소프트웨어로 클라이언트 컴퓨터를 구성한 경우에는 기능 저하 현상이 크게 나타나지 않습니다. EC 환경에서는 **한 번만 실행 목록 처리 안 함** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
###### 그룹 정책
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\시스템\\그룹 정책**
**표 A38. 그룹 정책 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
레지스트리 정책 처리 중
사용
사용
사용
사용
**레지스트리 정책 처리 중**
이 정책 설정은 레지스트리 정책이 업데이트될 때를 확인합니다. 또한 이 설정은 관리 템플릿 폴더의 모든 정책과 레지스트리에 값이 저장된 다른 정책에 영향을 줍니다. 이 정책 설정을 활성화하면 다음 옵션을 사용할 수 있습니다.
- **정기적인 백그라운드 작업을 처리하는 동안 적용 안 함**
- **변경되지 않아도 그룹 정책 개체 처리**
관리 템플릿을 통해 구성되는 일부 설정은 사용자가 액세스할 수 있는 레지스트리 영역에서 지정됩니다. 이 정책 설정을 활성화하면 사용자가 이러한 설정에 대한 변경 내용을 덮어쓸 수 있습니다.
**레지스트리 정책 처리 중** 설정을 **사용**으로 구성합니다.
###### 원격 지원
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\시스템\\원격 지원**
다음 표에는 원격 지원에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A39. 원격 지원 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
원격 지원 제공
구성되지 않음
구성되지 않음
사용 안 함
사용 안 함
요청된 원격 지원
구성되지 않음
구성되지 않음
사용 안 함
사용 안 함
**원격 지원 제공**
이 정책 설정은 사용자가 전자 메일이나 메신저 같은 채널을 통해 명시적으로 도움을 요청하지 않아도 지원 담당자 또는 IT "전문" 관리자가 사용자 환경의 컴퓨터에 원격 지원을 제공할 수 있는지를 결정합니다.
**참고** 전문가는 사용자에게 알리지 않고는 컴퓨터에 연결할 수 없으며, 사용자의 승인 없이 컴퓨터를 제어할 수도 없습니다. 전문가가 사용자의 컴퓨터로 연결을 시도할 때 사용자는 연결 시도를 거부하거나 이 전문가에게 읽기 전용 권한만 부여할 수도 있습니다. 전문가가 워크스테이션을 원격으로 제어할 수 있도록 허용하려면 **원격 지원 제공** 설정을 **사용**으로 구성한 후 사용자가 **예** 단추를 명시적으로 클릭해야 합니다.
이 정책 설정을 활성화하면 다음 옵션을 사용할 수 있습니다.
- **이 컴퓨터에 대한 읽기 전용 권한만 허용**
- **이 컴퓨터를 원격으로 제어할 수 있도록 허용**
이 정책 설정을 구성하면 원격 지원을 제공할 수 있는 "도우미"라고 하는 사용자 또는 사용자 그룹의 목록도 지정할 수 있습니다.
**도우미 목록을 구성하려면**
1. **원격 지원 제공** 설정 구성 창에서 **표시**를 클릭합니다. 도우미 이름을 입력할 수 있는 새 창이 열립니다.
2. **도우미** 목록에 각 사용자나 그룹을 추가합니다.
- *<도메인 이름>*\\*<사용자 이름>*
- *<도메인 이름>*\\*<그룹 이름>*
이 정책 설정을 비활성화하거나 구성하지 않으면 사용자 및 그룹이 작업 환경의 컴퓨터에 요청되지 않은 원격 지원을 제공할 수 없습니다.
EC 환경에서는 **원격 지원 제공** 설정을 **구성되지 않음**으로, SSLF 환경에서는 네트워크를 통해 Windows Vista 클라이언트 컴퓨터에 액세스하지 못하도록 이 정책 설정을 **사용 안 함**으로 구성합니다.
**요청된 원격 지원**
이 정책 설정은 작업 환경의 Windows Vista 컴퓨터에서 원격 지원을 요청할 수 있는지를 결정합니다. 사용자들이 IT "전문" 관리자의 원격 지원을 요청할 수 있게 하려면 이 정책 설정을 활성화합니다.
**참고** 전문가는 사용자에게 알리지 않고는 컴퓨터에 연결할 수 없으며, 사용자의 승인 없이 컴퓨터를 제어할 수도 없습니다. 전문가가 사용자의 컴퓨터로 연결을 시도할 때 사용자는 연결 시도를 거부하거나 이 전문가에게 읽기 전용 권한만 부여할 수도 있습니다. 전문가가 워크스테이션을 원격으로 제어할 수 있도록 허용하려면 사용자가 **예** 단추를 명시적으로 클릭해야 합니다.
**요청된 원격 지원** 설정을 활성화하면 다음 옵션을 사용할 수 있습니다.
- **이 컴퓨터를 원격으로 제어할 수 있도록 허용**
- **이 컴퓨터에 대한 읽기 전용 권한만 허용**
또한 다음 옵션을 사용하여 사용자의 지원 요청이 유효하게 유지되는 시간을 구성할 수 있습니다.
- **최대 티켓 시간(값):**
- **최대 티켓 시간(단위): 시간,** **분 또는 일**
티켓(도움 요청)이 만료되면 사용자는 전문가가 컴퓨터에 연결할 수 있도록 다른 요청을 보내야 합니다. **요청된 원격 지원** 설정을 비활성화하면 사용자는 지원 요청을 보낼 수 없으며 전문가는 사용자 컴퓨터에 연결할 수 없습니다.
**요청된 원격 지원** 설정을 구성하지 않은 경우 사용자는 제어판을 통해 요청된 원격 지원을 구성할 수 있습니다. 제어판에는 기본적으로 **요청된 원격 지원**, **친구 지원** 및 **원격 제어** 설정이 활성화되어 있습니다. **최대 티켓 시간** 값은 **30일**로 설정되어 있습니다. 이 정책 설정을 비활성화하면 어느 누구도 네트워크에서 Windows Vista 클라이언트 컴퓨터에 액세스할 수 없습니다.
EC 환경에서는 **요청된 원격 지원** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
###### 원격 프로시저 호출
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**관리 템플릿\\시스템\\원격 프로시저 호출**
다음 표에는 원격 프로시저 호출에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A40. 원격 프로시저 호출 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
인증되지 않은 RPC 클라이언트 제한
사용– 인증됨
사용– 인증됨
사용– 인증됨
사용– 인증됨
RPC 종점 매퍼 클라이언트 인증
사용 안 함
사용 안 함
사용
사용
**인증되지 않은 RPC 클라이언트 제한**
이 정책 설정은 인증되지 않은 RPC 클라이언트가 RPC 서버에 연결되는 것을 제한하도록 RPC 서버의 RPC 런타임을 구성합니다. 명명된 파이프를 사용하여 서버와 통신하거나 RPC 보안을 사용하는 클라이언트는 인증된 클라이언트로 간주됩니다. 인증되지 않은 클라이언트에서 액세스하도록 특별히 요청된 RPC 인터페이스는 이 정책의 값을 어떻게 선택했는지에 따라 이 제한에서 제외될 수 있습니다. 이 정책 설정을 활성화하면 다음 값을 사용할 수 있습니다.
- **없음**: 이 정책이 적용되는 컴퓨터에서 실행되는 RPC 서버에 모든 RPC 클라이언트를 연결할 수 있도록 허용합니다.
- **인증됨**. 이 정책이 적용되는 컴퓨터에서 실행되는 RPC 서버에 인증된 RPC 클라이언트만 연결할 수 있도록 허용합니다. 이 제한에서 제외하도록 요청된 인터페이스에는 예외 권한이 부여됩니다.
- **예외 없이 인증됨**. 이 정책이 적용되는 컴퓨터에서 실행되는 RPC 서버에 인증된 RPC 클라이언트만 연결할 수 있도록 허용합니다. 예외는 허용되지 않습니다.
인증되지 않은 RPC 통신을 허용하면 보안이 취약해질 수 있으므로 이 가이드에 나오는 두 환경에서는 **인증되지 않은 RPC 클라이언트 제한** 설정을 **사용**으로 구성하고 **인증되지 않은 RPC 런타임 클라이언트 제한 적용** 값을 **인증됨**으로 설정합니다.
**참고** 이 구성을 적용하면 요청되지 않은 인바운드 연결 요청을 인증하지 않는 RPC 클라이언트는 제대로 작동하지 않을 수 있습니다. 전체 작업 환경에 이 정책 설정을 배포하기 전에 응용 프로그램을 테스트해야 합니다. 이 정책 설정의 값을 인증됨으로 구성한다고 해서 보안이 완벽하게 유지되는 것은 아니지만 작업 환경에서 응용 프로그램 호환성을 제공하는 데 도움이 될 수 있습니다.
**RPC 종점 매퍼 클라이언트 인증**
이 정책 설정을 활성화하면 이 컴퓨터와 통신하는 클라이언트 컴퓨터는 인증을 제공해야만 RPC 통신을 설정할 수 있습니다. 기본적으로 RPC 클라이언트는 서버의 종점을 요청할 때 RPC 서버 종점 매퍼 서비스와 통신하기 위해 인증을 사용하지 않습니다. 그러나 SSLF 환경에서는 RPC 통신을 허용하기 전에 클라이언트 컴퓨터가 인증을 받도록 이 기본값이 변경되었습니다.
###### 인터넷 통신 관리\\인터넷 통신 설정
인터넷 통신 설정 그룹에는 몇 가지 구성 설정이 포함되어 있습니다. 이 가이드에서는 컴퓨터 시스템에 있는 데이터의 기밀성을 향상시키기 위해 이러한 설정 대부분을 제한하도록 권장합니다. 이런 설정이 제한되어 있지 않으면 공격자가 정보를 가로채 사용할 수 있습니다. 오늘날 이와 같은 유형의 공격이 실제로 발생하는 경우는 드물지만 이러한 설정을 적절히 구성하면 앞으로 있을지 모르는 공격으로부터 사용자의 환경을 보호하는 데 도움이 됩니다.
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**관리 템플릿\\시스템\\인터넷 통신 관리\\인터넷 통신 설정**
다음 표에는 인터넷 통신에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A41. 인터넷 통신 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
파일 및 폴더 작업에서 웹에 게시 항목을 사용할 수 없음
사용
사용
사용
사용
웹 게시 및 온라인 주문 마법사의 인터넷 다운로드를 사용할 수 없음
사용
사용
사용
사용
Windows Messenger 고객 만족 프로그램 사용 안 함
사용
사용
사용
사용
검색 도우미의 콘텐츠 파일을 업데이트하지 않음
사용
사용
사용
사용
HTTP 인쇄 사용 안 함
사용
사용
사용
사용
HTTP로 인쇄 드라이버 다운로드 안 함
사용
사용
사용
사용
Windows Update 장치 드라이버 검색 안 함
사용 안 함
사용 안 함
사용
사용
**파일 및 폴더 작업에서 웹에 게시 항목을 사용할 수 없음**
이 정책 설정은 Windows 폴더의 파일 및 폴더 작업에서 **파일을 웹에 게시**, **폴더를 웹에 게시** 및 **항목을 웹에 게시** 작업을 사용할 수 있는지 여부를 지정합니다. 웹 게시 마법사는 공급자 목록을 다운로드하고 사용자가 콘텐츠를 웹에 게시하도록 도와줍니다.
**파일 및 폴더 작업에서 웹에 게시 항목을 사용할 수 없음** 설정을 **사용**으로 구성하면 Windows 폴더의 파일 및 폴더 작업에서 이러한 옵션이 제거됩니다. 웹에 게시하는 옵션은 기본적으로 사용할 수 있습니다. 이 기능을 사용하면 인증되지 않은 웹 클라이언트 컴퓨터에 보안 콘텐츠가 노출될 수 있으므로 EC 및 SSLF 환경에서 이 정책 설정을 **사용**으로 구성합니다.
**웹 게시 및 온라인 주문 마법사의 인터넷 다운로드를 사용할 수 없음**
이 정책 설정은 Windows에서 웹 게시 및 온라인 주문 마법사의 공급자 목록을 다운로드할지를 제어합니다. 이 정책 설정을 활성화하면 Windows에서 공급자를 다운로드할 수 없으며 로컬 레지스트리에 캐시된 서비스 공급자만 표시됩니다.
EC 및 SSLF 환경에서 모두 **파일 및 폴더 작업에서 웹에 게시 항목을** **사용할 수 없음** 설정을 활성화했으므로(이전 설정 참조) 이 옵션이 필요하지 않습니다. 그러나 **웹 게시 및 온라인 주문 마법사의 인터넷 다운로드를 사용할 수 없음** 설정은 클라이언트 컴퓨터의 공격 노출 범위를 최소화하고 이 기능이 다른 방식으로 이용될 수 없도록 하기 위해 **사용**으로 구성합니다.
**Windows Messenger 고객 만족 프로그램 사용 안 함**
이 정책 설정은 Windows Messenger가 Windows Messenger 소프트웨어 및 서비스 사용 방식에 대한 익명 정보를 수집할 수 있는지를 지정합니다. 이 정책 설정을 활성화하면 Windows Messenger가 사용 정보를 수집하지 않고 사용 정보의 수집을 활성화하는 사용자 설정이 표시되지 않습니다.
규모가 큰 대부분의 엔터프라이즈 환경에서는 관리되는 클라이언트 컴퓨터의 정보가 수집되지 않도록 해야 합니다. 이 가이드에 나오는 두 환경에서는 정보가 수집되지 않도록 하기 위해 **Windows Messenger 고객 만족 프로그램 사용 안 함** 설정을 **사용**으로 구성합니다.
**검색 도우미의 콘텐츠 파일을 업데이트하지 않음**
이 정책 설정은 로컬 및 인터넷 검색 중에 검색 도우미가 콘텐츠 업데이트를 자동으로 다운로드할지를 지정합니다. 이 정책 설정을 **사용**으로 구성하면 검색 도우미는 검색 중에 콘텐츠 업데이트를 다운로드할 수 없습니다.
EC 및 SSLF 환경에서는 관리되는 각 클라이언트 컴퓨터에 대한 불필요한 네트워크 통신이 이루어지지 않도록 하기 위해 **검색 도우미의 콘텐츠 파일을 업데이트하지 않음** 설정을 **사용**으로 구성합니다.
**참고** 인터넷 검색을 수행할 경우 검색 텍스트 및 검색에 관한 정보가 Microsoft와 검색 서비스 공급자에게 전송됩니다. 이전 버전 검색 기능을 선택하면 검색 도우미 기능을 사용할 수 없습니다. 이전 버전 검색 기능을 선택하려면 **시작**, **검색**, **기본 설정 변경**을 차례로 클릭한 후 **인터넷 검색 동작 변경**을 클릭합니다.
**HTTP 인쇄 사용 안 함**
이 정책 설정을 사용하면 HTTP를 통해 인터넷 및 인트라넷의 프린터로 인쇄할 수 있는 클라이언트 컴퓨터의 기능을 비활성화할 수 있습니다. 이 정책 설정을 활성화하면 클라이언트 컴퓨터는 HTTP를 통해 인터넷 프린터로 인쇄할 수 없습니다.
이 기능을 사용하여 HTTP를 통해 전송되는 정보는 보호되지 않으므로 악의적인 사용자가 가로챌 수 있습니다. 따라서 엔터프라이즈 환경에서는 이 기능이 일반적으로 사용되지 않습니다. 보호되지 않은 인쇄 작업으로 인해 보안이 침해를 받지 않도록 하기 위해 EC 및 SSLF 환경에서는 **HTTP 인쇄 사용 안 함** 설정을 **사용**으로 구성합니다.
**참고** 이 정책 설정은 인터넷 인쇄의 클라이언트쪽에만 영향을 줍니다. 이 설정을 어떻게 구성했는지와 관계없이 특정 컴퓨터를 인터넷 인쇄 서버로 지정하고 해당 컴퓨터의 공유 프린터를 HTTP를 통해 사용하도록 할 수 있습니다.
**HTTP로 인쇄 드라이버 다운로드 안 함**
이 정책 설정은 컴퓨터가 HTTP를 통해 인쇄 드라이버 패키지를 다운로드할 수 있는지를 제어합니다. HTTP 인쇄를 설정하려면 표준 운영 체제 설치에서 사용할 수 없는 프린터의 드라이버를 HTTP를 통해 다운로드해야 할 수도 있습니다.
**HTTP로 인쇄 드라이버 다운로드 안 함** 설정을 **사용**으로 구성하면 HTTP를 통해 인쇄 드라이버가 다운로드되는 것을 차단할 수 있습니다.
**참고** 이 정책 설정을 사용한다고 해서 클라이언트 컴퓨터가 HTTP를 통해 인트라넷이나 인터넷의 프린터로 인쇄하지 못하는 것은 아니며 아직 로컬로 설치하지 않은 드라이버가 다운로드되지 않을 뿐입니다.
**Windows Update 장치 드라이버 검색 안 함**
이 정책 설정은 장치에 대한 로컬 드라이버가 없을 때 Windows Update에서 장치 드라이버를 검색할지를 지정합니다.
인터넷에서 장치 드라이버를 함부로 다운로드하면 위험할 수 있으므로 SSLF 환경에서는 **Windows Update 장치 드라이버 검색 안 함** 설정을 **사용**으로, EC 환경에서는 **사용 안 함**으로 구성합니다. 드라이버 다운로드를 이용할 수 있는 공격의 유형은 일반적으로 엔터프라이즈 리소스 및 구성을 적절히 관리하여 완화할 수 있으므로 이러한 구성이 권장됩니다. 이렇게 하면 사용자의 환경에서 컴퓨터 간 호환성과 안정성을 높이는 데도 도움이 됩니다.
**참고** **관리 템플릿/시스템**의 **Windows Update 장치 드라이버 검색을 묻지 않음** 설정도 참조하십시오. 이 정책 설정은 장치 드라이버를 로컬로 찾을 수 없을 때 Windows Update에서 드라이버를 검색할지 묻는 확인 메시지를 관리자에게 표시할지 여부를 제어합니다.
##### Windows 구성 요소
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
관리 템플릿\\Windows 구성 요소 섹션에서 다음과 관련된 설정을 구성할 수 있습니다.
- [자동 실행 정책](#_autoplay_policies)
- [자격 증명 사용자 인터페이스](#_credential_user_interface)
- [Internet Explorer](#_internet_explorer_2)
- [NetMeeting](#_netmeeting)
- [터미널 서비스](#_terminal_services)
- [Windows Messenger](#_windows_messenger)
- [Windows Update](#_windows_update)
###### 자동 실행 정책
자동 실행은 미디어 파일이나 설치 프로그램을 컴퓨터에서 발견하는 즉시 자동으로 열거나 시작하는 Windows 기능입니다. 그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소\\**
**자동 실행 정책**
**표 A42. 자동 실행 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
자동 실행 사용 안 함
구성되지 않음
구성되지 않음
사용 –
사용 –
자동 실행 사용 안 함
자동 실행 기능을 사용하면 드라이브에 미디어를 넣자마자 드라이브의 데이터가 읽히므로 프로그램의 설치 파일이나 오디오 미디어가 바로 시작됩니다. 공격자는 이 기능을 이용하여 컴퓨터나 컴퓨터의 데이터에 손상을 주는 프로그램을 시작할 수 있습니다. 자동 실행 사용 안 함 설정을 활성화하면 자동 실행 기능을 사용하지 않도록 지정할 수 있습니다. 자동 실행은 플로피 디스크 및 네트워크 드라이브와 같은 일부 이동식 드라이브 유형에서는 기본적으로 비활성화되지만 CD-ROM 드라이브에서는 그렇지 않습니다.
EC 환경에서는 자동 실행 사용 안 함 설정을 구성되지 않음으로, SSLF 환경에서는 사용 - 모든 드라이브로 구성합니다.
참고 플로피 디스크 및 네트워크 드라이브 같이 기본적으로 자동 실행 기능이 비활성화되어 있는 컴퓨터 드라이브의 경우에는 이 정책 설정을 사용하여 해당 기능을 활성화할 수 없습니다.
자격 증명 사용자 인터페이스
자격 증명 사용자 인터페이스 설정은 보안 데스크톱을 통해 승인을 받아야 하는 관리 작업을 인증하기 위해 계정 이름과 암호를 입력하라는 메시지를 사용자에게 표시할 때 나타나는 UI를 제어합니다. 그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
컴퓨터 구성\관리 템플릿\Windows 구성 요소\자격 증명 사용자 인터페이스
표 A43. UAC 자격 증명 사용자 인터페이스 설정 권장 사항
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
§ 상승 시 관리자 계정 열거
구성되지 않음
구성되지 않음
사용 안 함
사용 안 함
§ 자격 증명 입력에 신뢰할 수 있는 경로 필요
구성되지 않음
구성되지 않음
사용
사용
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
**상승 시 관리자 계정 열거**
기본적으로 실행 프로그램의 권한을 높이려 시도하면 모든 관리자 계정이 표시됩니다. 이 정책을 활성화하면 권한을 높이려는 사용자가 매번 사용자 이름과 암호를 입력해야 합니다. 이 정책을 비활성화하면 컴퓨터의 모든 로컬 관리자 계정이 표시되므로 사용자가 그 중 하나를 선택한 후 올바른 암호를 입력할 수 있습니다.
EC 환경에서는 **상승 시 관리자 계정 열거** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**자격 증명 입력에 신뢰할 수 있는 경로 필요**
이 정책 설정을 활성화하면 사용자가 신뢰할 수 있는 경로 메커니즘을 사용하여 보안 데스크톱에 Windows 자격 증명을 입력해야 합니다. 즉, 권한 상승 요청을 승인 받기 위해 계정과 암호 정보를 입력하려면 먼저 Ctrl+Alt+Delete를 눌러야 합니다. 신뢰할 수 있는 경로를 사용하도록 규제하면 트로이 목마나 기타 유형의 악성 코드로 인해 사용자의 Windows 자격 증명이 노출되는 상황을 방지하는 데 도움이 됩니다.
이 정책 설정을 비활성화하거나 구성하지 않으면 사용자가 자신의 데스크톱 세션 내에서 Windows 자격 증명을 입력할 수 있으므로 악성 코드가 사용자의 Windows 자격 증명에 액세스할 위험이 있습니다.
EC 환경에서는 **자격 증명 입력에 신뢰할 수 있는 경로 필요** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
###### Internet Explorer
Microsoft Internet Explorer® 그룹 정책을 사용하여 Windows Vista 컴퓨터의 보안 요구 사항을 적용하고 원하지 않는 콘텐츠가 Internet Explorer를 통해 교환되지 않도록 할 수 있습니다. 사용자 환경의 워크스테이션에서 Internet Explorer의 보안을 설정할 때는 다음과 같은 기준을 사용합니다.
- 인터넷 요청이 사용자 작업에 대한 직접적인 응답으로만 발생하도록 합니다.
- 다른 대상으로 정보를 전송하는 특정 사용자 작업이 허용되지 않은 경우에는 특정 웹 사이트로 보낸 정보가 해당 사이트에만 도달하도록 합니다.
- 각 채널의 서버/사이트 소유자를 비롯하여 서버/사이트에 대한 신뢰할 수 있는 채널을 명확하게 식별합니다.
- Internet Explorer로 실행하는 모든 스크립트나 프로그램이 제한된 환경에서 실행되도록 합니다. 신뢰할 수 있는 채널을 통해 배달된 프로그램은 제한된 환경 외부에서 작동하도록 설정할 수 있습니다.
**중요** 이 가이드에 포함된 GPO를 적용하려면 먼저 인터넷에 액세스할 수 있도록 Internet Explorer가 올바르게 구성되어 있는지 확인해야 합니다. 대부분의 환경에서는 올바른 인터넷 액세스를 위해 특정 프록시 설정을 필요로 합니다. 이 가이드에서 제공하는 권장 설정을 적용하면 사용자가 Internet Explorer 프록시 설정의 구성을 변경할 수 없습니다.
그룹 정책 개체 편집기의 다음 위치에서 Internet Explorer에 대한 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소\\Internet Explorer**
다음 표에는 Internet Explorer에 대한 여러 가지 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A44. Internet Explorer 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
Internet Explorer 구성 요소 자동 설치 사용 안 함
사용
사용
사용
사용
Internet Explorer 소프트웨어 업데이트를 정기적으로 확인 안 함
사용
사용
사용
사용
프로그램 시작 시 소프트웨어 업데이트 셸 알림 사용 안 함
사용
사용
사용
사용
사용자가 추가 기능을 사용 또는 사용하지 않도록 허용 안 함
사용
사용
사용
사용
사용자 단위보다는 컴퓨터 단위로 프록시 설정 만들기
사용
사용 안 함
사용
사용 안 함
보안 영역: 사용자가 사이트를 추가/삭제할 수 없음
사용
사용
사용
사용
보안 영역: 사용자가 정책을 변경할 수 없음
사용
사용
사용
사용
보안 영역: 시스템 설정만 사용
사용
사용
사용
사용
크래시 감지 사용 안 함
사용
사용
사용
사용
**Internet Explorer 구성 요소 자동 설치 사용 안 함**
이 정책 설정을 활성화하면 사용자가 구성 요소의 완전한 기능을 필요로 하는 웹 사이트를 탐색할 때 Internet Explorer에서 구성 요소를 다운로드할 수 없습니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 사용자가 해당 구성 요소를 사용하는 웹 사이트를 방문할 때마다 구성 요소를 다운로드하여 설치할지 묻는 메시지가 표시됩니다.
**Internet Explorer 구성 요소 자동 설치 사용 안 함** 설정을 **사용**으로 구성합니다.
**참고** 이 정책 설정을 활성화하기 전에 Microsoft Update 또는 이와 비슷한 서비스를 통해 Internet Explorer를 업데이트하는 대체 전략을 세우는 것이 좋습니다.
**Internet Explorer 소프트웨어 업데이트를 정기적으로 확인 안 함**
이 정책 설정을 활성화하면 Internet Explorer는 현재 사용하고 있는 브라우저보다 최신 버전이 있는지 확인할 수 없으며, 더 최신 버전이 있는지를 사용자에게 알리지 않습니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 Internet Explorer는 30일(기본 설정)마다 업데이트가 있는지 확인한 후 새 버전을 사용할 수 있을 때 사용자에게 알려줍니다.
**Internet Explorer 소프트웨어 업데이트를 정기적으로 확인 안 함** 설정을 **사용**으로 구성합니다.
**참고** 이 정책 설정을 활성화하기 전에 조직의 관리자가 작업 환경의 클라이언트 컴퓨터에서 최신 Internet Explorer 업데이트를 주기적으로 수락하도록 대체 전략을 세우는 것이 좋습니다.
**프로그램 시작 시 소프트웨어 업데이트 셸 알림 사용 안 함**
이 정책 설정은 Microsoft 소프트웨어 배포 채널을 사용하는 프로그램이 새 구성 요소를 설치할 때 사용자에게 알리지 않도록 지정합니다. 소프트웨어 배포 채널은 사용자 컴퓨터에서 소프트웨어를 동적으로 업데이트하는 데 사용됩니다. 이 기능은 개방형 소프트웨어 배포(.osd) 기술을 기반으로 합니다.
**프로그램 시작 시 소프트웨어 업데이트 셸 알림 사용 안 함** 설정을 **사용**으로 구성합니다.
**사용자가 추가 기능을 사용 또는 사용하지 않도록 허용 안 함**
이 정책 설정은 사용자가 추가 기능 관리를 통해 추가 기능을 허용하거나 거부할 수 있는지 여부를 제어합니다. 이 정책 설정을 **사용**으로 구성하면 사용자가 추가 기능 관리를 통해 추가 기능을 활성화하거나 비활성화할 수 없습니다. 사용자가 추가 기능을 관리할 수 있도록 추가 기능이 **추가 기능 목록** 정책 설정에 지정되어 있으면 예외로 처리됩니다. 이런 경우에는 사용자가 추가 기능 관리를 통해 추가 기능을 관리할 수 있습니다. 이 정책 설정을 **사용 안 함**으로 구성하면 사용자가 추가 기능을 활성화하거나 비활성화할 수 있습니다.
조직의 보안 정책에서 허용하지 않는 추가 기능을 설치하려는 사용자를 흔히 발견할 수 있습니다. 이러한 추가 기능을 설치하면 네트워크에서 보안이 심각하게 위협 받고 개인 정보가 노출될 수 있습니다. 따라서 이 가이드에 나오는 두 환경에서는 이 정책 설정을 **사용**으로 구성합니다.
**참고** Internet Explorer\\보안 기능\\추가 기능 관리의 GPO 설정을 검토하여 적법하게 승인된 추가 기능은 작업 환경에서 계속 실행할 수 있도록 해야 합니다. 자세한 내용은 기술 자료 문서 555235, "[Outlook Web Access and Small Business Server Remote Web Workplace do not function if XP Service Pack 2 Add-on Blocking is enabled via group policy](https://support.microsoft.com/default.aspx?kbid=555235)"를 참조하십시오.
**사용자 단위보다는 컴퓨터 단위로 프록시 설정 만들기**
이 정책 설정을 활성화하면 사용자가 사용자별 프록시 설정을 변경할 수 없습니다. 따라서 특정 컴퓨터에 액세스할 때는 해당 컴퓨터의 모든 사용자가 사용할 수 있도록 마련된 영역을 사용해야 합니다.
**사용자 단위보다는 컴퓨터 단위로 프록시 설정 만들기** 설정을 **사용**으로 구성하고, 랩톱 클라이언트 컴퓨터에 대해서는 이 정책 설정을 **사용 안 함**으로 구성합니다. 랩톱 클라이언트 컴퓨터의 경우 모바일 사용자가 이동 중에 프록시 설정을 변경해야 할 수도 있기 때문입니다.
**보안 영역: 사용자가 사이트를 추가/삭제할 수 없음**
이 정책 설정을 사용하면 보안 영역에 대한 사이트 관리 설정을 비활성화할 수 있습니다. 보안 영역에 대한 사이트 관리 설정을 보려면 Internet Explorer를 열고 **도구**를 선택한 후 **인터넷 옵션**에서 **보안** 탭을 클릭하고 **사이트**를 클릭합니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 사용자가 **신뢰할 수 있는 사이트** 및 **제한된 사이트** 영역에서 웹 사이트를 추가 또는 제거할 수 있으며 **로컬 인트라넷** 영역에서 설정을 변경할 수 있습니다.
**보안 영역: 사용자가 사이트를 추가/삭제할 수 있음** 설정을 **사용**으로 구성합니다.
**참고** **보안 페이지 사용 안 함** 설정(\\사용자 구성\\
관리 템플릿\\Windows 구성 요소\\Internet Explorer\\인터넷 제어판)을 활성화하면 인터페이스에 **보안** 탭이 표시되지 않고 **사용 안 함** 설정이 이 **보안 영역:** 설정보다 우선적으로 적용됩니다.
**보안 영역: 사용자가 정책을 변경할 수 없음**
이 정책 설정을 활성화하면 **인터넷 옵션**의 **보안** 탭에 있는 **사용자 지정 수준** 단추와 **이 영역에 적용할 보안 수준** 슬라이더를 사용할 수 없게 됩니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 사용자가 보안 영역에 대한 설정을 변경할 수 있습니다. 이 설정은 관리자가 설정한 보안 영역 정책 설정을 사용자가 임의로 변경하지 못하도록 하는 데 사용됩니다.
**보안 영역: 사용자가 정책을 변경할 수 없음** 설정을 **사용**으로 구성합니다.
**참고** **보안 페이지 사용 안 함** 설정(\\사용자 구성\\
관리 템플릿\\Windows 구성 요소\\Internet Explorer\\인터넷 제어판)을 활성화하면 Internet Explorer의 제어판에 **보안** 탭이 표시되지 않고 **사용 안 함** 설정이 이 **보안 영역:** 설정보다 우선적으로 적용됩니다.
**보안 영역: 시스템 설정만 사용**
이 정책 설정은 다른 사용자에게 보안 영역 변경 내용을 어떻게 적용할지 제어합니다. 이는 한 컴퓨터에서 보안 영역 설정을 계속 동일하게 유지하여 해당 컴퓨터를 사용하는 사람이 여러 명이더라도 보안 영역 설정은 바뀌지 않도록 하기 위한 것입니다. 이 정책 설정을 활성화하면 한 사용자가 보안 영역에서 변경한 내용이 해당 컴퓨터의 모든 사용자에게 적용됩니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 같은 컴퓨터를 사용하는 사용자들이 각자 자신만의 보안 영역 설정을 구성할 수 있습니다.
**보안 영역: 시스템 설정만 사용** 설정을 **사용**으로 구성합니다.
**크래시 감지 사용 안 함**
이 정책 설정을 사용하면 Internet Explorer에서 추가 기능 관리의 크래시 감지 기능을 관리할 수 있습니다. 이 정책 설정을 활성화하면 Internet Explorer가 크래시된 경우 Windows XP Professional SP1(서비스 팩 1) 또는 이전 버전에서와 같이 Windows 오류 보고가 시작됩니다. 이 정책 설정을 비활성화하면 추가 기능 관리의 크래시 감지 기능이 작동합니다.
Internet Explorer 크래시 보고 정보에는 컴퓨터 메모리에서 가져온 중요한 정보가 포함될 수 있으므로 이 가이드에 나오는 두 환경에서는 **크래시 감지 사용 안 함** 설정을 **사용**으로 구성합니다. 크래시가 반복하여 자주 발생하며 추후 문제 해결을 위해 보고서를 작성해야 할 경우 임시로 이 정책 설정을 **사용 안 함**으로 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소\\Internet Explorer** 내에는 다음과 같은 추가 설정 섹션이 구성되어 있습니다.
- [인터넷 제어판\\고급 페이지](#_internet_explorer-internet_control)
- [보안 기능\\MK 프로토콜 보안 제한](#_internet_explorer-security_features)
- [보안 기능\\일관성 있는 Mime 핸들링](#_security_features-consistent_mime)
- [보안 기능\\Mime 검색 안전 기능](#_security_features-mime_sniffing)
- [보안 기능\\Window 스크립트 보안 제한](#_security_features-scripted_window)
- [보안 기능\\영역 수준에 따른 보호](#_security_features-protection_from)
- [보안 기능\\ActiveX 설치 제한](#_security_features-restrict_activex)
- [보안 기능\\파일 다운로드 제한](#_security_features-restrict_file)
- [보안 기능\\추가 기능 관리](#_security_features-add-on_management)
- [Internet Explorer 추가 기능 목록 설정](#_internet_explorer_add-on)
이러한 설정을 기본값으로 지정하면 이전 버전의 Windows에 비해 더 강화된 보안을 유지할 수 있습니다. 그러나 사용의 편리성이나 응용 프로그램의 호환성을 위해서는 이러한 설정을 검토하여 해당 보안 설정이 사용자의 환경에 필요한지 또는 설정 수준을 완화해도 될지 결정할 수 있습니다.
예를 들어, 기본적으로 모든 인터넷 영역에서 팝업을 차단하도록 Internet Explorer를 구성할 수 있습니다. 팝업 창을 제거하고 주로 인터넷 웹 사이트를 통해 유입되는 악성 소프트웨어와 스파이웨어가 설치될 가능성을 줄이기 위해 작업 환경의 모든 컴퓨터에 이 정책 설정을 적용할 수 있습니다. 이와 반대로, 작업 환경에 설치된 특정 응용 프로그램을 실행하기 위해 팝업 창을 사용해야 하는 경우도 있습니다. 이 경우 인트라넷 내의 웹 사이트에 대해서는 팝업을 허용하도록 이 정책을 구성할 수 있습니다.
###### Internet Explorer\\인터넷 제어판\\고급 페이지
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소\\Internet Explorer\\인터넷 제어판\\고급 페이지**
**표 A45. 고급 페이지 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
서명이 잘못된 경우에도 소프트웨어를 실행하거나 설치할 수 있게 합니다.
사용 안 함
사용 안 함
사용 안 함
사용 안 함
**서명이 잘못된 경우에도 소프트웨어를 실행하거나 설치할 수 있게 합니다.**
Microsoft ActiveX® 컨트롤 및 파일 다운로드에는 파일의 무결성과 소프트웨어 서명자(작성자)의 신원을 보장하는 디지털 서명이 첨부되어 있는 경우가 많습니다. 이러한 서명은 다운로드한 소프트웨어가 누군가의 손을 거쳐 수정되지 않았음을 보장합니다. 파일을 다운로드한 사람은 실제 서명자를 확인하여 해당 소프트웨어를 실행해도 문제가 없을지 판단할 수 있습니다.
**서명이 잘못된 경우에도 소프트웨어를 실행하거나 설치할 수 있게 합니다.** 설정을 사용하면 다운로드한 소프트웨어의 서명이 유효하지 않더라도 사용자가 이를 설치 또는 실행할 수 있는지 여부를 관리할 수 있습니다. 서명이 유효하지 않으면 누군가가 파일을 무단으로 변경한 것일 수 있습니다. 이 정책 설정을 활성화하면 설치 또는 실행하려는 파일의 서명이 유효하지 않을 경우 사용자에게 메시지가 표시됩니다. 이 정책 설정을 비활성화하면 서명이 유효하지 않은 파일을 실행하거나 설치할 수 없습니다.
**사용 안 함**으로 구성합니다.
**참고** 일부 합법적인 소프트웨어 및 컨트롤에 잘못된 서명이 있을 수 있지만 큰 문제는 아닙니다. 이러한 소프트웨어를 조직의 네트워크에서 사용하도록 허용하려면 먼저 별도의 테스트를 거쳐야 합니다.
###### Internet Explorer\\보안 기능\\MK 프로토콜 보안 제한
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\보안 기능\\MK 프로토콜 보안 제한**
**표 A46. MK 프로토콜 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
Internet Explorer 프로세스(MK 프로토콜)
사용
사용
사용
사용
**Internet Explorer 프로세스(MK 프로토콜)**
이 정책 설정은 거의 사용되지 않는 MK 프로토콜을 차단하므로 공격에 노출될 가능성을 줄이는 데 도움이 됩니다. 오래된 일부 웹 응용 프로그램에서는 압축된 파일의 정보를 가져오는 데 MK 프로토콜을 사용합니다. 이 정책 설정을 **사용**으로 구성하면 Windows 탐색기 및 Internet Explorer에서 MK 프로토콜이 차단되므로 MK 프로토콜을 사용하는 리소스에 문제가 발생합니다. 이 정책 설정을 비활성화하면 다른 응용 프로그램에서 MK 프로토콜 API를 사용할 수 있습니다.
MK 프로토콜은 그다지 널리 사용되지 않으므로 필요하지 않은 경우에는 이를 차단해야 합니다. 이 가이드에 나오는 두 환경에서는 이 정책 설정을 **사용**으로 구성합니다. 작업 환경에 특별히 필요하지 않으면 MK 프로토콜을 차단하는 것이 좋습니다.
**참고** 이 정책 설정을 배포한 경우 MK 프로토콜을 사용하는 리소스가 있으면 해당 리소스에서 문제가 발생하므로 어떤 응용 프로그램에서도 MK 프로토콜이 사용되지 않도록 해야 합니다.
###### Internet Explorer\\보안 기능\\일관성 있는 Mime 핸들링
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\보안 기능\\일관성 있는 Mime 핸들링**
**표 A47. 일관성 있는 Mime 핸들링 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
Internet Explorer 프로세스(일관성 있는 Mime 핸들링)
사용
사용
사용
사용
**Internet Explorer 프로세스(일관성 있는 Mime 핸들링)**
Internet Explorer는 웹 서버를 통해 받은 파일의 처리 절차를 결정하는 데 MIME(Multipurpose Internet Mail Extensions) 데이터를 사용합니다. **일관성 있는 Mime 핸들링** 설정은 Internet Explorer가 웹 서버를 통해 받은 모든 파일 형식 정보가 일관되어야 하는지 여부를 결정합니다. 예를 들어, 파일의 Mime 형식은 일반 텍스트이지만 Mime 데이터를 통해 드러나는 해당 파일의 실제 형식이 실행 파일인 경우 Internet Explorer는 이 실행 파일 상태를 반영하도록 확장명을 변경합니다. 이 기능을 사용하면 신뢰할 수 있는 다른 형식의 데이터인 것처럼 실행 코드의 정체를 감추는 시도를 차단하는 데 도움이 됩니다.
이 정책 설정을 활성화하면 Internet Explorer에서 모든 수신된 파일을 검토한 후 일관된 Mime 데이터를 적용합니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 Internet Explorer에서 모든 수신된 파일에 대해 일관된 Mime 데이터를 요구하지 않으며 해당 파일이 제공한 Mime 데이터를 사용합니다.
Mime 파일 형식 스푸핑은 조직에 위협이 될 수 있습니다. 네트워크를 감염시킬 수 있는 악성 파일의 다운로드를 막기 위해서는 이러한 파일이 일관되고 레이블이 올바른지 확인해야 합니다. 이 가이드에 나오는 두 환경에서는 이 정책 설정을 **사용**으로 구성합니다.
**참고** 이 정책 설정은 **Mime 검색 안전 기능** 설정과 함께 사용되지만 이 설정을 대신하지는 않습니다.
###### Internet Explorer\\보안 기능\\Mime 검색 안전 기능
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\보안 기능\\Mime 검색 안전 기능**
**표 A48. Mime 검색 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
Internet Explorer 프로세스(Mime 검색)
사용
사용
사용
사용
**Internet Explorer 프로세스(Mime 검색)**
Mime 검색은 Mime 파일이 데이터 파일인지, 실행 파일인지 또는 다른 형식의 파일인지에 상관없이 파일의 내용을 검토하여 해당 컨텍스트를 결정하는 프로세스입니다. 이 정책 설정은 Internet Explorer Mime 검색을 통해 한 형식의 파일이 더 위험한 파일 형식으로 승격되는 것을 금지할지 여부를 결정합니다. 이 정책 설정을 **사용**으로 설정하면 Mime 검색을 통해 한 형식의 파일이 더 위험한 다른 파일 형식으로 승격되지 않습니다. 이 정책 설정을 비활성화하면 Mime 검색 프로세스에서는 한 형식의 파일을 더 위험한 다른 파일 형식으로 승격하도록 Internet Explorer 프로세스를 구성합니다. 예를 들어, 텍스트 파일이 실행 파일로 승격될 수 있습니다. 이 경우 텍스트 형식을 가장한 이 파일의 코드가 실행되므로 위험할 수 있습니다.
Mime 파일 형식 스푸핑은 조직에 위협이 될 수 있습니다. 네트워크를 감염시킬 수 있는 악성 파일의 다운로드를 방지하는 데 도움이 되도록 이러한 파일은 일관된 방식으로 처리하는 것이 좋습니다.
**Internet Explorer 프로세스(Mime 검색)** 설정을 **사용**으로 구성합니다.
**참고** 이 정책 설정은 **일관성 있는 Mime 핸들링** 설정과 함께 사용되지만 이 설정을 대신하지는 않습니다.
###### Internet Explorer\\보안 기능\\Window 스크립트 보안 제한
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\보안 기능\\Window 스크립트 보안 제한**
**표 A49. Window 스크립트 보안 제한 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
Internet Explorer 프로세스(Window 스크립트 보안 제한)
사용
사용
사용
사용
**Internet Explorer 프로세스(Window 스크립트 보안 제한)**
Internet Explorer에서는 스크립트를 통해 다양한 유형의 창을 프로그래밍 방식으로 열고, 크기를 조정하고, 위치를 바꿀 수 있도록 허용합니다. 주로 건전한 의도를 갖고 있지 않은 웹 사이트에서 다른 창을 가리거나 악성 코드가 들어 있는 창과 강제로 상호 작용이 이루어지도록 창의 크기를 조정합니다.
**Internet Explorer 프로세스(Window 스크립트 보안 제한)** 설정은 팝업 창을 제한하고, 제목 및 상태 표시줄이 없는 창을 표시하거나 다른 창의 제목 및 상태 표시줄을 숨기는 창을 표시하는 스크립트를 차단합니다. 이 정책 설정을 활성화하면 Windows 탐색기 및 Internet Explorer 프로세스에 팝업 창이 표시되지 않습니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 다른 창을 숨기는 창과 팝업 창이 스크립트를 통해 계속 열릴 수 있습니다.
**Internet Explorer 프로세스(Window 스크립트 보안 제한)** 설정을 **사용**으로 구성합니다. 이 정책 설정을 활성화하면 악의적인 의도를 갖고 만들어진 웹 사이트에서 사용자의 Internet Explorer 창을 제어하거나 부주의한 사용자가 잘못된 창을 클릭하는 경우를 방지할 수 있습니다.
###### Internet Explorer\\보안 기능\\영역 수준에 따른 보호
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\보안 기능\\영역 수준에 따른 보호**
**표 A50. 영역 수준에 따른 보호 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
Internet Explorer 프로세스(영역 수준에 따른 보호)
사용
사용
사용
사용
**Internet Explorer 프로세스(영역 수준에 따른 보호)**
Internet Explorer는 웹 페이지를 열 때마다 제한 사항을 적용합니다. 이러한 제한 사항은 인터넷 영역, 인트라넷 영역 또는 로컬 컴퓨터 영역 등과 같은 웹 페이지의 위치에 따라 다릅니다. 로컬 컴퓨터에 있는 웹 페이지는 로컬 컴퓨터 영역에 있고 최소한의 보안 제한 사항만 적용되므로 이 영역은 악의적인 공격자의 주된 공격 대상이 됩니다.
**Internet Explorer 프로세스(영역 수준에 따른 보호)** 설정을 활성화하면 Internet Explorer 프로세스에서 어떠한 영역의 수준도 올리지 못하도록 보호할 수 있습니다. 이 정책 설정을 사용하면 한 영역에서 실행되는 콘텐츠가 다른 영역의 더 높은 권한을 얻지 못합니다. 이 정책 설정을 비활성화하면 어떤 영역도 Internet Explorer 프로세스에 대해 이러한 보호를 받지 못합니다.
**Internet Explorer 프로세스(영역 수준에 따른 보호)** 설정을 **사용**으로 구성합니다.
###### Internet Explorer\\보안 기능\\ActiveX 설치 제한
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\보안 기능\\ActiveX 설치 제한**
**표 A51. ActiveX 설치 제한 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
Internet Explorer 프로세스(ActiveX 설치 제한)
사용
사용
사용
사용
**Internet Explorer 프로세스(ActiveX 설치 제한)**
이 정책 설정을 사용하면 Internet Explorer 프로세스에 대한 ActiveX 컨트롤 설치 확인 메시지를 차단할 수 있습니다. 이 정책 설정을 활성화하면 Internet Explorer 프로세스에 대해 ActiveX 컨트롤을 설치할지 확인하는 메시지가 차단됩니다. 이 정책 설정을 비활성화하면 ActiveX 컨트롤을 설치할지 확인 메시지가 차단되지 않고 사용자에게 표시됩니다.
이 경우 사용자는 ActiveX 컨트롤 같이 조직의 보안 정책에서 허용하지 않는 소프트웨어를 설치할 수 있습니다. 이러한 소프트웨어는 네트워크의 보안을 심각하게 위협하고 개인 정보를 노출시킬 수 있습니다. 따라서 이 가이드에 나오는 두 환경에서는 **Internet Explorer 프로세스(ActiveX 설치 제한)** 설정을 **사용**으로 구성합니다.
**참고** 또한 이 정책 설정은 적법하게 승인된 ActiveX 컨트롤이라 하더라도 Windows Update 같은 중요한 시스템 구성 요소를 방해하는 컨트롤이라면 사용자가 이를 설치하지 못하도록 차단합니다. 이 정책 설정을 활성화하려면 WSUS(Windows Server Update Services) 같은 보안 업데이트를 배포하기 위한 대체 방법을 구현해야 합니다. WSUS에 대한 자세한 내용은 [Windows Server Update Services 제품 개요](https://www.microsoft.com/korea/windowsserversystem/updateservices/evaluation/overview.mspx) 페이지를 참조하십시오.
###### Internet Explorer\\보안 기능\\파일 다운로드 제한
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\보안 기능\\파일 다운로드 제한**
**표 A52. 파일 다운로드 제한 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
Internet Explorer 프로세스(파일 다운로드 제한)
사용
사용
사용
사용
**Internet Explorer 프로세스(파일 다운로드 제한)**
상황에 따라서는 사용자가 별도로 요청하지 않았어도 웹 사이트에서 파일 다운로드를 확인하는 메시지가 표시될 수 있습니다. 이 경우 사용자가 해당 웹 사이트에서 잘못된 단추를 클릭하여 다운로드를 수락할 경우 사용자의 하드 디스크 드라이브에 허가되지 않은 파일이 저장될 수 있습니다.
**Internet Explorer 프로세스(파일 다운로드 제한)** 설정을 **사용**으로 구성하면 Internet Explorer 프로세스에 대해 사용자가 시작하지 않은 파일 다운로드 여부를 묻는 메시지가 차단됩니다. 이 정책 설정을 **사용 안 함**으로 구성하면 Internet Explorer 프로세스에 대해 사용자가 시작하지 않은 파일 다운로드 여부를 묻는 메시지가 표시됩니다.
**Internet Explorer 프로세스(파일 다운로드 제한)** 설정을 **사용**으로 구성합니다.
###### Internet Explorer\\보안 기능\\추가 기능 관리
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\보안 기능\\추가 기능 관리**
**표 A53. 추가 기능 관리 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
추가 기능 목록에 지정되지 않은 모든 추가 기능 거부
권장
권장
권장
권장
추가 기능 목록
권장
권장
권장
권장
**추가 기능 목록에 지정되지 않은 모든 추가 기능 거부**
이 정책 설정을 **추가 기능 목록** 설정과 함께 사용하면 Internet Explorer 추가 기능을 제어할 수 있습니다. 기본적으로 **추가 기능 목록** 설정에서는 그룹 정책을 통해 허용하거나 거부할 추가 기능의 목록을 정의합니다. **추가 기능 목록에 지정되지 않은 모든 추가 기능 거부** 설정을 사용하면 **추가 기능 목록** 설정에 명시적으로 나열되지 않은 모든 추가 기능을 거부할 수 있습니다.
이 정책 설정을 활성화하면 Internet Explorer는 **추가 기능 목록**을 통해 명시적으로 나열(허용)된 추가 기능만 허용합니다. 이 정책 설정을 비활성화하면 사용자가 추가 기능 관리자를 사용하여 추가 기능을 허용하거나 거부할 수 있습니다.
**추가 기능 목록에 지정되지 않은 모든 추가 기능 거부** 설정과 **추가 기능 목록** 설정을 모두 사용하는 것이 좋습니다. 이렇게 하면 허가된 추가 기능만 사용할 수 있습니다.
**추가 기능 목록**
이 정책 설정을 **추가 기능 목록에 지정되지 않은 모든 추가 기능 거부** 설정과 함께 사용하면 Internet Explorer 추가 기능을 제어할 수 있습니다. 기본적으로 **추가 기능 목록** 설정에서는 그룹 정책을 통해 허용하거나 거부할 추가 기능의 목록을 정의합니다. **추가 기능 목록에 지정되지 않은 모든 추가 기능 거부** 설정을 사용하면 **추가 기능 목록** 설정에 명시적으로 나열되지 않은 모든 추가 기능을 거부할 수 있습니다.
**추가 기능 목록** 설정을 활성화할 경우 Internet Explorer에서 허용하거나 거부할 추가 기능을 나열해야 합니다. 이 목록에 포함해야 하는 특정 추가 기능 목록은 조직마다 다르므로 이 가이드에서는 구체적인 목록을 제공하지 않습니다. 목록에 추가하려는 각 항목에 대해 다음 정보를 제공해야 합니다.
- **값 이름**. 목록에 추가하려는 추가 기능의 CLSID(클래스 식별자)입니다. CLSID는 {000000000-0000-0000-0000-0000000000000}에서와 같이 중괄호로 묶어야 합니다. 추가 기능의 CLSID는 추가 기능을 참조하는 데 사용된 웹 페이지에서 OBJECT 태그를 읽어 확인할 수 있습니다.
- **값**. Internet Explorer에서 로드할 추가 기능을 거부할지 또는 허용할지 여부를 나타내는 숫자입니다. 다음 값을 사용할 수 있습니다.
- **0**
- **1**
- **2**
**추가 기능 목록** 설정을 비활성화하면 목록이 삭제됩니다. 작업 환경에 사용될 수 있는 추가 기능을 제어하기 위해서는 **추가 기능 목록에 지정되지 않은 모든 추가 기능 거부** 설정과 **추가 기능 목록** 설정을 모두 사용하는 것이 좋습니다. 이렇게 하면 허가된 추가 기능만 사용할 수 있습니다.
###### NetMeeting
Microsoft NetMeeting®을 사용하여 조직의 네트워크에서 가상 모임을 열 수 있습니다. 그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소\\**
**NetMeeting**
**표 A54. NetMeeting 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
바탕 화면 원격 공유 사용 안 함
구성되지 않음
구성되지 않음
사용
사용
**바탕 화면 원격 공유 사용 안 함**
이 정책 설정은 NetMeeting의 바탕 화면 원격 공유 기능을 비활성화합니다. 이 정책 설정을 활성화하면 사용자가 로컬 바탕 화면의 원격 제어가 가능하도록 NetMeeting을 구성할 수 없습니다.
EC 환경에서는 **바탕 화면 원격 공유 사용 안 함** 설정을 **구성되지 않음**으로, SSLF 환경에서는 NetMeeting을 통해 원격으로 바탕 화면을 공유할 수 없도록 하기 위해 이 설정을 **사용**으로 구성합니다.
###### 터미널 서비스
터미널 서비스 설정은 터미널 서비스를 통해 액세스하는 서버로 클라이언트 컴퓨터 리소스를 리디렉션하기 위한 옵션을 제공합니다. 이 섹션에는 다음 항목에 대한 설정이 포함됩니다.
- 원격 데스크톱 연결 클라이언트
- 터미널 서버\\연결
- 터미널 서버\\장치 및 리소스 리디렉션
- 터미널 서버\\보안
터미널 서비스\\원격 데스크톱 연결 클라이언트
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**관리 템플릿\\Windows 구성 요소\\터미널 서비스**
**\\원격 데스크톱 연결 클라이언트**
**표 A55. 암호를 저장 안 함 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
암호를 저장 안 함
사용
사용
사용
사용
**암호를 저장 안 함**
이 정책 설정을 사용하면 터미널 서비스 클라이언트를 통해 컴퓨터에 암호가 저장되지 않도록 할 수 있습니다. 이 정책 설정을 활성화하면 터미널 서비스 클라이언트의 암호 저장 확인란이 비활성화되고 사용자는 암호를 저장할 수 없게 됩니다.
**암호를 저장 안 함** 설정을 **사용**으로 구성합니다.
**참고** 이전에 이 정책 설정을 **사용 안 함** 또는 **구성되지 않음**으로 구성했었으면 서버에서 터미널 서비스 클라이언트의 연결을 처음으로 끊을 때 기존의 저장된 암호가 모두 삭제됩니다.
터미널 서비스\\터미널 서버\\연결
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
**\\터미널 서비스\\터미널 서버\\연결**
**표 A56. 연결 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
터미널 서비스를 사용한 원격 연결을 사용자에게 허용
구성되지 않음
구성되지 않음
사용 안 함
사용 안 함
**터미널 서비스를 사용한 원격 연결을 사용자에게 허용**
이 정책 설정을 사용하면 터미널 서비스나 원격 데스크톱을 사용하여 컴퓨터에 연결 가능한지 여부를 제어할 수 있습니다.
SSLF 환경에서는 사용자가 물리적 컴퓨터 콘솔에 직접 로그온해야 합니다. 따라서 SSLF 환경에서는 **터미널 서비스를 사용한 원격 연결을 사용자에게 허용** 설정을 **사용 안 함**으로 구성합니다. EC 환경에서는 이 정책 설정을 **구성되지 않음**으로 지정합니다.
터미널 서비스\\터미널 서버\\장치 및 리소스 리디렉션
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
**\\터미널 서비스\\터미널 서버\\장치 및 리소스 리디렉션**
**표 A57. 장치 및 리소스 리디렉션 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
드라이브의 리디렉션을 허용하지 않음
구성되지 않음
구성되지 않음
사용
사용
**드라이브의 리디렉션을 허용하지 않음**
이 정책 설정은 사용자가 해당 클라이언트 컴퓨터의 로컬 드라이브를 자신이 액세스하는 터미널 서비스와 공유하지 못하도록 합니다. 매핑된 드라이브는 Windows 탐색기의 세션 폴더 트리에 다음 형식으로 표시됩니다.
\\\\TSClient\\*<드라이브 문자>*$
로컬 드라이브를 공유하면 해당 드라이브에 저장되어 있는 데이터를 이용하려는 침입자의 공격을 받기 쉽습니다. 따라서 SSLF 환경에서는 **드라이브의 리디렉션을 허용하지 않음** 설정을 **사용**으로 구성합니다. EC 환경에서는 이 정책 설정을 **구성되지 않음**으로 지정합니다.
터미널 서비스\\터미널 서버\\보안
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿**
**\\Windows 구성 요소\\터미널 서비스\\터미널 서버\\보안**
**표 A58. 터미널 서버 보안 설정 권장 사항**
설정
EC 데스크톱
EC
SSLF 데스크톱
SSLF 랩톱
연결 시 클라이언트에서 항상 암호 확인
사용
사용
사용
사용
클라이언트 연결 암호화 수준 설정
사용:높은 수준
사용:높은 수준
사용:높은 수준
사용:높은 수준
**연결 시 클라이언트에서 항상 암호 확인**
이 정책 설정은 터미널 서비스에 연결할 때 클라이언트 컴퓨터에 암호를 묻는 메시지를 항상 표시할지 여부를 지정합니다. 이 정책 설정을 사용하면 원격 데스크톱 연결 클라이언트에서 이미 암호를 제공했더라도 터미널 서비스에 로그온하는 사용자에게서 암호를 다시 한 번 확인할 수 있습니다. 기본적으로 원격 데스크톱 연결 클라이언트에 암호를 입력한 사용자는 터미널 서비스에 자동으로 로그온할 수 있습니다.
**연결 시 클라이언트에서 항상 암호 확인** 설정을 **사용**으로 구성합니다.
**참고** 이 정책 설정을 구성하지 않을 경우 로컬 컴퓨터 관리자는 터미널 서비스 구성 도구를 사용하여 암호의 자동 전송을 허용하거나 금지할 수 있습니다.
**클라이언트 연결 암호화 수준 설정**
이 정책 설정은 원격 연결을 호스팅하려는 컴퓨터에서 이 컴퓨터와 원격 세션의 클라이언트 컴퓨터 사이에 전송되는 모든 데이터에 대해 암호화 수준을 적용할지 여부를 지정합니다.
이 가이드에 나오는 두 환경에서는 128비트 암호화를 적용하기 위해 암호화 수준을 **사용:높은 수준**으로 설정합니다.
###### Windows Messenger
Windows Messenger를 사용하여 컴퓨터 네트워크의 다른 사용자에게 인스턴트 메시지를 보낼 수 있습니다. 메시지에 파일 및 기타 첨부 파일을 포함할 수 있습니다.
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿**
**\\Windows 구성 요소\\Windows Messenger**
**표 A59. Windows Messenger 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
Windows Messenger를 실행하지 않음
사용
사용
사용
사용
**Windows Messenger를 실행하지 않음**
**Windows Messenger를 실행하지 않음** 설정을 활성화하여 Windows Messenger를 비활성화하고 이 프로그램이 실행되지 않게 할 수 있습니다. 이 응용 프로그램은 스팸, 악성 소프트웨어의 배포 및 중요한 데이터의 노출 등과 같은 악의적인 용도로 사용되는 경우가 많으므로 EC 및 SSLF 환경에서는 **Windows Messenger를 실행하지 않음** 설정을 **사용**으로 구성하는 것이 좋습니다.
**참고** 이 설정은 Windows XP에 포함된 Windows Messenger 소프트웨어에만 적용됩니다. 이 설정을 구성해도 MSN® Messenger나 Windows Live™ Messenger는 계속 실행할 수 있습니다.
###### Windows Update
관리자는 Windows Update 설정을 사용하여 업데이트 및 핫픽스를 Windows Vista 기반 워크스테이션에 적용하는 방법을 관리합니다. 업데이트는 Windows Update를 통해 얻을 수 있습니다. 또는 추가 관리 제어를 통한 방법과 유사한 방식으로 업데이트 및 핫픽스를 배포하도록 인트라넷 웹 사이트를 설정할 수 있습니다.
WSUS(Windows Server Update Services)는 Microsoft Windows Update 및 SUS(Software Update Services) 기술의 성공적인 구현을 바탕으로 하는 인프라 서비스입니다. WSUS에서는 Windows 운영 체제의 알려진 보안 취약점 및 기타 안정성 문제를 해결하는 중요한 Windows 업데이트를 관리하고 배포합니다.
또한 WSUS를 사용하면 인트라넷 서버를 통해 Windows 기반 클라이언트 컴퓨터에서 사용할 수 있는 중요한 업데이트에 대한 동적 알림 시스템이 실행되므로 업데이트를 수동으로 진행할 필요가 없습니다. 이 서비스를 사용하기 위해 클라이언트 컴퓨터에서 인터넷에 액세스할 필요가 없습니다. 또한 이 기술은 Windows 기반 워크스테이션 및 서버로 업데이트를 자동 배포하는 간편한 방법도 제공합니다.
WSUS에서는 다음 기능을 제공합니다.
- **관리자가 인트라넷에서 콘텐츠 동기화 제어**. 이 동기화 서비스는 Windows Update에서 중요한 최신 업데이트를 검색하는 서버쪽 구성 요소입니다. Windows Update에 새 업데이트가 추가되면 WSUS를 실행하는 서버에서 관리자가 정의한 일정에 따라 새 업데이트를 자동으로 다운로드하여 저장합니다.
- **인트라넷에서 호스팅되는 Windows Update 서버**. 손쉽게 사용할 수 있는 이 서버는 클라이언트 컴퓨터의 가상 Windows Update 서버 역할을 합니다. 여기에는 업데이트를 관리하기 위한 동기화 서비스와 관리 도구가 포함됩니다. HTTP 프로토콜을 통해 연결된 클라이언트 컴퓨터에서 승인된 업데이트를 요청하면 이 서버는 해당 요청을 처리합니다. 또한 이 서버는 동기화 서비스에서 다운로드된 중요 업데이트를 호스팅하고 클라이언트 컴퓨터에서 이러한 업데이트를 참조하도록 할 수 있습니다.
- **관리자가 업데이트 제어**. 관리자는 조직의 인트라넷에 업데이트를 배포하기 전에 공용 Windows Update 사이트에서 업데이트를 테스트하고 승인할 수 있습니다. 배포는 관리자가 작성한 일정에 따라 이루어집니다. 여러 서버에서 WSUS를 실행하는 경우 관리자는 이 서비스가 실행되는 특정 서버에 액세스하는 컴퓨터를 제어합니다. 관리자는 Active Directory 환경에서 그룹 정책을 사용하거나 레지스트리 키를 통해 이 제어 수준을 설정할 수 있습니다.
- **워크스테이션 또는 서버 컴퓨터의 자동 업데이트**. Windows 기능 중 하나인 자동 업데이트를 설정하면 Windows Update에 게시된 업데이트를 자동으로 확인할 수 있습니다. WSUS에서는 이 Windows 기능을 사용하여 관리자가 승인한 업데이트를 인트라넷에 게시합니다.
**참고** Microsoft Systems Management Server 등과 같은 다른 방법으로 업데이트를 배포하려는 경우 **자동 업데이트 구성** 설정을 비활성화하는 것이 좋습니다.
Windows Update 설정에는 몇 가지가 있습니다. Windows Update가 제대로 작동되려면 최소한 **자동 업데이트 구성**, **예약된 자동 업데이트 설치를 자동으로 실행하지 않음** 및 **자동 업데이트 예약 설치 일정 변경**이라는 세 가지 설정은 반드시 필요합니다. 네 번째 설정인 **인트라넷 Microsoft 업데이트 서비스 위치 지정**은 선택 사항이며 조직의 요구에 따라 사용 여부가 달라집니다.
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 컴퓨터 설정을 구성할 수 있습니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소**
**\\Windows Update**
이 섹션에서 설명하는 설정은 특정 보안 위험을 개별적으로 처리하기 위한 것이라기보다 관리자 기본 설정과 더 많은 관련이 있습니다. 그러나 Windows Update를 사용하면 Microsoft에서 보안 업데이트를 발표하는 즉시 사용자 환경의 클라이언트 컴퓨터에 이 보안 업데이트를 적용할 수 있으므로 Windows Update의 구성은 사용자 환경의 보안에 중요한 부분을 차지합니다.
**참고** Windows Update는 원격 레지스트리 서비스 및 백그라운드 인텔리전스 전송 서비스를 비롯한 여러 서비스에 의존합니다.
다음 표에는 Windows Update에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A60. Windows Update 설정 권장 사항**
설정
EC 데스크톱
EC 랩톱
SSLF 데스크톱
SSLF 랩톱
시스템 종료 대화 상자에 '업데이트 설치 및 시스템 종료' 옵션을 표시하지 않음
사용 안 함
사용 안 함
사용 안 함
사용 안 함
Windows 종료 대화 상자의 '업데이트 설치 및 시스템 종료' 기본 옵션을 변경하지 않음
사용 안 함
사용 안 함
사용 안 함
사용 안 함
자동 업데이트 구성
사용
사용
사용
사용
예약된 자동 업데이트 설치를 자동으로 실행하지 않음
사용 안 함
사용 안 함
사용 안 함
사용 안 함
자동 업데이트 예약 설치 일정 변경
사용
사용
사용
사용
**시스템 종료 대화 상자에 '업데이트 설치 및 시스템 종료' 옵션을 표시하지 않음**
이 정책 설정을 사용하면 **Windows 종료** 대화 상자에 **업데이트 설치 및 시스템 종료** 옵션을 표시할지 여부를 관리할 수 있습니다. 이 정책 설정을 비활성화하면 사용자가 **시작** 메뉴에서 **시스템 종료** 옵션을 선택했을 때 사용 가능한 업데이트가 있는 경우에만 **Windows 종료** 대화 상자에 **업데이트 설치 및 시스템 종료** 옵션이 표시됩니다.
**시스템 종료 대화 상자에 '업데이트 설치 및 시스템 종료' 옵션을 표시하지 않음** 설정을 **사용 안 함**으로 구성합니다. 이 정책 설정은 다음에 나오는 **Windows 종료 대화 상자의 '업데이트 설치 및 시스템 종료' 기본 옵션을 변경하지 않음** 설정과 함께 사용됩니다.
**Windows 종료 대화 상자의 '업데이트 설치 및 시스템 종료' 기본 옵션을 변경하지 않음**
이 정책 설정을 사용하면 **Windows 종료** 대화 상자에 **업데이트 설치 및 시스템 종료** 옵션을 기본 선택 항목으로 표시할지 여부를 관리할 수 있습니다. 이 정책 설정을 비활성화하면 사용자가 **시작** 메뉴에서 **시스템 종료** 옵션을 선택했을 때 설치 가능한 업데이트가 있는 경우에만 **업데이트 설치 및 시스템 종료** 옵션이 **Windows 종료** 대화 상자에 기본 옵션으로 표시됩니다.
**Windows 종료 대화 상자의 '업데이트 설치 및 시스템 종료' 기본 옵션을 변경하지 않음** 설정을 **사용 안 함**으로 구성합니다.
**참고** **컴퓨터 구성\\관리 템플릿\\Windows 구성 요소\\Windows Update\\시스템 종료 대화 상자에 '업데이트 설치 및 시스템 종료' 옵션을 표시하지 않음** 설정을 **사용**으로 구성한 경우 이 정책 설정은 아무 효과도 없습니다.
**자동 업데이트 구성**
이 정책 설정은 작업 환경의 컴퓨터에서 Windows Update 또는 WSUS의 보안 업데이트를 수신할지 여부를 지정합니다. 이 정책 설정을 **사용**으로 구성하면 운영 체제에서 네트워크 연결이 가능한 시기를 확인하고 이 네트워크 연결을 사용하여 Windows Update 또는 지정된 인트라넷 사이트를 검색하여 적용 가능한 업데이트를 찾습니다.
**사용**으로 구성한 후 **자동 업데이트 속성 구성** 대화 상자에서 다음 세 옵션 중 하나를 선택하여 서비스 작동 방식을 지정합니다.
- **업데이트를 다운로드하기 전에 알리고 설치하기 전에 다시 알립니다**.
- **자동으로 업데이트를 다운로드하고 설치할 준비가 되면 알립니다**. **(기본 설정)**
- **자동으로 업데이트를 다운로드하고 아래에 지정한 일정에 업데이트를 설치합니다**.
이 정책 설정을 비활성화하면 Windows Update에서 모든 사용 가능한 업데이트를 다운로드하여 수동으로 설치해야 합니다.
**자동 업데이트 구성** 설정을 **사용**으로 구성합니다.
**예약된 자동 업데이트 설치를 자동으로 실행하지 않음**
이 정책 설정을 활성화하면 컴퓨터는 로그온한 사용자가 예약된 설치를 완료하기 위해 컴퓨터를 다시 시작할 때까지 기다립니다. 그렇지 않으면 컴퓨터가 자동으로 다시 시작됩니다. 또한 이 정책 설정을 활성화하면 예약된 설치를 진행하는 동안 자동 업데이트에서 컴퓨터를 자동으로 다시 시작하지 않습니다. 자동 업데이트에서 업데이트 설치를 완료하기 위해 컴퓨터를 다시 시작해야 하는데 사용자가 컴퓨터에 로그온한 경우에는 사용자에게 이를 알리고 컴퓨터를 나중에 다시 시작할 수 있는 옵션을 제공합니다. 컴퓨터를 다시 시작해야 자동 업데이트에서 이후의 업데이트를 검색할 수 있습니다.
**예약된 자동 업데이트 설치를 자동으로 실행하지 않음** 설정을 **사용 안 함** 또는 **구성되지 않음**으로 구성하면 자동 업데이트 기능은 컴퓨터가 5분 후에 자동으로 다시 시작되어 설치를 완료할 것임을 사용자에게 알려줍니다. 컴퓨터를 자동으로 다시 시작하는 것이 문제를 일으킬 수 있는 경우에는 **예약된 자동 업데이트 설치를 자동으로 실행하지 않음** 설정을 **사용**으로 구성할 수 있습니다. 이 정책 설정을 활성화한 경우에는 정상 근무 시간 이후에 클라이언트 컴퓨터가 다시 시작되도록 예약하여 설치를 완료할 수 있습니다.
**예약된 자동 업데이트 설치를 자동으로 실행하지 않음** 설정을 **사용 안 함**으로 구성합니다.
**참고** 이 정책 설정은 예약된 업데이트 설치를 수행하도록 자동 업데이트를 구성한 경우에만 적용됩니다. **자동 업데이트 구성** 설정을 **사용 안 함**으로 구성한 경우에는 이 정책 설정이 적용되지 않습니다.
**자동 업데이트 예약 설치 일정 변경**
이 정책 설정은 시스템을 시작한 후 이전에 예약한 자동 업데이트 설치가 진행되기 전까지 경과해야 하는 시간을 결정합니다. 이 정책 설정을 **사용**으로 구성하면 지정된 시간(분)이 경과한 후 다음 번에 시스템을 다시 시작할 때 앞서 예약한 설치가 시작됩니다. 이 정책 설정을 **사용 안 함** 또는 **구성되지 않음**으로 설정하면 정기적으로 예약된 다음 번 설치 시간 중에 앞서 예약했던 설치가 진행됩니다.
**자동 업데이트 예약 설치 일정 변경** 설정을 **사용**으로 구성합니다. 이 정책 설정을 활성화한 후에 작업 환경에 맞게 기본 대기 시간을 변경할 수 있습니다.
**참고** 이 정책 설정은 예약된 업데이트 설치를 수행하도록 자동 업데이트를 구성한 경우에만 적용됩니다. **자동 업데이트 구성** 설정을 **사용 안 함**으로 구성한 경우에는 **자동 업데이트 예약 설치 일정 변경** 설정이 적용되지 않습니다. 컴퓨터를 다시 시작할 때마다 이전에 미처 수행하지 못한 설치가 진행될 수 있도록 맨 마지막에 나오는 두 설정을 활성화할 수 있습니다.
[](#mainsection)[페이지 위쪽](#mainsection)
### 사용자 정책
이 부록의 나머지 섹션에서는 사용자 구성과 관련된 권장 설정을 설명합니다. 이러한 설정은 컴퓨터가 아닌 사용자에게만 적용하면 됩니다. 또한 이러한 설정은 구성하려는 사용자가 포함되어 있는 OU에 연결된 그룹 정책에서 구현합니다. 이러한 설정은 사용자 계정이 포함된 OU에 연결되어 있는 GPO를 통해 적용할 수 있습니다.
**참고** 사용자 구성 설정은 Active Directory 도메인에서 사용자가 로그온하는 모든 Windows Vista 기반 컴퓨터에 적용됩니다. 그러나 컴퓨터 구성 설정은 컴퓨터에 로그온한 사용자에 관계없이 Active Directory의 GPO를 통해 제어되는 모든 클라이언트 컴퓨터에 적용됩니다.
#### 사용자 구성\\관리 템플릿
사용자 정책의 다음 설정 그룹에는 이 가이드에서 규정하는 설정이 포함되어 있습니다. 이러한 설정은 그룹 정책 개체 편집기의 **사용자 구성\\관리 템플릿** 하위 노드에 표시됩니다.
- [시스템](#_internet_explorer_1)
- [전원 관리](#_power_management)
- [Windows 구성 요소](#_windows_components_3)
- [첨부파일 관리자](#_attachment_manager_1)
- [Internet Explorer](#_internet_explorer_3)
- [Windows 탐색기](#_windows_explorer)
##### 시스템
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\시스템**
다음 표에는 레지스트리 편집기 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다.
**표 A61. 시스템 사용자 구성 설정 권장 사항**
설정
EC 컴퓨터
SSLF 컴퓨터
레지스트리 편집 도구 사용 안 함
구성되지 않음
사용
**레지스트리 편집 도구 사용 안 함**
이 정책 설정은 Windows 레지스트리 편집기 Regedit.exe 및 Regedt32.exe를 비활성화합니다. 이 정책 설정을 활성화하면 사용자가 레지스트리 편집기를 사용하려 할 때 이러한 편집기를 사용할 수 없다는 메시지가 표시됩니다. 이 정책 설정을 사용하면 침입자나 임의의 사용자가 레지스트리에 액세스하는 데 이러한 도구를 사용하지 못하도록 할 수 있지만 레지스트리에 대한 액세스 자체를 차단하는 것은 아닙니다.
EC 환경에서는 **레지스트리 편집 도구 사용 안 함** 설정을 **구성되지 않음**으로, SSLF 환경에서는 이 정책 설정을 **사용**으로 구성합니다.
###### 전원 관리
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\시스템\\전원 관리**
**최대 절전 모드/대기 모드에서 재개할 때 암호 확인** 구성에 대한 권장 설정이 간략하게 정리되어 있습니다.
**표 A62. 시스템\\전원 관리 사용자 구성 설정 권장 사항**
설정
EC 컴퓨터
SSLF 컴퓨터
최대 절전 모드/대기 모드에서 재개할 때 암호 확인
사용
사용
**최대 절전 모드/대기 모드에서 재개할 때 암호 확인**
이 정책 설정은 최대 절전 모드 또는 대기 모드에서 작동 모드를 재개할 때 작업 환경의 클라이언트 컴퓨터를 잠가 둘지 여부를 제어합니다. 이 정책 설정을 활성화하면 작동 모드를 재개할 때 클라이언트 컴퓨터가 잠겨 있으므로 사용자는 잠금을 해제하기 위해 암호를 입력해야 합니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 다른 사용자가 클라이언트 컴퓨터에 액세스할 수 있으므로 심각한 보안 문제가 발생할 수 있습니다.
**최대 절전 모드/대기 모드에서 재개할 때 암호 확인** 설정을 **사용**으로 구성합니다.
##### Windows 구성 요소
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\Windows 구성 요소**
다음 표에는 레지스트리 편집기 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다.
###### 첨부파일 관리자
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 사용자 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\Windows 구성 요소**
**\\첨부파일 관리자**
다음 표에는 첨부파일 관리자 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A63. 첨부파일 관리자 사용자 구성 설정 권장 사항**
설정
EC 컴퓨터
SSLF 컴퓨터
첨부 파일에 영역 정보를 보존하지 않음
사용 안 함
사용 안 함
영역 정보를 제거하는 메커니즘 숨기기
사용
사용
첨부 파일을 열 때 바이러스 백신 프로그램에 알림
사용
사용
**첨부 파일에 영역 정보를 보존하지 않음**
이 정책 설정을 사용하면 Windows에서 Internet Explorer 또는 Microsoft Outlook® Express의 첨부 파일에 해당 파일의 출처(제한 영역, 인터넷, 인트라넷, 로컬 등)와 관련된 정보를 표시할지 여부를 관리할 수 있습니다. 이 기능이 올바르게 작동하려면 파일을 NTFS 디스크 파티션으로 다운로드해야 합니다. 영역 정보를 보존하지 않으면 Windows는 첨부 파일의 출처를 기반으로 그 위험성을 올바르게 확인할 수 없습니다.
**첨부 파일에 영역 정보를 보존하지 않음** 설정을 활성화하면 첨부 파일에 영역 정보가 표시되지 않습니다. 이 정책 설정을 비활성화하면 Windows에서 첨부 파일을 영역 정보와 함께 저장합니다. 일반적으로 인터넷 영역과 같은 신뢰할 수 없는 Internet Explorer 영역에서 위험한 첨부 파일이 다운로드될 수 있으므로 각 파일에 최대한 많은 보안 정보가 포함되도록 이 정책 설정을 **사용 안 함**으로 구성하는 것이 좋습니다.
**첨부 파일에 영역 정보를 보존하지 않음** 설정을 **사용 안 함**으로 구성합니다.
**영역 정보를 제거하는 메커니즘 숨기기**
이 정책 설정을 사용하면 저장된 첨부 파일에 있는 영역 정보를 사용자가 수동으로 제거할 수 있는지 여부를 관리할 수 있습니다. 일반적으로 사용자는 파일의 **속성** 시트에 있는 **차단 해제** 단추를 클릭하거나 **보안 경고** 대화 상자의 확인란을 선택할 수 있습니다. 영역 정보를 제거하면 Windows에서 위험한 것으로 판단하여 차단한 첨부 파일을 사용자가 열 수 있게 됩니다.
**영역 정보를 제거하는 메커니즘 숨기기** 설정을 활성화하면 Windows에서 해당 확인란과 **차단 해제** 단추가 표시되지 않습니다. 이 정책 설정을 비활성화하면 Windows에서 해당 확인란과 **차단 해제** 단추가 표시됩니다. 일반적으로 인터넷 영역과 같은 신뢰할 수 없는 Internet Explorer 영역에서 위험한 첨부 파일이 다운로드될 수 있으므로 각 파일에 최대한 많은 보안 정보가 포함되도록 이 정책 설정을 **사용**으로 구성하는 것이 좋습니다.
**영역 정보를 제거하는 메커니즘 숨기기** 설정을 **사용**으로 구성합니다.
**참고** 파일을 영역 정보와 함께 저장할지 여부를 구성하려면 앞에 나온 **첨부 파일에 영역 정보를 보존하지 않음** 설정을 참조하십시오.
**첨부 파일을 열 때 바이러스 백신 프로그램에 알림**
바이러스 백신 프로그램은 많은 환경에 반드시 필요한 필수 항목이며 공격을 막는 강력한 방어 수단입니다.
**첨부 파일을 열 때 바이러스 백신 프로그램에 알림** 설정을 사용하여 등록된 바이러스 백신 프로그램에 첨부 파일 관련 작업을 알리는 방법을 관리할 수 있습니다. 이 정책 설정을 활성화하면 사용자가 첨부 파일을 열 때 Windows에서 등록된 바이러스 백신 프로그램을 호출하여 첨부 파일을 검사합니다. 바이러스 백신 프로그램 검사에 실패하면 첨부 파일을 열 수 없도록 차단됩니다. 이 정책 설정을 비활성화하면 사용자가 첨부 파일을 열 때 Windows에서 등록된 바이러스 백신 프로그램을 호출하지 않습니다. 파일을 열 때마다 바이러스 백신 프로그램으로 미리 검사할 수 있도록 모든 작업 환경에서 이 정책 설정을 **사용**으로 구성하는 것이 좋습니다.
**첨부 파일을 열 때 바이러스 백신 프로그램에 알림** 설정을 **사용**으로 구성합니다.
**참고** 이 정책 설정이 제대로 작동하려면 설치된 바이러스 백신 프로그램을 최신 버전으로 업데이트해야 합니다.
###### Internet Explorer
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 사용자 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\Windows 구성 요소\\**
**Internet Explorer**
다음 표에는 Internet Explorer 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A64. Internet Explorer 사용자 구성 설정 권장 사항**
설정
EC 사용자
SSLF 사용자
Outlook Express 구성
사용
구성되지 않음
"열어 본 페이지 목록 구성" 사용 안 함
구성되지 않음
사용:40
폼에 자동 완성 사용 안 함
구성되지 않음
사용
자동 구성 설정 변경할 수 없음
구성되지 않음
사용
인증서 설정 변경할 수 없음
구성되지 않음
사용
연결 설정 변경할 수 없음
구성되지 않음
사용
프록시 설정 변경할 수 없음
구성되지 않음
사용
사용자가 추가 기능을 사용 또는 사용하지 않도록 허용 안 함
구성되지 않음
사용
§ "설정 수정" 기능 사용 안 함
구성되지 않음
사용 안 함
"임시 인터넷 파일 및 쿠키" 삭제할 수 없음
구성되지 않음
사용
§ "검색 기록 삭제" 기능 사용 안 함
구성되지 않음
사용
§ 보안 설정 검사 기능 사용 안 함
구성되지 않음
사용 안 함
폼에 사용자 이름 및 암호 자동 완성 기능 사용 안 함
사용 안 함
사용 안 함
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
**Outlook Express 구성**
이 정책 설정을 사용하면 바이러스가 포함되었을 가능성이 있는 첨부 파일을 Microsoft Outlook® Express 사용자가 저장하거나 열 수 있는지 여부를 관리자가 제어할 수 있습니다. 사용자는 첨부 파일이 차단되는 것을 막기 위해 **Outlook Express 구성** 설정을 비활성화할 수 없습니다. 이 정책 설정을 적용하려면 **사용**을 클릭하고 **바이러스가 포함된 가능성이 있는 첨부 파일 차단**을 선택합니다.
**바이러스가 포함된 가능성이 있는 첨부 파일 차단** 옵션과 함께 **Outlook Express 구성** 설정을 **사용**으로 구성합니다.
**"열어 본 페이지 목록 구성" 사용 안 함**
이 설정은 사용자가 열어 본 페이지에 대한 추적 정보를 Internet Explorer의 열어 본 페이지 목록에 며칠 동안 보존할지 지정합니다. **검색 기록 삭제** 옵션은 **도구 - 인터넷 옵션 - 일반** 탭에 있습니다. Internet Explorer 7의 경우 **도구 - 인터넷 옵션 - 검색 기록 삭제** 바로 아래 있는 **열어 본 페이지 목록 삭제**를 사용할 수도 있습니다.
이 정책 설정을 활성화하면 열어 본 페이지에 대한 추적 정보가 Internet Explorer의 열어 본 페이지 목록에 보존되는 기간(일)을 사용자가 임의로 설정할 수 없습니다. 열어 본 페이지에 대한 추적 정보를 Internet Explorer의 열어 본 페이지 목록에 며칠 동안 보존할지 기간(일)을 지정해야 합니다. 이렇게 하면 사용자가 검색 기록을 삭제할 수 없습니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 열어 본 페이지에 대한 추적 정보를 Internet Explorer의 열어 본 페이지 목록에 며칠 동안 보존할지를 사용자가 임의로 설정할 수 있고 **검색 기록 삭제** 옵션도 자유롭게 사용할 수 있습니다.
EC 환경에서는 **"열어 본 페이지 목록 구성" 사용 안 함** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용:40**으로 구성합니다.
**폼에 자동 완성 사용 안 함**
이 정책 설정은 웹 페이지의 폼에서 필드의 자동 완성 기능을 제어합니다. 이 정책 설정을 활성화하면 폼에 입력할 내용을 자동 완성 기능이 자동으로 채우지 않습니다. 이렇게 하면 특정 환경에서 중요한 데이터를 보호하는 데 도움이 될 수 있습니다.
EC 환경에서는 **폼에 자동 완성 사용 안 함** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
**자동 구성 설정 변경할 수 없음**
이 정책 설정을 사용하면 자동으로 구성된 설정을 사용자가 임의로 변경할 수 없습니다. 관리자는 자동 구성을 사용하여 브라우저 설정을 정기적으로 업데이트합니다. 이 정책 설정을 활성화하면 Internet Explorer에서 자동 구성 설정이 흐리게 표시됩니다. 이러한 설정은 **LAN 설정** 대화 상자의 **자동 구성** 영역에 있습니다. 또한 이 정책 설정을 사용하면 그룹 정책을 통해 구성된 설정을 사용자가 임의로 변경할 수 없습니다.
**LAN 설정 대화 상자를 표시하려면**
1. **인터넷 옵션** 대화 상자를 열고 **연결** 탭을 클릭합니다.
2. **LAN 설정** 단추를 클릭하고 설정을 확인합니다.
SSLF 환경에서는 **자동 구성 설정 변경할 수 없음** 설정을 **사용**으로 구성하고, EC 환경에서는 이 정책 설정을 **구성되지 않음**으로 지정합니다.
**참고** **연결 페이지 사용 안 함** 설정을 사용하면 Internet Explorer의 제어판에 **연결** 탭이 표시되지 않습니다. 이 설정은 **자동 구성 설정 변경할 수 없음** 구성 옵션보다 우선적으로 적용됩니다. 즉, 앞의 설정을 활성화하면 뒤의 설정이 무시됩니다. **연결 페이지 사용 안 함** 설정은 그룹 개체 정책 편집기의 \\사용자 구성\\관리 템플릿\\Windows 구성 요소\\Internet Explorer\\인터넷 제어판에 있습니다.
**인증서 설정 변경할 수 없음**
이 정책 설정을 사용하면 Internet Explorer의 인증서 설정을 사용자가 임의로 변경할 수 없습니다. 인증서는 소프트웨어 게시자의 ID를 확인하는 데 사용됩니다. 이 정책 설정을 활성화하면 **인터넷 옵션** 대화 상자에 있는 **내용** 탭의 **인증서** 영역에서 인증서 설정이 흐리게 표시됩니다. 또한 이 정책 설정을 사용하면 그룹 정책을 통해 구성된 설정을 사용자가 임의로 변경할 수 없습니다.
SSLF 환경에서는 **인증서 설정 변경할 수 없음** 설정을 **사용**으로 구성하고, EC 환경에서는 이 정책 설정을 **구성되지 않음**으로 지정합니다.
**참고** 이 정책 설정을 활성화해도 소프트웨어 게시 인증서 파일(.spc)을 두 번 클릭하여 인증서 관리자 가져오기 마법사를 실행할 수 있습니다. 이 마법사를 사용하여 Internet Explorer에 아직 구성되지 않은 소프트웨어 게시자로부터 인증서에 대한 설정을 가져오고 구성할 수 있습니다.
**참고** **내용 페이지 사용 안 함** 설정을 사용하면 Internet Explorer의 제어판에 **내용** 탭이 표시되지 않습니다. 이 설정은 **인증서 설정 변경할 수 없음** 구성 옵션보다 우선적으로 적용됩니다. 즉, 앞의 설정을 활성화하면 뒤의 설정이 무시됩니다. **내용 페이지 사용 안 함** 설정은 그룹 개체 정책 편집기의 \\사용자 구성\\관리 템플릿\\Windows 구성 요소\\Internet Explorer\\인터넷 제어판에 있습니다.
**연결 설정 변경할 수 없음**
이 정책 설정을 사용하면 사용자가 임의로 전화 접속 설정을 변경할 수 없습니다. 이 정책 설정을 활성화하면 **인터넷 옵션** 대화 상자의 **연결** 탭에 있는 **설정** 단추가 흐리게 표시됩니다. 또한 이 정책 설정을 사용하면 그룹 정책을 통해 구성된 설정을 사용자가 임의로 변경할 수 없습니다. 이동 중에 연결 설정을 바꿔야 하는 랩톱 사용자를 위해 이 정책 설정을 비활성화할 수도 있습니다.
SSLF 환경에서는 **연결 설정 변경할 수 없음** 설정을 **사용**으로 구성하고, EC 환경에서는 이 정책 설정을 **구성되지 않음**으로 지정합니다.
**참고** **연결 페이지 사용 안 함** 설정을 구성한 경우에는 이 정책 설정을 구성할 필요가 없습니다. **연결 페이지 사용 안 함** 설정을 지정하면 인터페이스에 **연결** 탭이 표시되지 않습니다. **연결 페이지 사용 안 함** 설정은 그룹 개체 정책 편집기의 \\사용자 구성\\관리 템플릿\\Windows 구성 요소\\Internet Explorer\\인터넷 제어판에 있습니다.
**프록시 설정 변경할 수 없음**
이 정책 설정을 사용하면 사용자가 임의로 프록시 설정을 변경할 수 없습니다. 이 정책 설정을 활성화하면 프록시 설정이 흐리게 표시됩니다. 프록시 설정은 **인터넷 옵션** 대화 상자에서 **연결** 탭을 클릭한 후 **LAN 설정** 단추를 클릭하면 표시되는 **LAN 설정** 대화 상자의 **프록시 서버** 영역에 있습니다. 또한 이 정책 설정을 사용하면 그룹 정책을 통해 구성된 설정을 사용자가 임의로 변경할 수 없습니다. 이동 중에 연결 설정을 바꿔야 하는 랩톱 사용자를 위해 이 정책 설정을 비활성화할 수도 있습니다.
SSLF 환경에서는 **프록시 설정 변경할 수 없음** 설정을 **사용**으로 구성하고, EC 환경에서는 이 정책 설정을 **구성되지 않음**으로 지정합니다.
**참고** **연결 페이지 사용 안 함** 설정을 구성한 경우에는 이 정책 설정을 구성할 필요가 없습니다. **연결 페이지 사용 안 함** 설정을 지정하면 인터페이스에 **연결** 탭이 표시되지 않습니다. 이 설정은 그룹 개체 정책 편집기의 \\사용자 구성\\관리 템플릿\\Windows 구성 요소\\Internet Explorer\\인터넷 제어판에 있습니다.
**사용자가 추가 기능을 사용 또는 사용하지 않도록 허용 안 함**
이 정책 설정은 사용자가 **추가 기능 관리자**를 통해 추가 기능을 허용하거나 거부할 수 있는지 여부를 제어합니다. 이 정책 설정을 활성화하면 사용자가 **추가 기능 관리자**를 통해 추가 기능을 활성화하거나 비활성화할 수 없습니다. 사용자가 추가 기능을 관리할 수 있도록 **'추가 기능 목록'** 정책 설정에 추가 기능을 명시적으로 추가한 경우는 예외로 처리됩니다. 이 경우에는 사용자가 **추가 기능 관리자** 를 통해 추가 기능을 계속 관리할 수 있습니다.이 정책 설정을 비활성화하거나 구성하지 않은 경우에는 사용자가 **추가 기능 관리자**의 적절한 제어 기능을 사용할 수 있습니다.
EC 환경에서는 **사용자가 추가 기능을 사용 또는 사용하지 않도록 허용 안 함** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
**"설정 수정" 기능 사용 안 함**
이 정책 설정을 사용하면 Internet Explorer의 **보안 설정 검사**와 관련하여 **"설정 수정"** 기능을 수행하지 못하도록 할 수 있습니다. 이 정책 설정을 활성화하면 Internet Explorer에서 해당 구성이 안전하지 않은 것으로 판단했을 때 나타나는 알림 표시줄의 상황에 맞는 메뉴에서 **내 설정 수정** 옵션을 클릭할 수 없습니다.
EC 환경에서는 **"설정 수정" 기능 사용 안 함** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**"임시 인터넷 파일 및 쿠키" 삭제할 수 없음**
이 정책 설정은 Internet Explorer 7에서 **도구 - 인터넷 옵션 - 검색 기록 삭제**를 클릭하면 제공되는 인터넷 검색 기록과 관련된 임시 인터넷 파일 및 쿠키를 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 사용자가 임시 인터넷 파일 및 쿠키를 삭제할 수 없습니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 사용자가 임시 인터넷 파일 및 쿠키를 삭제할 수 있습니다.
EC 환경에서는 **"임시 인터넷 파일 및 쿠키" 삭제할 수 없음** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
**"검색 기록 삭제" 기능 사용 안 함**
이 정책 설정을 사용하면 사용자가 Internet Explorer에서 **"검색 기록 삭제"** 작업을 수행하지 못하도록 할 수 있습니다. 이 정책 설정을 활성화하면 사용자가 Internet Explorer 7의 **인터넷 옵션**에서 **"검색 기록 삭제"** 작업을 수행할 수 없습니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 사용자가 Internet Explorer 7의 **인터넷 옵션**에서 **"검색 기록 삭제"** 작업을 수행할 수 있습니다.
EC 환경에서는 **"검색 기록 삭제" 기능 사용 안 함** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
**보안 설정 검사 기능 사용 안 함**
이 정책 설정은 Internet Explorer 보안 설정을 검사하여 Internet Explorer의 작업 환경이 안전한지 확인하는 **보안 설정 검사** 기능을 해제합니다. 이 정책 설정을 활성화하면 보안 설정 검사가 수행되지 않습니다. 이 정책 설정을 비활성화하면 보안 설정 검사가 수행됩니다. 이 정책 설정을 구성하지 않으면 사용자가 **"보안 설정 검사 비활성화"** 설정을 변경할 수 있습니다.
EC 환경에서는 **보안 설정 검사 기능 사용 안 함** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**폼에 사용자 이름 및 암호 자동 완성 기능 사용 안 함**
이 정책 설정은 웹 페이지의 폼에서 사용자 이름과 암호가 자동으로 입력되는 기능을 제어하며, 암호 저장 여부를 묻는 메시지가 표시되지 않도록 합니다. 이 정책 설정을 비활성화하면 **폼에 사용할 사용자 이름과 암호** 및 **암호 저장 여부 확인** 확인란이 흐리게 표시되고 사용자는 암호를 로컬로 저장할 수 없습니다.
**폼에 사용자 이름 및 암호 자동 완성 기능 사용 안 함** 설정을 **사용 안 함**으로 구성합니다.
**컴퓨터 구성\\관리 템플릿\\Windows 구성 요소\\Internet Explorer** 내에는 다음과 같은 추가 설정 섹션이 구성되어 있습니다.
- [브라우저 메뉴](#_browser_menus)
- [인터넷 제어판](#_internet_control_panel)
- [인터넷 제어판\\고급 페이지](#_internet_control_panel-advanced)
- [인터넷 제어판\\보안 페이지](#_internet_control_panel-security)
- [인터넷 제어판\\보안 페이지\\인터넷 영역](#_security_page_internet_1)
- [인터넷 제어판\\보안 페이지\\제한된 사이트 영역](#_internet_control_pane-security)
- [오프라인 페이지](#_offline_pages)
###### 브라우저 메뉴
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 사용자 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\브라우저 메뉴**
다음 표에는 Internet Explorer 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A65. 브라우저 메뉴 설정 권장 사항**
설정
EC 사용자
SSLF 사용자
이 프로그램을 디스크에 저장 옵션 사용 안 함
구성되지 않음
사용
**이 프로그램을 디스크에 저장 옵션 사용 안 함**
이 정책 설정은 사용자가 Internet Explorer에서 다운로드한 프로그램이나 파일을 하드 디스크에 저장할 수 없도록 합니다. 이 정책 설정을 활성화하면 **이 프로그램을 디스크에 저장** 옵션을 사용하여 프로그램을 디스크에 저장할 수 없습니다. 이 경우 프로그램 파일이 다운로드되지 않으며 명령을 사용할 수 없다는 메시지가 표시됩니다. 이 정책 설정을 사용하면 사용자가 Internet Explorer를 통해 해로울 수 있는 프로그램을 다운로드하여 디스크에 저장할 수 없으므로 SSLF 환경을 보호하는 데 도움이 됩니다.
SSLF 환경에서는 **이 프로그램을 디스크에 저장 옵션 사용 안 함** 설정을 **사용**으로 구성하고, EC 환경에서는 이 정책 설정을 **구성되지 않음**으로 지정합니다.
###### 인터넷 제어판
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 사용자 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\인터넷 제어판**
다음 표에는 Internet Explorer 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A66. 인터넷 제어판 Internet Explorer 사용자 구성 설정 권장 사항**
설정
EC 사용자
SSLF 사용자
고급 페이지 사용 안 함
구성되지 않음
사용
보안 페이지 사용 안 함
구성되지 않음
사용
§ 인증서 오류 무시 안 함
구성되지 않음
사용
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
**고급 페이지 사용 안 함**
이 정책 설정은 사용자가 Internet Explorer의 **고급** 탭에서 구성한 설정을 사용자가 임의로 변경할 수 없도록 하기 위한 다른 설정과 함께 사용됩니다.
SSLF 환경에서는 **고급 페이지 사용 안 함** 설정을 **사용**으로 구성하고, EC 환경에서는 이 정책 설정을 **구성되지 않음**으로 지정합니다.
**보안 페이지 사용 안 함**
이 정책 설정은 그룹 정책을 통해 구성된 설정을 사용자가 임의로 변경할 수 없도록 하기 위한 다른 설정과 함께 사용됩니다. 이 정책 설정을 사용하면 **인터넷 옵션** 대화 상자에 **보안** 탭이 표시되지 않습니다. 이 정책 설정을 활성화하면 스크립팅, 다운로드 및 사용자 인증과 같은 보안 영역에 대한 설정을 사용자가 보거나 변경할 수 없습니다. 사용자들이 Internet Explorer의 다른 보안 설정을 약화시키는 설정을 임의로 변경할 수 없도록 이 정책 설정을 활성화하는 것이 좋습니다.
SSLF 환경에서는 **보안 페이지 사용 안 함** 설정을 **사용**으로 구성하고, EC 환경에서는 이 정책 설정을 **구성되지 않음**으로 지정합니다.
**인증서 오류 무시 안 함**
"만료됨", "해지됨", "이름이 일치하지 않음" 등과 같은 SSL/TLS(Secure Socket Layer/Transport Layer Security) 인증서 오류가 발생하면 Internet Explorer에서는 사용자가 웹 사이트를 계속 탐색할 수 없도록 차단합니다. 이 정책 설정을 활성화하면 사용자가 웹 사이트를 계속 탐색할 수 없습니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 사용자가 인증서 오류를 무시하도록 선택하고 웹 사이트를 계속 탐색할 수 있습니다.
EC 환경에서는 **인증서 오류 무시 안 함** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
###### 인터넷 제어판\\고급 페이지
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 사용자 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\인터넷 제어판\\고급 페이지**
다음 표에는 Internet Explorer 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A67. 고급 페이지 설정 권장 사항**
설정
EC 사용자
SSLF 사용자
§ 필요할 때 추가 설치(Internet Explorer)
구성되지 않음
사용 안 함
서명이 잘못된 경우에도 소프트웨어를 실행하거나 설치할 수 있게 합니다.
구성되지 않음
사용 안 함
Internet Explorer 업데이트 자동 확인
구성되지 않음
사용 안 함
서버 인증서 해지 확인
구성되지 않음
사용
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
**필요할 때 추가 설치(Internet Explorer)**
이 정책 설정은 **Internet Explorer Active Setup**을 통해 설치 가능한 글꼴 같은 **웹 구성 요소**를 사용자가 자동으로 다운로드하여 설치할 수 있는지 여부를 관리하는 데 사용됩니다. 예를 들어, Internet Explorer에서 일본어 텍스트 표시를 지원해야 하는 웹 페이지를 열면 사용자의 컴퓨터에 **일본어 언어 팩** 구성 요소가 아직 설치되어 있지 않은 경우 이 구성 요소를 다운로드하라는 메시지가 사용자에게 표시됩니다.
**웹 구성 요소**가 필요에 따라 자동으로 설치됩니다. 이 정책 설정을 비활성화하면 글꼴 같은 **웹 구성 요소**를 다운로드해야 할 경우 사용자에게 메시지가 표시됩니다. 이 정책을 구성하지 않으면 글꼴 같은 **웹 구성 요소**를 다운로드해야 할 경우 사용자에게 메시지가 표시됩니다.
EC 환경에서는 **필요할 때 추가 설치(Internet Explorer)** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**서명이 잘못된 경우에도 소프트웨어를 실행하거나 설치할 수 있게 합니다.**
이 정책 설정은 서명이 유효하지 않더라도 ActiveX 컨트롤이나 파일 다운로드 같은 소프트웨어를 사용자가 설치하거나 실행할 수 있는지 여부를 관리하는 데 사용됩니다. 서명이 유효하지 않으면 누군가가 파일을 무단으로 변경한 것일 수 있습니다.
이 정책 설정을 활성화하면 서명이 유효하지 않은 파일을 그대로 설치 또는 실행할 것인지 묻는 메시지가 표시됩니다. 이 정책 설정을 비활성화하면 서명이 유효하지 않은 파일을 실행하거나 설치할 수 없습니다. 이 정책을 구성하지 않으면 서명이 유효하지 않은 파일을 사용자가 실행하거나 설치하도록 선택할 수 있습니다.
EC 환경에서는 **서명이 잘못된 경우에도 소프트웨어를 실행하거나 설치할 수 있게 합니다.** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**Internet Explorer 업데이트 자동 확인**
이 정책 설정을 사용하면 Internet Explorer에서 인터넷을 통해 최신 버전을 확인할지 여부를 관리할 수 있습니다. Internet Explorer에서 이 작업을 수행하도록 설정하면 대개 30일 간격으로 업데이트를 검사하고, 새 버전이 제공되면 이를 설치하라는 메시지를 사용자에게 표시합니다.
이 정책 설정을 활성화하면 Internet Explorer에서 대개 30일 간격으로 새 버전이 있는지 여부를 인터넷에서 확인하고, 새 버전이 있으면 이를 다운로드하라는 메시지를 사용자에게 표시합니다. 이 정책 설정을 비활성화하면 Internet Explorer에서 브라우저의 새 버전이 있는지 여부를 인터넷에서 확인하지 않으므로 업데이트와 관련된 메시지가 사용자에게 표시되지 않습니다. 이 정책 설정을 구성하지 않으면 Internet Explorer에서 브라우저의 새 버전이 있는지 여부를 인터넷에서 확인하지 않으므로 업데이트와 관련된 메시지가 사용자에게 표시되지 않습니다.
EC 환경에서는 **Internet Explorer 업데이트 자동 확인** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용 안 함**으로 구성합니다.
**서버 인증서 해지 확인**
이 정책 설정을 사용하면 Internet Explorer에서 서버의 인증서 해지 상태를 확인할지 여부를 관리할 수 있습니다. 인증서는 손상되었거나 더 이상 유효하지 않으면 해지됩니다. 이 옵션을 사용하면 사기성이 있거나 안전하지 않은 사이트에 사용자가 기밀 데이터를 제출하지 못하게 할 수 있습니다.
이 정책 설정을 활성화하면 Internet Explorer에서 서버 인증서가 해지되었는지 여부를 검사합니다. 이 정책 설정을 비활성화하면 Internet Explorer에서 서버 인증서가 해지되었는지 여부를 검사하지 않습니다. 이 정책 설정을 구성하지 않으면 Internet Explorer에서 서버 인증서가 해지되었는지 여부를 검사하지 않습니다.
EC 환경에서는 **서버 인증서 해지 확인** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
###### 인터넷 제어판\\보안 페이지
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 사용자 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\인터넷 제어판\\보안 페이지**
다음 표에는 Internet Explorer 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A68. 보안 페이지 설정 권장 사항**
설정
EC 사용자
SSLF 사용자
인트라넷 사이트: 전체 네트워크 경로(UNC) 포함
구성되지 않음
사용 안 함
**인트라넷 사이트: 전체 네트워크 경로(UNC) 포함**
이 정책 설정은 UNC를 나타내는 URL이 로컬 인트라넷 보안 영역에 매핑되는지 여부를 제어합니다. 이 정책 설정을 활성화하면 모든 네트워크 경로가 **인트라넷 영역**으로 매핑됩니다. 이 정책 설정을 비활성화하면 네트워크 경로가 **인트라넷 영역**으로 반드시 매핑되지는 않습니다. 이 경우에도 다른 규칙을 통해 매핑을 설정할 수는 있습니다.
**인트라넷 영역**에 매핑할지 여부를 사용자가 선택할 수 있습니다.
SSLF 환경에서는 **인트라넷 사이트: 전체 네트워크 경로(UNC) 포함** 설정을 **사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
###### 인터넷 제어판\\보안 페이지\\인터넷 영역
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 사용자 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\인터넷 제어판\\보안 페이지\\인터넷 영역**
다음 표에는 Internet Explorer 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**참고** 인터넷 영역과 제한된 사이트 영역에 대한 설정은 서로 매우 비슷합니다. 아래에서는 이들 두 영역 모두에 대한 설정을 설명합니다.
**표 A69. 인터넷 영역 설정 권장 사항**
설정
EC 사용자
SSLF 사용자
인터넷 영역\도메인 간의 데이터 소스 액세스
구성되지 않음
사용:사용 안 함
인터넷 영역\끌어서 놓기 또는 파일 복사 및 붙여넣기 허용
구성되지 않음
사용:사용 안 함
인터넷 영역\글꼴 다운로드 허용
구성되지 않음
사용:사용 안 함
인터넷 영역\바탕 화면 항목 설치 허용
구성되지 않음
사용:사용 안 함
인터넷 영역\스크립트를 통한 클립보드의 잘라내기, 복사 또는 붙여넣기 작업 허용
구성되지 않음
사용:사용 안 함
인터넷 영역\크기 및 위치 제한 없이 스크립트 실행 창을 열 수 있습니다.
구성되지 않음
사용:사용 안 함
§ 인터넷 영역\스크립트를 통해 상태 표시줄 업데이트 허용
구성되지 않음
사용 안 함
인터넷 영역\파일 다운로드 시 자동으로 사용자에게 묻음
구성되지 않음
사용:사용
인터넷 영역\서명된 ActiveX 컨트롤 다운로드
구성되지 않음
사용:사용 안 함
인터넷 영역\서명 안 된 ActiveX 컨트롤 다운로드
구성되지 않음
사용:사용 안 함
인터넷 영역\스크립팅하기 안전하지 않는 것으로 표시된 ActiveX 컨트롤 초기화 및 스크립팅
구성되지 않음
사용:사용 안 함
인터넷 영역\Java 사용 권한
구성되지 않음
사용:Java 사용 안 함
인터넷 영역\IFRAME에서 응용 프로그램 및 파일 실행
구성되지 않음
사용:사용 안 함
인터넷 영역\로그온 옵션
구성되지 않음
사용:사용자 이름 및 암호 확인
인터넷 영역\다른 도메인 간의 하위 프레임 탐색
구성되지 않음
사용 안 함
인터넷 영역\파일 확장명이 아닌 내용을 기반으로 파일 열기
구성되지 않음
사용:사용 안 함
인터넷 영역\소프트웨어 채널 사용 권한
구성되지 않음
사용:높음
인터넷 영역\팝업 차단 사용
구성되지 않음
사용:사용
인터넷 영역\낮은 권한의 웹 컨텐트 영역에 있는 웹 사이트는 이 영역을 탐색할 수 있음
구성되지 않음
사용:사용 안 함
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
###### 인터넷 제어판\\보안 페이지\\제한된 사이트 영역
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 사용자 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\인터넷 제어판\\보안 페이지\\제한된 사이트 영역**
다음 표에는 Internet Explorer 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**참고** 인터넷 영역과 제한된 사이트 영역에 대한 설정은 서로 매우 비슷합니다. 아래에서는 이들 두 영역 모두에 대한 설정을 설명합니다.
**표 A70. 제한된 사이트 영역 설정 권장 사항**
설정
EC 사용자
SSLF 사용자
제한된 사이트 영역\도메인 간의 데이터 소스 액세스
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\액티브 스크립팅 허용
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\바이너리 및 스크립트 동작 허용
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\스크립트를 통한 클립보드의 잘라내기, 복사 또는 붙여넣기 작업 허용
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\끌어서 놓기 또는 파일 복사 및 붙여넣기 허용
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\파일 다운로드 허용
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\글꼴 다운로드 허용
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\바탕 화면 항목 설치 허용
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\META REFRESH 허용
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\크기 및 위치 제한 없이 스크립트 실행 창을 열 수 있습니다.
구성되지 않음
사용:사용 안 함
§ 제한된 사이트 영역\스크립트를 통해 상태 표시줄 업데이트 허용
구성되지 않음
사용 안 함
제한된 사이트 영역\파일 다운로드 시 자동으로 사용자에게 묻음
구성되지 않음
사용:사용
제한된 사이트 영역\서명된 ActiveX 컨트롤 다운로드
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\서명 안 된 ActiveX 컨트롤 다운로드
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\스크립팅하기 안전하지 않는 것으로 표시된 ActiveX 컨트롤 초기화 및 스크립팅
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\Java 사용 권한
구성되지 않음
사용:Java 사용 안 함
제한된 사이트 영역\IFRAME에서 응용 프로그램 및 파일 실행
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\로그온 옵션
구성되지 않음
사용:익명 로그온
제한된 사이트 영역\다른 도메인 간의 하위 프레임 탐색
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\파일 확장명이 아닌 내용을 기반으로 파일 열기
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\Authenticode로 서명되지 않은 .NET Framework 기반 구성 요소를 실행
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\Authenticode로 서명된 .NET Framework 기반 구성 요소를 실행
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\ActiveX 컨트롤 및 플러그 인 실행
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\스크립팅하기 안전한 것으로 표시된 ActiveX 컨트롤 스크립팅
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\Java 애플릿 스크립팅
구성되지 않음
사용:사용 안 함
제한된 사이트 영역\소프트웨어 채널 사용 권한
구성되지 않음
사용:높음
제한된 사이트 영역\팝업 차단 사용
구성되지 않음
사용:사용
제한된 사이트 영역\낮은 권한의 웹 컨텐트 영역에 있는 웹 사이트는 이 영역을 탐색할 수 있음
구성되지 않음
사용:사용 안 함
**§** 기호는 Windows Vista에 새로 추가된 그룹 정책 설정을 가리킵니다.
**도메인 간의 데이터 소스 액세스**
이 정책 설정은 Internet Explorer에서 MSXML(Microsoft XML Parser) 또는 ADO(ActiveX Data Objects)를 사용하여 다른 보안 영역의 데이터에 액세스할 수 있는지 여부를 관리하는 데 사용됩니다.
이 정책 설정을 활성화하면 MSXML 또는 ADO를 사용하는 영역의 페이지를 로드하여 영역의 다른 사이트에 있는 데이터에 액세스할 수 있습니다. 드롭다운 상자에서 **확인**을 선택하면 MSXML 또는 ADO를 사용하는 영역에서 로드할 페이지를 통해 영역의 다른 사이트에 있는 데이터에 액세스할 수 있도록 허용할지 여부를 묻는 메시지가 사용자에게 표시됩니다.
이 정책 설정을 비활성화하면 MSXML 또는 ADO를 사용하는 영역의 페이지를 로드하여 영역의 다른 사이트에 있는 데이터에 액세스할 수 없습니다.
이 정책 설정을 구성하지 않으면 MSXML 또는 ADO를 사용하는 영역의 페이지를 로드하여 영역의 다른 사이트에 있는 데이터에 액세스할 수 없습니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **도메인 간의 데이터 소스 액세스** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**액티브 스크립팅 허용**
이 정책 설정을 사용하면 영역의 페이지에서 스크립트 코드를 실행할지 여부를 관리할 수 있습니다. 이 정책 설정을 활성화하면 영역의 페이지에 있는 스크립트 코드를 자동으로 실행할 수 있습니다. 드롭다운 상자에서 **확인**을 선택하면 영역의 페이지에 있는 스크립트 코드가 실행되도록 허용할지 여부를 묻는 메시지가 사용자에게 표시됩니다. 이 정책 설정을 비활성화하면 영역의 페이지에 있는 스크립트 코드가 실행되지 않습니다. 이 정책 설정을 구성하지 않으면 영역의 페이지에 있는 스크립트 코드가 실행되지 않습니다.
**제한된 사이트 영역**에 대해 SSLF 환경에서는 **액티브 스크립팅 허용** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**바이너리 및 스크립트 동작 허용**
이 정책 설정을 사용하면 동적 바이너리 및 스크립트 동작을 관리할 수 있습니다. 이는 연결된 HTML 요소에 대한 특정 기능을 캡슐화하는 구성 요소입니다. 이 정책 설정을 활성화하면 바이너리 및 스크립트 동작을 사용할 수 있습니다. 드롭다운 상자에서 **관리자 승인**을 선택하면 **바이너리 기능 보안 제한 정책**의 **관리자가 허용한 기능**에 나열된 동작만 사용할 수 있습니다.
이 정책 설정을 비활성화하면 응용 프로그램에서 사용자 지정 보안 관리자를 구현하지 않는 한 바이너리 및 스크립트 동작을 사용할 수 없습니다. 이 정책 설정을 구성하지 않으면 응용 프로그램에서 사용자 지정 보안 관리자를 구현하지 않는 한 바이너리 및 스크립트 동작을 사용할 수 없습니다.
**제한된 사이트 영역**에 대해 SSLF 환경에서는 **바이너리 및 스크립트 동작 허용** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**스크립트를 통한 클립보드의 잘라내기, 복사 또는 붙여넣기 작업 허용**
이 정책 설정은 지정된 영역에서 스크립트를 통해 잘라내기, 복사, 붙여넣기 등과 같은 클립보드 작업을 수행할 수 있는지 여부를 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 스크립트를 통해 클립보드 작업을 수행할 수 있습니다. 드롭다운 상자에서 **확인**을 선택하면 클립보드 작업을 수행할지 여부를 묻는 메시지가 사용자에게 표시됩니다. 이 정책 설정을 비활성화하면 스크립트를 통해 클립보드 작업을 수행할 수 없습니다. 이 정책 설정을 구성하지 않으면 스크립트를 통해 클립보드 작업을 수행할 수 없습니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **스크립트를 통한 클립보드의 잘라내기, 복사 또는 붙여넣기 작업 허용**을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**끌어서 놓기 또는 파일 복사 및 붙여넣기 허용**
이 정책 설정은 사용자가 영역 내의 소스에서 파일을 복사하여 붙여넣거나 파일을 끌어다 놓을 수 있는지 여부를 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 사용자가 자동으로 이 영역에서 파일을 끌어다 놓거나 파일을 복사하여 붙여넣을 수 있습니다. 드롭다운 상자에서 **확인**을 선택하면 이 영역에서 파일을 끌어다 놓거나 복사할지 여부를 묻는 메시지가 사용자에게 표시됩니다. 이 정책 설정을 비활성화하면 사용자가 이 영역에서 파일을 끌어다 놓거나 파일을 복사하여 붙여넣을 수 없습니다.
이 정책 설정을 구성하지 않으면 이 영역에서 파일을 끌어다 놓거나 복사할지 여부를 묻는 메시지가 사용자에게 표시됩니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **끌어서 놓기 또는 파일 복사 및 붙여넣기 허용** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**파일 다운로드 허용**
이 정책 설정은 영역에서 파일 다운로드를 허용할지 여부를 관리하는 데 사용됩니다. 이 옵션은 제공된 파일이 원래 있던 영역이 아니라 다운로드를 시작한 링크가 있는 페이지의 영역에 따라 결정됩니다. 이 정책 설정을 활성화하면 영역에서 파일을 다운로드할 수 있습니다. 이 정책 설정을 비활성화하면 영역에서 파일을 다운로드할 수 없습니다. 이 정책 설정을 구성하지 않으면 영역에서 파일을 다운로드할 수 없습니다.
**제한된 사이트 영역**에 대해 SSLF 환경에서는 **파일 다운로드 허용** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**글꼴 다운로드 허용**
이 정책 설정은 영역의 페이지에서 HTML 글꼴을 다운로드할 수 있는지 여부를 관리하는 데 사용됩니다.
이 정책 설정을 활성화하면 HTML 글꼴을 자동으로 다운로드할 수 있습니다. 이 정책 설정을 활성화하고 드롭다운 상자에서 확인을 선택하면 HTML 글꼴을 다운로드하도록 허용할지 묻는 메시지가 사용자에게 표시됩니다. 이 정책 설정을 비활성화하면 HTML 글꼴이 다운로드되지 않습니다. 이 정책 설정을 구성하지 않으면 HTML 글꼴을 다운로드하도록 허용할지 묻는 메시지가 사용자에게 표시됩니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **글꼴 다운로드 허용** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**바탕 화면 항목 설치 허용**
이 정책 설정은 사용자가 이 영역에서 Active Desktop 항목을 설치할 수 있도록 할지 여부를 관리하는 데 사용됩니다. 이 옵션의 설정은 다음과 같습니다.
**사용** 사용자가 이 영역에서 바탕 화면 항목을 자동으로 설치할 수 있습니다.
**확인** 이 영역에서 바탕 화면 항목을 설치할지 묻는 메시지가 사용자에게 표시됩니다.
**사용 안 함** 사용자가 이 영역에서 바탕 화면 항목을 설치할 수 없습니다.
이 정책 설정을 구성하지 않으면 사용자가 이 영역에서 바탕 화면 항목을 설치할 수 없습니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **바탕 화면 항목 설치 허용** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**META REFRESH 허용**
이 정책 설정은 웹 페이지의 작성자가 **메타 새로 고침** 설정을 사용하여 브라우저를 다른 웹 페이지로 리디렉션하도록 지정한 경우 사용자의 브라우저가 다른 웹 페이지로 리디렉션되도록 허용할지 여부를 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 사용자의 브라우저에서 활성화된 **메타 새로 고침** 설정이 포함된 페이지를 로드하는 경우 이 브라우저를 다른 웹 페이지로 리디렉션할 수 있습니다. 이 정책 설정을 비활성화하면 사용자의 브라우저에서 활성화된 **메타 새로 고침** 설정이 포함된 페이지를 로드하더라도 이 브라우저를 다른 웹 페이지로 리디렉션할 수 없습니다. 이 정책 설정을 구성하지 않으면 사용자의 브라우저에서 활성화된 **메타 새로 고침** 설정이 포함된 페이지를 로드하더라도 이 브라우저를 다른 웹 페이지로 리디렉션할 수 없습니다.
**제한된 사이트 영역**에 대해 SSLF 환경에서는 **META REFRESH 허용** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**크기 및 위치 제한 없이 스크립트 실행 창을 열 수 있습니다.**
이 정책 설정은 스크립트를 통해 열린 팝업 창과 제목 및 상태 표시줄이 포함된 창에 대한 제한 사항을 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 **Windows 제한** 보안이 이 영역에 적용되지 않습니다. 이 경우 이 기능을 통해 제공되는 추가 보안 계층 없이 보안 영역이 실행됩니다. 이 정책 설정을 비활성화하면 스크립트를 통해 열린 팝업 창과 제목 및 상태 표시줄이 있는 창에 포함되어 있을 수 있는 위험한 기능이 실행되지 않습니다. 이 Internet Explorer 보안 기능은 프로세스에 대한 **스크립트 기반의 Windows 보안 제한** 기능 조절에서 설정한 대로 이 영역에 적용됩니다. 이 정책 설정을 구성하지 않으면 스크립트를 통해 열린 팝업 창과 제목 및 상태 표시줄이 있는 창에 포함되어 있을 수 있는 위험한 기능이 실행되지 않습니다. 이 Internet Explorer 보안 기능은 프로세스에 대한 **스크립트 기반의 Windows 보안 제한** 기능 조절에서 설정한 대로 이 영역에 적용됩니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **크기 및 위치 제한 없이 스크립트 실행 창을 열 수 있습니다.** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**스크립트를 통해 상태 표시줄 업데이트 허용**
이 정책 설정은 영역 내에서 스크립트를 통해 상태 표시줄을 업데이트할 수 있도록 허용할지 여부를 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 스크립트를 통해 상태 표시줄을 업데이트할 수 있습니다. 이 정책 설정을 비활성화하면 스크립트를 통해 상태 표시줄을 업데이트할 수 없습니다. 이 정책 설정을 구성하지 않으면 스크립트를 통해 상태 표시줄을 업데이트할 수 없습니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **스크립트를 통해 상태 표시줄 업데이트 허용** 설정을 **사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**파일 다운로드 시 자동으로 사용자에게 묻음**
이 정책 설정은 사용자가 시작하지 않은 파일 다운로드를 진행할지 묻는 메시지를 사용자에게 표시할지 여부를 결정합니다. 사용자가 시작한 다운로드에 대해서는 이 설정과 상관없이 파일 다운로드 대화 상자가 표시됩니다. 이 설정을 활성화하면 자동 다운로드 시도와 관련된 파일 다운로드 대화 상자가 열립니다.
**알림 표시줄**이 나타납니다. 사용자는 이 **알림 표시줄**을 클릭하여 파일 다운로드를 허용할 수 있습니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **파일 다운로드 시 자동으로 사용자에게 묻음** 설정을 **사용:사용**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**서명된 ActiveX 컨트롤 다운로드**
이 정책 설정은 영역의 페이지에서 서명된 ActiveX 컨트롤을 사용자가 다운로드할 수 있도록 허용할지 여부를 관리하는 데 사용됩니다. 이 정책을 활성화하면 사용자의 별도 개입 없이도 서명된 컨트롤을 다운로드할 수 있습니다. 드롭다운 상자에서 **확인**을 선택하면 컨트롤을 서명한 게시자를 신뢰할 수 없는 경우 해당 컨트롤을 다운로드할지 묻는 메시지가 사용자에게 표시됩니다. 신뢰할 수 있는 게시자가 서명한 코드는 자동으로 다운로드됩니다. 이 정책 설정을 **사용 안 함**으로 구성하면 서명된 컨트롤도 다운로드할 수 없습니다.
이 정책 설정을 구성하지 않으면 컨트롤을 서명한 게시자를 신뢰할 수 없는 경우 해당 컨트롤을 다운로드할지 묻는 메시지가 사용자에게 표시됩니다. 신뢰할 수 있는 게시자가 서명한 코드는 자동으로 다운로드됩니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **서명된 ActiveX 컨트롤 다운로드** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**서명 안 된 ActiveX 컨트롤 다운로드**
이 정책 설정은 영역에서 서명되지 않은 ActiveX 컨트롤을 사용자가 다운로드할 수 있도록 허용할지 여부를 관리하는 데 사용됩니다. 이러한 코드는 위험할 수 있으며, 특히 그 출처가 신뢰할 수 없는 영역인 경우 위험성이 더 높습니다.
이 정책 설정을 활성화하면 사용자의 별도 개입 없이도 서명되지 않은 컨트롤을 실행할 수 있습니다. 드롭다운 상자에서 **확인**을 선택하면 서명되지 않은 컨트롤을 실행하도록 허용할지 묻는 메시지가 사용자에게 표시됩니다. 이 정책 설정을 비활성화하면 서명되지 않은 컨트롤을 실행할 수 없습니다. 이 정책 설정을 구성하지 않으면 서명되지 않은 컨트롤을 실행할 수 없습니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **서명 안 된 ActiveX 컨트롤 다운로드** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**스크립팅하기 안전하지 않는 것으로 표시된 ActiveX 컨트롤 초기화 및 스크립팅**
이 정책 설정을 사용하면 안전한 것으로 표시되지 않은 ActiveX 컨트롤을 관리할 수 있습니다. 이 정책 설정을 활성화하면 신뢰할 수 없는 데이터 또는 스크립트에 대한 개체 안전도를 설정하지 않은 채 ActiveX 컨트롤을 실행하고, 매개 변수와 함께 로드하고, 스크립팅할 수 있습니다. 보안이 확실하고 잘 관리되는 영역을 제외하고는 이 설정을 사용하지 않는 것이 좋습니다. 이 설정을 사용하면 **스크립팅하기 안전한 것으로 표시된 ActiveX 컨트롤 스크립팅** 옵션을 무시한 채 안전하지 않은 컨트롤과 안전한 컨트롤이 모두 초기화되고 스크립팅됩니다.
**확인**을 선택하면 매개 변수를 사용하여 컨트롤을 로드하거나 컨트롤을 스크립팅할지 묻는 메시지가 사용자에게 표시됩니다.
이 정책 설정을 비활성화하면 안전하게 만들 수 없는 ActiveX 컨트롤이 매개 변수와 함께 로드되지도 않고 스크립팅되지도 않습니다. 이 정책 설정을 구성하지 않으면 안전하게 만들 수 없는 ActiveX 컨트롤이 매개 변수와 함께 로드되지도 않고 스크립팅되지도 않습니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **스크립팅하기 안전하지 않는 것으로 표시된 ActiveX 컨트롤 초기화 및 스크립팅** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**Java 사용 권한**
이 정책 설정을 사용하면 Java 애플릿에 대한 사용 권한을 관리할 수 있습니다. 이 정책 설정을 활성화하면 드롭다운 상자에서 다음 옵션을 선택할 수 있습니다. **사용자 지정** - 사용 권한 설정을 개별적으로 제어합니다. **낮음** - 애플릿에서 모든 작업을 수행할 수 있습니다**. 보통** - 애플릿을 샌드박스(sandbox)에서 실행할 수 있고 스크래치 공간 및 사용자 제어 파일 I/O 같은 기능을 수행할 수 있습니다. 샌드박스(sandbox)는 프로그램에서 호출을 위해 벗어날 수 없는 메모리 영역을 의미하며, 스크래치 공간은 클라이언트 컴퓨터의 안전하고 보호된 저장 영역을 가리킵니다. **높음** - 애플릿을 샌드박스에서 실행할 수 있습니다. Java 사용 안 함 - 어떠한 애플릿도 실행되지 않습니다. 이 정책 설정을 비활성화하면 Java 애플릿을 실행할 수 없습니다. 이 정책 설정을 구성하지 않으면 사용 권한이 **높음**으로 설정됩니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **Java 사용 권한** 설정을 **사용:Java 사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**IFRAME에서 응용 프로그램 및 파일 실행**
이 정책 설정은 이 영역에서 페이지의 HTML에 있는 IFRAME 참조를 통해 파일을 다운로드하고 응용 프로그램을 실행할 수 있는지 여부를 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 사용자의 별도 개입 없이도 이 영역에서 페이지의 IFRAME을 통해 파일을 다운로드하고 응용 프로그램을 실행할 수 있습니다. 드롭다운 상자에서 **확인**을 선택하면 이 영역에서 페이지의 IFRAME을 통해 파일을 다운로드하고 응용 프로그램을 실행할지 묻는 메시지가 사용자에게 표시됩니다.
이 정책 설정을 비활성화하면 사용자가 이 영역에서 페이지의 IFRAME을 통해 파일을 다운로드하거나 응용 프로그램을 실행할 수 없습니다. 이 정책 설정을 구성하지 않으면 이 영역에서 페이지의 IFRAME을 통해 파일을 다운로드하고 응용 프로그램을 실행할지 묻는 메시지가 사용자에게 표시됩니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **IFRAME에서 응용 프로그램 및 파일 실행** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**로그온 옵션**
이 정책 설정을 사용하면 로그온 옵션에 대한 설정을 관리할 수 있습니다. 이 정책 설정을 활성화하면 다음과 같은 로그온 옵션을 선택할 수 있습니다.
**익명** **로그온** - HTTP 인증을 비활성화하고 CIFS(Common Internet File System) 프로토콜에 대해 게스트 계정만 사용합니다.
**사용자 이름 및 암호 확인** - 사용자 ID와 암호를 사용자에게 묻습니다. 사용자가 필요한 정보를 제공하면 세션의 나머지 과정에는 이러한 값이 자동으로 적용됩니다.
**인트라넷 영역에서만 자동으로 로그온** - 다른 영역에서는 사용자 ID와 암호를 사용자에게 묻습니다. 사용자가 필요한 정보를 제공하면 세션의 나머지 과정에는 이러한 값이 자동으로 적용됩니다.
**현재 사용자 이름 및 암호를 사용하여 자동으로 로그온** - 로그온에 NTLM 인증이라고도 하는 Windows NT Challenge Response를 사용합니다. 서버에서 Windows NT Challenge Response를 지원하면 로그온에 사용자의 네트워크 사용자 이름과 암호가 사용됩니다. 서버에서 Windows NT Challenge Response를 지원하지 않으면 사용자 이름과 암호를 입력하라는 메시지가 사용자에게 표시됩니다.
**인트라넷 영역에서만 자동으로 로그온**으로 설정됩니다. 이 정책 설정을 구성하지 않으면 로그온이 **인트라넷 영역에서만 자동으로 로그온**으로 설정됩니다.
SSLF 환경에서는 **로그온 옵션** 설정을 **인터넷 영역**에 대해 **사용:사용자 이름 및 암호 확인**으로, **제한된 사이트 영역** 에 대해 **사용:익명 로그온**으로 구성합니다.EC 환경에서는 **인터넷 영역**과 **제한된 사이트 영역** 모두 이를 **구성되지 않음**으로 설정합니다.
**다른 도메인 간의 하위 프레임 탐색**
이 정책 설정은 서로 다른 도메인 사이에서 하위 프레임 열기와 응용 프로그램 액세스를 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 사용자가 다른 도메인의 하위 프레임을 열고 다른 도메인의 응용 프로그램에 액세스할 수 있습니다. 드롭다운 상자에서 **확인**을 선택하면 다른 도메인의 응용 프로그램에 액세스하고 하위 프레임을 허용할지 묻는 메시지가 사용자에게 표시됩니다.
이 정책 설정을 비활성화하면 사용자가 다른 도메인의 응용 프로그램에 액세스하거나 하위 프레임을 열 수 없습니다. 이 정책 설정을 구성하지 않으면 사용자가 다른 도메인의 하위 프레임을 열고 다른 도메인의 응용 프로그램에 액세스할 수 있습니다.
SSLF 환경에서는 **다른 도메인 간의 하위 프레임 탐색** 설정을 **인터넷 영역**에 대해 **사용 안 함**으로, **제한된 사이트 영역** 에 대해 **사용:사용 안 함**으로 구성합니다.EC 환경에서는 **인터넷 영역**과 **제한된 사이트 영역** 모두 이를 **구성되지 않음**으로 설정합니다.
**파일 확장명이 아닌 내용을 기반으로 파일 열기**
이 정책 설정은 Mime 검색을 기반으로 파일을 한 형식에서 다른 형식으로 승격하기 위한 Mime 검색을 관리하는 데 사용됩니다. Mime 검색은 비트 서명을 기준으로 파일 형식을 인식할 수 있는 Internet Explorer의 기능입니다. 이 정책 설정을 활성화하면 **Mime 검색 안전 기능**이 이 영역에 적용됩니다. 보안 영역은 이 기능을 통해 제공되는 추가 보안 계층 없이 실행됩니다. 이 정책 설정을 비활성화하면 위험 요소를 안고 있는 기능이 실행되지 않습니다. 이 Internet Explorer 보안 기능은 프로세스에 대한 기능 조절에서 설정한 대로 이 영역에 적용됩니다. 이 정책 설정을 구성하지 않으면 **Mime 검색 안전 기능**이 이 영역에 적용되지 않습니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **파일 확장명이 아닌내용을 기반으로 파일 열기** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**Authenticode로 서명되지 않은 .NET Framework 기반 구성 요소를 실행**
이 정책 설정은 Authenticode®로 서명되지 않은 .NET Framework 구성 요소를 Internet Explorer에서 실행할 수 있도록 허용할지 여부를 관리하는 데 사용됩니다. 이러한 구성 요소에는 링크를 통해 참조되는 관리되는 실행 파일과 개체 태그를 통해 참조되는 관리되는 컨트롤이 포함됩니다.
이 정책 설정을 활성화하면 Internet Explorer에서 서명되지 않은 관리되는 구성 요소를 실행합니다. 드롭다운 상자에서 **확인**을 선택하면 Internet Explorer에서 서명되지 않은 관리되는 구성 요소를 실행할지 묻는 메시지가 사용자에게 표시됩니다. 이 정책 설정을 비활성화하면 Internet Explorer에서 서명되지 않은 관리되는 구성 요소를 실행하지 않습니다. 이 정책 설정을 구성하지 않으면 Internet Explorer에서 서명되지 않은 관리되는 구성 요소를 실행하지 않습니다.
**제한된 사이트 영역**에 대해 SSLF 환경에서는 **Authenticode로 서명되지 않은 .NET Framework 기반 구성 요소를 실행** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**Authenticode로 서명된 .NET Framework 기반 구성 요소를 실행**
이 정책 설정은 Authenticode로 서명된 .NET Framework 구성 요소를 Internet Explorer에서 실행할 수 있도록 허용할지 여부를 관리하는 데 사용됩니다. 이러한 구성 요소에는 링크를 통해 참조되는 관리되는 실행 파일과 개체 태그를 통해 참조되는 관리되는 컨트롤이 포함됩니다.
이 정책 설정을 활성화하면 Internet Explorer에서 서명된 관리되는 구성 요소를 실행합니다. 드롭다운 상자에서 **확인**을 선택하면 Internet Explorer에서 서명된 관리되는 구성 요소를 실행할지 묻는 메시지가 사용자에게 표시됩니다. 이 정책 설정을 비활성화하면 Internet Explorer에서 서명된 관리되는 구성 요소를 실행하지 않습니다. 이 정책 설정을 구성하지 않으면 Internet Explorer에서 서명된 관리되는 구성 요소를 실행하지 않습니다.
**제한된 사이트 영역**에 대해 SSLF 환경에서는 **Authenticode로 서명된 .NET Framework 기반 구성 요소를 실행** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**ActiveX 컨트롤 및 플러그 인 실행**
이 정책 설정은 지정된 영역의 페이지에서 ActiveX 컨트롤과 플러그 인을 실행할 수 있는지 여부를 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 사용자의 별도 개입 없이도 컨트롤과 플러그 인을 실행할 수 있습니다. 드롭다운 상자에서 **확인**을 선택하면 컨트롤과 플러그 인을 실행하도록 허용할지 묻는 메시지가 사용자에게 표시됩니다. 이 정책 설정을 비활성화하면 컨트롤과 플러그 인이 실행되지 않습니다. 이 정책 설정을 구성하지 않으면 컨트롤과 플러그 인이 실행되지 않습니다.
**제한된 사이트 영역**에 대해 SSLF 환경에서는 **ActiveX 컨트롤 및 플러그 인 실행** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**스크립팅하기 안전한 것으로 표시된 ActiveX 컨트롤 스크립팅**
이 정책 설정은 안전한 것으로 표시된 ActiveX 컨트롤을 스크립팅하여 스크립트를 통해 다룰 수 있도록 허용할지 여부를 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 사용자의 별도 개입 없이도 스크립트 상호 작용이 자동으로 이루어집니다. 드롭다운 상자에서 **확인**을 선택하면 스크립트 상호 작용을 허용할지 묻는 메시지가 사용자에게 표시됩니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 스크립트 상호 작용이 발생하지 않습니다.
**제한된 사이트 영역**에 대해 SSLF 환경에서는 **스크립팅하기 안전한 것으로 표시된 ActiveX 컨트롤 스크립팅** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**Java 애플릿 스크립팅**
이 정책 설정은 영역 내에서 애플릿을 스크립트에 노출할지 여부를 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 사용자의 별도 개입 없이도 스크립트에서 애플릿에 자동으로 액세스할 수 있습니다. 드롭다운 상자에서 **확인**을 선택하면 스크립트에서 애플릿에 액세스할 수 있도록 허용할지 묻는 메시지가 사용자에게 표시됩니다. 이 정책 설정을 비활성화하거나 구성하지 않으면 스크립트에서 애플릿에 액세스할 수 없습니다.
**제한된 사이트 영역**에 대해 SSLF 환경에서는 **Java 애플릿 스크립팅** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**소프트웨어 채널 사용 권한**
이 정책 설정을 사용하면 소프트웨어 채널 사용 권한을 관리할 수 있습니다. 이 정책 설정을 활성화하면 드롭다운 상자에서 다음 옵션을 선택할 수 있습니다.
**낮음** - 소프트웨어 업데이트가 있음을 사용자에게 전자 메일로 알리고, 사용자의 컴퓨터로 소프트웨어 패키지를 자동 다운로드하고, 사용자의 컴퓨터에 소프트웨어 패키지를 자동으로 설치합니다.
**보통** - 소프트웨어 업데이트가 있음을 사용자에게 전자 메일로 알리고, 사용자의 컴퓨터로 소프트웨어 패키지를 자동 다운로드합니다. 소프트웨어 패키지를 자동으로 설치하지는 않습니다.
**높음** - 소프트웨어 업데이트가 있음을 사용자에게 전자 메일로 알리지도 않고, 사용자의 컴퓨터로 소프트웨어 패키지를 자동 다운로드하거나 설치하지 않습니다.
**높음**으로 설정됩니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **소프트웨어 채널 사용 권한** 설정을 **사용:높음**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**팝업 차단 사용**
이 정책 설정을 사용하면 원하지 않는 팝업 창의 표시 여부를 관리할 수 있습니다. 최종 사용자가 링크를 클릭할 때 열리는 팝업 창은 차단되지 않습니다. 이 정책 설정을 활성화하면 인터넷을 탐색할 때 일방적으로 열리는 수많은 팝업 창이 표시되지 않습니다. 이 정책 설정을 비활성화하면 팝업 창이 차단되지 않습니다. 이 정책 설정을 구성하지 않으면 인터넷을 탐색할 때 일방적으로 열리는 수많은 팝업 창이 표시되지 않습니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **팝업 차단 사용** 설정을 **사용:사용**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
**낮은 권한의 웹 컨텐트 영역에 있는 웹 사이트는 이 영역을 탐색할 수 있음**
이 정책 설정은 **제한된 사이트** 같이 권한이 낮은 영역의 웹 사이트에서 이 영역을 탐색할 수 있도록 허용할지 여부를 관리하는 데 사용됩니다. 이 정책 설정을 활성화하면 권한이 낮은 영역의 웹 사이트에서 이 영역에 새 창을 열거나 이 영역을 탐색할 수 있습니다. 보안 영역은 **영역 수준에 따른 보호** 보안 기능을 통해 제공되는 추가 보안 계층 없이 실행됩니다. 드롭다운 상자에서 **확인**을 선택하면 위험할 수도 있는 탐색을 수행하려 한다는 경고 메시지가 사용자에게 표시됩니다.
이 정책 설정을 비활성화하면 위험할 수도 있는 탐색이 차단됩니다. Internet Explorer 보안 기능은 **영역 수준에 따른 보호** 기능 조절을 통해 설정된 대로 이 영역에 적용됩니다. 이 정책 설정을 구성하지 않으면 권한이 낮은 영역의 웹 사이트에서 이 영역에 새 창을 열거나 이 영역을 탐색할 수 있습니다.
**인터넷 영역**과 **제한된 사이트 영역** 모두 SSLF 환경에서는 **낮은 권한의 웹 컨텐트 영역에 있는 웹 사이트는 이 영역을 탐색할 수 있음** 설정을 **사용:사용 안 함**으로, EC 환경에서는 **구성되지 않음**으로 구성합니다.
###### 오프라인 페이지
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 사용자 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\Windows 구성 요소**
**\\Internet Explorer\\오프라인 페이지**
다음 표에는 Internet Explorer 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**참고 **Internet Explorer 7에는 이러한 설정이 적용되지 않습니다. 이들 설정은 EC 환경에 대해서만 구성됩니다. 이 환경에는 Windows XP와 Internet Explorer 6.0을 사용하는 컴퓨터가 포함될 수 있기 때문입니다.
**표 A71. 오프라인 페이지 설정 권장 사항**
설정
EC 사용자
SSLF 사용자
채널 추가할 수 없음
사용
구성되지 않음
오프라인 페이지에 대한 예약 추가할 수 없음
사용
구성되지 않음
예약된 모든 오프라인 페이지 사용 안 함
사용
구성되지 않음
채널 사용자 인터페이스 완전히 비활성화
사용
구성되지 않음
사이트 가입 내용 다운로드 안 함
사용
구성되지 않음
예약 그룹 편집/만들기 안 함
사용
구성되지 않음
오프라인 페이지에 대한 예약 편집할 수 없음
사용
구성되지 않음
오프라인 페이지 적중 횟수 로깅 사용 안 함
사용
구성되지 않음
채널 제거할 수 없음
사용
구성되지 않음
오프라인 페이지에 대한 예약 제거할 수 없음
사용
구성되지 않음
**채널 추가할 수 없음**
이 정책 설정은 사용자가 Internet Explorer에 채널을 추가할 수 없도록 합니다. 채널은 Internet Explorer가 실행되는 컴퓨터에서 자동으로 업데이트되는 웹 사이트이며 업데이트 일정은 채널 공급자가 지정합니다. 이 정책 설정은 콘텐츠를 자동으로 다운로드하는 Internet Explorer의 기능을 차단하는 몇 가지 설정 중 하나입니다. 사용자가 컴퓨터에서 직접 요청하는 경우에만 페이지를 인터넷에서 컴퓨터로 다운로드하는 것이 가장 좋습니다.
따라서 EC 환경에서는 **채널 추가할 수 없음** 설정을 **사용**으로, SSLF 환경에서는 **구성되지 않음**으로 구성합니다.
**오프라인 페이지에 대한 예약 추가할 수 없음**
이 정책 설정은 사용자가 웹 페이지를 다운로드하여 오프라인 상태에서 볼 수 없도록 합니다. 이 기능을 사용하면 컴퓨터가 인터넷에 연결되어 있지 않을 때 웹 페이지를 볼 수 있습니다.
EC 환경에서는 **오프라인 페이지에 대한 예약 추가할 수 없음** 설정을 **사용**으로, SSLF 환경에서는 **구성되지 않음**으로 구성합니다.
**예약된 모든 오프라인 페이지 사용 안 함**
이 정책 설정은 웹 페이지를 오프라인 상태에서 보기 위해 다운로드하도록 설정된 기존의 모든 일정을 비활성화합니다. 이 정책을 활성화하면 **웹 페이지 속성** 대화 상자의 **일정** 탭에 있는 일정 확인란의 선택이 취소되며 사용자는 해당 확인란을 선택할 수 없습니다. 이 탭을 표시하려면 **도구** 메뉴, **동기화**를 차례로 클릭하고 웹 페이지를 선택한 후 **속성** 단추를 클릭한 다음 **일정** 탭을 클릭합니다. 이 정책 설정은 콘텐츠를 자동으로 다운로드하는 Internet Explorer의 기능을 차단하는 몇 가지 설정 중 하나입니다.
EC 환경에서는 **예약된 모든 오프라인 페이지 사용 안 함** 설정을 **사용**으로, SSLF 환경에서는 **구성되지 않음**으로 구성합니다.
**채널 사용자 인터페이스 완전히 비활성화**
이 정책 설정을 사용하면 채널 모음 인터페이스가 표시되지 않습니다. 채널은 컴퓨터에서 자동으로 업데이트되는 웹 사이트이며 일정은 채널 공급자가 지정합니다. 이 정책 설정을 활성화하면 사용자는 채널 모음 인터페이스에 액세스하여 **속성 표시** 대화 상자의 **웹** 탭에 있는 **Internet Explorer 채널 모음** 확인란을 선택할 수 없습니다. 이 정책 설정은 콘텐츠를 자동으로 다운로드하는 Internet Explorer의 기능을 차단하는 몇 가지 설정 중 하나입니다.
EC 환경에서는 **채널 사용자 인터페이스 완전히 비활성화** 설정을 **사용**으로, SSLF 환경에서는 **구성되지 않음**으로 구성합니다.
**사이트 가입 내용 다운로드 안 함**
이 정책 설정을 사용하면 사용자는 웹 사이트에서 가입 콘텐츠를 다운로드할 수 없습니다. 사용자가 콘텐츠 업데이트 여부를 확인하기 위해 이전에 액세스했던 페이지로 돌아갈 경우 웹 페이지 콘텐츠는 계속 동기화됩니다. 이 정책 설정은 콘텐츠를 자동으로 다운로드하는 Internet Explorer의 기능을 차단하는 몇 가지 설정 중 하나입니다.
EC 환경에서는 **사이트 가입 내용 다운로드 안 함** 설정을 **사용**으로, SSLF 환경에서는 **구성되지 않음**으로 구성합니다.
**예약 그룹 편집/만들기 안 함**
이 정책 설정을 사용하면 사용자는 예약한 웹 페이지 및 웹 페이지 그룹을 오프라인으로 보는 동안 해당 일정을 추가, 편집 또는 제거할 수 없습니다. 예약 그룹은 즐겨 찾는 웹 페이지와 여기에 링크되어 있는 웹 페이지를 나타냅니다. 이 정책을 활성화하면 **웹 페이지 속성** 대화 상자의 **일정** 탭에서 **추가**, **제거** 및 **편집** 단추가 흐리게 표시됩니다. 이 탭을 표시하려면 Internet Explorer에서 **도구**, **동기화**를 차례로 클릭한 후 웹 페이지를 선택하고 **속성** 단추를 클릭한 다음 **일정** 탭을 클릭합니다. 이 정책 설정은 콘텐츠를 자동으로 다운로드하는 Internet Explorer의 기능을 차단하는 몇 가지 설정 중 하나입니다.
따라서 EC 환경에서는 **예약 그룹 편집/만들기 안 함** 설정을 **사용**으로, SSLF 환경에서는 **구성되지 않음**으로 구성합니다.
**오프라인 페이지에 대한 예약 편집할 수 없음**
이 정책 설정을 사용하면 사용자는 웹 페이지를 오프라인으로 보기 위해 다운로드하도록 설정된 기존 일정을 편집할 수 없습니다. 이 정책을 활성화하면 오프라인으로 볼 수 있게 설정된 페이지의 일정 속성을 표시할 수 없습니다. 사용자가 Internet Explorer에서 **도구**, **동기화**를 차례로 클릭하고 웹 페이지를 선택한 후 **속성** 단추를 클릭해도 아무런 속성이 표시되지 않습니다. 또한 해당 명령을 사용할 수 없다는 메시지도 표시되지 않습니다. 이 정책 설정은 콘텐츠를 자동으로 다운로드하는 Internet Explorer의 기능을 차단하는 몇 가지 설정 중 하나입니다.
EC 환경에서는 **오프라인 페이지에 대한 예약 편집할 수 없음** 설정을 **사용**으로, SSLF 환경에서는 **구성되지 않음**으로 구성합니다.
**오프라인 페이지 적중 횟수 로깅 사용 안 함**
이 정책 설정을 사용하면 채널 공급자는 사용자가 오프라인 상태에서 채널 페이지를 보는 빈도를 기록할 수 없습니다. 이 정책 설정은 콘텐츠를 자동으로 다운로드하는 Internet Explorer의 기능을 차단하는 몇 가지 설정 중 하나입니다.
EC 환경에서는 **오프라인 페이지 적중 횟수 로깅 사용 안 함** 설정을 **사용**으로, SSLF 환경에서는 **구성되지 않음**으로 구성합니다.
**채널 제거할 수 없음**
이 정책 설정을 사용하면 사용자는 Internet Explorer에서 채널 동기화를 비활성화할 수 없습니다. 사용자가 컴퓨터에서 직접 요청하는 경우에만 페이지를 인터넷에서 컴퓨터로 다운로드하는 것이 가장 좋습니다.
따라서 EC 환경에서는 **채널 제거할 수 없음** 설정을 **사용**으로, SSLF 환경에서는 **구성되지 않음**으로 구성합니다.
**오프라인 페이지에 대한 예약 제거할 수 없음**
이 정책 설정을 사용하면 사용자는 오프라인으로 보기 위해 다운로드하는 웹 페이지에 대한 미리 구성된 설정을 제거할 수 없습니다. 이 정책 설정을 활성화하면 미리 구성한 웹 페이지 설정이 보호됩니다. 이 정책 설정은 콘텐츠를 자동으로 다운로드하는 Internet Explorer의 기능을 차단하는 몇 가지 설정 중 하나입니다.
EC 환경에서는 **오프라인 페이지에 대한 예약 제거할 수 없음** 설정을 **사용**으로, SSLF 환경에서는 **구성되지 않음**으로 구성합니다.
###### Windows 탐색기
Windows 탐색기는 Windows Vista가 실행되는 클라이언트 컴퓨터에서 파일 시스템을 탐색하는 데 사용됩니다.
그룹 정책 개체 편집기의 다음 위치에서 이 규범적 사용자 설정을 구성할 수 있습니다.
**사용자 구성\\관리 템플릿\\Windows 구성 요소**
**\\Windows 탐색기**
다음 표에는 Windows 탐색기 사용자 구성에 대한 권장 설정이 간략하게 정리되어 있습니다. 각 설정에 대한 자세한 내용은 표 다음에 나오는 하위 섹션을 참조하십시오.
**표 A72. Windows 탐색기 사용자 구성 설정 권장 사항**
설정
EC 컴퓨터
SSLF 컴퓨터
CD 굽기 기능 제거
구성되지 않음
사용
보안 탭 제거
구성되지 않음
사용
**CD 굽기 기능 제거**
이 정책 설정은 Windows 탐색기에서 CD를 구울 수 있도록 기본 제공된 Windows Vista 기능을 제거합니다. Windows Vista에서는 컴퓨터에 읽기/쓰기 CD 드라이브가 연결된 경우 다시 작성할 수 있는 CD를 만들고 수정할 수 있습니다. 이 기능을 사용하면 하드 드라이브에 있는 대량의 데이터를 CD로 복사한 후 컴퓨터에서 제거할 수 있습니다.
EC 환경에서는 **CD 굽기 기능 제거** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
**참고** 이 정책 설정 사용해도 CD 기록기를 사용하는 타사 응용 프로그램으로 CD를 수정하거나 만드는 작업은 막지 못합니다. 타사 응용 프로그램을 통한 CD 만들기나 수정은 소프트웨어 제한 정책을 사용하여 차단하는 것이 좋습니다.
또한 작업 환경의 클라이언트 컴퓨터에서 CD 기록기를 제거하거나 읽기 전용 CD 드라이브로 바꾸어 CD를 굽지 못하게 할 수도 있습니다.
**보안 탭 제거**
이 정책 설정은 Windows 탐색기의 파일 및 폴더 대화 상자에 있는 **보안** 탭을 사용할 수 없게 만듭니다. 이 정책 설정을 활성화하면 사용자는 폴더, 파일, 바로 가기 및 드라이브를 비롯한 모든 파일 시스템 개체의 **속성** 대화 상자에서 **보안** 탭에 액세스할 수 없습니다. **보안** 탭에 액세스할 수 없으므로 설정을 변경하거나 사용자 목록을 볼 수도 없습니다.
따라서 EC 환경에서는 **보안 탭 제거** 설정을 **구성되지 않음**으로, SSLF 환경에서는 **사용**으로 구성합니다.
[](#mainsection)[페이지 위쪽](#mainsection)
### 추가 정보
다음 링크에서는 이 Windows Vista 가이드에 나와 있는 개념과 보안 조치에 대한 자세한 설명 및 보안 항목에 대한 추가 정보를 제공합니다.
- "[Configuring a Computer for Windows Firewall Troubleshooting (영문)](https://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/operations/bfdeda55-46fc-4b53-b4cd-c71838ef4b41.mspx)" (Microsoft TechNet®)
- "[HOW TO: Hide a Windows 2000-Based Computer from the Browser List](https://support.microsoft.com/default.aspx?scid=321710)"(기술 자료 문서 321710)
- "[Windows Server 2003에서 필요한 경우를 제외하고 사용자가 암호를 변경하지 못하게 하는 방법](https://support.microsoft.com/default.aspx?scid=324744)" (기술 자료 문서 324744)
- "[HOW TO: Prevent Users from Changing a Password Except When Required in Windows 2000](https://support.microsoft.com/default.aspx?scid=309799)" (기술 자료 문서 309799)
- "[Windows XP에서 자동 로그온을 설정하는 방법](https://support.microsoft.com/default.aspx?scid=315231)" (기술 자료 문서 315231)
- "[그룹 정책을 사용하여 Windows Server 2003 또는 Windows 2000 도메인의 Windows Vista 클라이언트 컴퓨터에 대한 세부 보안 감사 설정을 구성하는 방법](https://support.microsoft.com/kb/921469)" (기술 자료 문서 921469)
- [IIS and Built-in Accounts (IIS 6.0) (영문)](https://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/iis/3648346f-e4f5-474b-86c7-5a86e85fa1ff.mspx) (TechNet)
- "[일부 시나리오에서 IPSec 기본 면제를 사용하여 IPSec 보호를 무시할 수 있다](https://support.microsoft.com/default.aspx?scid=811832)" (기술 자료 문서 811832)
- "[Outlook Web Access and Small Business Server Remote Web Workplace do not function if XP Service Pack 2 Add-on Blocking is enabled via group policy](https://support.microsoft.com/default.aspx?kbid=555235)" (기술 자료 문서 555235)
- "[The Package Installer (Formerly Called Update.exe) for Microsoft Windows Operating Systems and Windows Components (영문)](https://www.microsoft.com/technet/prodtechnol/windowsserver2003/deployment/winupdte.mspx)" (TechNet)
- [*위협 및 대책 (영문)*](https://go.microsoft.com/fwlink/?linkid=15159) 5장, "보안 옵션"
- [Windows 방화벽 (영문)](https://www.microsoft.com/windowsfirewall) (TechNet)
- [Windows Server Update Services 제품 개요](https://www.microsoft.com/korea/windowsserversystem/updateservices/evaluation/overview.mspx) (Microsoft.com)
- [Microsoft 업데이트](https://update.microsoft.com/microsoftupdate) (Microsoft.com)
#### 지원 및 피드백
SASC(Solution Accelerators – Security and Compliance) 팀에서는 이 가이드 및 기타 Solution Accelerator에 대한 여러분의 의견을 기다립니다.
Windows Vista 도움말 및 지원 웹 사이트의 [Discussions in Security (영문)](https://windowshelp.microsoft.com/communities/newsgroups/en-us/default.mspx?dg=microsoft.public.windows.vista.security&lang=en&cr=us&r=9dcac6a3-b8e7-4ba3-aa06-4e38b8ee9f35) 뉴스 그룹에 여러분의 의견을 남겨 주십시오.
또는 다음 전자 메일 주소로 여러분의 의견을 보내 주십시오. [secwish@microsoft.com](mailto:secwish@microsoft.com?subject=windows%20vista%20security%20guide).
Microsoft는 여러분의 의견을 기다리고 있습니다.
[](#mainsection)[페이지 위쪽](#mainsection)
**다운로드**
[Windows Vista 보안 가이드 받기 (영문)](https://go.microsoft.com/fwlink/?linkid=74028)
**업데이트 알림**
[업데이트 및 최신 릴리스 정보 수신 등록 (영문)](https://go.microsoft.com/fwlink/?linkid=54982)
**사용자 의견**
[의견 및 제안 보내기](mailto:secwish@microsoft.com?subject=windows%20vista%20security%20guide)
[](#mainsection)[페이지 위쪽](#mainsection)