현재 위치: WiKi Security Spirit » 보안 하드닝 가이드 » Windows 2003 보안가이드라인

차이

문서의 선택한 두 판 사이의 차이를 보여줍니다.

--- guide:win2003 [2013/07/22 09:40] – [로컬 계정 사용 설정(중요도 : 상)] wiki1122
+++ guide:win2003 [2013/07/22 09:44] – wiki1122
@@ 줄 13: / 줄 13: @@
 나. GUEST 계정 비활성화\\
 다. 사용하는 계정에 대해 "전체이름"또는 "설명" 부분 내용 기입\\
+\\
 === 설정방법 ===
 . Administrators그룹에 관리자 계정인 Administrator 계정 변경\\
@@ 줄 36: / 줄 37: @@
   * net user 명령을 이용하여 현재 사용자 파악
   * net user "제거할 계정명" /delete를 입력하여 삭제
+\\
 === 상세설명 ===
-  - Administrators그룹에 관리자 계정인 Administrator 계정 변경\\ 일반적으로 관리자를 위한 계정과 일반 사용자들을 위한 계정을 분리하여 사용하는 것이 바람직하며 만일 시스템 관리자라면 두 개의 계정을 가지는 것이 좋습니다. 하나는 관리업무를 위한 것이고, 다른 하나는 일반적인 일을 하기 위한 것입니다. 예를 들어 일반사용자 권한으로부터 활성화된 바이러스에 비해 관리자 권한을 가진 계정으로부터 활성화된 바이러스라면 시스템에 훨씬 많은 피해를 줄 수 있습니다.\\ 또한 관리자 계정으로 설정되어 있는 "Administrator" 계정을 다른 이름으로 바꾸고 "Administrator"라는 가짜 계정을 만들어 아무런 권한도 주지 않는 방법을 사용할 수 있는데, 이러한 방법은 "모호함을 통한 보안(Security through obscurity)"의 한 예입니다. 즉 Bogus 계정을 만드는 것입니다. \\ Administrator 계정은 로그온 시 몇 번이고 실패해도 절대 접속을 차단하지 않기 때문에 시스템을 공격하려는 사람들은 이 계정의 패스워드 유추를 계속 시도할 수 있습니다. 따라서 관리자 계정의 이름을 바꿈으로써 공격자는 패스워드뿐만 아니라 계정이름도 유추 하여야 하는 어려움을 줄 수 있습니다.\\ 또 하나의 방법은 보안정책 설정에서 로그온 실패 횟수에 따른 계정 잠금을 설정함으로써 brute force 공격이나 사전공격에 대응할 수 있습니다.\\ Administrator 계정을 관리자 계정이 아닌 일반 계정으로 사용하거나 Administrator 가 아닌 다른 이름의 관리자 계정을 생성해 사용하도록 해야 하며, Administrator 권한을 가지는 유저는 최소한의 숫자로 제한 되어야 합니다. 또한, Password는 최소 8자리 이상으로 숫자와 영어, 특수문자를 혼합하여 사용합니다.
+  - Administrators그룹에 관리자 계정인 Administrator 계정 변경\\ 일반적으로 관리자를 위한 계정과 일반 사용자들을 위한 계정을 분리하여 사용하는 것이 바람직하며 만일 시스템 관리자라면 두 개의 계정을 가지는 것이 좋습니다. 하나는 관리업무를 위한 것이고, 다른 하나는 일반적인 일을 하기 위한 것입니다. 예를 들어 일반사용자 권한으로부터 활성화된 바이러스에 비해 관리자 권한을 가진 계정으로부터 활성화된 바이러스라면 시스템에 훨씬 많은 피해를 줄 수 있습니다.\\ \\ 또한 관리자 계정으로 설정되어 있는 "Administrator" 계정을 다른 이름으로 바꾸고 "Administrator"라는 가짜 계정을 만들어 아무런 권한도 주지 않는 방법을 사용할 수 있는데, 이러한 방법은 "모호함을 통한 보안(Security through obscurity)"의 한 예입니다. 즉 Bogus 계정을 만드는 것입니다. \\ \\ Administrator 계정은 로그온 시 몇 번이고 실패해도 절대 접속을 차단하지 않기 때문에 시스템을 공격하려는 사람들은 이 계정의 패스워드 유추를 계속 시도할 수 있습니다. 따라서 관리자 계정의 이름을 바꿈으로써 공격자는 패스워드뿐만 아니라 계정이름도 유추 하여야 하는 어려움을 줄 수 있습니다.\\ \\ 또 하나의 방법은 보안정책 설정에서 로그온 실패 횟수에 따른 계정 잠금을 설정함으로써 brute force 공격이나 사전공격에 대응할 수 있습니다.\\ \\ Administrator 계정을 관리자 계정이 아닌 일반 계정으로 사용하거나 Administrator 가 아닌 다른 이름의 관리자 계정을 생성해 사용하도록 해야 하며, Administrator 권한을 가지는 유저는 최소한의 숫자로 제한 되어야 합니다. 또한, Password는 최소 8자리 이상으로 숫자와 영어, 특수문자를 혼합하여 사용합니다.
   - GUEST 계정 비활성화\\ 대부분의 시스템은 Guest 계정의 사용을 필요치 않으며 앞으로도 계속 Guest 계정의 사용을 제한해야 하며, 불특정 다수의 접근이 필요할 경우 Guest 가 아닌 일반 사용자 계정을 생성해 사용 하도록 해야 합니다.
   - 사용하는 계정에 대해 "전체이름" 또는 "설명" 부분 내용 기입\\ 퇴직, 전직, 휴직 등의 이유로 더 이상 사용하지 않는 계정, 불필요한 계정, 의심스러운 계정이 있는지 점검 합니다.
@@ 줄 53: / 줄 55: @@
 |   Tbmsadmin     |   tbms 관리자 계정                                  |
-----
-\\
 ==== 계정 잠금 정책 설정(중요도 : 상) ====
 시스템 보안을 위한 계정잠금 설정
-** 기준 **
+=== 기준 ===
 가. 계정 잠금 기간 60분 이상, 계정 잠금 임계값 5번 이하, 계정 잠금 기간 원래대로 설정 60분 이상\\
 \\
 ※ AMS(접근제어관리시스템)에 연동되어 있을 경우(레드아울, Control-SA 등) Active Directory 로 로그인한 경우 예외처리\\
-** 설정방법 **
+=== 설정방법 ===
 시작>설정>제어판>관리도구>로컬 보안 설정>계정정책>계정 잠금 정책> \\
@@ 줄 77: / 줄 77: @@
-** 상세설명 **
+=== 상세설명 ===
 시스템 보안향상을 위해 보안정책 설정에서 로그온 실패 횟수와 시간에 따른 계정 잠금 기간 및 계정 잠금 복귀 시간을 설정함으로써 brute force 공격이나 패스워드 크랙 공격에 대응할 수 있도록 잠금 정책을 점검 합니다.
@@ 줄 93: / 줄 93: @@
 패스워드 추측 공격을 방지하기 위한 사용자 패스워드 정책 설정
-** - 기준 **
+=== 기준 ===
 가. 암호정책 설정\\
@@ 줄 108: / 줄 108: @@
 **※ AMS(접근제어관리시스템)에 연동되어 있을 경우(레드아울, Control-SA 등) Active Directory 로 로그인한 경우 예외처리**\\
 \\
-** - 설정방법 **\\
+=== 설정방법 ===
 \\
 . 암호정책 설정 방법\\
@@ 줄 135: / 줄 135: @@
     *  "root", "rootroot", "root123", "123root", "admin", "admin123", "123admin", "osadmin", "adminos"
-** - 상세설명 **
+=== 상세설명 ===
 패스워드 추측공격을 피하기 위하여 패스워드 최소길이를 설정하고, 패스워드가 임의의 경로를 통해 유출되었을 때, 임의로 접속한 사용자가 언제든 다시 접속할 수 있는 환경을 방지하기 위해 패스워드 날짜 제한을 점검합니다.\\
 더욱 보안을 강화하기 위하여, 각 사용자의 로그온 시간 및 로그온 가능 워크스테이션 정의, 계정 사용기간 정의, RAS(Remote Access Service) 기능 사용시 Call-back 기능 등 대단히 다양한 보안기능을 설정할 수 있으며 사용자 권한 정책의 변화는 사용자가 다음에 로그온 할 때 적용됩니다.
+----
@@ 줄 149: / 줄 150: @@
 IIs 사용시 CMD.EXE 보안 취약점 방지 설정
-** 기준 **
+=== 기준 ===
 가. IIS 서비스가 실행 중이 아니거나, administrators 와 system 그룹만 실행 권한 설정
-** 설정방법 **
+=== 설정방법 ===
   * 탐색기 -> C:\WINDOWS\system32\cmd.exe 파일선택>속성>보안 -> administrators 와 system 이외의 그룹은 제거 권고 ( [보안탭] 이 보이지 않는 경우 폴더 옵션 보기 > 고급설정 에서 "모든 사용자에게 동일한 폴더 공유 권한을 지정(권장)" 을 해지 후 설정)
@@ 줄 160: / 줄 161: @@
-** 상세설명 **
+=== 상세설명 ===
 IIS는 batch파일을 Interpret하기 위해서 자동적으로 cmd를 실행하는데 여기서 요청된 파일의 다른 부분을 이용해 공격자는 '&' 와 같은 Character를 삽입함으로써 원하는 명령을 실행 가능합니다.
@@ 줄 169: / 줄 170: @@
 임의의 사용자 다른 사용자 계정 별 홈 디렉터리 접근제한 설정
-** - 기준 **
+=== 기준 ===
 가. 홈 디렉터리 권한 중 Users:F 또는 Everyone:F  설정 금지
-** - 설정방법 **\\
+=== 설정방법 ===
 사용자 홈 디렉터리 권한 설정
   - 디렉터리 위치
@@ 줄 238: / 줄 239: @@
 {{:ws2003:15.jpg|}}\\
 \\
-** 상세설명 **
+=== 상세설명 ===
 시스템의 기본공유 항목이 제거되지 않게 되면 모든 시스템 자원에 접근할 수 있는 위험한 상황이 발생할 수 있습니다. 최근에 발생한 Nimda 바이러스도 여러 가지 방법 중에서 이러한 공유기능을 침투의 한 경로로 이용한 것입니다.\\
@@ 줄 277: / 줄 278: @@
 보안상 취약한 불필요한 서비스 제거
-** 기준 **
+=== 기준 ===
 가. 불필요한 서비스 제거
@@ 줄 285: / 줄 286: @@
   * Simple TCP/IP Services 사용 안 함(default 미설치)
-** 설정방법 **
+=== 설정방법 ===
 Windows Server 2003은 시작>설정>제어판>관리도구>서비스를 선택하여 속성에서 불필요한 서비스를 중지하고, "시작유형"을 "사용 안 함"으로 수정
@@ 줄 295: / 줄 296: @@
 {{:ws2003:19.jpg|}}\\
-** 상세설명 **
+=== 상세설명 ===
 일반적으로 시스템에는 필요하지 않은 서비스들이 디폴트로 설치되어 실행되고 있습니다. 이러한 서비스들은 해커가 침입할 수 있는 취약점을 드러내게 되는 원인이 될 수 있으며 또한 시스템 자원을 낭비하게 되므로 필요하지 않은 서비스를 중지시켜야 합니다.\\
@@ 줄 409: / 줄 410: @@
     * 시작>제어판>관리도구>서비스>SNMP Service 에서 [시작 유형]을 [사용 안 함]으로 만든 후, SNMP 서비스를 중지
-** 상세설명 **
+=== 상세설명 ===
 SNMP 서비스는 시스템 상태를 실시간으로 파악하거나 설정하기 위하여 사용하는 서비스입니다. 그러나 이 정보를 받기 위한 일종의 패스워드인 Community String이 Default로 public, private로 설정되어 있는 경우가 많으며, 이를 변경하지 않으면 이 String을 악용하여 비인가 사용자가 시스템의 주요 정보 및 설정 상황을 파악 할 수 있는 취약성이 존재합니다.

추적:

차이

검색