[Windows서버] "계정 관리" 취약점 점검

Administrator 계정 이름 변경 또는 보안성 강화 W-01(상)

점검내용) 

윈도우 최상위 관리자 계정인 Administrator의 계정명 변경 또는 보안을 고려한 비밀번호 설정 여부 점검해야한다. 잘 알려진 계정을 통한 악의적인 패스워드 추측 공격을 차단하고자 한다.
보안위협) 

변경하지 않을 경우 패스워드 추측 공격을 통해 사용 권한 상승의 위험이 있으며, 관리자를 유인하여 침입자의 액세스를 허용하는 악성코드를 실행할 우려가 있다. Administrator는 기본적으로 삭제하거나 잠글 수 없어 악의적인 사용자의 목표가 된다.
점검 및 조치사례)
1) 시작> 프로그램> 제어판> 관리도구> 로컬 보안 정책> 로컬 정책> 보안옵션
2) 계정: Administrator 계정 이름 바꾸기""를 유추하기 어려운 계정 이름으로 변경
참고)
* 윈도우 서버는 Administrator 계정을 비활성화 할 수 있으나 안전 모드로 컴퓨터를 시작할 경우 본 계정은 자동으로 활성화 된다.
* 윈도우 관리자 계정의 경우 로그온 실패 횟수에 제한이 없는 특징이 있다.
* 로컬 사용자 그룹=lusrmgr.msc
* 사용자 계졍=netplwiz

 

Guest 계정 비활성화 W-02(상)

점검내용) 

Guest 계정 비활성화하여 불특정 다수의 임시적인 시스템 접근을 차단하기 위해서 점검을 진행한다.
보안위협)

Guest 계정은 SW나 HW 설치, 설치 변경, 암호 만들기 등을 할 수 없고 시스템에 임시로 액세스해야 하는 사용자용 계정으로, 이 계정을 사용하여 권한 없는 사용자가 시스템에 익명으로 액세스할 수 있으므로 비인가자 접근, 정보 유출 등 보안 위협이 따를 수 있다.
점검 및 조치사례)
1) 시작> 프로그램> 관리도구> 도메일 사용자 관리> Guest 계정 선택> 등록정보
2) "계정 사용 안함" Check!

* 윈도우즈 Guest 계정은 삭제가 불가능한 built-in 계정으로 보안 강화 목적으로 반드시 비활성화 처리 하여야 한다.

불필요한 계정 제거 W-03(상)

점검내용) 

시스템 내 불필요한 계정 및 의심스러운 계정의 존재 여부를 점검한다.
보안위협) 

관리되지 않은 불필요한 계정(퇴직, 전직, 휴직 등)이나 의심스러운 계정을 삭제하여, 일반적인 로그인이 필요치 않은 해당 계정들을 통한 로그인을 차단하고 계정의 패스워드 추측 공격 시도를 차단한다.
장기간 패스워드가 변경되지 않아 무작위 대입 공격(Brute Force Attack)이나 패스워드 추측 공격의 가능성이 존재하며, 또한 이런 공격에 의해 계정 정보가 유출되어 유출 사실을 인지하기 어렵다.
점검 및 조치사례)
1) 시작> 프로그램> 관리도구> 도메인 사용자 관리> 계정 선택> 등록 정보
2) "계정 사용 안함" Check!

* 무작위 대입 공격(Brute Force Attack): 컴퓨터로 암호를 해독하기 위해 조합 가능한 모든 경우의 수를 다 대입해보는 것을 말한다.

관리자 그룹에 최소한의 사용자 포함 W-06(상)

점검내용) 

관리자 그룹에 불필요한 사용자 포함 여부 점검, 관리 권한 최소화
보안위협) 

Administrators와 같은 관리자 그룹에 속한 구성원은 컴퓨터 시스템에 대해 제한 없는 접근 권한을 가지므로 사용자를 관리자 그룹에 포함시킬 경우 비인가 사용자에 대한 과도한 관리 권한이 부여될 수 있다.
점검 및 조치사례)
1) 시작> 프로그램> 관리도구> 도메인 사용자 관리> Administrators 그룹> 등록 정보
2) Administrator 그룹에서 불필요한 계정 제거 후 그룹 변경
참고) 
※ 관리 권한의 오남용으로 인한 시스템 피해를 줄이기 위해서 관리 업무를 위한 계정과 일반 업무를 위한 계정을 분리하여 사용하는 것이 바람직하다.
※ 시스템 관리를 위해서 관리권한 계정과 일반권한 계정을 분리하여 운영하는 것을 권고한다.
※ 시스템 관리자는 원칙적으로 1명 이하로 유지하고, 부득이하게 2명 이상의 관리 권한자를 유지하여야 하는 경우에는 관리자 그룹에는 최소한의 사용자만 포함하도록 하여야 한다.

---

[암호/패스워드 정책 설정] 패스워드 복잡성 설정 W-48(중)

점검내용) 
패스워드 설정 시 문자/숫자/특수문자를 모두 포함한 강화된 패스워드를 사용하여 패스워드 복잡성을 만족하는가에 대한 내용을 점검한다.
보안위협) 
사용자 암호가 패스워드 복잡성을 만족하지 못하면 무작위 대입 공격, 패스워드 추측 공격에 쉽게 크랙 가능하다.
참고)
※ 패스워드 설정 시 영문/숫자/특수문자를 모두 포함하여 강력한 패스워드가 설정될 수 있도록 암호 복잡성을 설정하여야 한다.
※ 윈도우 운영체제 복잡성 기준
- 2가지 이상의 종류를 조합했을 경우 최소 10자리 이상/3가지 이상의 종류를 조합했을 경우 최소 8자리 이상의 길이가 되어야 한다.
※ 부적절한 패스워드 예
- 길이가 짧은 패스워드
- 사전에 나오는 단어나 이들의 조합
- 키보드 자판의 연속된 문자
- 사용자 계정 정보로 유추 가능한 단어

 

[암호/패스워드 정책 설정] 최근 암호 기억 W-55(중)

점검내용) 
사용자가 현재 암호 또는 최근에 사용했던 암호와 동일한 새 암호를 만드는 것을 방지한다. "최근 암호 기억이 4개 이상으로 설정되어 있는 경우 점검을 진행한다.

점검 및 조치사례)
1) 시작> 프로그램> 관리도구> 도메인 사용자 관리자> 정책> 계정
2) "암호 유일성"에서 "기억"을 "4개"로 설정
※ 사용자가 현재 암호 또는, 최근에 사용했던 암호와 똑같은 새 암호로 설정할 수 없도록 하여야 한다.

[암호/패스워드 정책 설정] 패스워드 최대 사용 기간 설정 W-50(중)

점검내용) 
암호가 유효한 최대 날짜를 설정하여 이 날짜가 경과된 사용자는 암호를 변경하도록 하여 암호 크래킹의 가능성을 낮추고, 불법으로 획득한 암호의 무단 사용을 방지하고자 한다.
보안위협) 
암호 추측 공격에 의해 유출될 수 있다.
점검 및 조치사례)
최대 암호 사용 기간이 90일 이하로 설정되어 있는 경우
1) 시작> 프로그램> 관리도구> 도메인 사용자 관리자> 정책> 계정
2) "최대 암호 사용 기간"의 "사용 기간"을 "90일"로 설정

[암호/패스워드 정책 설정] 패스워드 최소 사용 기간 설정 W-51(중)

점검내용)

최소 날짜를 설정하여 원래 패스워드로 즉시 변경할 수 없도록 한다.
보안위협) 

변경 후 최소 사용 기간이 설정되지 않은 경우 사용자에게 익숙한 패스워드로 즉시 변경 가능하며, 이를 재사용함으로써 원래 암호를 같은 날 다시 사용할 수 있다.
패스워드 변경 정책에 따른 주기적인 패스워드 변경이 무의미해진다.
점검 및 조치사례) 
최소 암호 사용 기간이 0보다 큰 값으로 설정되어 있는 경우
1) 시작> 프로그램> 관리도구> 도메인 사용자 관리자> 정책> 계정
2) "최소 암호 사용 기간"에서 "사용 기간"을 "1일"로 설정

 

[암호/패스워드 정책 설정] 패스워드 최소 길이 설정 W-49(중)

점검내용) 
암호에 필요한 최소 문자 수를 지정하여 강화된 패스워드 사용해야 한다.
보안위협) 
사전 공격이나 가능한 모든 문자의 조합을 시도하는 무작위 공격을 통해 패스워드가 도용될 수 있다.
점검 및 조치사례) 
최소 암호 길이가 8문자 이상으로 설정되어 있는 경우
1) 시작> 프로그램> 관리도구> 도메인 사용자 관리자> 정책> 계정 정책
2) "최소 암호 길이"에 "최소"를 "8문자"로
* 암호정책: 사용자에게 암호를 정기적으로 변경하게 하고, 암호의 최소 길이를 지정하며, 암호가 특정 복잡성을 만족시키도록 하는 등 암호 설정을 사용자 강제하여 컴퓨터를 보호하는 정책

[암호/패스워드 정책 설정] 해독 가능한 암호화 사용 설정 W-05(상)

점검내용)
해독 가능한 암호화를 사용하여 암호 저장 정책이 설정되어 사용자 계정 패스워드가 해독 가능한 텍스트 형태로 저장되는 것을 차단
보안위협) 
설정된 경우 OS에서 사용자 ID, PW를 입력받아 인증하는 응용프로그램 프로토콜 지원 시 OS는 사용자의 PW를 해독 가능한 방식으로 암호를 저장하기 때문에, 노출된 계정에 대해 공격자가 암/복호화 공격으로 PW를 획득하여 네트워크 리소스에 접근 가능
점검 및 보안사례) 
1) 시작> 실행> SECPOL.MSC> 계정 정책> 암호 정책
2) "해독 가능한 암호화를 사용하여 암호 저장"을 "사용 안 함"으로 설정한다.
* 해독 가능한 암호화를 사용하여 암호 저장‘ 정책은 암호를 암호화 하지 않은 상태로 저장하여 일반 텍스트 버전의 암호를 저장하는 것과 같으나 시스템에서 기본적으로 동작하지는 않다

 

---

[계정 잠금 정책] 계정 잠금 기간 설정 W-47(중)

점검내용) 
계정 잠금 기간(시간) 설정하면 패스워드가 틀린 횟수가 계정 잠금 임계값에 도달 했을 때 지정한 기간(시간) 동안 계정을 잠근다. 따라서 공격자의 무차별 공격에 효과적으로 대응할 수 있다. 
점검 및 조치사례)
"계정 잠금 기간" 및 "계정 잠금 기간 원래대로 설정 기간"이 설정되어 있는 경우 (60분 이상의 값으로 설정 권고)
1) 시작> 프로그램> 관리도구> 도메인 사용자 관리자> 정책> 계정 정책
2) "횟수 다시 설정"을 "60분 후"로 설정, "잠금 유지 기간"의 "시간 제한"을 "60분"
참고)
※ 계정 잠금 기간 설정은 계정 잠금 임계값을 초과한 사용자 계정이 잠기는 시간을 결정함. 잠긴 계정은 관리자가 재설정하거나 해당 계정의 잠금 유지 시간이 만료되어야 사용할 수 있다.
※ 계정 잠금 정책: 해당 계정이 시스템으로부터 잠기는 환경과 시간을 결정하는 정책으로 "계정 잠금 기간", "계정 잠금 임계값", "다음 시간 후 계정 잠금 수를 원래대로 설정"의 세가지 하위 정책을 가진다.

 

[계정 잠금 정책] 계정 잠금 임계값 설정 W-04(상)

점검내용) 

공격자의 자유로운 자동화 암호 유추 공격을 차단하기 위함
보안위협) 

임계값을 설정하지 않으면 자동화된 방법을 이용하여 모든 사용자 계정에 대해 암호조합 공격을 자유롭게 시도 가능
점검 및 보안사례)
계정 잠금 임계값이 5 이하의 값으로 설정되어 있는 경우
※ 계정 잠금 임계값 설정은 사용자 계정이 잠기는 로그온 실패 횟수를 결정하며 잠긴 계정은 관리자가 재설정하거나 해당 계정의 잠금 유지 시간이 만료되어야 사용할 수 있음
※ Administrator는 잠기지 않는다.
 

[계정 잠금 정책] 다음 시간 후 계정 잠금 수를 원래대로 설정                     

점검내용) 

실패한 로그인 시도 후 실패한 로그온 시도 카운트가 0으로 설정될 때까지 경과해야 하는 시간을 지정한다.
점검 및 보안사례) 
60분 이상 설정 권장

 

 

 

 

참고) 주요정보통신기반시설 “기술적 취약점 분석/평가 방법 상세가이드”

https://www.kisa.or.kr/public/laws/laws3.jsp

기술안내서 가이드 < 관련법령·기술안내서 < 자료실 : 한국인터넷진흥원