지니's Blog

점검 목적

LAN Manager 인증 수준 설정을 통해 네트워크 로그온에 사용할 Challenge/Response 인증 프로토콜을 결정하며, 안전한 인증 절차를 적용하기 위함.

※ LAN Manager는 네트워크를 통한 파일 및 프린터 공유와 같은 작업 시 인증을 담당함.

보안 위협

안전하지 않은 LAN Manager 인증 수준을 사용할 경우 인증 트래픽 가로채기를 통해 악의적인 계정 정보 노출을 허용할 수 있음.

판단기준

양호 : "LAN Manager 인증 수준" 정책에 "NTLMv2 응답만 보냄" 이 설정된 경우

취약 : "LAN Manager 인증 수준" 정책에 "LM" 및  "NTLM" 인증이 설정된 경우

점검 방법

1. 로컬 보안 정책(secpol.msc) > 로컬 정책 > 보안 옵션 > "LAN Manager 인증 수준" 정책 확인할 것.

- NTLMv2 응답만 보냄 설정이 아니므로 취약

2. 또는 레지스트리 LmCompatibilityLevel 확인할 것.

- 값이 존재하지 않음

※ Windows 2008, Windows 7 이상의 버전의 경우, 해당 값이 설정되어 있지 않아도 기본값 자체가 "NTLMv2 응답만 보내기" 설정이 되어 있음

해당 값이 설정되지 않아도, 레지스트리 값이 존재하지 않아도 양호로 판단할 것.

조치방안

1. 로컬 보안 정책(secpol.msc) > 로컬 정책 > 보안 옵션 > "LAN Manager 인증 수준" 정책 변경할 것.

- "NTLMv2 응답만 보내기" 이상으로 설정할 것.

2. 또는 레지스트리 LmCompatibilityLevel  3 이상으로 변경할 것.

※ 레지스트리 LmCompatibilityLevel 기준

- LM & NTLM 응답 보내기    0x00000000

- LM & NTLM 보내기(협상된 경우 NTLMv2 세션 보안 사용)   0x00000001

- NTLM 응답만 보내기     0x00000002

- NTLMv2 응답만 보내기    0x00000003

- NTLMv2 응답만 전송, LM 거부    0x00000004

- NTLMv2 응답만 전송, LM & NTLM 거부    0x00000005

점검 목적

사용자 홈 디렉터리에 적절한 권한을 부여해 비인가자에 의한 불필요한 정보 노출을 방지하기 위함.

보안 위협

임의의 사용자나 다른 사용자의 홈 디렉터리에 악의적인 목적으로 접근이 가능하며, 접근 후 의도한 또는 의도하지 않은 행위로 시스템에 악영향을 미칠 수 있음.

판단기준

양호 : 홈 디렉터리에 Everyone 권한이 없는 경우(All Users, Default User 디렉터리 제외)

취약 : 홈 디렉터리에 Everyone 권한이 있는 경우

점검 방법

1. 사용자 홈 디렉터리 속성의 보안 탭에서 Everyone 권한 확인할 것.

조치방안

1. 사용자 홈 디렉터리 속성의 보안 탭에서 Everyone 권한 제외할 것.

점검 목적

로그온 시 경고 메시지를 설정하여 시스템에 로그온을 시도하는 사용자들에게 경고 메시지를 띄움으로써 경각심을 주기 위함.

보안 위협

로그온 경고 메시지가 존재하지 않을 경우 악의적인 사용자에게 공격자의 활동을 주시하고 있다는 생각을 상기 시킬 수 없어 간접적인 공격 기회를 제공할 우려가 있음.

판단기준

양호 : 로그온 경고 메시지 제목 및 내용이 설정되어 있는 경우

취약 : 로그온 경고 메시지 제목 및 내용이 설정되어 있지 않은 경우

점검 방법

1. 레지스트리 legalnoticecaption, legalnoticetext 값 확인할 것.

① Windows 경로(1순위)

[ 컴퓨터\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System ]

- 빈 값으로 설정되어 있으므로 취약

- GUI로 레지스트리 키 값 변경 가능

- 빈 값일 경우 아래의 레지스트리 값을 따라감

② Winodws NT 경로(2순위)

[ 컴퓨터\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon ]

- 빈 값으로 설정되어 있으므로 취약

- GUI로 레지스트리 키 값 변경 불가능

조치방안

1.  로그인 경고 메시지 제목과 내용을 설정해줄 것.

점검 목적

세션이 중단되기 전에 SMB 세션에서 보내야 하는 연속 유휴 시간을 결정하여 서비스 거부 공격에 악용되지 않도록 하기 위함.

※ Administrators 는 이 정책을 활성화아여 제어가 가능

   정책 값을 0으로 설정 시, 유휴 세션 연결이 가능한 빨리 끊어지고, 

   최대값 99999(208일) 설정 시 정책 설정 해제를 의미.

보안 위협

SMB 세션은 서버 리소스를 사용하기 때문에  NULL 세션 수가 많아지면 서버 속도가 저하되거나 오류가 발생할 수 있음. 공격자가 이를 악용해 SMB 세션을 반복 설정해 서버의 SMB 서비스가 느려지거나 응답하지 않게 하여 DoS 공격을 유발할 수 있음.

그러므로 세션 연결 중단 시 유휴시간(아무런 활동이 없는 시간) 설정을 점검하여 세션 중단 전에 SMB 세션에서 보내야하는 연속 유휴 시간을 결정해 악용되지 않도록 해야 함.

판단기준

양호 : "로그온 시간 만료 시 클라이언트 연결 끊기" 정책 "사용", "세션 연결 중단 전 필요한 유휴 시간" 정책 "15분"으로 설정한 경우

취약 : "로그온 시간 만료 시 클라이언트 연결 끊기" 정책 "사용 안 함", "세션 연결 중단 전 필요한 유휴 시간" 정책 "15분"으로 설정되지 않은 경우

점검 방법

1. "로그온 시간 만료 시 클라이언트 연결 끊기" 정책 사용 여부

① 로컬 보안 정책(secpol.msc) > 로컬 정책 > 보안 옵션 > "로그온 시간 만료 시 클라이언트 연결 끊기" 정책 확인할 것.

- 사용 안 함으로 설정되어 있으므로 취약

② 또는 레지스트리 enableforcedlogoff 확인할 것.

2. SMB 세션 중단 전 필요한 유휴시간 설정 확인 

① 로컬 보안 정책(secpol.msc) > 로컬 정책 > 보안 옵션 > "세션을 중단하기 전에 필요한 유휴 시간" 정책 확인할 것.

- 15분 미만으로 설정 시 취약

② 또는 레지스트리 enableforcedlogoff 확인할 것.

- 15분 미만으로 설정 시 취약

조치방안

1.

① 로컬 보안 정책(secpol.msc) > 로컬 정책 > 보안 옵션 > "로그온 시간 만료 시 클라이언트 연결 끊기" 정책 "사용" 으로 변경해줄 것.

② 또는 레지스트리 enableforcedlogoff  값을 1로 변경할 것.

2.

① 로컬 보안 정책(secpol.msc) > 로컬 정책 > 보안 옵션 > "세션을 중단하기 전에 필요한 유휴 시간" 정책 15분 이상으로 변경해줄 것.

② 또는 레지스트리 enableforcedlogoff  값을 15 이상로 변경할 것.

※ 유휴 시간이 너무 짧게 되면, 세션 끊어지는 빈도가 높아져 리소스를 더 많이 소비하게 됨. 뿐만 아니라 세션을 다시 설정하는 데에 있어 시간이 길어지면 사용자의 작업 흐름을 방해할 수 있게됨.

점검 목적

일반 사용자를 통한 프린터 드라이버 설치를 차단해 의도하지 않은 시스템 손상을 방지하기 위함.

보안 위협

프린터 드라이버 설치 시 악의적인 사용자가 고의적으로 잘못된 프린터 드라이버를 설치해 컴퓨터를 손상시키거나 악성 코드를 설치할 위험이 존재함.

판단기준

양호 : "사용자가 프린터 드라이버를 설치할 수 없게 함" 정책이 "사용"인 경우

취약 : "사용자가 프린터 드라이버를 설치할 수 없게 함" 정책이 "사용 안 함"인 경우

점검 방법

1. 로컬 보안 정책(secpol.msc) > 로컬 정책 > 보안 옵션 > "사용자가 프린터 드라이버를 설치할 수 없게 함" 정책 확인할 것.

- "사용 안 함"으로 설정되어 있으므로 취약

2. 또는 레지스트리 AddPrinterDrivers 확인할 것.

- 값이 0("사용 안 함")으로 설정되어 있으므로 취약

조치방안

1. 로컬 보안 정책(secpol.msc) > 로컬 정책 > 보안 옵션 > "사용자가 프린터 드라이버를 설치할 수 없게 함" 정책 "사용
"으로 변경할 것.

2. 또는 레지스트리 AddPrinterDrivers 값을 1로 변경할 것.