지니's Blog

점검 목적

비인가자의 원격 터미널 접속을 제한하기 위함.

보안 위협

임의의 사용자가 원격으로 접속해 해당 서버의 설정을 변경하거나 정보를 유출할 가능성이 존재함.

판단기준

양호 : 원격 접속이 가능한 계정을 생성해 타 사용자의 원격 접속을 제한하고, 원격 접속 사용자 그룹에 불필요한 계정이 등록되어 있지 않은 경우 

취약 : 원격 접속이 가능한 별도의 계정이 존재하지 않는 경우

점검 방법

1. 원격 터미널 접속 가능한 사용자 그룹 확인할 것.

- 원격 접속 가능한 별도의 계정이 존재하지 않으므로 취약

2. 레지스트리 fDenyTSConnections 확인할 것.

- fDenyTSConnections 0 "원격 터미널 서비스를 허용" 

조치방안

1. 원격 터미널 접속 가능한 사용자 그룹에 Administrators 계정을 제외한 별도의 계정을 추가할 것. 

점검 목적

빈 암호를 가진 계정의 콘솔 및 네트워크 서비스 접근을 차단하기 위함.

※ 윈도우 원격 제어는 보안상 계정에 암호가 걸린 계정만 접속하도록 하지만, 해당 정책 활성화 시 암호 없어도 원격 제어가 가능함

보안 위협

해당 정책 "사용 안 함" 설정 시, 빈 암호를 가진 로컬 계정에 대해 터미널 서비스, Telnet 및 FTP와 같은 네트워크 서비스의 원격 대화형 로그온이 가능해 시스템 보안에 심각한 위험을 줄 수 있음.

판단기준

양호 : "콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한" 정책이 "사용"인 경우

취약 : "콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한" 정책이 "사용 안 함"인 경우

점검 방법

1. 로컬 보안 정책(secpol.msc) > 보안 옵션 > "콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한" 정책 확인할 것.

- 사용 안 함 이므로 취약

2. 또는 레지스트리 LimitBlankPasswordUse 확인할 것.

- LimitBlankPasswordUse 가 0("사용 안 함")이므로 취약

조치방안

1. 로컬 보안 정책(secpol.msc) > 보안 옵션 > "콘솔 로그온 시 로컬 계정에서 빈 암호 사용 제한" 정책 "사용"으로 변경할 것.

2. 또는 레지스트리 LimitBlankPasswordUse 1로 변경할 것.

점검 목적

사용자가 현재 암호 또는 최근에 사용했던 암호와 동일한 새 암호를 만드는 것을 방지하기 위함.

보안 위협

특정 계정이 암호를 오랫동안 사용할 경우 공격자가 무작위 공격을 통해 암호를 확인할 가능성이 높음.혹여 유출된 계정의 암호를 바꾸지 않다면 계속해서 악용될 위험이 존재하므로 최근에 사용했던 암호를 새로운 패스워드에 설정할 수 없도록 해야 함.

판단기준

양호 : 최근 암호 기억 4개 이상으로 설정됨

취약 : 최근 암호 기억 4개 미만으로 설정됨

점검 방법

1. 로컬 보안 정책(secpol.msc) > 계정 정책 > 암호 정책 > "최근 암호 기억" 정책 확인할 것.

- 설정값이 4 미만으로 설정되어 있으므로 취약

2. 또는 보안 정책 설정 PasswordHistorySize 확인할 것.

- PasswordHistorySize가 4미만 이므로 취약

조치방안

1. 로컬 보안 정책(secpol.msc) > 계정 정책 > 암호 정책 > "최근 암호 기억" 정책에서 "4" 이상으로 설정할 것.

2. 또는 보안 정책 설정 PasswordHistorySize 4 이상으로 설정할 것.

점검 목적

익명 SID/이름 변환 정책 "사용 안 함" 설정하여 SID를 사용해 관리자 이름을 찾을 수 없도록 하기 위함.

※ 해당 정책 설정 시, 익명 사용자가 다른 사용자의 SID 특성을 요청할 수 있음

보안 위협

로컬 접근 권한이 있는 사용자가 잘 알려진 Administrators SID를 사용하여 Administrators 계정의 실제 이름을 알아낼 수 있으며 암호 추측 공격 실행 가능성이 존재함.

판단기준

양호 : "익명 SID/이름 변환 허용" 정책이 "사용 안 함"으로 되어 있는 경우

취약 : "익명 SID/이름 변환 허용" 정책이 "사용"으로 되어 있는 경우

점검 방법

1. 로컬 보안 정책(secpol.msc) > 보안 옵션 > "네트워크 액세스: 익명 SID/이름 변환 허용" 정책 확인할 것.

- "사용"으로 설정되어 있으므로 취약

2. 또는 보안 정책 설정 LSAAnonymousNameLookup 확인할 것.

- LSAAnonymousNameLookup 의 값이 1("사용")이므로 취약

조치방안

1. 로컬 보안 정책(secpol.msc) > 보안 옵션 > "네트워크 액세스: 익명 SID/이름 변환 허용" 정책 "사용 안 함"으로 변경할 것.

2. 또는 보안 정책 설정 LSAAnonymousNameLookup 값을 0("사용 안 함")으로 변경할 것.

점검 목적

불필요한 계정에 로컬 로그온이 허용된 경우 비인가자의 불법적인 시스템 로컬 접근을 차단하고자 함.

보안 위협

불필요한 사용자에 로컬 로그온 허용 시 비인가자를 통한 권한 상승으로 악성 코드 실행 우려가 있음.

판단기준

양호 : 로컬 로그온 허용 정책에 Administrators, IUSR_ 만 존재하는 경우

취약 : 로컬 로그온 허용 정책에 Administrators, IUSR_ 외 다른 계정 및 그룹이 존재하는 경우

점검 방법

1. 로컬 보안 정책(secpol.msc) > 사용자 권한 할당 > "로컬 로그온 허용" 정책 확인할 것.

- Administrators 외 계정이 존재하므로 취약

2. 또는 보안 정책 설정 SeInteractiveLogonRight 확인할 것.

- Administrators(*S-1-5-32-544) 그룹을 제외한 계정이 존재하므로 취약

조치방안

1. 로컬 보안 정책(secpol.msc) > 사용자 권한 할당 > "로컬 로그온 허용" 정책에서 Administrators , IIS_USRS 외 다른 계정 및 그룹을 제거할 것.

2. 또는 보안 정책 설정 SeInteractiveLogonRight 값을 변경할 것.

- *S-1-5-32-544  >  Administrators

- *S-1-5-32-568  >  IIS_IUSRS

※ SID 기본 정보

- S-1-5-21-도메인-500   :   일반 사용자 계정관리자

- S-1-5-21-도메인-501   :   개별 계정이 없는 사용자를 위한 계정

- S-1-5-21-도메인-1001   :   일반 사용자 계정

- S-1-5-32-544   :   그룹의 유일한 구성원 관리자 계정

- S-1-5-32-545   :   사용자

- S-1-5-32-546   :   게스트 - 일회용 사용자가 제한된 권한으로 로그온 가능

- S-1-5-32-549   :   서버 운영자

- S-1-5-32-551   :   백업 운영자

- S-1-5-32-568   :   IIS_IUSRS - 그룹  내 IIS 사용자