지니's Blog

점검 목적

Autologon 기능을 사용하지 않음으로써 시스템 계정 정보 노출을 차단하기 위함.

※ Autologon ?  레지스트리에 암호화되어 저장된 대체 증명을 사용하여 자동으로 로그인하는 기능

보안 위협

Autologon 기능을 통해 공격자가 해킹 도구를 이용하여 저장된 로그인 계정 및 패스워드 정보 유출이 가능함.

판단기준

양호 : AutoAdminLogon 값이 없거나 0으로 설정된 경우

취약 : AutoAdminLogon 값이 1로 설정된 경우

점검 방법

1. 사용자 계정(netplwiz) >  "사용자 이름과 암호를 입력해야 이 컴퓨터를 사용할 수 있음" 체크 확인할 것.

- 체크가 미설정이므로 취약

2. 또는 레지스트리 AutoAdminLogon 값 확인할 것.

- 값이 1("체크 미설정")로 설정되어 있으므로 취약

조치방안

1. 사용자 계정(netplwiz) >  "사용자 이름과 암호를 입력해야 이 컴퓨터를 사용할 수 있음" 체크 할 것.

2. 또는 레지스트리 AutoAdminLogon 값 0으로 변경할 것.

- AutoAdminLogon  0   "사용 안 함"

- AutoAdminLogon  존재하지 않음

- AutoAdminLogon  1   "사용"

점검 목적

익명의 사용자로부터 악의적인 계정 정보 탈취를 방지하기 위함.

보안 위협

익명의 사용자가 도메인 계정과 네트워크 공유 이름의 열거 작업을 수행이 가능해 계정 이름 목록 확인하고 이 정보를 이용해 암호를 추측하거나 사회 공학적 공격기법을 수행할 수 있음.

판단기준

양호 : 해당 보안 옵션 값이 설정되어 있는 경우

취약 : 해당 보안 옵션 값이 설정되어 있지 않은 경우

점검 방법

1. 로컬 보안 정책(secpol.msc) > 보안옵션 > "SAM 계정과 공유의 익명 열거 허용 안 함" 정책 확인할 것.

- 해당 정책이 "사용 안 함" 이므로 취약

2. 또는 레지스트리 값 RestrictAnonymous 확인할 것.

- 값이 0("사용 안 함")로 설정되어 있으므로 취약

조치방안

1. 로컬 보안 정책(secpol.msc) > 보안옵션 > "SAM 계정과 공유의 익명 열거 허용 안 함" 정책 "사용"으로 변경할 것.

2. 또는 레지스트리 RestrictAnonymous 값 1로 변경할 것.

- restrictanonymous  0x00000000   "사용 안 함"

- restrictanonymous  0x00000001   "사용"

※ Active Directory, Clustered system 에서 적용 시 영향 존재하므로 서버 운영자 및 유지관리 담당자와 협의 후 적용

- Active Directory : 중앙 집중화된 자원 관리를 위한 계층적 디렉터리 서비스

- Clustered system : 여러 개 시스템 결합하여 사용함

점검 목적

로그 용량 초과 등의 이유로 이벤트를 기록할 수 없는 경우, 해당 정책으로 인해 시스템이 비정상적으로 종료되는 것을 방지하기 위함.

※ 보안 감사 로그가 꽉 찼을 때 이벤트가 로그 되지 않음.  기존 항목을 덮어쓸 수 없을 때 해당 정책 사용 시 아래와 같은 중지 오류가 나타나게 됨.

보안 위협

악의적인 목적으로 시스템 종료를 유발해 서비스 거부 공격에 악용될 수 있으며, 비정상적 시스템 종료로 인해 시스템 및 데이터에 손상을 입힐 수 있음.

판단기준

양호 : "보안 감사를 로그할 수 없는 경우 즉시 시스템 종료" 정책이 "사용 안 함"으로 되어 있는 경우

취약 : "보안 감사를 로그할 수 없는 경우 즉시 시스템 종료" 정책이 "사용"으로 되어 있는 경우

점검 방법

1. 로컬 보안 정책(secpol.msc) > 보안옵션 > "보안 감사를 로그할 수 없는 경우 즉시 시스템 종료" 정책 확인할 것.

- 해당 정책이 사용중이므로 취약

2. 또는 레지스트리 값 crashonauditfail 확인할 것.

- 값이 1("사용")로 설정되어 있으므로 취약

조치방안

1. 로컬 보안 정책(secpol.msc) > 보안옵션 > "보안 감사를 로그할 수 없는 경우 즉시 시스템 종료" 정책 "사용 안 함"으로 변경할 것.

2. 또는 레지스트리 crashonauditfail 값을 0으로 변경할 것.

- crashonauditfail  0x00000000      "사용 안 함"

- crashonauditfail  0x00000001      "사용(시스템 중단)"

- crashonauditfail  0x00000002      "사용(시스템 중단, 관리자 그룹만 로그인 가능) "

점검 목적

원격에서 네트워크를 통해 운영 체제 종료가 가능한 사용자 및 그룹을 설정해 특정 사용자가 시스템 종료를 허용하기 위함.

보안 위협

원격 시스템 강제 종료 설정이 부적절할 시, 서비스 거부 공격에 악용 위험이 존재함.

판단기준

양호 : 해당 정책에 "Administrators"만 존재하는 경우

취약 : 해당 정책에 "Administrators" 외 다른 계정 및 그룹이 존재하는 경우

점검 방법

1. 로컬 보안 정책(secpol.msc) > 사용자 권한 할당 > "원격 시스템 강제 종료" 정책 확인할 것.

- Administrators 그룹 외 다른 그룹 존재하므로 취약

2. 또는 보안 정책 설정에서 SeRemoteShutdownPrivilege 확인할 것.

조치방안

1.  로컬 보안 정책(secpol.msc) > 사용자 권한 할당 > "원격 시스템 강제 종료" 에서 불필요한 구성원 제거할 것.

2. 또는 보안 정책 설정에서 SeRemoteShutdownPrivilege 값을 Administrators로 변경할 것.

    SeRemoteShutdownPrivilege = *S-1-5-32-544   >   Administrators

    SeRemoteShutdownPrivilege = *S-1-5-32-545   >   Users

    SeRemoteShutdownPrivilege = *S-1-5-32-546   >   Guests

    SeRemoteShutdownPrivilege = *S-1-1-0   >   Everyone

점검 목적

시스템 로그온 창의 종료 버튼 비활성화함으로써 허가되지 않은 사용자를 통한 불법적인 시스템 종료를 방지하고자 함.

보안 위협

로그온 창에 "시스템 종료" 활성화 시 비인가자가 로그인하지 않고도 불법적인 시스템 종료가 가능해 정상적인 서비스 운영에 영향을 줄 수 있음.

판단기준

양호 : "로그온하지 않고 시스템 종료 허용" 이 "사용 안 함"일 경우

취약 : "로그온하지 않고 시스템 종료 허용" 이 "사용"일 경우

점검 방법

1. 로컬 보안 정책(secpol.msc) > "시스템 종료: 로그온하지 않고 시스템 종료 허용 속성" 확인할 것.

- 해당 정책이 사용 중이므로 취약

2. 또는 레지스트리 값 확인할 것.

[ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System ]

- shutdownwithoutlogon 값이 1이므로 취약

조치방안

1. 로컬 보안 정책(secpol.msc) > "시스템 종료: 로그온하지 않고 시스템 종료 허용 속성" 설정 사용 안 함으로 변경할 것.

2. 또는 레지스트리 shutdownwithoutlogon 값 0 으로 변경할 것.

    shutdownwithoutlogon  0   "사용 안 함"

    shutdownwithoutlogon  1   "사용"