Last Update: 17 Jul 2000
16. 윈도우 클라이언트 보안 (3.11/95/98)
in English
- 이 시스템들로부터 고도의 보안을 기대하지 말고, DOS/윈도우/Win95/Win98에서 민감한 데이타들을 다루고 있다면, NT나 유닉스로 바꾸거나 3rd 파티 보안 제품을 산다.
- Win95 & WfW 클라이언트들은 패스워드 보안 패치로 갱신하고, 더 좋은 방법으로 캐싱을 사용하지 않음으로 한다!
- Win95 전화접속 네트워킹: 로컬에 패스워드를 저장하지 않는다.
- 사용자들이 강력한 패스워드를 선택하고 패스워드를 정기적으로 변경하며, 사용하지 않을 때 화면을 잠그거나 시스템을 중단하도록 가르친다.
- 바이러스 스캐너를 정기적으로 돌리고 사용자들에게 모든 플로피 디스크에 대해 스캐너를 사용하도록 가르친다. "바이러스 출현"에 대처하는 명확한 조직 절차가 반드시 존재하도록 한다.
- 기밀 정보를 PC에 저장하지 않는다.
- PC가 기밀성의 서버들에 접근한다면, 케이스를 물리적으로 잠그고 책상에 고정시키는 것을 고려한다.
- 워크그룹을 이용하여 기밀 데이터를 공유하지 않는다.
- 워크그룹을 이용하여 고 가용성의 데이터를 공유하지 않는다.
- 범위: Netware, DECnet, Vines나 NFS 같은 3rd파티 연결 제품/프로토콜은 여기에서 다루지 않았다.
- 윈도우 '95는 윈도우 for 워크그룹의 shinier 버전이다(??). (원시적인) 16 비트 도스를 기반으로 하고 있으며 많은 보안을 기대할 수 없다. 윈도우 95가 그 이전 것들 보다는 많은 보안을 제공하고는 있지만, 이런 보안 기능들은 총명한 해커에게는 효과적인 장벽으로 간주되지 않는다.
- Win98 은 Win95 와 거의 같고, 단지 몇 개의 새로운 기능을 가지고 있으며, GUI 가 다르고 USB 같은 새로운 하드웨어에 대해 지원을 한다.
- PC 워크스테이션에는 어떤 데이타도 보관되면 안된다.
- 데이터를 쉴새없이 암호화하는 디스크 제어장치를 사용한다. 이 제어장치는 보통 PC 부팅시에 패스워드를 물어본다.
랩탑은 심각한 보안 위험을 제공할 수 있으므로 사용을 최소화한다 - 비록 추세는 점점 더 이동 컴퓨팅으로 가고 있지만. 이들은 대량의 데이터가 통제되지 않고 교환될 수 있게 한다.
- EPROM 부트 패스워드를 사용한다 (거의 보호를 못한다고 할지라도).
- 대중 교통수단으로 랩탑을 운반할 때, 손에 들고 다닌다.
- 안티-바이러스 프로그램을 반드시 설치해야 한다.
- 데이터는 알맞은 소프트웨어로 암호화되어야 한다 (이 장의 끝에 있는 도구 부분을 참조).
윈도우 95 Resource kit 와 WfW 3.11 Resource kit을 참조한다.
이러한 운영체제들은 ITSEC이나 TCSEC 표준에 대해 인증될 수 없다. 운영체제 개요 부분을 참조한다.
바이러스는 자기 자신을 복제하는 프로그램이다: 컴퓨터에서 컴퓨터로 퍼지는 것을 꾀하고 손상을 입힐 수 있고 (데이타 삭제나 오염에 의해) 사용자들을 귀찮게 할 수 있다 (화면 내용을 바꾸고, 메시지를 출력하고). 바이러스는 대부분 PC에서 일어나는 현상이다 (최근에는 매킨토시에도). 바이러스와 싸우려면, 다음 조치들을 취해야 한다:
- 사용자를 교육한다: 바이러스가 어떤 일을 하는지, 어떻게 번식하는 지 알게 되면 사용자들은 좀 더 주의할 것이다.
- 표준 바이러스 탐지 도구 가 모든 PC에 설치되어야 한다. 바이러스 시그니처 목록은 시스템 민감도에 따라 몇 일|주|달마다 갱신되어야 한다.
- 스캐너는 매크로 바이러스를 탐지해야 하고 메모리에 상주하며 모든 파일 조작을 감시해야 한다.
- 바이러스가 발견되면, 헬프데스크/ 지원 요원에게 즉시 알린다. 워크스테이션은 네트웍으로부터 분리되어야 한다.
- 바이러스/보안 이슈들에 대해 뒤처지지 않고 중대한 바이러스 위협이 있을 경우 가능한 도움을 받을 수 있도록 ICSA www.icsa.com 나 CERT 같은 조직의 회원 가입을 고려한다.
이에 덧붙여:
- 서버에 어플리케이션을 설치하고 워크스테이션으로부터는 읽기만 가능하도록 올린다.
- 테스트 시스템에 응요프로그램을 설치하고, 바이러스를 검사한 후, 서버에 설치한다.
- 서버들에 대해 정기적으로 시스템 맥업을 수행한다. 백업을 일년 동안 까지 보관한다.
- 사용자들의 플로피 드라이브 접근을 제한한다 (그러나 이메일 & 웹은 여전히 위험한 소프트웨어를 다운로드하는 수단을 제공하고 있다).
- 워드/엑셀에 대한 팁은 MS-Office 절 을 참조한다.
가짜(hoax) 바이러스 방역:
"가짜" 바이러스 (잘못된 경고, 장난) 가 많으면 지원 요원의 시간을 많이 낭비할 수 있다. 이를 방역하는 것은 어렵지만, 다음 방법이 도움이 될 수도 있다:
민감한 호스트들에 대해 권고한다: 윈도우 95는 프로파일 편집기를 사용하여 (접근통제 절 참조) 사용자가 반드시 NT 도메인에 로그인 해야만 되도록 구성할 수 있다. (즉 사용자가 로컬로는 로그인 할 수 없도록).
안전한 감사 증적은 DAC 시스템이 아닌 경우에는 거의 불가능하다.
DOS
- autoexec.bat, config.sys 와 중요한 .ini 파일들을 읽기 전용으로 한다 (attrib -r 을 사용하여). (그런데 이것은 관리상 혼란을 야기할 수 있다..)
- 시리얼 통신의 사용을 방지하기 위해 intersrv.exe 와 interlnk.exe 를 제거한다.
Windows for Workgroups
- admincfg.exe 을 사용해서 , 각 워크스테이션에서 wfwsys.cfg 을 configure 한다. 파일, 프린터 및 DDE 공유는 사용하지 않음으로 한다. "보안 설정" 에서, 패스워드 캐싱은 사용안함으로 해야 하고, "유효한 NT 로그인 필요" 를 사용하도록 한다. "서버에서 보안 구성 갱신" 하도록 하고 구성 파일을 패스워드로 보호한다 (아마 각 도메인마다 패스워드 하나씩).
로그온 배너도 사용하여 사용자에게 민감한 데이타에 접속 있음을 경고한다.- 사용자 데스크탑에서 필요하지 않은 아이콘들은 제거한다 (네트워크 설치, 윈도우 설정, 텔넷, ftp...)
- 프로그램 관리자의 기능성을 제한한다. 가령 파일 메뉴를 없앤다든지, "실행(run)" 옵션을 없앤다든지, 개인화(personalization)를 없앤다든지 (progman.ini 항목들을 참조: NoSaveSettings, NoRun, NoClose, NoFileMenu, Editlevel)
Win95
정책편집기를 이용하여 (Win95 CD에서 admin\Apptools 에 있는 poledit.exe 를 설치한다) 시스템 정책을 수립한다. 정책 편집기는 사용자 워크스테이션에는 설치되면 안된다. 세가지 다른 유형의 프로파일이 있다:
- 사용자 프로파일은 윈도우 95 레지스트리에 있는 두 파일중 하나인 USER.DAT 파일에 있는 사용자에 특정한 정보로 구성된다. 사용자 프로파일은 이를 사용할 컴퓨터에서만 사용 가능해야 한다 (제어판 -> 패스워드 참조).
* 한 컴퓨터 상의 다중 사용자들은 개인 설정을 유지할 수 있다.
* "상주하지 않는(Roving)" 사용자들은 어떤 컴퓨터에서든 네트웍에 로그온 하여 같은 데스크탑 설정으로 작업할 수 있다 (프로파일이 NETLOGON에 저장되어 있다면).
* 윈도우 95는 자동적으로 각 사용자의 프로파일을 유지한다.
- 강제적 프로파일은 일관성 있는 데스크탑을 적용하기 위해 사용될 수 있다. 이것은 초보 사용자들, 훈련 비용 및 지원 비용 절감에 유용하다.
- 시스템 정책은 사용자나 컴퓨터 설정에 대한 로컬 레지스트리 값을 무시할 수 있게 해준다. 정책은 정책(.POL) 파일에 정의되고, 보통 보통 config.pol 이라고 한다. 사용자가 로그온 하면, 시스템 정책 설정이 레지스트리의 디폴트 설정을 덮어쓴다. 시스템 정책에 네트웍에 한정된 추가적인 맞춤 설정이 포함되게 설정할 수도 있다.
SYSTEM.DAT 이나 USER.DAT 과 달리 (레지스트리를 구성하는 두 파일), CONFIG.POL 은 윈도우 95 설치의 필수 구성요소가 아니며, 구현되는 경우 로컬 컴퓨터가 아닌 로그온 서버에 저장된다.
시스템 정책을 사용해서 시스템 구성을 강제적으로 시행할 수 있으며 (사용자들이 데스크탑에서 무엇을 할 수 있는지, 제어판을 이용해서 구성할 수 있는 것은 어떤 것인지), 중앙에서 네트웍 설정을 구성하고 네트웍 환경이나 프로그램 폴더와 같은 데스크탑의 어떤 부분을 customise 할 수 있다.
로그인 시 윈도우 NT 서버로부터 자동으로 정책을 다운로드 받도록 설정하려면:
1 File 메뉴에서, Open Registry를 클릭한다.
2 Local Computer를 더블클릭한다.
3 Network 옆의 플러스 표시를 클릭한다.
4 Microsoft Client For Windows Networks 옆의 플러스 표시를 클릭하고, Log On To Windows NT를 클릭한다.
5 윈도우 NT 도메인 이름을 입력한다.
6 주 도메인 콘트롤러에서, NETLOGON이라는 폴더를 생성하고 공유한다.
7 policy 파일을 이 폴더에 저장한다. policy 파일이 반드시 .pol 확장자를 가지도록 한다.
TBD:- 각 보안 레벨에서 사용자 및 컴퓨터에 대해 config.pol에 어떤 것들이 정의되어야 하는가 (e.g. 로그온 배너, NT 도메인으로 강제 로그온, 파일/프린터 공유 disable, 레지스트리 편집기 disable, 패스워드 캐싱 disable, 전화접속 네트워킹 disable, 데스크탑 설정....)? 사용자가 자기의 config.pol 을 삭제/변경할 수 있는가 (NETLOGON 사용권한? 이것은 막아야 한다).
임의적 접근 통제가 불가능하며, 주로 FAT 파일 시스템 때문이다.
가능하면 PC 하우징을 잠근다.
부트 패스워드를 사용한다. 사용자와 관리자 패스워드를 별도로 분리하는 것이 가능하다.
안전한(ish) Win95 시동을 위해서는, msdos.sys에서 Bootkeys=0 으로 설정하여 기능 키 F5,F6 와 F8을 사용 못하게 한다. 그러나 이로인해 시동 문제의 디버깅이 더 어려워질 것이다.
파일을 완전히 삭제하기 위해 특별한 유틸리티를 모든 PC에 설치해야 한다.(e.g. F-Secure Desktop, 아래 참조).
워크그룹: WfW 3.11은 공유 레벨 보안은 지원하지만, 사용자 레벨 보안은 지원하지 않는다.
워크그룹 사용을 피하고, 도메인(Lan-Manager, NT) 이나 NFS를 사용한다.
워크그룹을 disable 한다.
RAS 서버를 사용하지 않는다.
PC 클라이언트들은 ftp나 http 서버로 사용될 수 없다.
BIOS 설정에서 플로피 부트를 disable 한다.
not supported.
네트웍 프로토콜은 최소한으로 설치한다. 가능하면 서브넷된 네트웍에서는 NetBEUI 를 설치하지 않는다 - 대신 TCP/IP & WINS 서버를 사용한다.
PC는 라우팅에 사용될 수 없다. 디폴트 게이트웨이 가 지정되어야 하고 (제어판->네트워크-> TCP/IP) 그러면 현재 서브넷 밖의 모든 시스템으로 가는 TCP/IP 패킷들은 이 게이트웨이로 전달될 것이다. 일반적으로 디폴트 게이트웨이는 라우터이다.
- 레지스트리 백업:
레지스트리는 테이프 백업의 필수 부분이어야 한다.
- 복구 디스켓: 잠겨져 있는 방화 금고에 보관한다. 복구 디스켓의 하위 디렉토리에 system.dat, config.sys, autoexec.dat, win.ini 및 system.ini 도 복사해 둔다.
- 복구:
- WIn95는 성공적으로 부팅될 때마다 레지스트리 파일의 백업본을 .da0 확장자로 생성한다. 시동시 .dat 가 손상된 것 같으면, WIn95는 backup .dao를 사용한다.
- 안전모드로 부팅 되었을 때, 레지스트리는 백업되지 않으며, 손상된 것으로 가정한다. 수작업으로 레지스트리를 백업해 놓은 것이 있으면, 안전모드에서 이를 복원할 수 있다.
- 루트 디렉토리에 있는 system.1st 는 설치시의 최초 레지스트리 복사본이다. 속성을 바꾸고 이 파일을 system.dat으로 복사하여 손상된 레지스트리를 복원할 수 있다. 또 시스템이 시동시에 hang on 되면, F8을 눌러 로깅을 선택하고 부팅을 계속한다. 시스템이 멈추면, 플로피 디스크로 부팅한 후 bootlog.txt 를 검사하여 어떤 장치/드라이버가 문제를 일으키는지 확인한다.
할당량 등은 지원되지 않지만, 클라이언트 시스템에서는 실제로 꼭 필요하지도 않다.
- 네트웍으로부터 PC를 설치한다. 장점은:
1. OS 가 안전한 마스터 사본으로부터 최신 패치로 설치된다.
2. OS 가 필요에 따라 사전 구성된다.
3. 표준 어플리케이션들이 자동적으로 설치된다.
4. 훨씬 빠르다.
단점은 특히 여러가지 다른 종류의 하드웨어들이 사용되는 경우, 설정이 매우 어렵다는 것이다.
- SMS는 (50 또는 그 이상의) 윈도우 클라이언트들에 대해 단련된 변경 통제 시스템을 제공한다.
- Windows for Workgroups 는 심각한 보안 버그를 가지고 있다!
- Win95 는 심각한 보안 버그를 가지고 있는데, 어떤 것들은
www.microsoft.com/windows/download/ 에서 fix를 다운로드 받아 고칠 수 있다.
그러나 fix 들이 자주 있어 테스트가 필요하다.
- 민감한 클라이언트는 NT로 옮기는 것을 고려한다.
- 몇몇 (오래된) 패치와 갱신의 예로:
| 날짜 |
문제 |
Fix archive |
| 13.12.95 |
패스워드 캐시의 취약한 암호화 (Win95 클라이언트가 사용하는 모든 서버를 노출). |
mspwlupd.exe |
| 20.10.95 |
NetWare 파일 공유상의 문제(로컬 파일에 읽기 접근) |
nwsrvupd.exe |
| 20.10.95 |
마이크로소프트 네트워크 파일 공유 (전체 디스크를 읽을 수 있음). |
vservupd.exe |
| 6.12.95 |
OLE는 Office 95 파일(즉 Winword, Excel, PowerPoint)에서 삭제된 파일들의 일부를 숨길 수 있다 . 이 부분들은, 예를 들면 메모장 텍스트 편집기를 이용하여 볼 수가 있다. |
ole32upd.exe |
위의 패치들은 윈도우 95 "서비스 팩 1" 에 있다.
May'96 update: 새로운 버그들을 수정하기 위해 서비스팩1을 통해 일단의 새로운 업데이트들을 설치해야 한다. See:
파일이름 크기
krnlupd.exe 296,960
mspwlupd2.exe 284,160
krnltoys.exe 54,586
oleupd.exe 404,992
cover_pg.exe 147,456
inetmail.exe 241,152
dlc32upd.exe 180,224
Win95 Briefcase 유틸리티는 랩탑과 서버를 동기화하는데 유용하다. 그러나, 서버의 파일 시스템이 압축된 NTFS 디렉토리라면, briefcase 는 "일부"만 동기화 된다는 것에 주의한다. 저자는 동기화로는 NT의 "robocopy" 를 쓰는 것을 더 선호한다.
HW RAID 도 가능한 수단이지만, 단순히 서버에 데이타를 저장하는 것이 더 좋은 방법이다.
WfW 3.11 은 admincfg.exe라는 유틸리티를 가지고 있는데 몇몇 네트웍 보안 옵션을 구성하는데 사용될 수도 있다.
PGP 는 대단한 다방면의 보안도구로, 파일, 디스크. 이메일 암호화를 한다 (7장 참고) www.pgp.com 그리고 국제적인 사용자들 용으로 www.pgpi.com ..
이메일에 관해서는, S/MIME 도 참조한다.
- PGP 는 항상 검사하면서 동작한다.
- F-Secure Desktop: 이 제품은 핀란드의 Datafellows 에서 수출하는데, 사용하기 쉬운 GUI를 가지고 윈도우 시스템 상의 파일을 군사용의 강도로 암호화할 수 있게 해준다. 추천. See the 메카니즘 장의 분석부분 참고.
- 체코슬로바키아의 AEC Ltd.에서 만든 Ironware 는 (www.aec-security.com) 안전한 파일 삭제, 강력한 파일 암호화와 압축, 안전한 파일 전솔, SHA로 파일 서명, 이메일 암호화 및 FTP 암호화를 제공한다. 가격은 ~$140.
- Secrets 는 윈도우 기반의 파일 암호화 프로그램으로 그룹 키와 데이타 복구를 제공한다.
www.sapher.co.uk
- Sentry Software ( www.sentryinc.com )의 CyberAngel은 DES에서 448 비트 blowfish 까지 파일 암호화를 제공한다.
- Rhea international, U.K.( www.rheagroup.com )의 Latches는 안전한 로그온, 감사 로그, 묵음 알람, 파일 암호화 DAC& MAC, 부트 보호, 역할 기반 접근 통제를 제공하고 물리적 접근 토큰을 지원한다.
- Destroy: 이 무료 유틸리티는 DOS 하에서 파일이 안전하게 삭제될 수 있도록 해준다:
DESTROY - MSDOS 용 파일 삭제 및 보안 유틸리티. "del" 을 써서 파일을 삭제하려 하면, 대개 "undelete"나 다른 도구를 사용하여 복구될 수 있다. DESTROY 는 다르다. 삭제하기 전에 파일을 분쇄한다. 디렉토리 항목도 파괴한다. 복구 도구로는 0으로 채워진 작은 파일만 복구할 수 있을 뿐이다.
- StopLight: DOS, 윈도우 및 Win95 용 StopLight은 OS 레벨에서 보안을 제공함으로써, 파일, 드라이브, 디렉토리에 대한 접근을 Read/Write/Create/delete/Execute 권한으로 통제한다. 컴퓨터가 DOS 디스켓으로 부팅되었어도 보호된다. 선택적인 부트 섹터 암호화 외에도 랩탑을 위한 디스크 전체 암호화 (실시간 암호화는 옵션)도 제공한다. 로깅 및 감사도 포함되어 있다. 대부분의 네트웍 유형을 지원한다.
www.safe.net 도 참고한다.
- Stoplock V
- Raxco EAC, SECUREcard
바이러스 방역 없는 PC는 없어야 한다.
바이러스 도구들은 세 가지 기능을 가지는 방향으로 나아간다:
1. 일반적인 모니터링 (예방)
2. 스캐닝 (바이러스 시그니쳐 탐색)
3. 무결성 검사기 (변경된 파일 탐색)
문자그대로 수백 개의 안티 바이러스 프로그램들이 있다. 일반적으로 기업에서는 모든 시스템에 대한 사이트 범위의 라이센스로 정기적인(e.g. 매월) 자동 갱신과 함께 구입한다.
새로운 안티 바이러스를 사려는 참이라면:
- DOS, NT, Win95 와 종래의 윈도우에서 동작하는 것을 확인한다 (각각 특별한 필요조건을 가지고 있다).
- 매크로 바이러스(즉 MS-Office 문서 또는 매크로를 가지고 있을 수 있는 다른 데스크탑 어플리케이션)와 있을법한 ActiveX바이러스로부터도 대해서도 보호해야 한다..
- 사용자 인터페이스가 친근하고 사용이 쉬워야 한다 (최소한의 사용자 교육이 필요하도록).
- 서버로부터 안티바이러스를 빨리, 정기적으로 그리고 쉽게 업그레이드할 수 있어야 한다.
- 현재 나와있는 제품의 몇가지 예로 (시장에는 무수히 많은 제품들이 있다): McAfee, Norton Anti-virus (대규모 사이트에는 비쌀 것이다), IBM AV
(Anti-Virus), TBAV (Thunderbyte Anti-Virus from ESaSS B.V), Norman (www.normanuk.com), VirusNet (Safetynet Inc.) 그리고 또 DataFellows 제품.
- www.westcoast.com/checkmark 에 있는 Secure Computing Magazines "checkmark" 표준의 인증을 받은 제품 목록을 참고한다.
Last Update: 17 Jul 2000