previous  next  Title  Contents  Index         Previous    Next     Top   Detailed TOC 

윈도우 NT 보안: 2/2부

NT 보안도구

패스워드 복구 도구

견본 스크립트

워크스테이션 레벨 보안 스크립트

TBD: 레지스트리 변경 (via regini).
net user Guest /active:no /passwordreq:yes
net time /domain /set 

서버 레벨 보안 스크립트

다음에는 앞의 절들에서 서버 설치를 위해 제시된 명령어들이 나열되어 있는데, 이들은 완전한 것으로 간주되어서는 안되며, 차라리 시작점이라고 보아야 한다. 어떤 일을 하는 것인지 확실히 이해하기 전에는 시스템상에서 이 스크립트를 실행시키지 않도록 한다!

TBD: 레지스트리 변경 (regini를 통해).

net accounts /forcelogoff:30 /minpwlen:6 /maxpwage:90 /minpwage:3 /uniquepw:5 /domain
net accounts /sync
net user Guest /active:no /passwordreq:yes
net time /domain /set
diskperf -Y
cd \winnt35\system32
cacls \winnt35\system32\usrmgr.exe /E /R Everyone
cacls \winnt35\system32\regedt32.exe /E /R Everyone 

레지스트리 편집기

regedt32.exe 유틸리티는 레지스트리 항목을 직접 편집할 수 있게 한다. 이것은 파라미터를 변경하는 데는 매우 실용적일 수 있지만, 시스템을 완전히 못쓰게 만들 수도 있다!

NT resource kit

Resource kit 은 수많은 (권장) 도구들과 많은 유용한 문서들을 가지고 있다 (종이와 도움말 파일 형태로). 아래는 특히 유용한 것들이다:

regentry.hlp 레지스트리 항목을 문서화
nt35xkb.hlp NT 3.5에 대한 Knowledgebase 자료들. 장애처리에 유용함.
winntmsg 메시지 데이타베이스
regini.exe 명령줄에서 레지스트리 값 설정. 사용하기 아주 어렵고 문서도 부실하다. 3.51 resource kit CD \support\suptools\i386\fifo*.ini 에 있는 예제를 한번 보도록 한다. NT4에서는 reg.exe 를 사용한다.
regback.exe 레지스트리 hive를 파일로 백업.
regrest.exe 레지스트리 복원.
winat.exe AT 스케쥴러 그래픽 인터페이스. soon.exe 도 참조.
instsrv.exe 명령줄에서 서비스를 설치
rcmd.exe 원격 시스템에서 명령 실행. remote.exe 도 참조.
GUI 유틸리티 dommon.exe, browmon, ntuucode 그리고 NT4 에서: wntipcfg.exe, clipstor, defptr 및 powertools 가 한 번 볼 만 하다.
POSIX 유틸리티 이 유닉스 같은 함수 모음은 이기종 환경을 관리하는 관리자들에게 특히 유용하다. 명령 세트는 상당히 제한적이다: ls, cat, chmod, chown, cp, find, grep, ln, mv, touch, wc, vi. 많은 유틸리티들이 느리게 동작하고 NT 환경에 서투르게 통합되어 있다. 필자는 vi 대신 vim 을 쓴 GNU win32 유틸리티를 권고한다, 또는 "MKS Toolkit"에서 사용할 수 있는 것들. 3.5 resource kit 의 POSIX 유틸리티는 NT 3.51에서 돌아가지 않는다.
perl.exe Perl 5 스크립트 언어. 모든 스크립트를 perl로!
c2config.exe 시스템이 C2 보안에 얼마나 잘 따르는지 보여주고 어떤 보안 문제들은 고칠 수 있게 해주는 유틸리티. 다음 절도 참조한다.
srvcheck.exe 명령줄 감사도구로 로컬이나 원격 서버에서 어떤 공유들이 어떤 사용허가로 export 되어 있는지 보여주는 감사 도구. 하지만 에러 메시지가 애매모호하다.
srvinfo.exe 명령줄 감사도구로 로컬이나 원격에서 실행중인 서비스, 디스크, CPU, 네트웍 카드/프로토콜/설정, OS 버전을 보여준다.
dumpel.exe 이벤트 로그를 덤프하는 명령줄 유틸리티. e.g.
dumpel -l security -s mycomputer 
fixacls.exe 시스템 파일의 NTFS 사용허가를 권장값으로 재설정하는 GUI.
ntrights.exe 사용자들이나 사용자 그룹들에 대한 권한을 설정/재설정하는 명령줄 도구.
findgrp.exe 사용자가 어떤 그룹에 속하는 지를 보여주는 명령줄 유틸리티, e.g.
C:\util>findgrp localmachine mydomain\administrator 
The user is in the following MYDOMAIN Global Groups: 
Domain Users 
Domain Admins 
The user is in the following MYDOMAIN Local Groups: 
Users 
Administrators 
getmac.exe MAC (이더넷의 물리적 주소) 을 보여주는 명령줄 유틸리티. e.g. 
C:\util>getmac 
Transport Address Transport Name 
----------------- -------------- 
00-80-5F-8C-72-AC \Device\NetBT_AMDPCN1 
robcopy.exe 명령줄에서 많은 파일들을 복사할 때 유용.
browstat.exe 브라우저 관리를 위한 명령줄.
drivers.exe 커널에 링크된 드라이버들을 메모리 사용량과 함께 나열.
pmon.exe 명령줄 프로세스 목록 (유닉스 ps 명령어와 비슷). 
pstat.exe pmon과 비슷한데, 이벤트와 핸들에 대한 세부사항이 있음.
diruse.exe 디렉토리의 크기를 검사.
scopy.exe 파일 & 디렉토리들을 복사하고, 보안 설정을 유지.
 netwatch.exe Net Watcher 는 공유 디렉토리에 연결된 사용자들을 보여주고 사용자의 연결 중단과 디렉토리 공유 해제를 할 수 있게 해준다. 동시에 여러 대의 컴퓨털르 모니터할 수도 있다.

C2 구성 유틸리티 (NT 3.51 및 그 이후)

Resource kit 에서 제공되는 c2config.exe 는 C2 레벨 보안의 빠르고 쉬운 감사를 가능하게 한다. 사용을 적극 권장한다. 새로운 3.51 서버에서 시작될 때는, 다음 화면이 나타난다:

위에서, 패스워드 길이와 게스트 계정만이 C2 보안을 준수한다. 다음과 같이 항목들을 안전하게 보안하도록 권고한다:

보안 항목들 권고사항  c2config.exe 로 고칠 수 있나?  
파일 시스템 안전하게 한다, 가능하면 NTFS 사용. NT4, 있다. 3.51, 없다. 디스크 관리자를 사용.
OS 구성  안전하게 한다. 가능하면, 도스는 설치하지 않는다. 없다. 제어판-> 시스템-> timeout=0. 
OS/2 서브시스템 안전하게 한다, OS/2 를 사용할 수 없게 한다. 있다.
POSIX 서브시스템  변경없음, POSIX는 관리하는 데 유용하고 심각한 위험을 가져오지 않는다. ------ 
보안 안전하게 한다, 로그를 덮어쓰기 하지 않는다. 있다.
감사 실패시 멈춤 가용성이 매우 중요하다면 변경 없음. 보안이 가용성보다 더 중요하다면 안전하게 한다. 있다 (권장하지 않음)
로그온 메시지 표시 안전하게 한다. 로그온 메시지를 표시한다. e.g. Caption "My Company PLC", Message Text "인가되지 않은 접속은 금지되어 있으며 고발될 수 있습니다. 있다.
마지막 사용자이름 표시  안전하게 한다. 마지막으로 로그인한 사용자이름을 숨긴다. 있다.
시스템 종료 버튼  안전하게 한다. 로그온 대화상자에서 버튼을 보이지 않게 한다. 있다.
패스워드 길이  안전하게 한다. 패스워드는 최소 6글자로 이루어져야 한다. 있다.
게스트 계정 안전하게 한다. 가능하면, 게스트 계정을 사용못하게 한다. 있다.
네트워킹  보존한다. 네트워킹 소프트웨어를 하나도 설치 안하는 것은 불가능하다! 없다.
드라이브 문자 & 프린터 미감한 시스템에 대해서는 안전하게 한다. 관리자만 드라이브 문자와 프린터를 지정할 수 있게 한다. 있다.
착탈식 매체 드라이브. 플로피를 안전하게 한다. 플로피 드라이브를 로그온 시 할당한다. CD-ROM 드라이브는 읽기 전용이므로, 로그온시 할당할 필요가 없다. 있다.
레지스트리 보안 안전하게 한다.
이것은 레지스트리에 있는 키들에 대한 접근통제 목록을 할당할 수 있게 하여 시스템 레지스트리 키들에 대한 접근을 제한한다. 적용된 사용허가는 c2regacl.inf. 파일에 정의된다. 		있다.
파일 시스템 보안 안전하게 한다.
이것은 시스템 디렉토리에 있는 파일들에 대해 접근통제 목록을 할당할 수 있게 한다.
적용된 사용허가는 c2ntfacl.inf 파일에 정의된다. 이 파일은 텍스트의 읽을 수 있는 형태이며 데이타나 어플리케이션 디렉토리들까지 보호하도록 확장될 수 있다. 이것은 사용자 디렉토리 & 데이타가 OS 와 별개의 디스크에 보관된다면 잘 동작할 것이다.
시스템 파일 사용허가를 설정하는 일반적 방법으로서 권고한다.. 		 있다.
기타 보안 항목 C2config 는 C2 레벨 보안을 따르도록 하기 위해 윈도우 NT 시스템의 모든 면을 탐지하거나 설정할 수 없다. 다음은 수동적으로 보안해야 한다:
  1. 전원 켤때의 패스워드
  2. 시스템 파티션 보안(for RISCs)
  3. 사용자 관리자 아이콘을 musrmmgr.exe 로 변경
  4. 사용자 권한 사용을 제한
 없다. 

어떻게:
  1. 컴퓨터마다 다르다.
  2. 디스크 관리자. 
  3. 3.5 만: 아이콘을 편집.

위의 세부사항대로 보안한 후, 화면에는 다음과 같이 나타난다:

 

DumpAcl

이 적극 권장되는 무료 유틸리티는 파일시스템 사용허가, 파일 & 프린터 공유, 레지스트리 사용허가, 사용자 & 그룹 계정 및 시스템 정책, 트러스트, 널 세션 공유, 권한 및 서비스를 검사하는 데 매우 유용하다. GUI와 명령줄 인터페이스를 가지고 있으며 www.systemtools.com/somarsoft 에서 다운로드할 수 있다.

다음 분석은 V2.56를 가지고 1995년 테스트 및 사용되었으며, 최근의 버전도 매우 유사하다.

set TARGET=server1
echo Target computer = %TARGET%, writing results in subdirectory %TARGET%.

mkdir %TARGET%
Echo Will now dump printers, shares, users, groups and policies...
pause

Echo Printers, shares, services and policies...
dumpacl /showaudit /rpt=printers /saveas=fixed /computer=%TARGET% /outfile=%TARGET%/printers.txt
dumpacl /showaudit /rpt=shares /saveas=fixed /computer=%TARGET% /outfile=%TARGET%/shares.txt
dumpacl /showaudit /rpt=services /saveas=fixed /computer=%TARGET% /outfile=%TARGET%/services.txt
dumpacl /showaudit /rpt=policy /saveas=fixed /computer=%TARGET% /outfile=%TARGET%/policy.txt

Echo Users and groups ...
dumpacl /showaudit /rpt=groups /saveas=fixed /computer=%TARGET% /outfile=%TARGET%/groups.txt
dumpacl /showaudit /rpt=users /saveas=fixed /computer=%TARGET% /outfile=%TARGET%/users.txt

Echo Files...
dumpacl /showaudit /rpt=dir=C:\ /saveas=fixed /computer=%TARGET% /outfile=%TARGET%/files_c.txt
Echo Registry HKEY_LOCAL_MACHINE...
dumpacl /showaudit /rpt=registry=HKEY_LOCAL_MACHINE /saveas=fixed /computer=%TARGET% /outfile=%TARGET%/HKEY_LOCAL_MACHINE.txt
Echo Registry HKEY_USERS...
dumpacl /showaudit /rpt=registry=HKEY_USERS /saveas=fixed /computer=%TARGET% /outfile=%TARGET%/HKEY_USERS.txt

Note: To see what lines are should really be where, set you browser to full screen

DumpAcl 은 또한 대화식 그래픽 인터페이스도 가지고 있다. 보고서를 볼 수 있고, 인쇄하거나 파일에 저장할 수 있다. 시스템 감사에 권고된다. 다음은 정책 보고서의 결과물 예제이다:

Regsnap

이 저렴한 작은 도구는 ( www.soft4you.com 또는 www.webdon.com 참조) 레지스트리&시스템 파일의 스냅샷을 취한다. 또한 스냅샷들을 서로 비교하여 어떤 키나 파일들이 변경되었거나 추가/삭제되었는지 보여줄 수도 있다. 인터페이스는 쉽고, 출력은 HTML이나 텍스트이다.

1998년 12월 NT4 SP3 에서 V2.51 테스트.

Perl

NT의 표준 명령어 언어 (도스 명령어 같은) 는 사실상 쓸모가 없다.
Perl 5 언어가 NT resource kit 에서 제공된다. Perl 은 이미 유닉스 시스템 관리쪽에서는 기반이 확고히 자리잡혔고 준표준으로 받아들여진다. NT Perl은 아주 빨리 발달하였고 사용자 관리, 스케쥴, 네트웍 관리, 웹/CGI 등에 특화된 모듈들을 CPAN 에서 구할 수 있다.

Resource kit 에 포함된 Perl은 매우 빨리 시대에 뒤떨어지는 경향이 있으므로, www.perl.com 에서 새것으로 업데이트한다.

Postmail

Postmail.exe 은 SMTP 명령줄 이메일 클라이언트로, 프로그램/스크립트의 결과물을 시스템 관리자에게 (유닉스 메일을 통해) 메일로 보내는데 아주 편리하다. www.software.com 에서 무료로 얻을 수 있다.

기타

Footnotes:

[1] [nt1] 80-81 페이지 참조.
[2] [nt1] 83 페이지 참조.
[3] NT resource kit.
[4] [nt2] 3 장, customising setup 참조.
[5] Everyone & Administrator 그룹은 `네트워크에서 이 시스템에 접근' 권한을 가지고 있다.
[6] 계정 운영자들은 Administrators, Domain Admins 글로벌 그룹이나 로컬그룹:Administrators, Servers, Account Operators, Print Operators, Backup Operators의 계정을 변경할 수 없다.
[7] 사용자가 로컬에서 로그온 권한을 가지고 있거나 도메인 사용자 관리자 프로그램에 접근할 수 있을 때만.
[8] [nt6] 87 페이지 참조.
[9] [nt1] 110 페이지 참조.

previous  next  Title  Contents  Index   Previous  Next Top Detailed TOC IT Security Cookbook, 12 November, 2000