KB4457951: 예측 실행 부채널 취약성으로부터 보호하기 위한 Windows 지침

최신 Windows 업데이트 확보 및 적용

월별 Windows 보안 업데이트를 비롯하여 제공되는 모든 Windows 운영 체제 업데이트를 적용합니다. 영향을 받는 제품의 표는 Microsoft의 L1TF용 보안 공지 | ADV 180018, MDS용 보안 공지 | ADV 190013, MMIO용 보안 공지 | ADV220002 및 Windows 커널 정보 공개 취약성에 대한 보안 취약성 | CVE-2019-11135에서 확인할 수 있습니다.

최신 마이크로코드 또는 펌웨어 업데이트 확보 및 적용

최신 Windows 보안 업데이트를 설치하는 것 외에도 프로세서 마이크로코드 또는 펌웨어 업데이트가 필요할 수 있습니다. 디바이스 OEM에서 디바이스에 적합한 최신 마이크로코드 업데이트를 가져오고 적용하는 것이 좋습니다. 마이크로코드 또는 펌웨어 업데이트에 대한 자세한 내용은 다음 참조를 참조하세요.

• KB4093836: Intel 마이크로코드 업데이트 요약

• Intel 및 AMD 프로세서용 마이크로코드 업데이트 이해 커뮤니티 문서

• Intel 제품 보안 센터 권고

• AMD 제품 보안

참고: 중첩된 가상화(게스트 VM에서 Hyper-V 컨테이너 실행 포함)를 사용하는 경우 게스트 VM에 새 마이크로코드 인식 기능을 노출해야 합니다. 이렇게 하려면 VM 구성을 버전 8로 업그레이드해야 할 수 있습니다. 버전 8에는 마이크로코드 개발 사항이 기본적으로 포함되어 있습니다. 자세한 내용 및 필요한 단계는 다음 Microsoft Docs 문서를 참조하세요.

중첩된 가상화를 사용하여 가상 머신에서 Hyper-V 실행

HT(하이퍼 스레딩)를 사용하지 않도록 설정해야 하나요?

L1TF 및 MDS 취약성은 Microsoft VBS(가상화 기반 보안)를 통해 유지되는 암호 및 Hyper-V 가상 머신의 기밀성이 부채널 공격으로 침해될 수 있는 위험한 상황의 원인이 됩니다. HT(하이퍼 스레딩)가 사용하도록 설정되어 있으면 Hyper-V와 VBS에서 제공하는 보안 경계가 모두 약화됩니다.

Hyper-V코어 스케줄러(Windows Server 2016 및 Windows 10 버전 1607부터 사용 가능)는 하이퍼스레딩을 계속 사용하도록 설정한상태로 유지하면서 Hyper-V 가상 머신에 대한 L1TF 및 MDS 공격 벡터를 완화합니다. 이렇게 하면 성능에 미치는 영향도 최소화됩니다.

Hyper-V 코어 스케줄러는 VBS 보안 기능에 대해 L1TF 또는 MDS 공격 벡터를 완화하지 않습니다. HT(하이퍼 스레딩)를 사용하도록 설정한 경우 L1TF 및 MDS 취약성은 부채널 공격을 통해 VBS 암호의 기밀성을 손상시켜 VBS가 제공한 보안 경계를 약화시키는 위험을 야기할 수 있습니다. HT를 사용하도록 설정하면 이렇게 위험이 커진 상황에서도 VBS가 보안상의 이점을 제공하며 광범위한 공격을 완화합니다. 따라서 VBS는 계속 HT를 사용하도록 설정한 시스템에서 사용하는 것이 좋습니다. L1TF 및 MDS 취약성이 VBS의 기밀성에 미치는 잠재적 위험을 제거하고자 하는 고객은 이 추가 위험을 완화하기 위해 HT를 사용하지 않도록 설정해야 합니다.

L1TF 및 MDS 취약성으로 인해 Windows Server 2016 이전 Hyper-V 버전의 기밀성에 유발되는 위험이나 VBS 보안 기능에 발생하는 위험을 방지하려는 고객은 신중하게 결정하고 HT를 사용하지 않도록 설정해야 합니다. 일반적으로 이러한 사항을 결정할 때는 다음과 같은 지침을 기준으로 삼아야 합니다.

• Hyper-V를 실행하지 않고 VBS로 보호되는 보안 기능을 사용하지 않는 Windows 10 버전 1607 및 Windows Server 2016 이상의 시스템의 경우 고객은 HT를 사용하지 않도록 설정해서는 안 됩니다.

• Hyper-V와 코어 스케줄러를 함께 실행하지만 VBS로 보호되는 보안 기능을 사용하지 않는 Windows 10 버전 1607 및 Windows Server 2016 이상의 시스템의 경우 고객은 HT를 사용하지 않도록 설정해서는 안 됩니다.

• Hyper-V를 실행하는 Windows 10 버전 1511 및 Windows Server 2012 R2 이하 시스템의 경우 고객은 위험을 완화하기 위해 HT를 사용하지 않도록 설정해야 합니다.

HT를 사용하지 않도록 설정하는 데 필요한 단계는 OEM마다 다릅니다. 하지만 일반적으로 BIOS 또는 펌웨어 설정 및 구성 도구를 통해 수행합니다.

Microsoft는 BIOS 또는 펌웨어 설정 및 구성 도구에서 HT를 비활성화하는 것이 어렵거나 불가능할 경우 소프트웨어 설정을 통해 하이퍼 스레딩 기술을 비활성화하는 기능도 도입했습니다. HT를 비활성화하는 소프트웨어 설정은 BIOS 또는 펌웨어 설정이 불가능할 경우에 사용하며 기본적으로 비활성화되어 있습니다(즉, HT가 BIOS 또는 펌웨어 설정을 따라 갑니다). 이 설정과 이를 사용하여 HT를 비활성화하는 방법은 다음 문서를 참조하세요.

4072698 예측 실행 부채널 취약성 방지를 위한 Windows Server 관련 지침

가능한 경우, HT가 비활성화될 수 있도록 BIOS 또는 펌웨어에서 HT를 비활성화하는 것이 좋습니다.

참고: 하이퍼 스레딩을 비활성화할 경우 CPU 코어가 줄어듭니다. 이로 인해 최소 CPU 코어가 작동하도록 하는 기능에 영향을 미칠 수 있습니다. 예: WDAG(Windows Defender Application Guard).

Hyper-V 코어 스케줄러를 사용하도록 설정하고 코어당 VM 하드웨어 스레드 수를 2로 설정

참고: 이 완화 조치는 Windows Server 2016 및 버전 1809 이전의 Windows 10에만 적용됩니다. 코어 스케줄러는 기본적으로 Windows Server 2019 및 Windows 10 버전 1809부터 사용할 수 있습니다.

코어 스케줄러를 사용하려면 먼저 Hyper-V 호스트에서 스케줄러를 사용하도록 설정한 다음 코어당 하드웨어 스레드 수를 2로 설정하여 이를 활용하도록 각 VM을 구성하는 2단계 프로세스를 거쳐야 합니다.

Windows Server 2016 및 Windows 10 버전 1607에 도입된 Hyper-V 코어 스케줄러는 클래식 스케줄러 로직의 새로운 대안입니다. 코어 스케줄러는 HT를 사용하는 Hyper-V 호스트에서 실행되는 VM 내에서 작업의 성능 변화를 줄여줍니다.

Hyper-V 코어 스케줄러에 대한 자세한 설명과 이를 사용하도록 설정하는 단계는 다음 Windows IT Pro Center 문서를 참조하세요.

Hyper-V 하이퍼바이저 스케줄러 유형 이해 및 사용

Windows Server 2016 또는 Windows 10에서 Hyper-V 코어 스케줄러를 사용하도록 설정하려면 다음 명령을 입력합니다.

bcdedit /set HypervisorSchedulerType core

다음으로, 코어당 지정된 VM의 하드웨어 스레드 수를 2(2)로 구성할지 여부를 결정합니다. 가상 프로세서가 게스트 가상 머신에 하이퍼스레딩되어 있다는 사실을 노출하면 VM 운영 체제의 스케줄러와 VM 워크로드가 자체 작업 일정에서 HT를 사용하도록 설정합니다. 이렇게 하려면 다음 PowerShell 명령을 입력합니다. 여기서 <VMName>은 가상 머신의 이름입니다.

Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2

공지 CVE-2017-5715, CVE-2017-5754, CVE-2019-11135에 대해 완화 기능 사용

참고: 이 완화 기능은 Windows Server 2019 및 Windows 클라이언트 운영 체제에서 기본적으로 사용됩니다.

공지 CVE-2017-5715, CVE-2017-5754, CVE-2019-11135에 대해 완화 기능을 사용하도록 설정하려면 다음 문서의 지침을 따릅니다.

4072698 예측 실행 부채널 취약성으로부터 보호하기 위한 Windows Server 지침

4073119 예측 실행 부채널 취약성으로부터 보호하기 위한 IT 전문가용 Windows 클라이언트 지침

참고: 이러한 완화 기능은 Windows 커널용 완화 기능 및 CVE-2018-3620에 설명된 완화 기능에 대한 안전한 페이지 프레임 비트 완화 기능을 포함하며 이를 자동으로 사용하도록 설정합니다. 안전한 페이지 프레임 비트 완화 기능에 대한 자세한 설명은 다음 Security Research & Defense 블로그 문서를 참조하세요.

L1TF(L1 터미널 결함)의 분석 및 완화