보안 설정 및 사용자 권한 할당을 변경하는 경우 클라이언트, 서비스 및 프로그램 문제가 발생할 수 있습니다.

적용 대상
Microsoft Windows XP Professional

요약​​

로컬 정책 및 그룹 정책에서 보안 설정 및 사용자 권한 할당을 변경하여 도메인 컨트롤러 및 구성원 컴퓨터에 대한 보안을 강화할 수 있습니다. 그러나 강화된 보안의 단점은 클라이언트, 서비스 및 프로그램과의 비호환성이 도입된다는 것입니다.

이 문서에서는 Windows Server 2003 도메인 또는 이전 Windows Server 도메인에서 특정 보안 설정 및 사용자 권한 할당을 변경할 때 Windows Server XP 또는 Windows Server 버전을 실행하는 클라이언트 컴퓨터에서 발생할 수 있는 비호환성 문제에 대해 설명합니다.

Windows 7, Windows Server 2008 R2 및 Windows Server 2008의 그룹 정책에 대한 자세한 내용은 다음 문서를 참조하세요.

참고: 이 문서의 나머지 내용은 Windows XP, Windows Server 2003 및 이전 버전의 Windows에만 해당됩니다.

Windows XP

잘못 구성된 보안 설정에 대한 인식을 높이려면 그룹 정책 개체 편집기 도구를 사용하여 보안 설정을 변경합니다. 그룹 정책 개체 편집기를 사용하면 다음 운영 체제에서 사용자 권한 할당이 향상됩니다.

  • Windows XP Professional SP2(서비스 팩 2)
  • Windows Server 2003 SP1(서비스 팩 1)

향상된 기능은 이 문서에 대한 링크가 포함된 대화 상자입니다. 이 대화 상자는 보안 설정 또는 사용자 권한 할당을 호환성이 낮고 제한적인 설정으로 변경하면 나타납니다. 레지스트리 또는 보안 템플릿을 사용하여 동일한 보안 설정 또는 사용자 권한 할당을 직접 변경하는 경우 효과는 그룹 정책 개체 편집기에서 설정을 변경하는 것과 동일합니다. 그러나, 이 문서에 대한 링크가 포함된 대화 상자는 나타나지 않습니다.

이 문서에는 특정 보안 설정 또는 사용자 권한 할당의 영향을 받는 클라이언트, 프로그램 및 작업의 예제가 포함되어 있습니다. 그러나 이 예제가 영향을 받는 모든 Microsoft 운영 체제, 모든 타사 운영 체제 또는 모든 프로그램 버전에 대해 신뢰할 수 있는 것은 아닙니다. 일부 보안 설정 및 사용자 권한 할당이 이 문서에 포함되어 있지는 않습니다.

프로덕션 환경에 도입하기 전에 테스트 포리스트에서 모든 보안 관련 구성 변경 내용의 호환성을 확인하는 것이 좋습니다. 테스트 포리스트는 다음과 같은 방식으로 프로덕션 포리스트를 미러해야 합니다.

  • 클라이언트 및 서버 운영 체제 버전, 클라이언트 및 서버 프로그램, 서비스 팩 버전, 핫픽스, 스키마 변경, 보안 그룹, 그룹 구성원, 파일 시스템의 개체에 대한 사용 권한, 공유 폴더, 레지스트리, Active Directory 디렉터리 서비스, 로컬 및 그룹 정책 설정, 개체 수 유형 및 위치

  • 수행되는 관리 작업, 사용되는 관리 도구, 관리 작업을 수행하는 데 사용되는 운영 체제

  • 다음과 같이 수행되는 작업입니다.

    • 컴퓨터 및 사용자 로그온 인증
    • 사용자, 컴퓨터 및 관리자에 의한 암호 재설정
    • 브라우징
    • 모든 계정 또는 리소스 도메인의 모든 클라이언트 운영 체제에서 ACL 편집기를 사용하여 파일 시스템, 공유 폴더, 레지스트리 및 Active Directory 리소스에 대한 사용 권한을 설정합니다. 모든 계정 또는 리소스 도메인의 모든 클라이언트 운영 체제의 리소스 도메인
    • 관리 및 비관리 계정에서 인쇄

Windows Server 2003 SP1

Gpedit.msc의 경고

네트워크에 부정적인 영향을 미칠 수 있는 사용자 권한 또는 보안 옵션을 편집하고 있음을 고객에게 알릴 수 있도록 gpedit.msc에 두 가지 경고 메커니즘이 추가되었습니다. 관리자가 전체 기업에 부정적인 영향을 줄 수 있는 사용자 권한을 편집할 때 양보 기호와 유사한 새 아이콘이 표시됩니다. 또한 Microsoft 기술 자료 문서 823659에 대한 링크가 포함된 경고 메시지도 받게 됩니다. 이 메시지의 텍스트는 다음과 같습니다.

이 설정을 수정하면 클라이언트, 서비스 및 애플리케이션과의 호환성에 영향을 줄 수 있습니다. 자세한 내용은 수정> 중인 사용자 권한 또는 보안 옵션(Q823659)을 참조하세요<. Gpedit.msc의 링크에서 이 기술 자료 문서로 이동한 경우 제공된 설명과 이 설정을 변경할 경우 가능한 영향을 읽고 이해해야 합니다. 다음은 경고 텍스트가 포함된 사용자 권한 목록입니다.

  • 네트워크에서 이 컴퓨터에 액세스
  • 로컬로 로그온
  • 트래버스 확인 통과
  • 신뢰할 수 있는 위임에 대해 컴퓨터 및 사용자 사용 설정

다음은 경고 및 팝업 메시지가 있는 보안 옵션 목록입니다.

  • 도메인 구성원: 보안 채널 데이터를 디지털 암호화 또는 서명(항상)
  • 도메인 구성원: 고급 세션 키 요청(Windows 2000 이상 버전)
  • 도메인 컨트롤러: LDAP 서버 서명 요구 사항
  • Microsoft 네트워크 서버: 디지털 서명 통신(항상)
  • 네트워크 액세스: 익명 SID/이름 번역 허용
  • 네트워크 액세스: SAM 계정 및 공유의 익명 열거 허용 안 함
  • 네트워크 보안: LAN Manager 인증 수준
  • 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료
  • 네트워크 액세스: LDAP 클라이언트 서명 요구 사항

추가 정보

다음 섹션에서는 Windows NT 4.0 도메인, Windows 2000 도메인 및 Windows Server 2003 도메인의 특정 설정을 변경할 때 발생할 수 있는 비호환성 문제에 대해 설명합니다.

사용자 권한

다음 목록에서는 사용자 권한에 대해 설명하고 문제를 일으킬 수 있는 구성 설정을 식별하고 사용자 권한을 적용해야 하는 이유 및 사용자 권한을 제거해야 하는 이유를 설명하고 사용자 권한을 구성할 때 발생할 수 있는 호환성 문제의 예를 제공합니다.

  1. 네트워크에서 이 컴퓨터에 액세스

    1. 배경

      원격 Windows 기반 컴퓨터와 상호 작용하려면 네트워크에서 이 컴퓨터에 액세스 사용자 권한이 필요합니다. 이러한 네트워크 작업의 예는 다음과 같습니다.

      • 공통 도메인 또는 포리스트의 도메인 컨트롤러 간 Active Directory 복제
      • 사용자 및 컴퓨터의 도메인 컨트롤러에 대한 인증 요청
      • 네트워크의 원격 컴퓨터에 있는 공유 폴더, 프린터 및 기타 시스템 서비스에 대한 액세스

      사용자, 컴퓨터 및 서비스 계정은 이 사용자 권한이 부여된 보안 그룹에서 명시적 또는 묵시적으로 추가 또는 제거됨으로써 네트워크에서 이 컴퓨터에 액세스할 수 있는 사용자 권한을 얻거나 잃게 됩니다. 예를 들어 사용자 계정 또는 컴퓨터 계정은 관리자가 사용자 지정 보안 그룹 또는 기본 제공 보안 그룹에 명시적으로 추가하거나 운영 체제에서 도메인 사용자, 인증된 사용자 또는 엔터프라이즈 도메인 컨트롤러와 같은 계산된 보안 그룹에 암시적으로 추가할 수 있습니다.

      기본적으로 사용자 계정 및 컴퓨터 계정에는 모든 사용자 또는 가급적 인증된 사용자 및 도메인 컨트롤러의 경우 엔터프라이즈 도메인 컨트롤러 그룹과 같은 계산 그룹이 기본 도메인 컨트롤러 GPO(그룹 정책 개체)에 정의되어 있을 때 네트워크에서 이 그룹 정책 사용자 권한이 부여됩니다.

    2. 위험한 구성

      다음은 유해한 구성 설정입니다.

      • 이 사용자 권한에서 엔터프라이즈 도메인 컨트롤러 보안 그룹 제거
      • 사용자, 컴퓨터 및 서비스 계정에 네트워크를 통해 컴퓨터에 연결할 수 있는 사용자 권한을 허용하는 인증된 사용자 그룹 또는 명시적 그룹 제거
      • 이 사용자 권한에서 모든 사용자 및 컴퓨터 제거

    3. 이 사용자 권한을 부여하는 이유

      • 네트워크에서 이 컴퓨터의 액세스 권한 사용자 권한을 엔터프라이즈 도메인 컨트롤러 그룹에 부여하면 Active Directory 복제가 동일한 포리스트의 도메인 컨트롤러 간에 복제되는 데 필요한 인증 요구 사항을 충족합니다.
      • 이 사용자 권한을 사용하면 사용자와 컴퓨터가 Active Directory를 비롯한 공유 파일, 프린터 및 시스템 서비스에 액세스할 수 있습니다.
      • 사용자가 초기 버전의 Microsoft OWA(Outlook Web Access)를 사용하여 메일에 액세스하려면 이 사용자 권한이 필요합니다.

    4. 이 사용자 권한을 제거하는 이유

      • 컴퓨터를 네트워크에 연결할 수 있는 사용자는 사용 권한이 있는 원격 컴퓨터의 리소스에 액세스할 수 있습니다. 예를 들어 사용자가 공유 프린터 및 폴더에 연결하는 데 이 사용자 권한이 필요합니다. 이 사용자 권한이 Everyone 그룹에 부여된 경우 그리고 일부 공유 폴더에 공유 및 NTFS 파일 시스템 권한이 모두 구성되어 동일한 그룹이 읽기 액세스 권한을 갖도록 하면 누구나 해당 공유 폴더의 파일을 볼 수 있습니다. 그러나 Windows Server 2003의 기본 공유 및 NTFS 권한에는 Everyone 그룹이 포함되지 않으므로 Windows Server 2003을 새로 설치하는 경우에는 이러한 상황이 발생할 가능성이 낮습니다. Microsoft Windows NT 4.0 또는 Windows 2000에서 업그레이드한 시스템의 경우 이러한 운영 체제에 대한 기본 공유 및 파일 시스템 사용 권한이 Windows Server 2003의 기본 사용 권한만큼 제한적이지 않기 때문에 이 취약성의 위험이 더 높을 수 있습니다.
      • 이 사용자 권한에서 엔터프라이즈 도메인 컨트롤러 그룹을 제거할 타당한 이유가 없습니다.
      • 일반적으로 Everyone 그룹은 제거되고 Authenticated Users 그룹이 추가됩니다. Everyone 그룹이 제거되면 인증된 사용자 그룹에 이 사용자 권한이 부여되어야 합니다.
      • Windows 2000으로 업그레이드된 Windows NT 4.0 도메인은 Everyone 그룹, Authenticated Users 그룹 또는 Enterprise 도메인 컨트롤러 그룹에 네트워크 사용자 권한을 명시적으로 부여하지 않습니다. 따라서 Windows NT 4.0 도메인 정책에서 Everyone 그룹을 제거하면 Windows 2000으로 업그레이드한 후 "액세스 거부" 오류 메시지와 함께 Active Directory 복제가 실패합니다. Windows Server 2003의 Winnt32.exe는 Windows NT 4.0 PDC(주 도메인 컨트롤러)로 업그레이드할 때 엔터프라이즈 도메인 컨트롤러 그룹에 이 사용자 권한을 부여하여 이러한 잘못된 구성을 방지합니다. 이 사용자 권한이 그룹 정책 개체 편집기에 없는 경우 엔터프라이즈 도메인 컨트롤러 그룹에 그룹 정책 개체 권한을 부여합니다.

    5. 호환성 문제의 예

      • Windows 2000 및 Windows Server 2003: 다음 파티션의 복제는 REPLMON 및 REPADMIN과 같은 모니터링 도구에서 보고한 "액세스 거부" 오류 또는 이벤트 로그의 복제 이벤트와 함께 실패합니다.

        • Active Directory 스키마 파티션
        • 구성 파티션
        • 도메인 파티션
        • 글로벌 카탈로그 파티션
        • 응용 프로그램 파티션

      • 모든 Microsoft 네트워크 운영 체제: 사용자 또는 사용자가 구성원인 보안 그룹에 이 사용자 권한이 부여되지 않으면 원격 네트워크 클라이언트 컴퓨터의 사용자 계정 인증이 실패합니다.

      • 모든 Microsoft 네트워크 운영 체제: 계정이나 계정이 구성원인 보안 그룹에 이 사용자 권한이 부여되지 않으면 원격 네트워크 클라이언트의 계정 인증이 실패합니다. 이 시나리오는 사용자 계정, 컴퓨터 계정 및 서비스 계정에 적용됩니다.

      • 모든 Microsoft 네트워크 운영 체제: 이 사용자 권한에서 모든 계정을 제거하면 어떤 계정도 도메인에 로그온하거나 네트워크 리소스에 액세스할 수 없습니다. 엔터프라이즈 도메인 컨트롤러, 모든 사용자 또는 인증된 사용자와 같은 계산 그룹이 제거되면 네트워크를 통해 원격 컴퓨터에 액세스하려면 계정 또는 계정이 구성원인 보안 그룹에 이 사용자 권한을 명시적으로 부여해야 합니다. 이 시나리오는 모든 사용자 계정, 모든 컴퓨터 계정 및 모든 서비스 계정에 적용됩니다.

      • 모든 Microsoft 네트워크 운영 체제: 로컬 관리자 계정은 "빈" 암호를 사용합니다. 도메인 환경의 관리자 계정에서는 빈 암호를 사용한 네트워크 연결이 허용되지 않습니다. 이 구성을 사용하면 "액세스 거부" 오류 메시지가 나타날 수 있습니다.

  2. 로컬 로그온 허용

    1. 배경

      Ctrl+Alt+Delete 바로 가기 키를 사용하여 Windows 기반 컴퓨터의 콘솔에 로그온하려는 사용자와 서비스를 시작하려는 계정에는 호스팅 컴퓨터에 대한 로컬 로그온 권한이 있어야 합니다. 로컬 로그온 작업의 예로는 엔터프라이즈 전체의 구성원 컴퓨터 또는 도메인 컨트롤러의 콘솔에 로그온하는 관리자와 권한이 없는 계정을 사용하여 데스크톱에 액세스하기 위해 구성원 컴퓨터에 로그온하는 도메인 사용자가 있습니다. 원격 데스크톱 연결 또는 터미널 서비스를 사용하는 사용자는 Windows 2000 또는 Windows XP를 실행하는 대상 컴퓨터에 대한 로컬로 로그온 허용 사용자 권한이 있어야 합니다. 이러한 로그온 모드는 호스팅 컴퓨터에 로컬로 간주되기 때문입니다. 터미널 서버를 사용하도록 설정한 서버에 로그온하는 중이지만 이 사용자 권한이 없는 사용자는 터미널 서비스를 통한 로그온 허용 사용자 권한이 있는 경우 Windows Server 2003 도메인에서 원격 대화형 세션을 계속 시작할 수 있습니다.

    2. 위험한 구성

      다음은 유해한 구성 설정입니다.

      • 기본 도메인 컨트롤러의 정책에서 계정 운영자, 백업 운영자, 인쇄 운영자 또는 서버 운영자 및 기본 제공 관리자 그룹을 비롯한 관리 보안 그룹을 제거합니다.
      • 기본 도메인 컨트롤러의 정책에서 구성원 컴퓨터와 도메인의 도메인 컨트롤러에서 구성 요소 및 프로그램에서 사용하는 서비스 계정을 제거합니다.
      • 도메인에 속한 구성원 컴퓨터의 콘솔에 로그온하는 사용자 또는 보안 그룹을 제거합니다.
      • 구성원 컴퓨터 또는 작업 그룹 컴퓨터의 로컬 SAM(보안 계정 관리자) 데이터베이스에 정의된 서비스 계정을 제거합니다.
      • 도메인 컨트롤러에서 실행되는 터미널 서비스를 통해 인증하는 기본 제공 이외의 관리 계정을 제거합니다.
      • Everyone 그룹을 통해 도메인의 모든 사용자 계정을 명시적으로 또는 암시적으로 로컬 로그온 거부 로그온 권한에 추가합니다. 이 구성을 사용하면 사용자가 도메인의 구성원 컴퓨터나 도메인 내 도메인 컨트롤러에 로그온할 수 없습니다.

    3. 이 사용자 권한을 부여하는 이유

      • 사용자에게 작업 그룹 컴퓨터, 구성원 컴퓨터 또는 도메인 컨트롤러의 콘솔 또는 데스크톱 또는 로컬 로그온 허용 사용자 권한이 있어야 합니다.
      • 사용자가 Window 2000 기반 구성원 컴퓨터나 도메인 컨트롤러에서 실행되는 터미널 서비스 세션을 통해 로그온하려면 이 사용자 권한이 있어야 합니다.

    4. 이 사용자 권한을 제거하는 이유

      • 합법적인 사용자 계정으로 콘솔 액세스를 제한하지 않으면 권한이 없는 사용자가 악성 코드를 다운로드하고 실행하여 사용자 권한을 변경할 수 있습니다.
      • 로컬 로그온 허용 사용자 권한을 제거하면 도메인 컨트롤러나 응용 프로그램 서버와 같은 컴퓨터의 콘솔에서 무단 로그온을 방지할 수 있습니다.
      • 이 로그온 권한을 제거하면 도메인이 아닌 계정이 도메인에 속한 구성원 컴퓨터의 콘솔에서 로그온할 수 없게 됩니다.

    5. 호환성 문제의 예

      • Windows 2000 터미널 서버: 사용자가 Windows 2000 터미널 서버에 로그온하려면 로컬 로그온 허용 사용자 권한이 필요합니다.
      • Windows NT 4.0, Windows 2000, Windows XP 또는 Windows Server 2003: Windows NT 4.0, Windows 2000, Windows XP 또는 Windows Server 2003을 실행하는 컴퓨터의 콘솔에 로그온하려면 사용자 계정에 이 사용자 권한을 부여해야 합니다.
      • Windows NT 4.0 이상: Windows NT 4.0 이상을 실행하는 컴퓨터에서 로컬 로그온 허용 사용자 권한을 추가하지만 암시적으로 또는 명시적으로 로컬 로그온 거부 로그온 권한도 부여하면 계정이 도메인 컨트롤러의 콘솔에 로그온할 수 없습니다.

  3. 트래버스 확인 통과

    1. 배경

      통과 통과 검사 사용자 권한을 사용하면 사용자가 통과 폴더 특수 액세스 권한을 확인하지 않고 NTFS 파일 시스템 또는 레지스트리의 폴더를 탐색할 수 있습니다. 트래버스 검사 우회 사용자 권한은 사용자가 폴더의 내용을 나열하는 것을 허용하지 않습니다. 사용자는 해당 폴더만 탐색할 수 있습니다.

    2. 위험한 구성

      다음은 유해한 구성 설정입니다.

      • 파일 시스템의 파일 및 폴더에 액세스할 수 있는 권한이 없는 Windows 2000 기반 터미널 서비스 컴퓨터 또는 Windows Server 2003 기반 터미널 서비스 컴퓨터에 로그온하는 비관리 계정을 제거합니다.
      • 기본적으로 이 사용자 권한이 있는 보안 주체 목록에서 Everyone 그룹을 제거합니다. Windows 운영 체제와 많은 프로그램은 컴퓨터에 합법적으로 액세스할 수 있는 모든 사용자가 트래버스 검사 우회 사용자 권한을 가질 수 있도록 설계되었습니다. 따라서 기본적으로 이 사용자 권한이 있는 보안 주체 목록에서 Everyone 그룹을 제거하면 운영 체제가 불안정해지거나 프로그램 오류가 발생할 수 있습니다. 이 설정을 기본값으로 두는 것이 좋습니다.

    3. 이 사용자 권한을 부여하는 이유

      통과 통과 검사 사용자 권한의 기본 설정은 누구나 통과 검사를 우회할 수 있도록 허용하는 것입니다. 숙련된 Windows 시스템 관리자의 경우 이는 예상되는 동작이며 그에 따라 파일 시스템 액세스 제어 목록(SACL)을 구성합니다. 기본 구성으로 인해 오류가 발생할 수 있는 유일한 시나리오는 사용 권한을 구성하는 관리자가 동작을 이해하지 못하고 상위 폴더에 액세스할 수 없는 사용자가 하위 폴더의 내용에 액세스할 수 없을 것으로 예상하는 경우입니다.

    4. 이 사용자 권한을 제거하는 이유

      파일 시스템의 파일이나 폴더에 대한 액세스를 방지하기 위해 보안에 관심이 많은 조직은 트래버스 검사 우회 사용자 권한이 있는 그룹 목록에서 Everyone 그룹 또는 사용자 그룹을 제거하려고 할 수 있습니다.

    5. 호환성 문제의 예

      • Windows 2000, Windows Server 2003: Windows 2000 또는 Windows Server 2003을 실행하는 컴퓨터에서 트래버스 검사 바이패스 사용자 권한이 제거되었거나 잘못 구성된 경우 SYVOL 폴더의 그룹 정책 설정이 도메인의 도메인 컨트롤러 간에 복제되지 않습니다.

      • Windows 2000, Windows XP Professional, Windows Server 2003: Windows 2000, Windows XP Professional 또는 Windows Server 2003을 실행하는 컴퓨터는 이벤트 1000 및 1202를 기록하며, 트래버스 검사 우회 사용자 권한이 제거되거나 잘못 구성된 경우 SYSVOL 트리에서 필요한 파일 시스템 권한을 제거할 때 컴퓨터 정책 및 사용자 정책을 적용할 수 없습니다.

         

      • Windows 2000, Windows Server 2003: Windows 2000 또는 Windows Server 2003을 실행하는 컴퓨터에서 볼륨의 속성을 볼 때 Windows Explorer의 할당량 탭이 사라집니다.

      • Windows 2000: 관리자가 아닌 경우 Windows 2000 터미널 서버에 로그온하면 다음과 같은 오류 메시지가 나타날 수 있습니다.

        참고

        Userinit.exe 응용 프로그램 오류입니다. 응용 프로그램이 제대로 초기화되지 못0xc0000142 확인을 클릭하여 앱을 종료합니다.

      • Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003: 컴퓨터에서 Windows NT 4.0, Windows 2000, Windows XP 또는 Windows Server 2003을 실행하는 사용자는 공유 폴더 또는 공유 폴더의 파일에 액세스할 수 없으며 트래버스 검사 우회 권한이 부여되지 않은 경우 "액세스 거부" 오류 메시지가 나타날 수 있습니다 사용자 권한입니다.

         

      • Windows NT 4.0: Windows NT 4.0 기반 컴퓨터에서 트래버스 검사 우회 사용자 권한을 제거하면 파일 복사본에서 파일 스트림이 삭제됩니다. 이 사용자 권한을 제거하면 Windows 클라이언트 또는 Macintosh 클라이언트에서 Macintosh용 서비스를 실행하는 Windows NT 4.0 도메인 컨트롤러로 파일을 복사할 때 대상 파일 스트림이 손실되고 파일이 텍스트 전용 파일로 표시됩니다.

      • Microsoft Windows 95, Microsoft Windows 98: Windows 95 또는 Windows 98을 실행하는 클라이언트 컴퓨터에서 인증된 사용자 그룹에 트래버스 검사 우회 사용자 권한이 부여되지 않은 경우 net use * /home 명령이 "액세스 거부" 오류 메시지와 함께 실패합니다.

      • Outlook Web Access: 관리자가 아닌 사용자는 Microsoft Outlook Web Access에 로그온할 수 없으며, 트래버스 검사 우회 사용자 권한이 부여되지 않은 경우 "액세스 거부" 오류 메시지가 표시됩니다.

보안 설정

다음 목록에서는 보안 설정을 식별하고, 중첩 목록에서는 보안 설정에 대한 설명과 문제를 일으킬 수 있는 구성 설정을 식별하고, 보안 설정을 적용해야 하는 이유를 설명하고, 보안 설정을 제거해야 하는 이유를 설명합니다. 그런 다음 중첩 목록은 보안 설정에 대한 기호 이름과 보안 설정의 레지스트리 경로를 제공합니다. 마지막으로, 보안 설정이 구성될 때 발생할 수 있는 호환성 문제에 대한 예제가 제공됩니다.

  1. 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료

    1. 배경

      • 감사: 보안 감사를 기록할 수 없는 경우 즉시 시스템 종료 설정은 보안 이벤트를 기록할 수 없는 경우 시스템을 종료할지 여부를 결정합니다. 이 설정은 TCSEC(신뢰할 수 있는 컴퓨터 보안 평가 기준) 프로그램의 C2 평가 및 감사 시스템이 이벤트를 기록할 수 없는 경우 감사 가능한 이벤트를 방지하기 위한 정보 기술 보안 평가를 위한 공통 기준에 필요합니다. 감사 시스템에 오류가 발생하면 시스템이 종료되고 중지 오류 메시지가 표시됩니다.
      • 컴퓨터가 보안 로그에 이벤트를 기록할 수 없는 경우에는 보안 인시던트 발생 후에 중요한 증거나 중요한 문제 해결 정보를 검토하기 위해 제공되지 않을 수 있습니다.

    2. 위험한 구성

      다음은 유해한 구성 설정입니다. 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 설정이 켜져 있고 보안 이벤트 로그의 크기가 이벤트를 덮어쓰지 않음(수동으로 로그 지우기) 옵션, 필요에 따라 이벤트를 덮어쓰기 옵션 또는 이벤트 뷰어의 일수보다 오래된 이벤트 덮어쓰기 옵션에 의해 제한됩니다. 원래 릴리스된 버전의 Windows 2000, Windows 2000 서비스 팩 1(SP1), Windows 2000 SP2 또는 Windows 2000 SP3을 실행하는 컴퓨터의 특정 위험에 대한 자세한 내용은 "호환성 문제의 예" 절을 참조하십시오.

    3. 이 설정을 사용하는 이유

      컴퓨터가 보안 로그에 이벤트를 기록할 수 없는 경우에는 보안 인시던트 발생 후에 중요한 증거나 중요한 문제 해결 정보를 검토하기 위해 제공되지 않을 수 있습니다.

    4. 이 설정을 사용하지 않도록 설정하는 이유

      • 감사 활성화: 어떤 이유로든 보안 감사를 기록할 수 없는 경우 보안 감사를 기록할 수 없는 경우 보안 감사를 즉시 종료 설정은 시스템을 중지합니다. 일반적으로 보안 감사 로그가 가득 차 지정된 보존 방법이 이벤트를 덮어쓰지 않음(수동으로 로그 지우기) 옵션 또는 일수 보다 오래된 이벤트 덮어쓰기 옵션인 경우 이벤트를 기록할 수 없습니다.
      • 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 설정을 사용하도록 설정하는 관리 부담이 매우 클 수 있으며, 특히 보안 로그에 대해 이벤트를 덮어쓰지 않음(수동으로 로그 지우기) 옵션을 사용하는 경우 더욱 그렇습니다. 이 설정은 운영자 작업에 대한 개별 책임을 제공합니다. 예를 들어 관리자는 기본 제공 관리자 계정이나 다른 공유 계정을 사용하여 감사 기능을 사용하도록 설정한 OU(조직 구성 단위)의 모든 사용자, 컴퓨터 및 그룹에 대한 사용 권한을 재설정한 다음 이러한 사용 권한을 재설정하지 않도록 거부할 수 있습니다. 그러나 이 설정을 사용하도록 설정하면 로그온 이벤트와 보안 로그에 기록되는 기타 보안 이벤트로 서버를 과도하게 종료할 수 있으므로 시스템의 견고성이 떨어집니다. 또한 종료가 정상적으로 수행되지 않기 때문에 운영 체제, 프로그램 또는 데이터에 복구할 수 없는 손상이 발생할 수 있습니다. NTFS는 비정상적인 시스템 종료 중에 파일 시스템의 무결성이 유지되도록 보장하지만 시스템이 다시 시작될 때 모든 프로그램에 대한 모든 데이터 파일이 여전히 사용 가능한 형태임을 보장할 수는 없습니다.

    5. 기호 이름:

      CrashOnAuditFail

    6. 레지스트리 경로:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\CrashOnAuditFail(Reg_DWORD)

    7. 호환성 문제의 예

      • Windows 2000: 버그로 인해 원래 릴리스된 버전의 Windows 2000, Windows 2000 SP1, Windows 2000 SP2 또는 Windows Server SP3을 실행하는 컴퓨터는 보안 이벤트 로그의 최대 로그 크기 옵션에 지정된 크기에 도달하기 전에 이벤트 로깅을 중지할 수 있습니다. 이 버그는 Windows 2000 SP4(서비스 팩 4)에서 해결되었습니다. 이 설정을 사용하도록 설정하려면 먼저 Windows 2000 도메인 컨트롤러에 Windows 2000 서비스 팩 4가 설치되어 있는지 확인합니다.

         

      • Windows 2000, Windows Server 2003: Windows 2000 또는 Windows Server 2003이 실행되는 컴퓨터는 응답을 중지한 다음 감사: 보안 감사를 기록할 수 없음 설정이 켜져 있으면 즉시 시스템 종료, 보안 로그가 가득 차고, 기존 이벤트 로그 항목을 덮어쓸 수 없는 경우 자발적으로 다시 시작될 수 있습니다. 컴퓨터가 다시 시작되면 다음 중지 오류 메시지가 나타납니다.

        참고

        중지: C0000244 {감사 실패}
        보안 감사를 생성하지 못했습니다.

        복구하려면 관리자가 로그온하여 보안 로그를 보관하고(선택 사항), 보안 로그를 지운 다음 이 옵션을 다시 설정해야 합니다(선택 사항 및 필요에 따라 선택).

      • MS-DOS, Windows 95, Windows 98, Windows NT 4.0, Windows 2000, Windows XP, Windows Server 2003용 Microsoft 네트워크 클라이언트: 관리자가 도메인에 로그온하려고 하면 다음 오류 메시지가 나타납니다.

        참고

        계정이 이 컴퓨터를 사용할 수 없도록 구성되어 있습니다. 다른 컴퓨터를 사용해 보세요.

      • Windows 2000: Windows 2000 기반 컴퓨터에서 관리자가 아닌 사용자는 원격 액세스 서버에 로그온할 수 없으며 다음과 유사한 오류 메시지가 표시됩니다.

        참고

        알 수 없는 사용자 또는 잘못된 암호

      • Windows 2000: Windows 2000 도메인 컨트롤러에서 Ismserv.exe(사이트 간 메시징 서비스)가 중지되고 다시 시작할 수 없습니다. DCDIAG는 오류를 "실패한 테스트 서비스 ISMserv"로 보고하고 이벤트 ID 1083이 이벤트 로그에 등록됩니다.

      • Windows 2000: Windows 2000 도메인 컨트롤러에서는 Active Directory 복제가 실패하고 보안 이벤트 로그가 가득 차면 "액세스 거부" 메시지가 나타납니다.

      • Microsoft Exchange 2000: Exchange 2000을 실행하는 서버는 정보 저장소 데이터베이스를 탑재할 수 없으며 이벤트 2102가 이벤트 로그에 등록됩니다.

      • Outlook, Outlook Web Access: 관리자가 아닌 사용자는 Microsoft Outlook 또는 Microsoft Outlook Web Access를 통해 메일에 액세스할 수 없으며 503 오류가 표시됩니다.

  2. 도메인 컨트롤러: LDAP 서버 서명 필요

    1. 배경

      도메인 컨트롤러: LDAP 서버 서명 요구 사항 보안 설정은 LDAP(Lightweight Directory Access Protocol) 서버에서 LDAP 클라이언트가 데이터 서명을 협상해야 하는지 여부를 결정합니다. 이 정책 설정에 사용할 수 있는 값은 다음과 같습니다.

      • 없음: 서버와 바인딩하는 데 데이터 서명이 필요하지 않습니다. 클라이언트가 데이터 서명을 요청하면 서버가 지원합니다.
      • 서명 필요: TLS/SSL(전송 계층 보안/보안 소켓 계층)을 사용하지 않는 한 LDAP 데이터 서명 옵션을 협상해야 합니다.
      • 정의되지 않음: 이 설정을 사용하거나 사용하지 않도록 설정되어 있지 않습니다.

    2. 위험한 구성

      다음은 유해한 구성 설정입니다.

      • 클라이언트가 LDAP 서명을 지원하지 않거나 클라이언트에서 클라이언트 쪽 LDAP 서명을 사용할 수 없는 환경에서 로그인 필요 활성화
      • 클라이언트가 LDAP 서명을 지원하지 않거나 클라이언트 쪽 LDAP 서명을 사용할 수 없는 환경에서 Windows 2000 또는 Windows Server 2003 Hisecdc.inf 보안 템플릿 적용
      • 클라이언트가 LDAP 서명을 지원하지 않거나 클라이언트 쪽 LDAP 서명을 사용할 수 없는 환경에서 Windows 2000 또는 Windows Server 2003 Hisecws.inf 보안 템플릿 적용

    3. 이 설정을 사용하는 이유

      서명되지 않은 네트워크 트래픽은 침입자가 클라이언트와 서버 간의 패킷을 캡처하고 수정한 다음 서버로 전달하는 메시지 가로채기(man-in-the-middle) 공격에 취약합니다. 이러한 동작이 LDAP 서버에서 발생하면 공격자는 서버가 LDAP 클라이언트의 잘못된 쿼리를 기반으로 결정을 내리도록 할 수 있습니다. 네트워크 인프라를 보호하기 위한 강력한 물리적 보안 조치를 구현함으로써 회사 네트워크에서 이러한 위험을 낮출 수 있습니다. IPSec(인터넷 프로토콜 보안) 인증 헤더 모드는 메시지 중간자 공격을 방지하는 데 도움이 될 수 있습니다. 인증 헤더 모드는 IP 트래픽에 대해 상호 인증 및 패킷 무결성을 수행합니다.

    4. 이 설정을 사용하지 않도록 설정하는 이유

      • LDAP 서명을 지원하지 않는 클라이언트는 NTLM 인증을 협상하고 올바른 서비스 팩이 Windows 2000 도메인 컨트롤러에 설치되어 있지 않은 경우 도메인 컨트롤러와 글로벌 카탈로그에 대해 LDAP 쿼리를 수행할 수 없습니다.
      • 클라이언트와 서버 간 LDAP 트래픽의 네트워크 추적이 암호화됩니다. 따라서 LDAP 대화를 검사하기가 어렵습니다.
      • Windows 2000 기반 서버에는 Windows 2000 SP4, Windows XP 또는 Windows Server 2003을 실행하는 클라이언트 컴퓨터에서 실행되는 LDAP 서명을 지원하는 프로그램으로 관리할 때 서버에 Windows 2000 SP3(서비스 팩 3)이 설치되어 있어야 합니다.

    5. 기호 이름:

      LDAPServerIntegrity

    6. 레지스트리 경로:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\LDAPServerIntegrity(Reg_DWORD)

    7. 호환성 문제의 예

      • 단순 바인딩이 실패하고 다음과 같은 오류 메시지가 나타납니다.

        참고

        Ldap_simple_bind_s() 실패: 강력한 인증이 필요합니다.

      • Windows 2000 서비스 팩 4, Windows XP, Windows Server 2003: Windows 2000 SP4, Windows XP 또는 Windows Server 2003을 실행하는 클라이언트에서는 NTLM 인증이 협상될 때 SP3 이전의 Windows 2000 버전을 실행하는 도메인 컨트롤러에 대해 일부 Active Directory 관리 도구가 제대로 작동하지 않습니다.

         

      • Windows 2000 서비스 팩 4, Windows XP, Windows Server 2003: Windows 2000 SP4, Windows XP 또는 Windows Server 2003을 실행하는 클라이언트에서 SP3 이전 버전의 Windows 2000을 실행하는 도메인 컨트롤러를 대상으로 하는 일부 Active Directory 관리 도구는 IP 주소(예: "dsa.msc /server=x.x.x.x", 여기서 )를 사용하는 경우 제대로 작동하지 않습니다.
        x.x.x.x는 IP 주소입니다).

         

      • Windows 2000 서비스 팩 4, Windows XP, Windows Server 2003: Windows 2000 SP4, Windows XP 또는 Windows Server 2003을 실행하는 클라이언트에서는 SP3 이전 버전의 Windows 2000을 실행하는 도메인 컨트롤러를 대상으로 하는 일부 Active Directory 관리 도구가 제대로 작동하지 않습니다.

         

  3. 도메인 구성원: 고급 세션 키 필요(Windows 2000 이상)

    1. 배경

      • 도메인 구성원: 강력한(Windows 2000 이상) 세션 키 필요 설정은 강력한 128비트 세션 키로 보안 채널 트래픽을 암호화할 수 없는 도메인 컨트롤러를 사용하여 보안 채널을 설정할 수 있는지 여부를 결정합니다. 이 설정을 사용하면 강력한 키로 보안 채널 데이터를 암호화할 수 없는 도메인 컨트롤러를 사용하여 보안 채널을 설정할 수 없습니다. 이 설정을 사용하지 않도록 설정하면 64비트 세션 키를 사용할 수 있습니다.
      • 구성원 워크스테이션이나 서버에서 이 설정을 사용하도록 설정하려면 구성원이 속한 도메인의 모든 도메인 컨트롤러가 강력한 128비트 키를 사용하여 보안 채널 데이터를 암호화할 수 있어야 합니다. 즉, 이러한 모든 도메인 컨트롤러는 Windows 2000 이상을 실행해야 합니다.

    2. 위험한 구성

      도메인 구성원 활성화: 강력한(Windows 2000 이상) 세션 키 필요 설정은 유해한 구성 설정입니다.

    3. 이 설정을 사용하는 이유

      • 구성원 컴퓨터와 도메인 컨트롤러 간에 보안 채널 통신을 설정하는 데 사용되는 세션 키는 이전 버전의 Microsoft 운영 체제보다 Windows 2000에서 훨씬 더 강력합니다.
      • 가능한 경우에는 이러한 강력한 세션 키를 활용하여 도청 및 세션 하이재킹 네트워크 공격으로부터 보안 채널 통신을 보호하는 것이 좋습니다. 도청은 네트워크 데이터를 읽거나 전송 중에 변경하는 악의적인 공격의 한 형태입니다. 데이터를 수정하여 보낸 사람을 숨기거나 변경하거나 리디렉션할 수 있습니다.

      중요 Windows Server 2008 R2 또는 Windows 7을 실행하는 컴퓨터에서는 보안 채널을 사용할 때 강력한 키만 지원합니다. 이 제한은 Windows NT 4.0 기반 도메인과 Windows Server 2008 R2 기반 도메인 간의 트러스트를 방지합니다. 또한 이 제한은 Windows 7 또는 Windows Server 2008 R2를 실행하는 컴퓨터의 Windows NT 4.0 기반 도메인 구성원 자격을 차단하며 그 반대의 경우도 마찬가지입니다.

    4. 이 설정을 사용하지 않도록 설정하는 이유

      도메인에는 Windows 2000, Windows XP 또는 Windows Server 2003 이외의 운영 체제를 실행하는 구성원 컴퓨터가 포함되어 있습니다.

    5. 기호 이름:

      StrongKey

    6. 레지스트리 경로:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireStrongKey(Reg_DWORD)

    7. 호환성 문제의 예

      Windows NT 4.0: Windows NT 4.0 기반 컴퓨터에서 NLTEST를 사용하여 Windows NT 4.0과 Windows 2000 도메인 간의 보안 신뢰 관계 채널을 다시 설정할 수 없습니다. "액세스 거부" 오류 메시지가 나타납니다.
      주 도메인과 트러스트된 도메인 사이의 트러스트 관계에 이상이 있습니다.

      Windows 7 및 Server 2008 R2: Windows 7 이상 버전 및 Windows Server 2008 R2 이상 버전의 경우 이 설정은 더 이상 적용되지 않으며 항상 강력한 키가 사용됩니다. 따라서 Windows NT 4.0 도메인에 대한 트러스트는 더 이상 작동하지 않습니다.

  4. 도메인 구성원: 보안 채널 데이터를 디지털 암호화 또는 서명(항상)

    1. 배경

      • 도메인 구성원 활성화: 보안 채널 데이터를 디지털 암호화하거나 서명하면 (항상) 모든 보안 채널 데이터에 서명하거나 암호화할 수 없는 도메인 컨트롤러를 사용하여 보안 채널을 설정할 수 없습니다. Windows 기반 컴퓨터는 중간자 공격, 재생 공격 및 기타 종류의 네트워크 공격으로부터 인증 트래픽을 보호하기 위해 Net Logon 서비스를 통해 보안 채널이라고 하는 통신 채널을 만들어 컴퓨터 계정을 인증합니다. 보안 채널은 한 도메인의 사용자가 원격 도메인의 네트워크 리소스에 연결할 때도 사용됩니다. 이 다중 도메인 인증 또는 통과 인증을 사용하면 도메인에 가입한 Windows 기반 컴퓨터가 해당 도메인 및 신뢰할 수 있는 도메인의 사용자 계정 데이터베이스에 액세스할 수 있습니다.
      • 도메인 구성원을 활성화하려면: 보안 채널 데이터를 디지털 암호화 또는 서명(항상)으로 설정하려면 구성원이 속한 도메인의 모든 도메인 컨트롤러가 모든 보안 채널 데이터에 서명하거나 암호화할 수 있어야 합니다. 즉, 이러한 모든 도메인 컨트롤러는 Windows NT 4.0 SP6a(서비스 팩 6a) 이상을 실행해야 합니다.
      • 도메인 구성원을 사용하도록 설정: 보안 채널 데이터를 디지털 암호화 또는 서명(항상)으로 설정하면 도메인 구성원: 보안 채널 데이터(가능한 경우) 설정을 디지털 암호화하거나 서명합니다.

    2. 위험한 구성

      도메인 구성원 사용: 모든 도메인 컨트롤러가 보안 채널 데이터에 서명하거나 암호화할 수 없는 도메인에서 보안 채널 데이터를 디지털 암호화하거나 서명(항상) 설정은 해로운 구성 설정입니다.

    3. 이 설정을 사용하는 이유

      서명되지 않은 네트워크 트래픽은 침입자가 서버와 클라이언트 간의 패킷을 캡처한 다음 클라이언트에 전달하기 전에 수정하는 메시지 가로채기(man-in-the-middle) 공격에 취약합니다. LDAP(Lightweight Directory Access Protocol) 서버에서 이러한 동작이 발생하면 침입자로 인해 클라이언트가 LDAP 디렉터리의 잘못된 레코드를 기반으로 결정을 내릴 수 있습니다. 네트워크 인프라를 보호하기 위한 강력한 물리적 보안 조치를 구현하면 회사 네트워크에서 이러한 공격의 위험을 줄일 수 있습니다. 또한 IPSec(인터넷 프로토콜 보안) 인증 헤더 모드를 구현하면 메시지 중간자 공격을 방지하는 데 도움이 될 수 있습니다. 이 모드는 IP 트래픽에 대해 상호 인증 및 패킷 무결성을 수행합니다.

    4. 이 설정을 사용하지 않도록 설정하는 이유

      • 로컬 또는 외부 도메인의 컴퓨터는 암호화된 보안 채널을 지원합니다.
      • 도메인의 모든 도메인 컨트롤러가 암호화된 보안 채널을 지원하는 적절한 서비스 팩 수정 수준을 가지고 있는 것은 아닙니다.

    5. 기호 이름:

      StrongKey

    6. 레지스트리 경로:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\RequireSignOrSeal(REG_DWORD)

    7. 호환성 문제의 예

      • Windows NT 4.0: Windows 2000 기반 구성원 컴퓨터는 Windows NT 4.0 도메인에 가입할 수 없으며 다음과 같은 오류 메시지가 나타납니다.

        참고

        계정이 이 스테이션에서 로그인할 수 있도록 권한이 없습니다.

        자세한 내용은 다음 문서 번호를 클릭하여 Microsoft 기술 자료 문서를 참조하세요.
        281648 오류 메시지: 계정이 이 스테이션에서 로그인할 수 있는 권한이 없습니다.
         

      • Windows NT 4.0: Windows NT 4.0 도메인은 Windows 2000 도메인으로 하위 수준 트러스트를 설정할 수 없으며 다음 오류 메시지를 받게 됩니다.

        참고

        계정이 이 스테이션에서 로그인할 수 있도록 권한이 없습니다.

        기존의 하위 수준 트러스트는 트러스트된 도메인의 사용자를 인증하지 않을 수도 있습니다. 일부 사용자는 도메인에 로그온하는 데 문제가 있을 수 있으며 클라이언트가 도메인을 찾을 수 없다는 오류 메시지가 나타날 수 있습니다.

      • Windows XP: Windows NT 4.0 도메인에 가입된 Windows XP 클라이언트는 로그온 시도를 인증할 수 없으며 다음 오류 메시지가 표시되거나 다음 이벤트가 이벤트 로그에 등록될 수 있습니다.

        참고

        도메인 컨트롤러가 다운되었거나 사용할 수 없거나 컴퓨터 계정을 찾을 수 없어 도메인에 연결할 수 없습니다

      • Microsoft 네트워크: Microsoft 네트워크 클라이언트는 다음 오류 메시지 중 하나를 받게 됩니다.

        참고

        로그온 실패: 알 수 없는 사용자 이름이거나 암호가 틀립니다.

        참고

        지정된 로그온 세션에 대한 사용자 세션 키가 없습니다.

  5. Microsoft 네트워크 클라이언트: 디지털 서명 통신(항상)

    1. 배경

      SMB(서버 메시지 블록)는 많은 Microsoft 운영 체제에서 지원하는 리소스 공유 프로토콜입니다. 이는 NetBIOS(네트워크 기본 입출력 시스템) 및 기타 여러 프로토콜의 기초입니다. SMB 서명은 사용자와 데이터를 호스팅하는 서버를 모두 인증합니다. 어느 쪽이든 인증 프로세스에 실패하면 데이터 전송이 발생하지 않습니다.

      SMB 서명 사용은 SMB 프로토콜 협상 중에 시작됩니다. SMB 서명 정책은 컴퓨터가 항상 클라이언트 통신에 디지털 서명을 하는지 여부를 결정합니다.

      Windows 2000 SMB 인증 프로토콜은 상호 인증을 지원합니다. 상호 인증은 "메시지 가로채기" 공격을 닫습니다. Windows 2000 SMB 인증 프로토콜은 메시지 인증도 지원합니다. 메시지 인증은 활성 메시지 공격을 방지하는 데 도움이 됩니다. 이 인증을 제공하기 위해 SMB 서명은 각 SMB에 디지털 서명을 넣습니다. 클라이언트와 서버는 각각 디지털 서명을 확인합니다.

      SMB 서명을 사용하려면 SMB 서명을 사용하도록 설정하거나 SMB 클라이언트와 SMB 서버 모두에서 SMB 서명을 요구해야 합니다. 서버에서 SMB 서명을 사용하도록 설정한 경우 SMB 서명도 사용하도록 설정된 클라이언트는 모든 후속 세션 동안 패킷 서명 프로토콜을 사용합니다. 서버에서 SMB 서명이 필요한 경우 클라이언트가 SMB 서명을 사용하도록 설정되어 있거나 SMB 서명을 요구하지 않는 한 클라이언트는 세션을 설정할 수 없습니다.

      보안 수준이 높은 네트워크에서 디지털 서명을 사용하도록 설정하면 클라이언트와 서버의 가장을 방지할 수 있습니다. 이러한 종류의 사칭을 세션 하이재킹이라고 합니다. 클라이언트 또는 서버와 동일한 네트워크에 액세스할 수 있는 공격자는 세션 하이재킹 도구를 사용하여 진행 중인 세션을 중단, 종료 또는 훔칩니다. 공격자는 서명되지 않은 SMB 패킷을 가로채서 수정하고 트래픽을 수정한 다음 전달하여 서버가 원치 않는 작업을 수행할 수 있도록 할 수 있습니다. 또는 공격자가 합법적인 인증 후 서버나 클라이언트로 가장한 다음 데이터에 무단 액세스할 수 있습니다.

      Windows 2000 Server, Windows 2000 Professional, Windows XP Professional 또는 Windows Server 2003이 실행되는 컴퓨터에서 파일 공유 및 인쇄 공유에 사용되는 Windows Server 프로토콜은 상호 인증을 지원합니다. 상호 인증은 세션 하이재킹 공격을 닫고 메시지 인증을 지원합니다. 따라서 메시지 가로채기 공격을 방지합니다. SMB 서명은 각 SMB에 디지털 서명을 배치하여 이 인증을 제공합니다. 그런 다음 클라이언트와 서버에서 서명을 확인합니다.

      노트

      • 대체 대책으로 IPSec에서 디지털 서명을 사용하도록 설정하여 모든 네트워크 트래픽을 보호할 수 있습니다. 서버 CPU의 성능 영향을 최소화하는 데 사용할 수 있는 IPSec 암호화 및 서명을 위한 하드웨어 기반 가속기가 있습니다. SMB 서명에 사용할 수 있는 가속기는 없습니다.

        자세한 내용은 Microsoft MSDN 웹 사이트의 디지털 서명 서버 통신 장을 참조하십시오.

        재정의 도메인 정책이 있는 경우 로컬 레지스트리 값을 변경해도 아무런 영향이 없으므로 그룹 정책 개체 편집기를 통해 SMB 서명을 구성합니다.

      • Windows 95, Windows 98 및 Windows 98 두 번째 버전에서 디렉터리 서비스 클라이언트는 NTLM 인증을 사용하여 Windows Server 2003 서버에 인증할 때 SMB 서명을 사용합니다. 그러나 이러한 클라이언트는 NTLMv2 인증을 사용하여 이러한 서버에 인증할 때 SMB 서명을 사용하지 않습니다. 또한 Windows 2000 서버는 이러한 클라이언트의 SMB 서명 요청에 응답하지 않습니다. 자세한 내용은 항목 10: "네트워크 보안: Lan 관리자 인증 수준"을 참조하세요.

    2. 위험한 구성

      다음은 유해한 구성 설정입니다. Microsoft 네트워크 클라이언트: 디지털 서명 통신(항상) 설정과 Microsoft 네트워크 클라이언트: 디지털 서명 통신(서버에서 동의하는 경우) 설정을 "정의되지 않음"으로 설정하거나 사용하지 않도록 설정합니다. 이러한 설정을 사용하면 리디렉터가 인증 중에 암호 암호화를 지원하지 않는 타사 SMB 서버에 일반 텍스트 암호를 보낼 수 있습니다.

    3. 이 설정을 사용하는 이유

      Microsoft 네트워크 클라이언트 활성화: 디지털 서명 통신(항상)을 사용하려면 SMB 서명이 필요하지 않은 서버에 연결할 때 클라이언트가 SMB 트래픽에 서명해야 합니다. 이렇게 하면 클라이언트가 세션 하이재킹 공격에 덜 취약해집니다.

    4. 이 설정을 사용하지 않도록 설정하는 이유

      • Microsoft 네트워크 클라이언트 활성화: 디지털 서명 통신(항상)은 클라이언트가 SMB 서명을 지원하지 않는 대상 서버와 통신하지 못하도록 합니다.
      • 서명되지 않은 모든 SMB 통신을 무시하도록 컴퓨터를 구성하면 이전 프로그램 및 운영 체제가 연결할 수 없습니다.

    5. 기호 이름:

      RequireSMBSignRdr

    6. 레지스트리 경로:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters\RequireSecuritySignature

    7. 호환성 문제의 예

      • Windows NT 4.0: NLTEST 또는 NETDOM을 사용하여 Windows Server 2003 도메인과 Windows NT 4.0 도메인 간의 보안 트러스트 채널을 다시 설정할 수 없으며 "액세스 거부" 오류 메시지가 표시됩니다.

      • Windows XP: Windows XP 클라이언트에서 Windows 2000 기반 서버 및 Windows Server 2003 기반 서버로 파일을 복사하는 데 시간이 더 걸릴 수 있습니다.

      • 이 설정을 사용하는 클라이언트에서는 네트워크 드라이브를 매핑할 수 없으며 다음과 같은 오류 메시지가 나타납니다.

        참고

        계정이 이 스테이션에서 로그인할 수 있도록 권한이 없습니다.

    8. 다시 시작 요건

      컴퓨터를 다시 시작하거나 Workstation 서비스를 다시 시작합니다. 이렇게 하려면 명령 프롬프트에 다음 명령을 입력합니다. 각 명령을 입력한 후 Enter 키를 누릅니다.
      net stop workstation
      NET Start Workstation

  6. Microsoft 네트워크 서버: 디지털 서명 통신(항상)

    1. 배경

      • SMB(서버 메신저 블록)는 많은 Microsoft 운영 체제에서 지원하는 리소스 공유 프로토콜입니다. 이는 NetBIOS(네트워크 기본 입출력 시스템) 및 기타 여러 프로토콜의 기초입니다. SMB 서명은 사용자와 데이터를 호스팅하는 서버를 모두 인증합니다. 어느 쪽이든 인증 프로세스에 실패하면 데이터 전송이 발생하지 않습니다.

        SMB 서명 사용은 SMB 프로토콜 협상 중에 시작됩니다. SMB 서명 정책은 컴퓨터가 항상 클라이언트 통신에 디지털 서명을 하는지 여부를 결정합니다.

        Windows 2000 SMB 인증 프로토콜은 상호 인증을 지원합니다. 상호 인증은 "메시지 가로채기" 공격을 닫습니다. Windows 2000 SMB 인증 프로토콜은 메시지 인증도 지원합니다. 메시지 인증은 활성 메시지 공격을 방지하는 데 도움이 됩니다. 이 인증을 제공하기 위해 SMB 서명은 각 SMB에 디지털 서명을 넣습니다. 클라이언트와 서버는 각각 디지털 서명을 확인합니다.

        SMB 서명을 사용하려면 SMB 서명을 사용하도록 설정하거나 SMB 클라이언트와 SMB 서버 모두에서 SMB 서명을 요구해야 합니다. 서버에서 SMB 서명을 사용하도록 설정한 경우 SMB 서명도 사용하도록 설정된 클라이언트는 모든 후속 세션 동안 패킷 서명 프로토콜을 사용합니다. 서버에서 SMB 서명이 필요한 경우 클라이언트가 SMB 서명을 사용하도록 설정되어 있거나 SMB 서명을 요구하지 않는 한 클라이언트는 세션을 설정할 수 없습니다.

        보안 수준이 높은 네트워크에서 디지털 서명을 사용하도록 설정하면 클라이언트와 서버의 가장을 방지할 수 있습니다. 이러한 종류의 사칭을 세션 하이재킹이라고 합니다. 클라이언트 또는 서버와 동일한 네트워크에 액세스할 수 있는 공격자는 세션 하이재킹 도구를 사용하여 진행 중인 세션을 중단, 종료 또는 훔칩니다. 공격자는 서명되지 않은 SBM(서브넷 대역폭 관리자) 패킷을 가로채서 수정하고 트래픽을 수정한 다음 전달하여 서버가 원치 않는 작업을 수행할 수 있도록 할 수 있습니다. 또는 공격자가 합법적인 인증 후 서버나 클라이언트로 가장한 다음 데이터에 무단 액세스할 수 있습니다.

        Windows 2000 Server, Windows 2000 Professional, Windows XP Professional 또는 Windows Server 2003이 실행되는 컴퓨터에서 파일 공유 및 인쇄 공유에 사용되는 Windows Server 프로토콜은 상호 인증을 지원합니다. 상호 인증은 세션 하이재킹 공격을 닫고 메시지 인증을 지원합니다. 따라서 메시지 가로채기 공격을 방지합니다. SMB 서명은 각 SMB에 디지털 서명을 배치하여 이 인증을 제공합니다. 그런 다음 클라이언트와 서버에서 서명을 확인합니다.

      • 대체 대책으로 IPSec에서 디지털 서명을 사용하도록 설정하여 모든 네트워크 트래픽을 보호할 수 있습니다. 서버 CPU의 성능 영향을 최소화하는 데 사용할 수 있는 IPSec 암호화 및 서명을 위한 하드웨어 기반 가속기가 있습니다. SMB 서명에 사용할 수 있는 가속기는 없습니다.

      • Windows 95, Windows 98 및 Windows 98 두 번째 버전에서 디렉터리 서비스 클라이언트는 NTLM 인증을 사용하여 Windows Server 2003 서버에 인증할 때 SMB 서명을 사용합니다. 그러나 이러한 클라이언트는 NTLMv2 인증을 사용하여 이러한 서버에 인증할 때 SMB 서명을 사용하지 않습니다. 또한 Windows 2000 서버는 이러한 클라이언트의 SMB 서명 요청에 응답하지 않습니다. 자세한 내용은 항목 10: "네트워크 보안: Lan 관리자 인증 수준"을 참조하세요.

    2. 위험한 구성

      다음은 유해한 구성 설정입니다. Microsoft 네트워크 서버 활성화: 로컬 또는 외부 도메인의 호환되지 않는 Windows 기반 컴퓨터 및 타사 운영 체제 기반 클라이언트 컴퓨터에서 액세스하는 서버 및 도메인 컨트롤러에서 디지털 서명 통신(항상) 설정입니다.

    3. 이 설정을 사용하는 이유

      • 레지스트리 또는 그룹 정책 설정을 통해 직접 이 설정을 사용하도록 설정하는 모든 클라이언트 컴퓨터는 SMB 서명을 지원합니다. 즉, 이 설정을 사용하는 모든 클라이언트 컴퓨터는 DS 클라이언트가 설치된 Windows 95, Windows 98, Windows NT 4.0, Windows 2000, Windows XP Professional 또는 Windows Server 2003을 실행합니다.
      • Microsoft 네트워크 서버: 디지털 서명 통신(항상)이 비활성화된 경우 SMB 서명이 완전히 비활성화됩니다. 모든 SMB 서명을 완전히 사용하지 않도록 설정하면 컴퓨터가 세션 하이재킹 공격에 더 취약해집니다.

    4. 이 설정을 사용하지 않도록 설정하는 이유

      • 이 설정을 사용하도록 설정하면 클라이언트 컴퓨터에서 파일 복사 및 네트워크 성능이 느려질 수 있습니다.
      • 이 설정을 사용하면 SMB 서명을 협상할 수 없는 클라이언트가 서버 및 도메인 컨트롤러와 통신할 수 없습니다. 이로 인해 프로그램에 의한 도메인 가입, 사용자 및 컴퓨터 인증 또는 네트워크 액세스와 같은 작업이 실패합니다.

    5. 기호 이름:

      RequireSMBSignServer

    6. 레지스트리 경로:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters\RequireSecuritySignature(REG_DWORD)

    7. 호환성 문제의 예

      • Windows 95: DS(디렉터리 서비스) 클라이언트가 설치되어 있지 않은 Windows 95 클라이언트는 로그온 인증에 실패하고 다음 오류 메시지를 받습니다.

        참고

        입력한 도메인 암호가 올바르지 않거나 로그온 서버에 대한 액세스가 거부되었습니다.

      • Windows NT 4.0: 서비스 팩 3(SP3) 이전 버전의 Windows NT 4.0을 실행하는 클라이언트 컴퓨터는 로그온 인증에 실패하고 다음 오류 메시지를 받습니다.

        참고

        시스템에서 로그온할 수 없습니다. 사용자 이름과 도메인이 올바른지 확인한 다음 암호를 다시 입력합니다.

        일부 비 Microsoft SMB 서버는 인증 중에 암호화되지 않은 암호 교환만 지원합니다. 이러한 교환을 "일반 텍스트" 교환이라고도 합니다.) Windows NT 4.0 SP3 이상 버전의 경우 특정 레지스트리 항목을 추가하지 않는 한 SMB 리디렉터는 SMB 서버에 인증하는 동안 암호화되지 않은 암호를 보내지 않습니다.
        Windows NT 4.0 SP 3 이상 시스템에서 SMB 클라이언트에 암호화되지 않은 암호를 사용하도록 설정하려면 다음과 같이 레지스트리를 수정합니다. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rdr\Parameters

        값 이름: EnablePlainTextPassword

        데이터 형식: REG_DWORD

        데이터: 1

         

      • Windows Server 2003: 기본적으로 Windows Server 2003을 실행하는 도메인 컨트롤러의 보안 설정은 악의적인 사용자가 도메인 컨트롤러 통신을 가로채거나 변조하지 않도록 구성됩니다. 사용자가 Windows Server 2003을 실행하는 도메인 컨트롤러와 성공적으로 통신하려면 클라이언트 컴퓨터에서 SMB 서명과 암호화 또는 보안 채널 트래픽 서명을 모두 사용해야 합니다. 기본적으로 Windows NT 4.0 SP2(서비스 팩 2) 이하가 설치된 클라이언트와 Windows 95를 실행하는 클라이언트에는 SMB 패킷 서명이 사용하도록 설정되어 있지 않습니다. 따라서 이러한 클라이언트는 Windows Server 2003 기반 도메인 컨트롤러에 인증하지 못할 수 있습니다.

      • Windows 2000 및 Windows Server 2003 정책 설정: 특정 설치 요구 사항 및 구성에 따라, Microsoft 관리 콘솔 그룹 정책 편집기 스냅인 계층 구조에서 필요한 scope의 최하위 엔터티에서 다음 정책 설정을 설정하는 것이 좋습니다.

        • 컴퓨터 구성\Windows 보안 설정\보안 옵션
        • 타사 SMB 서버에 연결하기 위해 암호화되지 않은 암호 보내기(이 설정은 Windows 2000용임)
        • Microsoft 네트워크 클라이언트: 타사 SMB 서버에 암호화되지 않은 암호 보내기(이 설정은 Windows Server 2003용임)

        참고 이전 Samba 버전과 같은 일부 타사 CIFS 서버에서는 암호화된 암호를 사용할 수 없습니다.

      • 다음 클라이언트는 Microsoft 네트워크 서버와 호환되지 않습니다. 디지털 서명 통신(항상) 설정:

        • Apple Computer, Inc., Mac OS X 클라이언트
        • Microsoft MS-DOS 네트워크 클라이언트(예: Microsoft LAN Manager)
        • Microsoft Windows for Workgroups 클라이언트
        • DS 클라이언트가 설치되지 않은 Microsoft Windows 95 클라이언트
        • SP3 이상이 설치되지 않은 Microsoft Windows NT 4.0 기반 컴퓨터
        • Novell Netware 6 CIFS 클라이언트
        • SMB 서명을 지원하지 않는 SAMBA SMB 클라이언트

    8. 다시 시작 요건

      컴퓨터를 다시 시작하거나 서버 서비스를 다시 시작합니다. 이렇게 하려면 명령 프롬프트에 다음 명령을 입력합니다. 각 명령을 입력한 후 Enter 키를 누릅니다.
      net stop server
      net start server

  7. 네트워크 액세스: 익명 SID/이름 변환 허용

    1. 배경

      네트워크 액세스: 익명 SID/이름 변환 허용 보안 설정은 익명 사용자가 다른 사용자에 대해 SID(보안 식별 번호) 특성을 요청할 수 있는지 여부를 결정합니다.

    2. 위험한 구성

      네트워크 액세스를 사용하도록 설정: 익명 SID/이름 변환 허용 설정은 유해한 구성 설정입니다.

    3. 이 설정을 사용하는 이유

      네트워크 액세스: 익명 SID/이름 변환 허용 설정을 사용하지 않도록 설정하면 이전 운영 체제 또는 응용 프로그램이 Windows Server 2003 도메인과 통신하지 못할 수 있습니다. 예를 들어 다음 운영 체제, 서비스 또는 응용 프로그램은 작동하지 않을 수 있습니다.

      • Windows NT 4.0 기반 원격 액세스 서비스 서버
      • Windows NT 3.x 기반 컴퓨터 또는 Windows NT 4.0 기반 컴퓨터에서 실행되는 Microsoft SQL Server
      • Windows NT 3.x 도메인이나 Windows NT 4.0 도메인에 있는 Windows 2000 기반 컴퓨터에서 실행되는 원격 액세스 서비스
      • Windows NT 3.x 도메인이나 Windows NT 4.0 도메인에 있는 Windows 2000 기반 컴퓨터에서 실행되는 SQL Server
      • Windows Server Windows NT 2003 도메인 컨트롤러를 포함하는 계정 도메인에서 사용자 계정에 파일, 공유 폴더 및 레지스트리 개체에 액세스할 수 있는 권한을 부여하려는 4.0 리소스 도메인의 사용자

    4. 이 설정을 사용하지 않도록 설정하는 이유

      이 설정을 사용하면 악의적인 사용자가 잘 알려진 관리자 SID를 사용하여 기본 제공 관리자 계정의 이름을 바꾼 경우에도 해당 계정의 실제 이름을 얻을 수 있습니다. 그러면 해당 사용자가 계정 이름을 사용하여 암호 추측 공격을 시작할 수 있습니다.

    5. 기호 이름: 해당 없음

    6. 레지스트리 경로: 없음. 경로는 UI 코드에 지정됩니다.

    7. 호환성 문제의 예

      Windows NT 4.0: 공유 폴더, 공유 파일 및 레지스트리 개체를 포함한 리소스가 Windows Server 2003 도메인 컨트롤러를 포함하는 계정 도메인에 있는 보안 주체로 보호되는 경우 Windows NT 4.0 리소스 도메인의 컴퓨터는 ACL 편집기에 "알 수 없는 계정을 알 수 없음" 오류 메시지를 표시합니다.

  8. 네트워크 액세스: SAM 계정의 익명 열거 허용 안 함

    1. 배경

      • 네트워크 액세스: SAM 계정의 익명 열거 허용 안 함 설정은 컴퓨터에 대한 익명 연결에 부여할 추가 권한을 결정합니다. Windows에서는 익명 사용자가 워크스테이션 및 서버 SAM(보안 계정 관리자) 계정 이름, 네트워크 공유 이름 열거 등의 특정 작업을 수행할 수 있습니다. 예를 들어 관리자는 이를 사용하여 상호 트러스트를 유지하지 않는 신뢰할 수 있는 도메인의 사용자에게 액세스 권한을 부여할 수 있습니다. 세션이 만들어지면 익명 사용자는 네트워크 액세스의 설정에 따라 Everyone 그룹에 부여된 것과 동일한 액세스 권한을 가질 수 있습니다. Everyone 사용 권한을 익명 사용자 설정 또는 개체의 DACL(임의 액세스 제어 목록)에 적용하도록 허용합니다.

        일반적으로 익명 연결은 SMB 세션을 설정하는 동안 이전 버전의 클라이언트(하위 수준 클라이언트)에서 요청합니다. 이러한 경우 네트워크 추적은 SMB PID(프로세스 ID)가 Windows 2000의 0xFEFF 또는 Windows NT의 0xCAFE와 같은 클라이언트 리디렉터임을 보여줍니다. RPC가 익명 연결을 시도할 수도 있습니다.

      • 중요 이 설정은 도메인 컨트롤러에 영향을 주지 않습니다. 도메인 컨트롤러에서 이 동작은 "Windows 2000 이전 호환 액세스"에 "NT AUTHORITY\ANONYMOUS LOGON"이 있으면 제어됩니다.

      • Windows 2000에서는 익명 연결에 대한 추가 제한이라는 유사한 설정이 RestrictAnonymous 레지스트리 값을 관리합니다. 이 값의 위치는 다음과 같습니다
        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA

    2. 위험한 구성

      네트워크 액세스 활성화: SAM 계정의 익명 열거 허용 안 함 설정은 호환성 관점에서 유해한 구성 설정입니다. 이를 비활성화하는 것은 보안 관점에서 보면 유해한 구성 설정입니다.

    3. 이 설정을 사용하는 이유

      권한이 없는 사용자는 익명으로 계정 이름을 나열한 다음 해당 정보를 사용하여 암호를 추측하거나 소셜 엔지니어링 공격을 수행할 수 있습니다. 소셜 엔지니어링은 사람들을 속여 암호나 일부 형태의 보안 정보를 공개하도록 하는 것을 의미하는 전문 용어입니다.

    4. 이 설정을 사용하지 않도록 설정하는 이유

      이 설정을 사용하면 Windows NT 4.0 도메인과 트러스트를 설정할 수 없습니다. 또한 이 설정은 서버의 리소스를 사용하려고 하는 하위 수준 클라이언트(예: Windows NT 3.51 클라이언트 및 Windows 95 클라이언트)에서 문제를 발생합니다.

    5. 기호 이름:

      RestrictAnonymousSAM

    6. 레지스트리 경로:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymousSAM(Reg_DWORD)

    7. 호환성 문제의 예

    • SMS 네트워크 검색은 운영 체제 정보를 가져올 수 없으며 OperatingSystemNameandVersion 속성에 "알 수 없음"을 기록합니다.
    • Windows 95, Windows 98: Windows 95 클라이언트 및 Windows 98 클라이언트는 암호를 변경할 수 없습니다.
    • Windows NT 4.0: Windows NT 4.0 기반 구성원 컴퓨터를 인증할 수 없습니다.
    • Windows 95, Windows 98: Windows 95 기반 및 Windows 98 기반 컴퓨터는 Microsoft 도메인 컨트롤러에서 인증할 수 없습니다.
    • Windows 95, Windows 98: Windows 95 기반 및 Windows 98 기반 컴퓨터의 사용자는 사용자 계정의 암호를 변경할 수 없습니다.

  9. 네트워크 액세스: SAM 계정 및 공유의 익명 열거 허용 안 함

    1. 배경

      • 네트워크 액세스: SAM 계정 및 공유의 익명 열거 허용 안 함 설정(RestrictAnonymous라고도 함)은 보안 계정 관리자(SAM) 계정 및 공유의 익명 열거 허용 여부를 결정합니다. Windows에서는 익명 사용자가 도메인 계정(사용자, 컴퓨터 및 그룹) 및 네트워크 공유 이름을 열거하는 등의 특정 작업을 수행할 수 있습니다. 이는 예를 들어 관리자가 상호 트러스트를 유지하지 않는 신뢰할 수 있는 도메인의 사용자에게 액세스 권한을 부여하려는 경우에 편리합니다. SAM 계정 및 공유의 익명 열거를 허용하지 않으려면 이 설정을 사용하도록 설정합니다.
      • Windows 2000에서는 익명 연결에 대한 추가 제한이라는 유사한 설정이 RestrictAnonymous 레지스트리 값을 관리합니다. 이 값의 위치는 다음과 같습니다.
        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA

    2. 위험한 구성

      네트워크 액세스를 사용하도록 설정: SAM 계정과 공유의 익명 열거 허용 안 함 설정은 유해한 구성 설정입니다.

    3. 이 설정을 사용하는 이유

      • 네트워크 액세스 활성화: SAM 계정 및 공유의 익명 열거 허용 안 함 설정은 익명 계정을 사용하는 사용자와 컴퓨터의 SAM 계정 및 공유의 열거를 방지합니다.

    4. 이 설정을 사용하지 않도록 설정하는 이유

      • 이 설정을 사용하면 권한이 없는 사용자가 익명으로 계정 이름을 나열한 다음 해당 정보를 사용하여 암호를 추측하거나 소셜 엔지니어링 공격을 수행할 수 있습니다. 소셜 엔지니어링은 사람들을 속여 암호나 보안 정보를 공개하도록 하는 것을 의미하는 전문 용어입니다.
      • 이 설정을 사용하면 Windows NT 4.0 도메인과의 트러스트를 설정할 수 없습니다. 이 설정은 서버의 리소스를 사용하려고 하는 Windows NT 3.51 및 Windows 95 클라이언트와 같은 하위 수준 클라이언트에서도 문제를 일으킬 수 있습니다.
      • 트러스트 도메인의 관리자가 다른 도메인의 계정 목록을 열거할 수 없으므로 리소스 도메인의 사용자에게 액세스 권한을 부여할 수 없습니다. 파일 및 인쇄 서버에 익명으로 액세스하는 사용자는 해당 서버의 공유 네트워크 리소스를 나열할 수 없습니다. 사용자는 인증을 해야만 공유 폴더 및 프린터 목록을 볼 수 있습니다.

    5. 기호 이름:

      RestrictAnonymous

    6. 레지스트리 경로:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\RestrictAnonymous

    7. 호환성 문제의 예

      • Windows NT 4.0: 사용자 도메인의 도메인 컨트롤러에서 RestrictAnonymous를 사용하도록 설정하면 사용자는 Windows NT 4.0 워크스테이션에서 암호를 변경할 수 없습니다.

      • Windows NT 4.0: 사용자 관리자에서 신뢰할 수 있는 Windows 2000 도메인의 사용자 또는 글로벌 그룹을 Windows NT 4.0 로컬 그룹으로 추가하는 데 실패하고 다음 오류 메시지가 나타납니다.

        참고

        현재 로그온 요청을 처리할 수 있는 로그온 서버가 없습니다.

      • Windows NT 4.0: Windows NT 4.0 기반 컴퓨터는 도메인을 설정하는 동안 또는 도메인 가입 사용자 인터페이스를 사용하여 도메인에 가입할 수 없습니다.

      • Windows NT 4.0: Windows NT 4.0 리소스 도메인을 사용하여 하위 수준 트러스트를 설정하지 못합니다. 신뢰할 수 있는 도메인에서 RestrictAnonymous를 사용하도록 설정하면 다음 오류 메시지가 나타납니다.

        참고

        이 도메인의 도메인 컨트롤러를 찾을 수 없습니다.

      • Windows NT 4.0: Windows NT 4.0 기반 터미널 서버 컴퓨터에 로그온하는 사용자는 도메인에 대해 사용자 관리자에 정의된 홈 디렉터리 대신 기본 홈 디렉터리에 매핑됩니다.

      • Windows NT 4.0: Windows NT 4.0 BDC(백업 도메인 컨트롤러)는 Net Logon 서비스를 시작하거나, 백업 브라우저 목록을 얻거나, 같은 도메인의 Windows 2000 또는 Windows Server 2003 도메인 컨트롤러에서 SAM 데이터베이스를 동기화할 수 없습니다.

      • Windows 2000: 클라이언트 컴퓨터의 로컬 보안 정책에서 명시적 익명 권한 없이 액세스 없음 설정을 사용하는 경우 Windows NT 4.0 도메인의 Windows 2000 기반 구성원 컴퓨터는 외부 도메인의 프린터를 볼 수 없습니다.

      • Windows 2000: Windows 2000 도메인 사용자는 Active Directory에서 네트워크 프린터를 추가할 수 없습니다. 그러나 트리 보기에서 프린터를 선택하면 추가할 수 있습니다.

      • Windows 2000: Windows 2000 기반 컴퓨터에서는 ACL 편집기가 신뢰할 수 있는 Windows NT 4.0 도메인의 사용자 또는 전역 그룹을 추가할 수 없습니다.

      • ADMT 버전 2: ADMT(Active Directory 마이그레이션 도구) 버전 2를 사용하여 포리스트 간에 마이그레이션되는 사용자 계정의 암호 마이그레이션에 실패합니다.

        자세한 내용은 다음 문서 번호를 클릭하여 Microsoft 기술 자료 문서를 참조하세요.
        322981 ADMTv2를 사용하여 포리스트 간 암호 마이그레이션 문제를 해결하는 방법

      • Outlook 클라이언트: 전체 주소 목록은 Microsoft Exchange Outlook 클라이언트에 비어 있는 것으로 표시됩니다.

      • SMS: Microsoft SMS(Systems Management Server) 네트워크 검색은 운영 체제 정보를 얻을 수 없습니다. 따라서 DDR(검색 데이터 레코드)의 SMS DDR 속성의 OperatingSystemNameandVersion 속성에 "알 수 없음"을 기록합니다.

      • SMS: SMS 관리자 사용자 마법사를 사용하여 사용자 및 그룹을 검색하면 사용자 또는 그룹이 나열되지 않습니다. 또한 고급 클라이언트는 관리 지점과 통신할 수 없습니다. 관리 지점에서 익명 액세스가 필요합니다.

      • SMS: 토폴로지, 클라이언트 및 클라이언트 운영 체제 네트워크 검색 옵션이 켜져 있는 상태에서 SMS 2.0 및 원격 클라이언트 설치에서 네트워크 검색 기능을 사용할 때 컴퓨터는 검색될 수 있지만 설치되지 않을 수 있습니다.

  10. 네트워크 보안: Lan Manager 인증 수준

    1. 배경

      LAN Manager(LM) 인증은 도메인 가입, 네트워크 리소스 액세스, 사용자 또는 컴퓨터 인증을 비롯한 네트워크 작업을 위해 Windows 클라이언트를 인증하는 데 사용되는 프로토콜입니다. LM 인증 수준은 클라이언트와 서버 컴퓨터 간에 협상되는 챌린지/응답 인증 프로토콜을 결정합니다. 특히 LM 인증 수준은 클라이언트가 협상하거나 서버가 수락할 인증 프로토콜을 결정합니다. LmCompatibilityLevel에 대해 설정된 값은 네트워크 로그온에 사용되는 챌린지/응답 인증 프로토콜을 결정합니다. 이 값은 클라이언트가 사용하는 인증 프로토콜 수준, 협상된 세션 보안 수준 및 서버에서 허용하는 인증 수준에 영향을 줍니다.

      가능한 설정은 다음과 같습니다.

      값 설정 설명
      0 LM & NTLM 응답 보내기 클라이언트는 LM 및 NTLM 인증을 사용하고 NTLMv2 세션 보안을 사용하지 않습니다. 도메인 컨트롤러는 LM, NTLM 및 NTLMv2 인증을 수락합니다.
      1 LM을 NTLM& 보내기 - 협상된 경우 NTLMv2 세션 보안 사용 클라이언트는 LM 및 NTLM 인증을 사용하고 서버가 지원하는 경우 NTLMv2 세션 보안을 사용합니다. 도메인 컨트롤러는 LM, NTLM 및 NTLMv2 인증을 수락합니다.
      2 NTLM 응답만 보내기 클라이언트는 NTLM 인증만 사용하고 서버에서 지원하는 경우 NTLMv2 세션 보안을 사용합니다. 도메인 컨트롤러는 LM, NTLM 및 NTLMv2 인증을 수락합니다.
      3 NTLMv2 응답만 보내기 클라이언트는 NTLMv2 인증만 사용하고 서버에서 지원하는 경우 NTLMv2 세션 보안을 사용합니다. 도메인 컨트롤러는 LM, NTLM 및 NTLMv2 인증을 수락합니다.
      4 NTLMv2 응답만 보내기/LM 거부 클라이언트는 NTLMv2 인증만 사용하고 서버에서 지원하는 경우 NTLMv2 세션 보안을 사용합니다. 도메인 컨트롤러는 LM을 거부하고 NTLM 및 NTLMv2 인증만 수락합니다.
      5 NTLMv2 응답만 보내기/NTLM& LM 거부 클라이언트는 NTLMv2 인증만 사용하고 서버에서 지원하는 경우 NTLMv2 세션 보안을 사용합니다. 도메인 컨트롤러는 LM 및 NTLM을 거부하고 NTLMv2 인증만 수락합니다.

      참고 Windows 95, Windows 98 및 Windows 98 두 번째 버전에서 디렉터리 서비스 클라이언트는 NTLM 인증을 사용하여 Windows Server 2003 서버에 인증할 때 SMB 서명을 사용합니다. 그러나 이러한 클라이언트는 NTLMv2 인증을 사용하여 이러한 서버에 인증할 때 SMB 서명을 사용하지 않습니다. 또한 Windows 2000 서버는 이러한 클라이언트의 SMB 서명 요청에 응답하지 않습니다.

      LM 인증 수준을 확인합니다. NTLM을 허용하도록 서버에서 정책을 변경하거나 NTLMv2를 지원하도록 클라이언트 컴퓨터를 구성해야 합니다.

      연결하려는 대상 컴퓨터에서 정책이 (5) NTLMv2 응답만 보내기\LM & NTLM 거부로 설정된 경우 해당 컴퓨터의 설정을 낮추거나 연결을 가져오는 원본 컴퓨터에 있는 것과 동일한 설정으로 보안을 설정해야 합니다.

      LAN 관리자 인증 수준을 변경하여 클라이언트와 서버를 동일한 수준으로 설정할 수 있는 올바른 위치를 찾습니다. LAN 관리자 인증 수준을 설정하는 정책을 찾은 후 이전 버전의 Windows를 실행하는 컴퓨터와 연결하려는 경우 값을 최소 (1) LM & NTLM 보내기 - 협상된 경우 NTLM 버전 2 세션 보안 사용으로 낮춥니다. 호환되지 않는 설정의 한 가지 영향은 서버에 NTLMv2(값 5)가 필요하지만 클라이언트가 LM과 NTLMv1(값 0)만 사용하도록 구성된 경우 인증을 시도하는 사용자가 잘못된 암호가 있는 로그온 오류가 발생하고 잘못된 암호 수가 증가하는 것입니다. 계정 잠금이 구성된 경우 사용자는 결국 잠길 수 있습니다.

      예를 들어 도메인 컨트롤러를 확인해야 하거나 도메인 컨트롤러의 정책을 확인해야 할 수 있습니다.

      도메인 컨트롤러 확인

      참고 모든 도메인 컨트롤러에서 다음 절차를 반복해야 할 수 있습니다.

      1. 시작을 클릭하고 프로그램을 가리킨 다음 관리 도구를 클릭합니다.
      2. 로컬 보안 설정에서 로컬 정책을 확장합니다.
      3. 보안 옵션을 클릭합니다.
      4. 네트워크 보안: LAN 관리자 인증 수준을 두 번 클릭한 다음 목록에서 값을 클릭합니다.

      유효 설정과 로컬 설정이 같으면 이 수준에서 정책이 변경된 것입니다. 설정이 다른 경우 도메인 컨트롤러의 정책을 검사하여 네트워크 보안: LAN 관리자 인증 수준 설정이 정의되어 있는지 확인해야 합니다. 정의되어 있지 않은 경우 도메인 컨트롤러의 정책을 검사합니다.

      도메인 컨트롤러의 정책 검사

      1. 시작을 클릭하고 프로그램을 가리킨 다음 관리 도구를 클릭합니다.
      2. 도메인 컨트롤러 보안 정책에서 보안 설정을 확장한 다음 로컬 정책을 확장합니다.
      3. 보안 옵션을 클릭합니다.
      4. 네트워크 보안: LAN 관리자 인증 수준을 두 번 클릭한 다음 목록에서 값을 클릭합니다.

      참고

      • 또한 사이트 수준, 도메인 수준 또는 OU(조직 구성 단위) 수준에서 연결된 정책을 검사하여 LAN Manager 인증 수준을 구성해야 하는 위치를 결정해야 할 수 있습니다.
      • 그룹 정책 설정을 기본 도메인 정책으로 구현하면 정책이 도메인의 모든 컴퓨터에 적용됩니다.
      • 그룹 정책 설정을 기본 도메인 컨트롤러의 정책으로 구현하는 경우 정책은 도메인 컨트롤러 OU의 서버에만 적용됩니다.
      • 정책 애플리케이션 계층 구조에서 필요한 scope의 가장 낮은 엔터티에서 LAN 관리자 인증 수준을 설정하는 것이 좋습니다.

      Windows Server 2003에는 NTLMv2만 사용하는 새로운 기본 설정이 있습니다. 기본적으로 Windows Server 2003 및 Windows 2000 Server SP3 기반 도메인 컨트롤러는 "Microsoft 네트워크 서버: 디지털 서명 통신(항상)" 정책을 사용하도록 설정했습니다. 이 설정을 사용하려면 SMB 서버가 SMB 패킷 서명을 수행해야 합니다. Windows Server 2003으로 변경된 이유는 모든 organization의 도메인 컨트롤러, 파일 서버, 네트워크 인프라 서버 및 웹 서버가 보안을 극대화하기 위해 서로 다른 설정이 필요하기 때문입니다.

      네트워크에서 NTLMv2 인증을 구현하려면 도메인의 모든 컴퓨터가 이 인증 수준을 사용하도록 설정되어 있는지 확인해야 합니다. Windows 95 또는 Windows 98 및 Windows NT 4.0용 Active Directory 클라이언트 확장을 적용하는 경우 클라이언트 확장은 NTLMv2에서 사용할 수 있는 향상된 인증 기능을 사용합니다. 다음 운영 체제를 실행하는 클라이언트 컴퓨터는 Windows 2000 그룹 정책 개체의 영향을 받지 않으므로 이러한 클라이언트를 수동으로 구성해야 할 수 있습니다.

      • Microsoft Windows NT 4.0
      • Microsoft Windows Millennium Edition
      • Microsoft Windows 98
      • Microsoft Windows 95

      참고 네트워크 보안: 다음 암호 변경 정책에 LAN 관리자 해시 값을 저장하거나NoLMHash 레지스트리 키를 설정하지 않으면 디렉터리 서비스 클라이언트가 설치되지 않은 Windows 95 기반 및 Windows 98 기반 클라이언트는 암호 변경 후 도메인에 로그온할 수 없습니다.

      Novell Netware 6과 같은 많은 타사 CIFS 서버는 NTLMv2를 인식하지 못하며 NTLM만 사용합니다. 따라서 2보다 큰 수준은 연결을 허용하지 않습니다. 확장 세션 보안을 사용하지 않는 타사 SMB 클라이언트도 있습니다. 이러한 경우 리소스 서버의 LmCompatiblityLevel은 고려되지 않습니다. 그런 다음 서버는 이 레거시 요청을 압축하여 사용자 도메인 컨트롤러로 보냅니다. 그런 다음 도메인 컨트롤러의 설정에 따라 요청을 확인하는 데 사용되는 해시와 도메인 컨트롤러의 보안 요구 사항을 충족하는지 여부를 결정합니다.

       
      299656 Windows가 Active Directory 및 로컬 SAM 데이터베이스에 LAN 관리자 암호 해시를 저장하지 못하도록 하는 방법
       
      2701704 감사 이벤트에서 인증 패키지가 NTLMv2가 아닌 NTLMv1로 표시됨 LM 인증 수준에 대한 자세한 내용은 다음 문서 번호를 클릭하여 Microsoft 기술 자료 문서를 참조하세요.
      239869 NTLM 2 인증 사용 설정 방법
       

    2. 위험한 구성

      다음은 유해한 구성 설정입니다.

      • 암호를 일반 텍스트로 보내고 NTLMv2 협상을 거부하는 비제한적 설정

      • 호환되지 않는 클라이언트 또는 도메인 컨트롤러가 공통 인증 프로토콜을 협상하지 못하도록 하는 제한적인 설정

      • 서비스 팩 4(SP4) 이전 버전의 Windows NT 4.0을 실행하는 구성원 컴퓨터와 도메인 컨트롤러에 NTLMv2 인증 필요

      • Windows 디렉터리 서비스 클라이언트가 설치되어 있지 않은 Windows 95 클라이언트 또는 Windows 98 클라이언트에서 NTLMv2 인증을 요구합니다.

      • Windows Server 2003 또는 Windows 2000 서비스 팩 3 기반 컴퓨터에서 Microsoft 관리 콘솔 그룹 정책 편집기 스냅인에서 NTLMv2 세션 보안 필요 검사 상자를 클릭하여 선택하고 LAN 관리자 인증 수준을 0으로 낮추면 두 설정이 충돌하고 Secpol.msc 파일 또는 GPEdit.msc 파일에서 다음 오류 메시지를 받을 수 있습니다.

        참고

        Windows에서 로컬 정책 데이터베이스를 열 수 없습니다. 데이터베이스를 열려고 할 때 알 수 없는 오류가 발생했습니다.

        보안 구성 및 분석 도구에 대한 자세한 내용은 Windows 2000 또는 Windows Server 2003 도움말 파일을 참조하십시오.

    3. 이 설정을 수정하는 이유

      • organization의 클라이언트 및 도메인 컨트롤러에서 지원하는 가장 낮은 공통 인증 프로토콜을 늘리려고 합니다.
      • 보안 인증이 비즈니스 요구 사항인 경우 LM 및 NTLM 프로토콜의 협상을 허용하지 않아야 합니다.

    4. 이 설정을 사용하지 않도록 설정하는 이유

      클라이언트 또는 서버 인증 요구 사항 또는 둘 다가 공통 프로토콜에 대한 인증을 수행할 수 없을 정도로 증가했습니다.

    5. 기호 이름:

      LmCompatibilityLevel

    6. 레지스트리 경로:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel

    7. 호환성 문제의 예

      • Windows Server 2003: 기본적으로 Windows Server 2003 NTLMv2 NTLM 응답 보내기 설정은 사용하도록 설정됩니다. 따라서 Windows Server 2003은 Windows NT 4.0 기반 클러스터 또는 OS/2 Lanserver와 같은 LanManager V2.1 기반 서버에 연결하려고 할 때 초기 설치 후 "액세스 거부" 오류 메시지를 받습니다. 이 문제는 이전 버전 클라이언트에서 Windows Server 2003 기반 서버로 연결하려고 하는 경우에도 발생합니다.

      • Windows 2000 SRP1(보안 롤업 패키지 1)을 설치합니다. SRP1은 NTLM 버전 2(NTLMv2)를 강제로 적용합니다. 이 롤업 패키지는 Windows 2000 SP2(서비스 팩 2) 릴리스 후에 릴리스되었습니다.
         

      • Windows 7 및 Windows Server 2008 R2: Novell Netware 6 또는 Linux 기반 Samba 서버와 같은 많은 타사 CIFS 서버는 NTLMv2를 인식하지 못하며 NTLM만 사용합니다. 따라서 "2"보다 큰 수준은 연결을 허용하지 않습니다. 이제 이 버전의 운영 체제에서 LmCompatibilityLevel의 기본값이 "3"으로 변경되었습니다. 따라서 Windows를 업그레이드하면 이러한 타사 파일러의 작동이 중지될 수 있습니다.

      • Microsoft Outlook 클라이언트가 도메인에 이미 로그온되어 있더라도 자격 증명을 묻는 메시지가 표시될 수 있습니다. 사용자가 자격 증명을 제공하면 다음과 같은 오류 메시지가 표시됩니다. Windows 7 및 Windows Server 2008 R2

        참고

        제공된 로그온 자격 증명이 잘못되었습니다. 사용자 이름과 도메인이 올바른지 확인한 다음 암호를 다시 입력합니다.

        Outlook을 시작할 때 로그온 네트워크 보안 설정이 통과 또는 암호 인증으로 설정되어 있더라도 자격 증명을 입력하라는 메시지가 표시될 수 있습니다. 올바른 자격 증명을 입력하면 다음과 같은 오류 메시지가 나타날 수 있습니다.

        참고

        제공된 로그인 자격 증명이 잘못되었습니다.

        네트워크 모니터 추적은 글로벌 카탈로그에서 상태가 0x5인 RPC(원격 프로시저 호출) 오류를 발생시켰음을 표시할 수 있습니다. 0x5의 상태는 "액세스 거부"를 의미합니다.

      • Windows 2000: 네트워크 모니터 캡처에서 NetBT(NetBIOS over TCP/IP) SMB(서버 메시지 블록) 세션에서 다음 오류가 표시될 수 있습니다.

        참고

        SMB R 디렉터리 검색 Dos 오류, (5) ACCESS_DENIED (109) STATUS_LOGON_FAILURE (91) 잘못된 사용자 식별자

      • Windows 2000: NTLMv2 수준 2 이상의 Windows 2000 도메인이 Windows NT 4.0 도메인에서 신뢰되는 경우 리소스 도메인의 Windows 2000 기반 구성원 컴퓨터에서 인증 오류가 발생할 수 있습니다.

      • Windows 2000 및 Windows XP: 기본적으로 Windows 2000 및 Windows XP에서는 LAN Manager 인증 수준 로컬 보안 정책 옵션을 0으로 설정합니다. 0으로 설정하면 "LM 및 NTLM 응답 보내기"를 의미합니다.

        참고: Windows NT 4.0 기반 클러스터는 관리를 위해 LM을 사용해야 합니다.

      • Windows 2000: Windows 2000 클러스터링은 두 노드가 모두 Windows NT 4.0 SP6a(서비스 팩 6a) 도메인의 일부인 경우 참가 노드를 인증하지 않습니다.

      • IIS 잠금 도구(HiSecWeb)는 LMCompatibilityLevel 값을 5로, RestrictAnonymous 값을 2로 설정합니다.

      • Macintosh용 서비스

        UAM(사용자 인증 모듈): Microsoft UAM(사용자 인증 모듈)은 Windows AFP(AppleTalk Filing Protocol) 서버에 로그온하는 데 사용하는 암호를 암호화하는 방법을 제공합니다. Apple UAM(사용자 인증 모듈)은 암호화를 최소화하거나 전혀 제공하지 않습니다. 따라서 LAN이나 인터넷에서 암호를 쉽게 가로챌 수 있습니다. UAM은 필수는 아니지만 Macintosh용 서비스를 실행하는 Windows 2000 서버에 암호화된 인증을 제공합니다. 이 버전에는 NTLMv2 128비트 암호화 인증 지원과 MacOS X 10.1 호환 릴리스가 포함되어 있습니다.

        기본적으로 Macintosh용 Windows Server 2003 서비스는 Microsoft 인증만 허용합니다.
         

      • Windows Server 2008, Windows Server 2003, Windows XP 및 Windows 2000: LMCompatibilityLevel 값을 0 또는 1로 구성한 다음 NoLMHash 값을 1로 구성하면 NTLM을 통한 애플리케이션 및 구성 요소 액세스가 거부될 수 있습니다. 이 문제는 컴퓨터가 LM을 활성화하지만 LM에 저장된 암호를 사용하지 않도록 구성되어 있기 때문에 발생합니다.

        NoLMHash 값을 1로 구성하는 경우 LMCompatibilityLevel 값을 2 이상으로 구성해야 합니다.

  11. 네트워크 보안: LDAP 클라이언트 서명 요구 사항

    1. 배경

      네트워크 보안: LDAP 클라이언트 서명 요구 사항 설정은 다음과 같이 LDAP(Lightweight Directory Access Protocol) BIND 요청을 발행하는 클라이언트 대신 요청되는 데이터 서명의 수준을 결정합니다.

      • 없음: LDAP BIND 요청이 호출자 지정 옵션과 함께 발행됩니다.
      • 서명 협상: SSL/TLS(Secure Sockets Layer/Transport Layer Security)가 시작되지 않은 경우 호출자 지정 옵션 외에도 LDAP 데이터 서명 옵션 집합으로 LDAP BIND 요청이 시작됩니다. SSL/TLS가 시작된 경우 LDAP BIND 요청은 호출자 지정 옵션으로 시작됩니다.
      • 서명 필요: 협상 서명과 동일합니다. 그러나 LDAP 서버의 중간 saslBindInProgress 응답에서 LDAP 트래픽 서명이 필요하다고 표시하지 않으면 호출자는 LDAP BIND 명령 요청이 실패했다는 메시지를 받습니다.

    2. 위험한 구성

      네트워크 보안: LDAP 클라이언트 서명 요구 사항 설정을 사용하도록 설정하는 것은 유해한 구성 설정입니다. LDAP 서명이 필요하도록 서버를 설정하는 경우 클라이언트에서도 LDAP 서명을 구성해야 합니다. LDAP 서명을 사용하도록 클라이언트를 구성하지 않으면 서버와의 통신이 차단됩니다. 이로 인해 사용자 인증, 그룹 정책 설정, 로그온 스크립트 및 기타 기능이 실패합니다.

    3. 이 설정을 수정하는 이유

      서명되지 않은 네트워크 트래픽은 침입자가 클라이언트와 서버 간의 패킷을 캡처하여 수정한 다음 서버로 전달하는 메시지 가로채기(man-in-the-middle) 공격에 취약합니다. 이 문제가 LDAP 서버에서 발생하면 공격자는 서버가 LDAP 클라이언트의 잘못된 쿼리를 기반으로 응답하도록 할 수 있습니다. 네트워크 인프라를 보호하기 위한 강력한 물리적 보안 조치를 구현함으로써 회사 네트워크에서 이러한 위험을 낮출 수 있습니다. 또한 IPSec 인증 헤더를 통해 모든 네트워크 패킷에 디지털 서명을 요구하여 모든 종류의 메시지 가로채기 공격을 방지할 수 있습니다.

    4. 기호 이름:

      LDAPClientIntegrity

    5. 레지스트리 경로:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LDAP\LDAPClientIntegrity

  12. 이벤트 로그: 최대 보안 로그 크기

    1. 배경

      이벤트 로그: 최대 보안 로그 크기 보안 설정은 보안 이벤트 로그의 최대 크기를 지정합니다. 이 로그의 최대 크기는 4GB입니다. 이 설정을 찾으려면 확장합니다
      Windows 설정을 클릭한 다음 보안 설정을 확장합니다.

    2. 위험한 구성

      다음은 유해한 구성 설정입니다.

      • 감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료 설정을 사용하도록 설정한 경우 보안 로그 크기와 보안 로그 보존 방법을 제한합니다. 자세한 내용은 이 문서의 "감사: 보안 감사를 로그할 수 없는 경우 즉시 시스템 종료" 섹션을 참조하세요.
      • 관심 있는 보안 이벤트를 덮어쓸 수 있도록 보안 로그 크기를 제한합니다.

    3. 이 설정을 늘리는 이유

      비즈니스 및 보안 요구 사항에 따라 추가 보안 로그 세부 정보를 처리하거나 보안 로그를 장기간 보존하기 위해 보안 로그 크기를 늘려야 할 수 있습니다.

    4. 이 설정을 줄이는 이유

      이벤트 뷰어 로그는 메모리 매핑 파일입니다. 이벤트 로그의 최대 크기는 로컬 컴퓨터의 실제 메모리 양과 이벤트 로그 프로세스에 사용할 수 있는 가상 메모리에 의해 제한됩니다. 이벤트 뷰어에서 사용할 수 있는 가상 메모리의 양을 초과하여 로그 크기를 늘리더라도 유지 관리되는 로그 항목의 수는 증가하지 않습니다.

    5. 호환성 문제의 예

      Windows 2000: 서비스 팩 4(SP4) 이전 버전의 Windows 2000을 실행하는 컴퓨터는 이벤트를 덮어쓰지 않음(수동으로 로그 지우기) 옵션이 켜져 있는 경우 이벤트 뷰어의 최대 로그 크기 설정에 지정된 크기에 도달하기 전에 이벤트 로그에서 이벤트 로깅을 중지할 수 있습니다.

       

  13. 이벤트 로그: 보안 로그 보존

    1. 배경

      이벤트 로그: 보안 로그 보존 보안 설정은 보안 로그의 "래핑" 방법을 결정합니다. 이 설정을 찾으려면 Windows 설정을 확장한 다음 보안 설정을 확장합니다.

    2. 위험한 구성

      다음은 유해한 구성 설정입니다.

      • 기록된 보안 이벤트를 덮어쓰기 전에 모두 유지하지 못함
      • 보안 이벤트를 덮어쓰도록 최대 보안 로그 크기 설정을 너무 작게 구성합니다.
      • 감사: 보안 감사를 로그할 수 없는 경우 보안 로그 즉시 종료 보안 설정을 사용하는 동안 보안 로그 크기 및 보존 방법 제한

    3. 이 설정을 사용하는 이유

      일 별 이벤트 덮어쓰 기 보존 방법을 선택한 경우에만 이 설정을 사용하도록 설정합니다. 이벤트를 폴링하는 이벤트 상관 관계 시스템을 사용하는 경우 일 수가 폴링 빈도의 3배 이상인지 확인합니다. 실패한 폴링 주기를 허용하려면 이렇게 합니다.

  14. 네트워크 액세스: Everyone 사용 권한을 익명 사용자에게 적용

    1. 배경

      기본적으로 네트워크 액세스: 모든 사용자 권한을 익명 사용자에게 적용 설정은 Windows Server 2003에서 정의되지 않음으로 설정되어 있습니다. 기본적으로 Windows Server 2003의 Everyone 그룹에는 익명 액세스 토큰이 포함되어 있지 않습니다.

    2. 호환성 문제의 예

      다음 값
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous [REG_DWORD]=0x0 Windows Server 2003 도메인이 계정 도메인이고 Windows NT 4.0 도메인이 리소스 도메인인 경우 Windows Server 2003과 Windows NT 4.0 사이의 신뢰 만들기를 중단합니다. 즉, 계정 도메인은 Windows NT 4.0에서 신뢰할 수 있고 리소스 도메인은 Windows Server 2003 쪽에서 신뢰할 수 있습니다. 이 동작은 초기 익명 연결 후 트러스트를 시작하는 프로세스가 Windows NT 4.0에서 익명 SID를 포함하는 Everyone 토큰으로 ACL되기 때문에 발생합니다.

    3. 이 설정을 수정하는 이유

      이 값은 0x1로 설정하거나 도메인 컨트롤러의 OU에서 GPO를 사용하여 설정해야 합니다. 네트워크 액세스: Everyone 사용 권한을 익명 사용자에게 적용 - 신뢰 만들기를 가능하게 합니다.

      참고 대부분의 다른 보안 설정은 가장 안전한 상태에서 0x0까지 값이 내려가지 않고 올라갑니다. 더 안전한 방법은 모든 도메인 컨트롤러 대신 주 도메인 컨트롤러 에뮬레이터에서 레지스트리를 변경하는 것입니다. 어떤 이유로든 주 도메인 컨트롤러 에뮬레이터 역할을 이동하면 새 서버에서 레지스트리를 업데이트해야 합니다.

      이 값을 설정한 후에는 다시 시작해야 합니다.

    4. 레지스트리 경로
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\everyoneincludesanonymous

  15. NTLMv2 인증

    1. 세션 보안

      세션 보안은 클라이언트 및 서버 세션에 대한 최소 보안 표준을 결정합니다. Microsoft 관리 콘솔 그룹 정책 편집기 스냅인에서 다음 보안 정책 설정을 확인하는 것이 좋습니다.

      • 컴퓨터 설정\Windows 설정\보안 설정\로컬 정책\보안 옵션
      • 네트워크 보안: NTLM SSP 기반(보안 RPC 포함) 서버에 대한 최소 세션 보안
      • 네트워크 보안: NTLM SSP 기반(보안 RPC 포함) 클라이언트에 대한 최소 세션 보안

      이러한 설정에 대한 옵션은 다음과 같습니다.

      • 메시지 무결성 요구
      • 메시지 기밀성 요구
      • NTLM 버전 2 세션 보안 필요
      • 128비트 암호화 필요

      Windows 7 이전의 기본 설정은 요건 없음입니다. Windows 7부터는 보안이 강화된 보안을 위해 기본값이 128비트 암호화 필요로 변경되었습니다. 이 기본값을 사용하면 128비트 암호화를 지원하지 않는 레거시 디바이스는 연결할 수 없습니다.

      이러한 정책은 클라이언트를 위한 서버의 응용 프로그램 간 통신 세션에 대한 최소 보안 표준을 결정합니다.

      유효한 설정으로 설명되었지만 NTLM 세션 보안이 결정될 때 메시지 무결성 및 기밀성을 요구하는 플래그는 사용되지 않습니다.

      지금까지 Windows NT는 네트워크 로그온을 위해 다음과 같은 두 가지 챌린지/응답 인증 변형을 지원했습니다.

      • LM 챌린지/응답
      • NTLM 버전 1 챌린지/응답

      LM은 클라이언트 및 서버의 설치 기반과의 상호 운용성을 허용합니다. NTLM은 클라이언트와 서버 간 연결에 대한 향상된 보안을 제공합니다.

      해당 레지스트리 키는 다음과 같습니다.
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinServerSec"
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\"NtlmMinClientSec"

    2. 위험한 구성

      이 설정은 NTLM을 사용하여 보호된 네트워크 세션을 처리하는 방법을 제어합니다. 예를 들어 NTLM으로 인증된 RPC 기반 세션에 영향을 줍니다. 다음과 같은 위험이 있습니다.

      • NTLMv2보다 오래된 인증 방법을 사용하면 사용되는 해싱 방법이 간단하기 때문에 통신을 공격하기 쉽습니다.
      • 128비트 미만의 암호화 키를 사용하면 공격자가 무차별 암호 대입 공격을 사용하여 통신을 중단할 수 있습니다.

시간 동기화

시간 동기화에 실패했습니다. 영향을 받는 컴퓨터에서 시간이 30분 이상 벗어났습니다. 클라이언트 컴퓨터의 시계가 도메인 컨트롤러의 시계와 동기화되어 있는지 확인합니다.

SMB 서명에 대한 해결 방법

Windows Server 2003 기반 도메인에서 상호 운용되는 Windows NT 4.0 클라이언트에 서비스 팩 6a(SP6a)를 설치하는 것이 좋습니다. Windows 98 Second Edition 기반 클라이언트, Windows 98 기반 클라이언트 및 Windows 95 기반 클라이언트는 NTLMv2를 수행하기 위해 디렉터리 서비스 클라이언트를 실행해야 합니다. Windows NT 4.0 기반 클라이언트에 Windows NT 4.0 SP6이 설치되어 있지 않거나 Windows 95 기반 클라이언트, Windows 98 기반 클라이언트 및 Windows 98SE 기반 클라이언트에 디렉터리 서비스 클라이언트가 설치되어 있지 않은 경우 도메인 컨트롤러 OU의 기본 도메인 컨트롤러 정책 설정에서 SMB 서명을 사용하지 않도록 설정한 다음 이 정책을 도메인 컨트롤러를 호스트하는 모든 OU에 연결합니다.

Windows 98 두 번째 버전, Windows 98 및 Windows 95용 디렉터리 서비스 클라이언트는 NTLM 인증 하의 Windows 2003 서버로 SMB 서명을 수행하지만 NTLMv2 인증에서는 수행하지 않습니다. 또한 Windows 2000 서버는 이러한 클라이언트의 SMB 서명 요청에 응답하지 않습니다.

권장되지는 않지만 도메인에서 Windows Server 2003을 실행하는 모든 도메인 컨트롤러에서 SMB 서명이 필요하지 않도록 방지할 수는 있습니다. 이 보안 설정을 구성하려면 다음 단계를 따르세요.

  1. 기본 도메인 컨트롤러의 정책을 엽니다.
  2. 컴퓨터 구성\Windows 설정\보안 설정\로컬 정책\보안 옵션 폴더를 엽니다.
  3. Microsoft 네트워크 서버: 디지털 서명 통신(항상) 정책 설정을 찾아 클릭한 다음 사용 안 함을 클릭합니다.

중요 이 섹션, 방법 또는 작업에는 레지스트리를 수정하는 방법에 대한 단계가 포함되어 있습니다. 그러나 레지스트리를 잘못 수정하는 경우 심각한 문제가 발생할 수 있습니다. 따라서 이러한 단계를 신중하게 따라야 합니다. 레지스트리를 변경하기 전에 먼저 백업하는 것이 좋습니다. 그런 다음 문제가 발생할 경우 레지스트리를 복원할 수 있습니다. Windows XP 및 Windows Server 2003에서 레지스트리를 백업, 편집 및 복원하는 방법에 대한 자세한 내용은 다음 문서 번호를 클릭하여 Microsoft 기술 자료를 참조하세요.

322756 Windows에서 레지스트리를 백업 및 복원하는 방법 또는 레지스트리를 수정하여 서버에서 SMB 서명을 끕니다. 그러려면 다음 단계를 따르세요.

  1. 시작, 실행을 차례로 클릭하고 regedit를 입력한 다음 확인을 클릭합니다.
  2. 다음 하위 키를 찾아서 클릭합니다.
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Lanmanserver\Parameters
  3. enablesecuritysignature 항목을 클릭합니다.
  4. 편집 메뉴에서 수정을 클릭합니다.
  5. 값 데이터 상자에 0을 입력한 다음 확인을 클릭합니다.
  6. 레지스트리 편집기를 종료합니다.
  7. 컴퓨터를 다시 시작하거나 서버 서비스를 중지한 다음 다시 시작합니다. 이렇게 하려면 명령 프롬프트에 다음 명령을 입력한 다음 각 명령을 입력한 후 Enter 키를 누릅니다.
    net stop server
    net start server

참고 클라이언트 컴퓨터의 해당 키는 다음 레지스트리 하위 키에 있습니다.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Lanmanworkstation\Parameters 다음은 상태 코드 및 앞에서 언급한 축자 오류 메시지로 변환된 오류 코드 번호 목록입니다.

참고

오류 5
ERROR_ACCESS_DENIED

액세스가 거부되었습니다.

참고

오류 1326

ERROR_LOGON_FAILURE

로그온 실패: 알 수 없는 사용자 이름이거나 암호가 틀립니다.

참고

오류 1788

ERROR_TRUSTED_DOMAIN_FAILURE

주 도메인과 트러스트된 도메인 사이의 트러스트 관계에 이상이 있습니다.

참고

오류 1789

ERROR_TRUSTED_RELATIONSHIP_FAILURE

이 워크스테이션과 주 도메인 간의 트러스트 관계에 이상이 있습니다.

자세한 내용을 확인하려면 다음 문서 번호를 클릭하여 Microsoft 기술 자료 문서를 참조하십시오.

324802 Windows Server 2003에서 시스템 서비스에 대한 보안을 설정하도록 그룹 정책을 구성하는 방법

816585 Windows Server 2003에서 미리 정의된 보안 템플릿을 적용하는 방법