Office의 COM 개체에 대한 보안 설정

Office COM kill bit

Office COM kill bit는 Office 문서에 포함되거나 Office 문서에서 연결되는 특정 COM 개체가 실행되는 것을 방지하기 위해 보안 업데이트 MS10-036에 도입되었습니다.

COM Kill bit 기능은 KB3178703에서 업데이트되어 Office에서 COM 개체가 프로세스 중 활성화되지 못하게 완전히 차단합니다. 이 업데이트는 원래 행동의 상위집합이며, Office 문서에 포함되거나 연결된 COM 개체를 차단하는 것 외에도 추가 기능과 같은 다른 수단을 통해 Office 프로세스 내에서 로드되는 COM 개체의 인스턴스를 차단합니다.

이러한 특정 COM 개체에는 ActiveX 컨트롤 및 OLE 개체가 포함됩니다. 레지스트리를 통해 Office를 사용할 때 차단되는 COM 개체를 독립적으로 제어할 수 있습니다.

참고: COM 개체에 대해 설정된 kill bit를 제거하지 않는 것이 좋습니다. 제거할 경우 보안 취약성이 발생할 수 있습니다. Kill bit는 일반적으로 중요한 이유로 인해 설정됩니다. 따라서 ActiveX 컨트롤을 중단하지 않도록 할 경우 매우 유의해야 합니다.

새 ActiveX 컨트롤의 CLSID를 Office COM kill bit가 적용된 ActiveX 컨트롤의 CLSID에 연결해야 할 경우(그리고 이 ActiveX 컨트롤은 보안 위협을 줄이도록 수정되었습니다) AlternateCLSID("Phoenix 비트"라고도 함)를 추가할 수 있습니다. Office는 ActiveX 컨트롤 COM 개체를 사용할 경우 AlternateCLSID만 지원합니다.

참고: Office의 kill bit 목록은 Internet Explorer의 kill bit 목록보다 우선합니다. 예를 들어, Office COM kill bit 및 Internet Explorer ActiveX kill bit는 동일한 ActiveX 컨트롤에 대해 설정할 수 있습니다. 그러나, AlternateCLSID는 Internet Explorer 목록에만 설정됩니다. 이 시나리오에서는 두 설정 간에 충돌이 있습니다. 이러한 경우, Office COM kill bit 설정이 우선하며 컨트롤이 로드되지 않습니다.

Office COM kill bit 설정

레지스트리에서 Office COM kill bit 설정 위치는 다음과 같습니다.

Office 2013 및 Office 2010:

• 64비트 Windows의 64비트 Office(또는 32비트 Windows의 32비트 Office).

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

64비트 Windows의 32비트 Office:

            HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Office 2016:

• 64비트 Windows의 64비트 Office(또는 32비트 Windows의 32비트 Office):

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• 64비트 Windows의 32비트 Office:

              HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

이 경우, CLSID는 COM 개체의 클래스 식별자입니다.

Office COM kill bit를 사용하도록 설정하려면 다음 단계를 수행합니다.

1. 로드되지 못하게 차단하려는 ActiveX 컨트롤 또는 OLE 개체의 CLSID를 포함하는 레지스트리 하위 키를 추가합니다.

2. 이 하위 키에 Compatibility Flags라는 REG_DWORD를 추가하고 값을 0x00000400으로 설정합니다.

예를 들어, Office 2016에서 CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24}가 있는 개체에 Office COM kill bit를 설정하려면 다음 단계를 따릅니다.

1. 다음 레지스트리 하위 키를 찾습니다.
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. 값 {77061A9C-2F18-4f38-B294-F6BCC8443D24}으로 하위 키를 추가합니다. 이 경우, 그에 따른 경로는 다음과 같습니다.
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. 이 하위 키에 Compatibility Flags라는 REG_DWORD를 추가하고 값을 0x00000400으로 설정합니다.

이제 이 개체가 Office 내에서 활성화되는 것을 차단하도록 Office COM kill bit가 설정되었습니다.

연결 및 포함 시나리오에서만 COM을 차단하는 방법

앞에서 언급했듯이, COM kill bit 기능은 지정된 모든 COM 개체가 Office 내에서 활성화되는 것을 차단하도록 업데이트되었습니다.

Office 문서 내에 포함되거나 Office 문서 내에서 연결되는 COM 개체만 차단하려면 다음 단계를 수행합니다.

1. "Office Kill Bit 설정"의 지침에 따라 COM kill bit에 CLSID를 추가합니다(목록에 아직 없는 경우).

2. 차단된 CLSID의 하위 키에서 ActivationFilterOverride라는 REG_DWORD 값을 추가하고 해당 값을 0x00000001로 설정합니다.

예를 들어, Office 2016에서 연결 및 포함 시나리오에서만 CLSID가 {77061A9C-2F18-4f38-B294-F6BCC8443D24}인 개체에 대해 차단하도록 COM kill bit를 구성하려면 다음 단계를 따릅니다.

1. 다음 레지스트리 하위 키를 찾습니다.
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility 

2. {77061A9C-2F18-4f38-B294-F6BCC8443D24}의 값이 있는 하위 키를 추가합니다. 이 경우, 그에 따른 경로는 다음과 같습니다.
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24} 

3. 이 하위 키에 Compatibility Flags라는 REG_DWORD를 추가하고 값을 0x00000400으로 설정합니다.

4. 이 하위 키에 ActivationFilterOverride라는 REG_DWORD를 추가하고 값을 0x00000001로 설정합니다.

이제 이 COM 개체가 Office 문서에 연결되거나 포함될 때만 개체를 차단하도록 Office COM kill bit가 설정되었습니다.