김현도 강사(websider@hanmail.net) 다우데이터 전임강사 어플리케이션 보안 구현 김현도 강사(websider@hanmail.net) 다우데이터 전임강사

수준 300 세션 선수 조건 네트워크 보안 필수 사항에 대한 이해 Windows 2000 Server 또는 Windows Server 2003을 사용해 본 경험 Windows 관리 도구를 사용해 본 경험 Exchange Server 및 SQL Server 관리 도구를 사용해 본 경험 수준 300

소개 소개 Exchange Server 보호 SQL Server 보호 IIS 서버 보안 설정 방법 Small Business Server 보안 설정

심층 방어 심층 방어 계층화된 방법 사용 계층화된 방법 사용 공격자 탐지 가능성 증가 공격자 탐지 가능성 증가 정책, 절차 및 인식 물리적 보안 주변 내부 네트워크 호스트 어플리케이션 데이터 OS 보안 강화, 인증, 패치 관리, HIDS 방화벽, 네트워크 액세스 격리 제어 보안 요원, 잠금, 추적 장치 네트워크 세그먼트, IPSec, NIDS 어플리케이션 강화, 바이러스 백신 ACL, 암호화, EFS 보안 문서, 사용자 교육 계층화된 방법 사용 공격자 탐지 가능성 증가 공격의 성공 가능성 감소 심층 방어 심층 방어 계층화된 방법 사용 공격자 탐지 가능성 증가 공격의 성공 가능성 감소 정책, 절차 및 인식 물리적 보안 주변 내부 네트워크 호스트 어플리케이션 데이터 정책, 절차 및 인식 물리적 보안 주변 내부 네트워크 호스트 어플리케이션 데이터 ACL, 암호화, EFS 어플리케이션 강화, 바이러스 백신 OS 보안 강화, 인증, 패치 관리, HIDS 네트워크 세그먼트, IPSec, NIDS 방화벽, 네트워크 액세스 격리 제어 보안 요원, 잠금, 추적 장치 보안 문서, 사용자 교육

어플리케이션 보안의 중요성 주변 방어는 제한된 수준의 방어만 제공 대부분의 호스트 기반 방어가 어플리케이션 별로 이루어지지 않음 최근 공격은 주로 어플리케이션 계층에서 발생

유용한 어플리케이션 서버 정보 기본 운영 체제에 대한 보안 구성 운영 체제와 어플리케이션의 서비스 팩 및 패치 적용 필요한 서비스만 설치 또는 사용 필요한 작업을 수행하는 데 요구되는 사용 권한만 할당 최소한의 권한을 가진 어플리케이션 계정 할당 심층 방어 원칙을 적용하여 보안 강화

Exchange Server 보호 소개 Exchange Server 보호 SQL Server 보호 IIS 서버 보안 설정 방법 Small Business Server 보안 설정

Exchange Server 개요 통합 메시징 약속/일정 관리 기능 데스크톱/모바일/웹 액세스 내결함성이 있는 메시지 저장소 내부 사용자 통합 메시징 약속/일정 관리 기능 데스크톱/모바일/웹 액세스 내결함성이 있는 메시지 저장소 보안 및 개인 정보 보호 기능 Exchange 서버 LAN Outlook 원격 사용자 원격 사용자 인터넷 모바일 장치 OWA

Exchange 보안 종속성 Exchange 보안은 다음과 같은 요소에 종속됩니다. 운영 체제 보안 네트워크 보안 IIS 보안(OWA를 사용할 경우) 클라이언트 보안(Outlook) Active Directory 보안 기억할 사항: 심층 방어

Exchange Server 보안 설정 Exchange 2000 백 엔드 서버 Exchange 2000 OWA 서버 URLScan Exchange 2003 백 엔드 서버를 포함한 IIS 잠금 적용 프로토콜 보안 템플릿 적용 Exchange 2003 프런트 엔드 및 OWA 서버 IIS 6.0이 URLScan 및 IIS 잠금과 거의 동일한 기능 제공 Exchange가 설치된 도메인 컨트롤러 도메인 컨트롤러 기본 템플릿(BaselineDC.inf)을 적용한 다음 Exchange DC 증분 템플릿 적용

Exchange Server 보안 항목 Exchange Server 액세스 보호 무단 액세스 차단 통신 보안 설정 통신 차단 및 암호화 스팸 차단 받는 메일 필터링 릴레이 제한: 스팸 방지 보안되지 않은 전자 메일 메시지 차단 바이러스 검사 첨부 파일 차단

기억할 사항: 인증 보안과 데이터 암호화는 동일하지 않음 인증 구성 1부 Outlook 클라이언트 인증 보호 RPC over HTTPS를 사용하도록 Exchange 및 Outlook 2003 구성 인터넷 프로토콜 클라이언트 인증을 암호화하도록 SPA 구성 기억할 사항: 인증 보안과 데이터 암호화는 동일하지 않음

인증 구성 2부 OWA에서는 여러 가지 인증 방법을 지원합니다. 인증 방법 고려 사항 기본 인증 SSL을 사용하지 않는 한 안전하지 않음 통합 인증 제한된 클라이언트 지원, 방화벽을 통한 실행 다이제스트 인증 제한된 클라이언트 지원 폼 기반 인증 사용자 지정 가능 웹 클라이언트 지원 Exchange Server 2003에서 사용 가능

통신 보안 설정 RPC 암호화 구성 클라이언트 쪽 설정 ISA Server 2004에서 적용 가능 RPC over HTTPS 방화벽 차단 ISA Server를 사용하여 메일 서버 게시 OWA에 대해 HTTPS 구성 S/MIME을 사용하여 메시지 암호화

메시지 암호화 2 4 6 1 3 5 클라이언트 2의 공개 키 검색 메시지가 전송될 때 S/MIME을 사용하여 캡슐화됨 Active Directory 도메인 컨트롤러 클라이언트 2의 개인 키는 공유 키를 해독하기 위해 사용되며, 공유 키는 메시지를 해독하기 위해 사용됨 6 새 메시지 작성 1 SMTP VS1 SMTP VS 2 공유 키가 생성되고 받는 사람의 공개 키를 사용하여 암호화됨. 공유 키를 사용하여 메시지가 암호화되고 메시지와 공유 키가 전송됨. 암호화된 메시지 도착 5 3 클라이언트 1 클라이언트 2

데모 1: Exchange 보안 설정 폼 기반 인증 구성 RPC over HTTP 구성

스팸 차단 – Exchange 2000 열려 있는 릴레이 닫기 메시지 스푸핑으로부터 보호 주소 스푸핑으로부터 보호 Exchange에서 받는 사람 이름을 GAL 계정으로 확인하지 않도록 설정

스팸 차단 – Exchange 2003 Exchange Server 2003의 추가 스팸 방지 기능 사용 실시간 차단 목록 지원 글로벌 거부 목록 및 허용 목록 보낸 사람 및 받는 사람 필터링 향상된 릴레이 방지 기능 Outlook 2003 및 타사 스팸 방지 제품과의 통합 Exchange Intelligent Message Filter

데모 2: Exchange 스팸 보호 구성 스팸 보호 구성

전자 메일 바이러스로부터 보호 바이러스 방지 게이트웨이 구현 보내는 메시지 및 받는 메시지 모니터링 서명을 수시로 업데이트할 것 Outlook 첨부 파일 보안 구성 웹 브라우저 보안에 따라 OWA에서 첨부 파일을 열 수 있는지 여부가 결정됨 ISA Server 구현 Message Screener를 통해 받는 메시지를 차단할 수 있음

사용 권한을 통한 Exchange 보안 설정 관리 모델 조직의 관리 모델과 일치 가장 간단한 모델 특별한 구성이 필요 없음 중앙 집중형 분산형 조직의 관리 모델과 일치 별도의 관리 그룹 필요 관리 역할을 사용하여 관리 위임 가장 간단한 모델 특별한 구성이 필요 없음 하나의 관리 그룹 사용

Exchange Server 2003의 개선 사항 많은 기본 보안 설정 보다 제한적인 권한 새로운 보안 메일 전송 기능 새로운 인터넷 연결 마법사 상호 포리스트 인증 지원

Exchange 보안 설정을 위한 10가지 사항 1 2 3 4 5 6 7 8 9 10 최신 서비스 팩 설치 적용 가능한 모든 보안 패치 설치 3 최소 권한 원칙 적용 4 Exchange Server 강화 5 전자 메일 클라이언트 보안 설정 6 계층화된 바이러스 대처 방법 사용 7 스팸 방지 조치 구현 8 ISA Server와 같은 어플리케이션 계층 방화벽 사용 9 Outlook Web Access 보안 설정 10 백업 전략 구현

SQL Server 보호 소개 Exchange Server 보호 SQL Server 보호 IIS 서버 보안 설정 방법 Small Business Server 보안 설정

SQL Server 개요 SQL Server는 다음과 같은 특징을 가진 엔터프라이즈 관계형 데이터베이스 관리 시스템입니다. 다양한 XML 및 인터넷 표준 지원 가능 확장성과 안정성이 뛰어남 확장 가능한 통합 분석 서비스를 위한 OLAP 지원 역할 기반 보안과 파일 및 네트워크 암호화 가능

일반적인 데이터베이스 서버 위협 요소 암호 해독 네트워크 정보 유출 SQL 삽입 주변 방화벽 내부 방화벽 SQL Server 웹 어플리케이션 취약점 과도한 권한을 가진 계정 취약한 입력 데이터 유효성 검사 네트워크 정보 유출 SQL 삽입 주변 방화벽 내부 방화벽 SQL Server 웹 어플리케이션 브라우저 외부에서 무단으로 액세스 네트워크 취약점 SQL 포트 차단 실패 구성 취약점 과도한 권한을 가진 서비스 계정 미약한 권한 인증서 없음

기본 보안 구성 SQL Server 보안을 위해 심층 방어 접근법 사용 서비스 팩 및 패치 적용 MBSA를 사용하여 누락된 SQL 업데이트 탐지 사용하지 않는 서비스 비활성화 MSSQLSERVER(필수) SQLSERVERAGENT MSSQLServerADHelper Microsoft Search Microsoft DTC

데이터베이스 서버 보안 범주 SQL Server 패치 및 업데이트 운영 체제 네트워크 SQL Server 보안 데이터베이스 개체 로그인, 사용자 및 역할 패치 및 업데이트 공유 서비스 계정 감사 및 로깅 파일 및 디렉터리 레지스트리 운영 체제 프로토콜 포트 네트워크

네트워크 보안 SQL을 TCP/IP로 제한 IPSec 정책을 통해 서버에 연결할 수 있는 사용자 제어 Kerberos 인증 적용 TCP/IP 스택 강화 포트 제한 SQL Server 포트 및 인증에 필요한 포트를 제외한 모든 포트 차단 포트 1433 및 1434에 대한 액세스를 제한하도록 IPSec 구성

운영 체제 보안 최소한의 권한을 가진 SQL Server 서비스 계정 구성 서비스 계정에는 Administrators 또는 Users 그룹 권한이 부여되어서는 안 됨 사용되지 않는 계정 삭제 또는 비활성화 공격자가 액세스하는 수단이 될 수 있음 로컬 계정 감사/필요하지 않은 계정 삭제 인증 트래픽 보안 설정 NTLM v2를 요구하도록 Windows 구성

로그인, 사용자 및 역할 강력한 sa(시스템 관리자) 암호 사용 SQL 게스트 사용자 계정 제거 BUILTIN\Administrators 서버 로그인 제거 공용 역할에 권한 부여 금지

파일, 디렉터리 및 공유 사용 권한 확인: SQL Server 설치 디렉터리에 대한 사용 권한 확인 Everyone 그룹이 SQL Server 파일에 대한 권한을 갖고 있지 않은지 확인 레지스트리 키가 적절한 ACL을 사용하여 구성되었는지 확인 필수 공유 폴더에 대한 사용 권한 확인 및 불필요한 공유 제거 로그 파일에 있을 수 있는 암호 제거(KillPwd.exe 사용) 도구, 유틸리티 및 SDK를 제거하거나 보안 설정

유용한 SQL 인증 정보 Windows 전용으로 인증 설정 자격 증명이 네트워크를 통해 전달되지 않음 보안 관리가 쉬워짐 자격 증명 위임을 사용할 수 있음 클라이언트에 암호를 저장할 필요가 없음

SQL 감사 실패한 Windows 로그인 시도 모두 기록 파일 시스템에서 성공한 작업과 실패한 작업 기록 SQL Server 로그인 감사 활성화 SQL Server 일반 감사 활성화

데이터베이스 개체 보안 설정 예제 데이터베이스 제거 저장 프로시저에 대한 액세스 제한 SQL 로그인 만들기 로그인을 데이터베이스 사용자로 매핑 데이터베이스 사용자를 사용자 정의 DB 역할에 추가한 다음 DB 역할에 권한 부여 sysadmin 역할만 cmdExec에 액세스할 수 있도록 제한

뷰 및 저장 프로시저 사용 SQL 쿼리에는 기밀 정보가 포함되어 있을 수 있음 데이터베이스 구성 요소 이름 프로세싱 논리 계정 이름 또는 암호 되도록이면 항상 저장 프로시저 사용 직접 테이블에 액세스하지 말고 뷰 사용 웹 기반 어플리케이션에 대해 유용한 보안 정보 구현

웹 어플리케이션 보안 설정 모든 입력 데이터의 유효성 검사 인증 및 권한 부여에 보안 설정 중요한 데이터에 보안 설정 최소한의 권한을 가진 프로세스 및 서비스 계정 사용 감사 및 로깅 구성 구조화된 예외 처리를 사용

SQL Server 및 Windows XP 서비스 팩 2 SQL Server 구성 요소에 대해 기본적으로 TCP/UDP/멀티프로토콜/명명된 파이프 포트 수신 대기가 활성화되어 있지 않음 공유 메모리는 영향을 받지 않으며, 같은 컴퓨터의 다른 연결에서는 SQL Server/MSDE를 계속 사용할 수 있음 네트워크에서 제대로 작동하도록 SQL Server 구성 Windows 방화벽에서 SQL Server의 각 인스턴스에 대한 예외 만들기 각 SQL 구성 요소에 대한 예외 만들기 각 SQL 구성 요소와 SQL Server의 각 인스턴스에 사용될 포트를 연결별로 정의

SQL Server 보호를 위한 10가지 사항 1 2 3 4 5 6 7 8 9 10 최신 서비스 팩 설치 MBSA 실행 및 확인된 보안 문제에 대해 업데이트 적용 3 Windows 인증 구성 4 서버 격리 및 백업 5 sa 암호 검사 및 sa 암호가 복잡한지 확인 6 SQL 서비스의 권한 제한 7 방화벽에서 포트 차단 8 NTFS 사용 9 설치 파일 및 예제 데이터베이스 제거 10 연결 감사

IIS 서버 보안 설정 방법 소개 Exchange Server 보호 SQL Server 보호 IIS 서버 보안 설정 방법 Small Business Server 보안 설정

IIS 잠금 도구 IIS 잠금 도구는 불필요한 기능을 해제하여 IIS 4.0, IIS 5.0, IIS 5.1이 공격받을 수 있는 범위를 줄입니다. 잠금 도구는 URLScan을 통합하여 심층 방어를 제공합니다. URLScan에는 지원되는 각 서버 역할에 맞게 수정된 템플릿이 포함되어 있습니다. IIS 6.0은 이전 버전의 IIS 잠금에서 구성된 보안 설정을 사용하여 설치되므로, IIS 6.0용 IIS 잠금은 없습니다.

IIS 잠금 결과 서비스 스크립트 매핑 고급 보안 Win2K sbs2000 exchange5.5 exchange2k 실행 거부 쓰기 거부 스크립트 IIS Admin IIS 도움말 WebDAV IIS 샘플 MSADC 서비스 스크립트 매핑 SSINC .printer Index ASP IDC HTR 고급 보안 X는 기능이 활성화되었음을 나타냄 WWW SMTP NNTP FTP URLScan Win2K sbs2000 exchange5.5 exchange2k sharepoint_portal frontpage biztalk commerce 프록시 정적 웹 동적 웹 기타 Iis_uninstall X X X X

URLScan URLScan은 위험한 요청이 서버로 전달되지 못하게 차단합니다. URLScan은 IIS에서 처리할 HTTP 요청의 유형을 제한합니다. 긴 URL 요청 대체 문자 집합을 사용하는 요청 허용되지 않는 메서드가 포함된 요청 모든 패턴과 일치하는 요청 IIS 6.0은 대부분의 URLScan 기능을 구현하므로 URLScan은 사용자 지정된 컨텐츠 차단을 설정하는 데만 필요합니다.

IIS 5.x 보안 설정을 위한 10가지 사항 1 운영 체제를 강화하고 관련 보안 패치를 모두 적용합니다. 2 불필요한 구성 요소를 제거합니다. 3 IIS 잠금 도구를 실행합니다. 4 URLScan을 구성합니다. 5 별도의 NTFS 파티션에 컨텐츠를 저장합니다. 6 최소 사용 권한만을 사용함으로써 파일을 보호합니다. 7 중요한 웹 트래픽의 경우 암호화가 필요합니다. 8 동일한 웹 사이트에서 실행 권한과 쓰기 권한을 모두 허용하지 않도록 합니다. 9 중간 또는 높은 수준의 어플리케이션 보호를 사용하여 어플리케이션을 실행합니다. 10 IPSec 필터링을 사용하여 웹 서버에 필요한 트래픽(HTTP 및 HTTPS)만 허용합니다.

IIS 6.0의 보안 강화 기능 IIS 6.0은 기본적으로 강력한 시간 제한 및 컨텐츠 제한이 설정된 잠긴 제품입니다. 기능 설명 잠겨 있는 서버 IIS 6.0은 기본적으로 설치되어 있지 않습니다. 새로 설치할 경우에도 정적 파일만 지원됩니다. 웹 서비스 확장 목록 기본 설치에서는 동적 컨텐츠를 포함하는 파일을 컴파일, 실행 또는 서비스하지 않습니다. 최소한의 권한을 가진 기본 계정 IIS 프로세스는 NETWORK SERVICE 계정으로 로그온하여 상당히 낮은 수준의 권한으로 실행됩니다. 권한 부여 권한 부여 관리자를 사용하여 URL을 인증합니다. 제한된 위임 인증. URL 검사 시간 제한 및 URL 길이 제한을 구성합니다. 파일을 실행하기 전에 파일이 존재하는지 여부를 검사합니다. 실행 파일 가상 디렉터리가 없습니다. 프로세스 격리 향상된 어플리케이션 샌드박싱. 타사 코드는 작업자 프로세스에서만 실행됩니다. 리소스 재활용

IIS 6.0 어플리케이션 풀 어플리케이션 풀은 어플리케이션 및 이를 제공하는 작업자 프로세스의 분리된 집합입니다. 어플리케이션에 문제가 발생해도 다른 어플리케이션 풀에서 실행 중인 어플리케이션의 가용성에는 영향을 주지 않습니다. 서로 종속되지 않는 어플리케이션에 대해 별도의 어플리케이션 풀을 만드십시오.

데모 3: IIS 6.0 보안 설정 어플리케이션 풀 구성

Small Business Server 보안 설정 소개 Exchange Server 보호 SQL Server 보호  IIS 서버 보안 설정 방법 Small Business Server 보안 설정

Small Business Server 개요 전자 메일, 네트워킹 및 인터넷 연결 제공 Microsoft Windows SharePoint Services에서 소규모 기업 인트라넷 사용 원격 액세스 가능 모바일 사용자 액세스 가능 간편한 서버 관리

소규모 기업의 보안 소규모 기업의 보안 문제 보안 전문 기술 부족 리소스가 부족하여 서비스를 분리하기가 어려움 보안 모니터링 능력 부족 서버 리소스의 부적절한 사용 Small Business Server 보안 위험 많은 서비스가 기본적으로 설치됨 인터넷에 직접 연결

외부 위협 요소로부터 보호 복잡한 암호를 요구하도록 암호 정책 구성 보안 원격 액세스 구성 원격 웹 작업 사이트 사용 필요하지 않은 원격 액세스 옵션은 모두 해제 Administrator 계정 이름 변경 Exchange 및 IIS의 유용한 보안 정보 구현 서버에 필요한 소프트웨어만 설치

내부 위협 요소로부터 보호 바이러스 백신 솔루션 구현 백업 계획 구현 MBSA를 실행하여 보안 취약점 확인 액세스 권한 제어 사용자 교육 서버를 워크스테이션으로 사용하지 않음 서버를 물리적으로 보호 소프트웨어 업데이트

세션 요약 모든 어플리케이션 서버에서 기본 운영 체제에 보안 설정 Exchange Server와 연결되는 클라이언트 연결 및 클라이언트에 보안 설정 SQL 인증 및 데이터베이스 사용 권한에 보안 설정 IIS 6.0을 구현하여 보안 개선 기능 사용 Small Business Server에서 필요한 서비스만 활성화

다음 단계 추가 보안 교육 이벤트 검색 http://www.microsoft.com/korea/seminar/security.asp Security Communications 등록 http://www.microsoft.com/technet/security/signup/ default.mspx(영문) Security Guidance Kit 주문 http://www.microsoft.com/security/guidance/order/ default.mspx(영문) 추가 보안 도구 및 컨텐츠 얻기 http://www.microsoft.com/korea/security/guidance

질문과 대답