Windows Defender, AppLocker, SCT 등으로 서버 보안 강화

악성코드(컴퓨터 바이러스, 웜, 트로이 목마, 랜섬웨어, 스파이웨어 등)은 기기를 손상시키고, 무단 당사자가 네트워크에 원격으로 액세스해 민감한 정보를 수집하고 전송할 수 있게 하므로 조직에 지속적인 위협입니다. Windows Server 2016에는 악성코드 위협을 완화하는 데 도움이 되는 다음과 같은 도구와 기능이 포함되어 있습니다:

• Windows Defender Security Center 앱
• Windows Defender Device Guard
• 제어 흐름 가드
• 소프트웨어 제한 정책(Software Restriction Policies, SRPs)
• AppLocker
• 보안 컴플라이언스 툴킷

Windows Defender 보안 센터 앱

Windows Defender Server 2016 보안 센터 앱은 환경 내 컴퓨터 및 기타 장치에서 악성코드를 식별하고 제거하는 데 도움을 줄 수 있습니다. 다음은 이 앱에서 제공하는 정보와 기능 일부입니다:

• 바이러스 및 위협 방지. Windows Defender Exploit Guard의 제어된 폴더 액세스 기능과, 바이러스 백신 설정에 대한 정보 및 해당 설정에 대한 액세스를 포함합니다.
• 디바이스 성능 및 상태. 드라이버, 저장 공간 및 Windows Update에 대한 정보를 제공합니다.
• 방화벽 및 네트워크 보호. Windows Defender 방화벽 설정을 포함하여 방화벽 설정에 대한 정보와 해당 설정에 대한 액세스를 제공합니다.
• 앱 및 브라우저 제어. 취약점 악용(익스플로잇) 방지 완화 조치와 Windows Defender SmartScreen 설정을 포함합니다.
• 가족 옵션. 부모의 감독(자녀 보호) 및 가족 설정에 대한 액세스를 포함합니다.

Windows Defender Device Guard

Windows Defender Device Guard는 Windows Server 2016에 도입된 보안 기능 모음입니다. 이를 켜면, 바이러스 백신이나 기타 보안 솔루션에서 차단한 앱을 제외한 모든 앱을 신뢰하는 대신, 운영 체제는 조직이 정의한 화이트리스트에 있는 애플리케이션만 실행합니다.

Windows Defender Device Guard는 가상화 기반 보안을 사용하여 코드 무결성 서비스(code-integrity service)를 Windows 커널에서 분리합니다. Windows Defender Device Guard는 권한이 없는 사용자가 운영 체제를 장악하더라도 어떤 소프트웨어든 차단할 수 있습니다. 또한 코드 무결성 정책(code-integrity policy)을 사용해 환경을 보호함으로써, 환경 안에서 실행할 수 있는 항목을 정확히 선택할 수 있습니다.

Windows Defender Device Guard는 단일 기능이 아닙니다. 다음과 같은 여러 기능의 조합입니다.

• 가상 보안 모드(Virtual Secure Mode). 운영 체제에서 ISASS.exe 프로세스를 격리하는 가상 셸로, 악의적인 사용자가 사용자 도메인 자격 증명에 침해를 가할 위험을 줄입니다
• Windows Defender 애플리케이션 제어(Windows Defender Application Control). 실행 파일 보안을 보장하는 데 도움이 되는 규칙 엔진을 제공하는 Windows 구성 요소
• Virtual Secure Mode Protected Code Integrity. 커널 모드 코드 무결성(KMCI) 및 하이퍼바이저 코드 무결성(HVCI) 구성 요소를 가상 보안 모드로 이동해 공격에 대비해 강화합니다.
• Platform and UEFI Secure Boot. Secure Boot는 서명과 측정값을 사용해 부트 로더 코드와 펌웨어가 변조되지 않도록 보호하는 데 도움을 주며, 높은 수준의 보안 이점을 제공합니다.

Control Flow Guard

CFG는 메모리 손상 취약점의 발생을 방지하는 데 도움이 되는 플랫폼 보안 기능입니다. CFG는 애플리케이션이 코드를 실행할 수 있는 위치에 제한을 두며, 이로 인해 버퍼 오버플로와 같은 일반적인 취약점을 통해 악의적인 해커가 임의의 코드를 실행하기가 더 어려워집니다. CFG는 실행이 직선적인 순차 명령에서 변경되는 위치를 포함해 프로그램의 제어 흐름과 관련된 특정 측면을 모니터링하고 검사합니다. CFG를 지원하는 기술은 모든 간접 호출이 합법적인 대상(허용된 대상)으로 점프하도록 보장합니다. 악의적인 해커는 실행 중인 프로그램에 흔치 않은 입력을 제공해 예기치 않게 동작하도록 시도합니다.

Software Restriction Policies (SRPs)

악성 소프트웨어와 기타 사이버 위협을 차단하는 데 도움이 되는 가장 좋은 방법 중 하나는 엔터프라이즈 환경에서 실행될 수 있는 소프트웨어를 제한하거나 차단하는 것입니다.

한 가지 방법은 SRP를 사용하는 것입니다. SRP를 사용하면 관리자가 규칙을 만들어 클라이언트 장치에서 어떤 애플리케이션을 실행할 수 있는지 지정할 수 있습니다. 규칙은 다음 기준 중 하나를 기반으로 합니다:

• 해시. 파일의 암호화 지문
• 인증서. 파일에 디지털 서명을 하는 소프트웨어 게시자 인증서
• 경로。파일이 저장된 위치의 로컬 또는 Universal Naming Convention (UNC) 경로
• 영역. 인터넷 영역

AppLocker

AppLocker는 사용자가 실행할 수 있는 애플리케이션을 제어하는 또 다른 방법입니다. 조직 단위(OU) 내의 컴퓨터 개체에 대해 Group Policy를 통해 AppLocker를 적용할 수 있습니다. 또한 개별 Active Directory Domain Services(AD DS) 사용자 또는 그룹에 개별 AppLocker 규칙을 적용할 수도 있습니다. AppLocker에는 규칙 적용을 모니터링하거나 감사(audit)하는 데 사용할 수 있는 옵션도 포함되어 있습니다.

예를 들어 AppLocker를 사용하여 다음과 같은 소프트웨어를 제한할 수 있습니다.

• 회사에서 누구도 사용하지 않게 하려는 것입니다.
• 직원이 사용하지 않거나, 더 최신 버전으로 교체한 항목.
• 귀사가 더 이상 지원하지 않는 경우.
• 특정 부서만 사용해야 하는 소프트웨어.

GPMC에서 다음 위치에서 AppLocker 설정을 구성할 수 있습니다: “Computer ConfigurationPoliciesWindows SettingsSecurity SettingsApplication Control Policies”。

Security Compliance Toolkit (SCT)

보안 위협으로부터 보호하기 위해 조직은 대부분의 조직 및 IT 관련 구성 요소를 포괄하는 잘 설계된 보안 정책을 갖춰야 합니다. 보안 정책은 서버의 기본 보안에 대한 기준선을 설정한 다음, 그 기준선이 모든 서버에 적용되도록 해야 합니다.

SCT는 관리자가 로컬, 원격 또는 클라우드에 있는지와 관계없이 환경 내 컴퓨터를 더 안전하게 보호하는 데 사용할 수 있는 무료 Microsoft 도구 세트입니다. Microsoft에서 권장하는 보안 구성 기준선을 다운로드할 수 있습니다. 이를 테스트하고, 편집하고, 저장한 다음 서버에 적용할 수도 있습니다. 또한 현재 GPO를 기준선과 비교할 수도 있습니다.

SCT의 주요 기능은 다음과 같습니다:

• Policy Analyzer. 여러 그룹 정책 개체(Group Policy objects, GPOs) 집합을 분석하고 비교할 수 있습니다.
• 로컬 그룹 정책 개체 유틸리티. 로컬 그룹 정책의 관리를 자동화하는 데 도움이 됩니다. 여기에는 그룹 정책 백업에서 설정 가져오기, 레지스트리 정책 파일, 보안 템플릿, 그리고 Policy Analyzer가 생성하는 고급 감사 백업 CSV 파일을 가져오는 작업이 포함됩니다