[윈도우 보안] 서비스 관리 - 터미멀 서비스 암호화 수준 설정

[윈도우 보안] 서비스 관리 - 터미멀 서비스 암호화 수준 설정

■ 대상 OS

    - Windows NT, 2000, 2003, 2008

■ 취약점 개요

    - 터미널 서비스는 원격지에 있는 서버를 관리하기 위한 유용한 도구이지만 취약한 패스워드를 사용하거나 접근제어가 적절하게 설정되어 있지 않은 경우 해킹의 도구로 악용될 수 있으므로 불필요하게 터미널 서비스가 사용되고 있는지 점검하여야 함.

■ 보안대책

    - 양호 : 터미널 서비스를 사용하지 않거나 사용 시 암호화 수준을 "클라이언트와 호환 가능(중간)" 이상으로 설정한 경우

    - 취약 : 터미널 서비스를 사용하고 암호화 수준이 "낮음" 으로 설정한 경우

■ 조치방법

    - 불필요 시 서비스 중지/사용 안함 설정, 사용할 경우 암호화 수준 설정

■ 보안설정방법

    ◆ Windows NT

        1. 시작 -> 실행 -> regedit

        2. HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\MinEncryptionLevel 값을 2(중간) 이상으로 설정

    ◆ Windows 2000

        1. 시작 -> 실행 -> TSCC.MSC -> "해당 서비스" 선택 -> 속성

        2. 암호화 수준 -> 중간(Windows 2000) 이상으로 설정

암호화 수준	설 명
낮음	- 클라이언트에서 서버로 보낸 데이터만 서버의 표준 키 길이를 기반으로 하는 암호화로 보호  - 서버가 클라이언트로 보낸 데이터는 보호되지 않음
중간	- 클라이언트와 서버 간에 받은 모든 데이터는 서버의 표준 키 길이를 기반으로 암호화로 보호
높음	- 클라이언트와 서버 간에 받은 모든 데이터는 서버의 최대 키 길이를 기반으로 암호화로 보호

    ◆ Windows 2003, 2008

        1. Windows 2003 : 시작 -> 실행 -> TSCC.MSC -> "해당 서비스" 선택 -> 속성

           Windows 2008 : 시작 -> 관리 도구 -> 터미널 서비스 -> 터미널 서비스 구성 -> RDP-Tcp 속성

        2. 암호화 수준 설정 -> 클라이언트 호환 가능(Windows 2003), 중간(Windows 2000) 이상

암호화 수준	설 명
낮음	- 클라이언트에서 서버로 보내는 모든 데이터는 클라이언트가 지원하는 최대 키 강도를 기반으로 하는 암호화로 보호
클라이언트 호환 가능	- 클라이언트와 서버 간에 받은 모든 데이터는 클라이언트가 지원하는 최대 키 강도를 기반으로 하는 암호화로 보호
높음	- 클라이언트와 서버 간에 받은 모든 데이터는 서버의 최대 키 강도를 기반으로 하는 암호화로 보호  - 이 암호화 수준을 지원하지 않는 클라이언트는 연결할 수 없음
FIS 규격	- 클라이언트에서 서버로 보내는 모든 데이터를 Federal Information Processing Standard 140-1 유효 암호화 방법을 사용하여 보호

    ※ 터미널 서비스가 필요한 경우 추가 보완 대책

        1. 관리자 이외의 일반 사용자의 터미널 서비스 접속을 허용하지 않음

        2. 방화벽에서 터미널 서비스 포트(3389)의 사용을 관리자 컴퓨터의 IP로 제한

■ 조치 시 영향

    - 암호화 수준 변경 시 일반적으로 영향 없음

※ 문의 사항은 메일 : jyuhm@sntkor.com 이나 070-8611-4853

문의 사항 남기기