시스템 업데이트 구성

Windows 업데이트 서버 변경

기본 Windows 업데이트 서버가 느리다고 느껴지거나, 알리바바 클라우드 또는 텐센트 클라우드 서버를 선택한 경우에는 Windows 업데이트 서버를 변경할 수 있습니다.

시작 메뉴 아이콘을 마우스 오른쪽 버튼으로 클릭해 ‘실행’을 선택한 다음 gpedit.msc를 입력하고, ‘컴퓨터 구성’ – ‘관리 템플릿’ – ‘Windows 구성 요소’ – ‘Windows 업데이트’ 순서로 선택한 뒤 ‘인트라넷 Microsoft 업데이트 서비스 위치 지정’을 더블 클릭합니다:

사용을 선택한 다음 업데이트를 확인할 인트라넷 업데이트 서비스와 통계 서버를 설정합니다. 알리바바 클라우드 클래식 네트워크라면 http://windowsupdate.aliyun-inc.com, 알리바바 클라우드 VPC 네트워크라면 http://update.cloud.aliyuncs.com, 텐센트 클라우드라면 http://windowsupdate.tencentyun.com으로 설정할 수 있으며, 예비 다운로드 서버는 http://wsus.neu.edu.cn으로 설정합니다.

자동 업데이트 사용 및 허용

‘자동 업데이트 즉시 설치 허용’을 더블 클릭하고 ‘사용’을 선택해 자동 업데이트를 활성화합니다. 그런 다음 ‘자동 업데이트 구성’을 더블 클릭하고 ‘사용’을 선택한 뒤 ‘자동 다운로드 및 설치 시 알림’으로 구성합니다. 아래 그림과 같습니다:

위 두 단계를 설정한 후에는 관리자 권한으로 아래 명령을 실행해야 합니다:

gpupdate /force

명령

복사

자동 업데이트 실행 시 발생하는 0x8024401f 및 0x8024401c 오류 해결

위 작업을 완료한 후 시작 메뉴 – 설정을 선택하고 업데이트 확인을 실행해 정상적으로 작동하는지 확인합니다.
0x8024401f 또는 0x8024401c 오류가 발생하면 관리자 권한으로 아래 명령을 실행합니다:

1. net stop wuauserv
2. reg delete HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
3. net start wuauserv

명령

복사

시스템 계정 보안

계정 보안 정책 설정

‘실행’에서 secpol.msc 명령을 실행해 ‘로컬 보안 정책’을 열고 다음과 같이 설정합니다:
(1) ‘계정 설정’ – ‘암호 정책’
적절한 암호 복잡성을 설정해 암호 강도를 높입니다. 참고 설정은 다음과 같습니다:

(2) ‘계정 설정’ – ‘계정 잠금 정책’
계정 암호 오류가 발생한 후의 잠금 시간을 설정합니다. 다른 두 항목을 설정하려면 먼저 ‘계정 잠금 임계값’을 설정해야 합니다. 참고 설정은 다음과 같습니다:

(3) ‘로컬 정책’ – ‘보안 옵션’
‘대화형 로그온: 마지막 사용자 이름 표시 안 함’을 ‘사용’ 상태로 설정합니다.

계정 점검 및 최적화

계정 보안 설정을 마친 후에는 시스템 계정을 최적화합니다. ‘실행’에서 compmgmt.msc 명령을 실행해 ‘컴퓨터 관리’를 열고, ‘시스템 도구’ – ‘로컬 사용자 및 그룹’ – ‘사용자’에서 사용하지 않는 계정이 있는지 확인하여 사용하지 않는 계정은 삭제하거나 사용 안 함으로 설정합니다. 그 외에도 명령줄에서 net user 명령으로 불필요한 계정이 있는지 한 번 더 확인해야 합니다(일부 계정은 컴퓨터 관리에서 숨겨져 있습니다). net user <username> /del 명령으로 해당 계정을 삭제할 수 있습니다.

기본 관리자 사용자 이름인 Administrator의 이름을 변경하고, 새로운 관리자 암호를 다시 설정하는 것을 권장합니다.

시스템 자동 로그온 금지

시스템이 절전 모드에서 다시 활성화된 후에는 암호를 입력해야 시스템에 로그온할 수 있습니다. ‘실행’에서 control userpasswords2를 입력해 ‘사용자 계정’을 열고, ‘사용자가 이 컴퓨터를 사용하려면 사용자 이름과 암호를 입력해야 합니다’ 옵션을 활성화합니다.

원격 접속 보안

원격 터미널 기본 3389 포트 변경

기본 원격 터미널 포트 3389를 다른 포트로 변경합니다. regedit를 실행해 레지스트리 편집기를 열고, 레지스트리에서 다음 두 곳을 수정해야 합니다:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\Wds\repwd\Tds\tcp

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp
위 두 위치 오른쪽의 PortNumber 값을 새로운 포트 번호로 수정합니다(기수를 10진수로 설정하는 것을 권장합니다):

설정을 완료한 후 레지스트리를 닫고 서버를 재시작하면 적용됩니다. 방화벽을 설정하는 경우에는 새 포트를 방화벽 화이트리스트에 추가해야 합니다.

원격 종료, 로컬 종료 및 사용자 권한 할당을 Administrators 그룹에만 부여

‘실행’에서 secpol.msc를 실행해 ‘로컬 보안 정책’ 창을 열고, ‘로컬 정책’ – ‘사용자 권한 할당’을 차례로 엽니다.
(1) 오른쪽의 ‘원격 시스템에서 강제 종료’를 더블 클릭하고 ‘Administrators 그룹’만 남기고 다른 사용자 그룹은 삭제합니다.
(2) 오른쪽의 ‘시스템 종료’를 더블 클릭하고 ‘Administrators 그룹’만 남기고 다른 사용자 그룹은 삭제합니다.
(3) 오른쪽의 ‘파일 또는 기타 개체의 소유권 가져오기’를 더블 클릭하고 ‘Administrators 그룹’만 남기고 다른 사용자 그룹은 삭제합니다.

원격 로그온 계정을 특정 관리자 계정으로 설정

Administrators 그룹 대신 특정 관리자 계정을 지정하면 시스템 로그온 보안이 강화되어, 취약점을 통해 Administrators 그룹의 계정을 생성하더라도 시스템에 로그온할 수 없습니다.

‘실행’에서 secpol.msc를 실행해 ‘로컬 보안 정책’ 창을 열고, ‘로컬 정책’ – ‘사용자 권한 할당’을 차례로 엽니다. 오른쪽의 ‘네트워크에서 이 컴퓨터 액세스’를 더블 클릭해 모든 사용자 그룹을 삭제한 다음, 아래의 ‘사용자 또는 그룹 추가…’ 버튼을 클릭하고 ‘고급’ 버튼을 클릭한 뒤 ‘지금 찾기’ 버튼을 클릭합니다. 검색 결과에서 관리자 계정을 선택한 다음 확인을 눌러 저장합니다.

시스템 네트워크 보안

불필요한 서비스 사용 안 함

“실행”에서 services.msc 명령을 실행해 “서비스”를 열고, 상황에 따라 다음 서비스를 사용 안 함으로 변경할 것을 권장합니다:

Application Layer Gateway Service(응용 프로그램 수준 프로토콜 플러그인을 지원하고 네트워크/프로토콜 연결을 사용하도록 설정합니다)
Background Intelligent Transfer Service(유휴 네트워크 대역폭을 이용해 백그라운드에서 파일을 전송합니다. 이 서비스를 사용하지 않으면 Windows Update 및 MSN Explorer의 프로그램과 기타 정보 자동 다운로드 기능이 작동하지 않습니다)
Computer Browser(네트워크상의 컴퓨터 업데이트 목록을 유지 관리하고 지정된 컴퓨터의 검색에 이 목록을 제공합니다)
DHCP Client
Diagnostic Policy Service
Distributed Link Tracking Client
Distributed Transaction Coordinator
DNS Client
Print Spooler(모든 로컬 및 네트워크 인쇄 대기열을 관리하고 모든 인쇄 작업을 제어합니다)
Remote Registry(원격 사용자가 이 컴퓨터의 레지스트리 설정을 수정할 수 있도록 합니다)
Server(파일 공유를 사용하지 않으면 종료할 수 있으며, 종료한 뒤 특정 디스크를 마우스 오른쪽 버튼으로 클릭해 속성을 선택하면 “공유” 페이지가 나타나지 않습니다)
Shell Hardware Detection
TCP/IP NetBIOS Helper(TCP/IP(NetBT) 서비스의 NetBIOS와 네트워크상 클라이언트의 NetBIOS 이름 확인을 지원하여 사용자가 파일과 프린터를 공유하고 네트워크에 로그온할 수 있게 합니다)
Task Scheduler(사용자가 이 컴퓨터에서 자동 작업을 구성하고 예약할 수 있게 합니다)
Windows Remote Management(47001 포트, Windows 원격 관리 서비스로, IIS와 함께 하드웨어를 관리하는 데 사용되며 일반적으로 필요하지 않습니다)
Workstation(원격 서비스에 대한 클라이언트 네트워크 연결을 만들고 유지 관리합니다. 서비스가 중지되면 이러한 연결을 사용할 수 없습니다)

“동기화 호스트_xxx” 서비스 끄기

Windows 2016에는 “동기화 호스트_xxx”라는 서비스가 있는데, 뒤의 xxx는 숫자이며 서버마다 다릅니다. 수동으로 꺼야 하며 방법은 다음과 같습니다:
먼저 “실행”에서 regedit를 실행해 레지스트리를 열고, HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 아래에서 OneSyncSvc, OneSyncSvc_xxx, UserDataSvc, UserDataSvc_xxx 네 항목을 찾아 각각의 start 값을 4로 수정한 뒤, 레지스트리를 종료하고 서버를 다시 시작하면 됩니다.

IPC 공유 끄기

위에서 Server 서비스를 중지하고 사용 안 함으로 설정했다면 IPC 공유는 나타나지 않습니다. net share 명령을 실행하면 “Server 서비스가 시작되지 않았습니다”라는 메시지가 표시되며, 그렇지 않으면 C$, D$ 등 기본 공유가 나타나는데 net share C$ /del 명령으로 삭제할 수 있습니다.

레지스트리에서 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters를 찾아 오른쪽 빈 공간에서 마우스 오른쪽 버튼을 클릭하고 “새로 만들기”-“DWORD 값”을 차례로 선택한 뒤, 이름을 AutoShareServer로, 값 데이터를 0으로 설정합니다.

139 포트(NetBIOS 서비스), 445 포트, 5355 포트(LLMNR) 끄기

(1) 139 포트 끄기
“제어판”-“네트워크 상태 및 작업 보기”를 차례로 열고 왼쪽의 “어댑터 설정 변경”을 클릭한 다음, 네트워크 연결에서 활성화된 네트워크 어댑터를 더블 클릭하고 “속성” 버튼을 클릭한 뒤 “인터넷 프로토콜 버전 4(TCP/IPv4)”를 더블 클릭합니다. 열린 창에서 오른쪽 아래의 “고급” 버튼을 클릭하고 위쪽의 “WINS” 탭을 선택한 다음, “NetBIOS 설정”에서 “TCP/IP에서 NetBIOS 사용 안 함”을 선택하고 마지막으로 “확인”을 차례로 클릭합니다.

이 기능을 끄면 서버의 모든 공유 서비스 기능이 꺼지고, 다른 사람이 파일 탐색기에서 귀하의 공유 리소스를 볼 수 없게 됩니다. 이로써 정보 유출도 방지됩니다.

(2) 445 포트 끄기
445 포트는 NetBIOS가 LAN 내에서 컴퓨터 이름을 확인하는 데 사용하는 서비스 포트로, 일반적으로 서버는 LAN에 공유를 개방할 필요가 없으므로 끌 수 있습니다. 레지스트리를 열고 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters 위치에서 오른쪽을 마우스 오른쪽 버튼으로 클릭해 “새로 만들기”-“DWORD 값”을 차례로 선택한 뒤, 이름을 SMBDeviceEnabled로, 값을 0으로 설정합니다.

(3) 5355 포트(LLMNR) 끄기
LLMNR(로컬 링크 멀티캐스트 이름 확인)은 멀티캐스트 DNS라고도 하며 로컬 네트워크 세그먼트의 이름을 확인하는 데 사용됩니다. 그룹 정책을 통해 끌 수 있습니다. “실행”을 열고 gpedit.msc를 입력해 “로컬 그룹 정책 편집기”를 연 다음, “컴퓨터 구성”-“관리 템플릿”-“네트워크”-“DNS 클라이언트”를 차례로 선택하고 오른쪽에서 “멀티캐스트 이름 확인 사용 안 함” 항목을 더블 클릭한 뒤 “사용 안 함”으로 설정합니다.

네트워크 액세스 제한

“실행”에서 secpol.msc를 실행해 “로컬 보안 정책”을 열고, “보안 설정”-“로컬 정책”-“보안 옵션”을 열어 다음 정책을 설정합니다:

네트워크 액세스: SAM 계정의 익명 열거 허용 안 함: 사용
네트워크 액세스: SAM 계정과 공유의 익명 열거 허용 안 함: 사용
네트워크 액세스: Everyone 권한을 익명 사용자에게 적용: 사용 안 함
계정: 빈 암호를 사용하는 로컬 계정의 콘솔 로그온만 허용: 사용

설정을 완료한 후 명령 프롬프트(관리자 권한)에서 gpupdate /force를 실행해 즉시 적용되도록 합니다.

로그 감사

로깅 강화

로그 크기를 늘려 로그 파일 용량이 너무 작아 로그가 불완전하게 기록되는 것을 방지합니다. “실행”에서 eventvwr.msc 명령을 실행해 “이벤트 뷰어” 창을 열고 “Windows 로그”를 연 다음, 아래의 “응용 프로그램”, “보안”, “시스템” 항목을 각각 마우스 오른쪽 버튼으로 클릭해 “속성”을 선택하고 “최대 로그 크기”를 20480으로 수정합니다.

감사 강화

시스템 이벤트를 기록하여 향후 장애 발생 시 문제 해결 및 감사에 활용합니다. “실행”에서 secpol.msc 명령을 실행해 “로컬 보안 정책” 창을 열고, “보안 설정”-“로컬 정책”-“감사 정책”을 차례로 선택한 뒤 다음 항목을 다음과 같이 설정할 것을 권장합니다:

감사 정책 변경: 성공
로그온 이벤트 감사: 성공, 실패
개체 액세스 감사: 성공
프로세스 추적 감사: 성공, 실패
디렉터리 서비스 액세스 감사: 성공, 실패
시스템 이벤트 감사: 성공, 실패
계정 로그온 이벤트 감사: 성공, 실패
계정 관리 감사: 성공, 실패

위 항목을 설정한 후 “실행”에서 gpupdate /force 명령을 실행해 설정이 즉시 적용되도록 합니다.

방화벽 활성화 및 설정

클라우드 서버(예: 알리바바 클라우드, 텐센트 클라우드 등)를 사용하는 경우, 클라우드 사업자가 일반적으로 라우터 수준에 배치된 방화벽 도구를 제공하며 사용하기 더 편리하고, 잘못 조작하더라도 서버에서 스스로 차단되는 일이 없으므로 클라우드 사업자가 제공하는 방화벽을 우선적으로 사용할 것을 권장합니다.

Windows 방화벽 켜기 또는 끄기

“제어판”을 열고 “시스템 및 보안”-“Windows 방화벽”을 차례로 선택한 다음, 왼쪽의 “Windows 방화벽 설정 또는 해제”를 선택하고 필요에 따라 Windows 방화벽을 켜거나 끕니다. 클라우드 사업자가 제공하는 방화벽을 사용한다면 Windows 방화벽은 끄는 것을 권장합니다. PS: 방화벽을 켜기 전에 원격 로그인 포트의 액세스를 허용해야 하며, 그렇지 않으면 원격 연결이 끊어집니다!

특정 포트 액세스 허용

여기서는 Windows 방화벽을 예로 들어 설명합니다(실제로 클라우드 사업자가 제공하는 방화벽 규칙도 유사합니다). 전제는 방화벽이 활성화되어 있어야 한다는 것입니다. “실행”에서 WF.msc를 실행해 “고급 보안이 포함된 Windows 방화벽”을 열고, 왼쪽의 “인바운드 규칙”을 클릭한 다음 오른쪽의 “새 규칙…”을 클릭해 “새 인바운드 규칙 마법사” 창을 엽니다. “포트”를 선택하고 “다음” 버튼을 클릭한 뒤, 포트 유형에서 “TCP”를 선택하고 아래에서 “특정 로컬 포트”를 선택한 다음 설정한 원격 로그인 포트와 웹 포트를 입력합니다. 예: 80, 433, 3389. 그런 다음 “다음” 버튼을 클릭하고 “연결 허용”을 선택한 뒤 “다음” 버튼을 클릭합니다. 모든 항목을 선택하고 “다음”을 클릭한 다음, 마지막으로 규칙 이름(예: “원격 연결 및 웹 서비스 허용”)을 입력하고 “마침”을 클릭해 저장합니다.

ICMP 끄기(ping 차단)

위 단계에 따라 “고급 보안이 포함된 Windows 방화벽”을 열고 왼쪽의 “인바운드 규칙”을 선택한 다음, 기본 규칙에서 “파일 및 프린터 공유(에코 요청 – ICMPv4-In)”를 더블 클릭하고 “일반”에서 “사용”을 선택한 뒤 “작업”에서 “연결 차단”을 선택하고 마지막으로 “확인”을 눌러 저장하면 됩니다.

기타 보안 설정

화면 보호기를 설정하여 로컬 공격자가 데스크톱 제어를 직접 복구하지 못하도록 방지

“제어판”을 열고 “모양 및 개인 설정”-“개인 설정”-“화면 보호기”로 차례로 들어가 화면 보호기를 하나 선택한 다음, “다시 시작할 때 로그온 화면 표시”를 선택하고 대기 시간을 10분으로 설정합니다.

Windows 자동 실행 기능 끄기

“실행”에서 gpedit.msc 명령을 실행한 뒤 “컴퓨터 구성” – “관리 템플릿” – “모든 설정”을 차례로 열고, “자동 실행 끄기”를 더블 클릭한 다음 “사용”을 선택합니다.