Exchange Server ?? SQL Server ?? IIS ?? ?? ?? ?? Small Business Server ?? ?? Small Business Server ?? Small Business Server 2003 by 1ezLyH5

VIEWS: 18 PAGES: 55

									  어플리케이션 보안
     구현

김현도 강사(websider@hanmail.net)
다우데이터 전임강사
세션 선수 조건


 네트워크 보안 필수 사항에 대한 이해
 Windows 2000 Server 또는 Windows Server
 2003을 사용해 본 경험
 Windows 관리 도구를 사용해 본 경험
 Exchange Server 및 SQL Server 관리 도구를
 사용해 본 경험




수준 300
소개


 소개
 Exchange Server 보호
 SQL Server 보호
 IIS 서버 보안 설정 방법
 Small Business Server 보안 설정
심층 방어

 계층화된 방법 사용
  계층화된 방법 사용
   공격자
    공격자 탐지 가능성 증가
   공격의
    공격의 성공 가능성 감소

        데이터          ACL, 암호화, EFS
                     어플리케이션 강화, 바이러스
     어플리케이션          백신
                     OS 보안 강화, 인증,
        호스트
                     패치 관리, HIDS
     내부 네트워크         네트워크 세그먼트, IPSec,
                     네트워크 세그먼트, IPSec,
                     NIDS
                     NIDS 네트워크 액세스
                     방화벽,
        주변
                     격리 제어
     물리적 보안          보안 요원, 잠금, 추적 장치
                     보안 문서, 사용자 교육
    정책, 절차 및 인식
어플리케이션 보안의 중요성


 주변 방어는 제한된 수준의 방어만 제공
 대부분의 호스트 기반 방어가 어플리케이션 별로
 이루어지지 않음
 최근 공격은 주로 어플리케이션 계층에서 발생
유용한 어플리케이션 서버 정보


   기본 운영 체제에 대한 보안 구성

   운영 체제와 어플리케이션의 서비스 팩 및
   패치 적용

   필요한 서비스만 설치 또는 사용

   필요한 작업을 수행하는 데 요구되는 사용
   권한만 할당
   최소한의 권한을 가진 어플리케이션 계정
   할당

   심층 방어 원칙을 적용하여 보안 강화
Exchange Server 보호


  소개
  Exchange Server 보호
  SQL Server 보호
  IIS 서버 보안 설정 방법
  Small Business Server 보안 설정
Exchange Server 개요

                 내부 사용자
  통합 메시징                             Exchange
                                        서버
  약속/일정 관리 기능          LAN

  데스크톱/모바일/웹
  액세스                Outlook
  내결함성이 있는
  메시지 저장소
  보안 및 개인 정보    원격 사용자                 원격 사용자
  보호 기능
                               인터넷


                모바일 장치                   OWA
Exchange 보안 종속성


 Exchange 보안은 다음과 같은 요소에 종속됩니다.
   운영 체제 보안
   네트워크 보안
   IIS 보안(OWA를 사용할 경우)
   클라이언트 보안(Outlook)
   Active Directory 보안

                기억할 사항:
                 심층 방어
Exchange Server 보안 설정

  Exchange 2000 백 엔드 서버
     기본 보안 템플릿 및 Exchange 백 엔드 증분 템플릿 적용
  Exchange 2000 프런트 엔드 서버
     기본 보안 템플릿 및 Exchange 프런트 엔드 증분 템플릿 적용
  Exchange 2000 OWA 서버
    URLScan Exchange 2003 백 엔드 서버를 포함한 IIS 잠금
     적용
     프로토콜 보안 템플릿 적용
  Exchange 2003 프런트 엔드 및 OWA 서버
     IIS 6.0이 URLScan 및 IIS 잠금과 거의 동일한 기능 제공
  Exchange가 설치된 도메인 컨트롤러
    도메인 컨트롤러 기본 템플릿(BaselineDC.inf)을 적용한 다음
     Exchange DC 증분 템플릿 적용
Exchange Server 보안 항목

 Exchange Server 액세스 보호
   무단 액세스 차단
 통신 보안 설정
   통신 차단 및 암호화
 스팸 차단
   받는 메일 필터링
   릴레이 제한: 스팸 방지
 보안되지 않은 전자 메일 메시지 차단
   바이러스 검사
   첨부 파일 차단
인증 구성 1부

 Outlook 클라이언트 인증 보호
 RPC over HTTPS를 사용하도록 Exchange 및
 Outlook 2003 구성
 인터넷 프로토콜 클라이언트 인증을 암호화하도록
 SPA 구성



          기억할 사항: 인증
         보안과 데이터 암호화는
           동일하지 않음
인증 구성 2부



   OWA에서는 여러 가지 인증
   방법을 지원합니다.


    인증 방법              고려 사항
기본 인증        SSL을 사용하지 않는 한 안전하지 않음
             제한된 클라이언트 지원, 방화벽을 통한
통합 인증
             실행
다이제스트 인증     제한된 클라이언트 지원
             사용자 지정 가능
폼 기반 인증      웹 클라이언트 지원
             Exchange Server 2003에서 사용 가능
통신 보안 설정


 RPC 암호화 구성
   클라이언트 쪽 설정
   ISA Server 2004에서 적용 가능
 RPC over HTTPS
 방화벽 차단
   ISA Server를 사용하여 메일 서버 게시
 OWA에 대해 HTTPS 구성
 S/MIME을 사용하여 메시지 암호화
메시지 암호화

              클라이언트 2의
          2   공개 키 검색

                                   메시지가 전송될 때
     Active Directory          4   S/MIME을 사용하여
                                   캡슐화됨
     도메인 컨트롤러                                                클라이언트 2의 개인
                                                        6    키는 공유 키를
                                                             해독하기 위해
    새 메시지                                                    사용되며, 공유 키는
1   작성                                                       메시지를 해독하기
                                                             위해 사용됨


                        SMTP VS1         SMTP VS 2


                        공유 키가 생성되고 받는
                        사람의 공개 키를
                        사용하여 암호화됨. 공유             암호화된 메시지
                 3      키를 사용하여 메시지가         5    도착
                        암호화되고 메시지와 공유
                        키가 전송됨.
      클라이언트 1                                        클라이언트 2
데모 1: Exchange 보안 설정

        폼 기반 인증 구성
        RPC over HTTP 구성
스팸 차단 – Exchange 2000


 열려 있는 릴레이 닫기
 메시지 스푸핑으로부터 보호
 주소 스푸핑으로부터 보호
 Exchange에서 받는 사람 이름을 GAL 계정으로
 확인하지 않도록 설정
스팸 차단 – Exchange 2003


 Exchange Server 2003의 추가 스팸 방지 기능
 사용
   실시간 차단 목록 지원
   글로벌 거부 목록 및 허용 목록
   보낸 사람 및 받는 사람 필터링
   향상된 릴레이 방지 기능
   Outlook 2003 및 타사 스팸 방지 제품과의
    통합
   Exchange Intelligent Message Filter
데모 2: Exchange 스팸 보호 구성



          스팸 보호 구성
전자 메일 바이러스로부터 보호


 바이러스 방지 게이트웨이 구현
   보내는 메시지 및 받는 메시지 모니터링
   서명을 수시로 업데이트할 것
 Outlook 첨부 파일 보안 구성
   웹 브라우저 보안에 따라 OWA에서 첨부
    파일을 열 수 있는지 여부가 결정됨
 ISA Server 구현
   Message Screener를 통해 받는 메시지를
    차단할 수 있음
사용 권한을 통한 Exchange 보안 설정

              관리 모델




   중앙 집중형             분산형
 가장 간단한 모델        조직의 관리 모델과
                  일치
 특별한 구성이 필요       별도의 관리 그룹 필요
 없음
                  관리 역할을 사용하여
 하나의 관리 그룹 사용     관리 위임
Exchange Server 2003의 개선 사항


 많은 기본 보안 설정
 보다 제한적인 권한
 새로운 보안 메일 전송 기능
 새로운 인터넷 연결 마법사
 상호 포리스트 인증 지원
Exchange 보안 설정을 위한 10가지 사항


   1   최신 서비스 팩 설치
   2   적용 가능한 모든 보안 패치 설치
   3   최소 권한 원칙 적용
   4   Exchange Server 강화
   5   전자 메일 클라이언트 보안 설정
   6   계층화된 바이러스 대처 방법 사용
   7   스팸 방지 조치 구현
   8   ISA Server와 같은 어플리케이션 계층 방화벽 사용
   9   Outlook Web Access 보안 설정
   10 백업 전략 구현
SQL Server 보호


  소개
  Exchange Server 보호
  SQL Server 보호
  IIS 서버 보안 설정 방법
  Small Business Server 보안 설정
SQL Server 개요


  SQL Server는 다음과 같은
  특징을 가진 엔터프라이즈
  관계형 데이터베이스 관리
  시스템입니다.
    다양한 XML 및 인터넷
     표준 지원 가능
    확장성과 안정성이 뛰어남
    확장 가능한 통합 분석
     서비스를 위한 OLAP 지원
    역할 기반 보안과 파일 및
     네트워크 암호화 가능
 일반적인 데이터베이스 서버 위협 요소


      암호       웹 어플리케이션 취약점
      해독                              네트워크 정보
               과도한 권한을 가진 계정            유출
SQL          취약한 입력 데이터 유효성 검사
삽입          주변                   내부
           방화벽                  방화벽
                                            SQL Server
                     웹
 브라우저
                   어플리케이션




  외부에서
무단으로 액세스          네트워크 취약점               구성 취약점
                 SQL 포트 차단 실패          과도한 권한을 가진
                                         서비스 계정
                                         미약한 권한
                                         인증서 없음
기본 보안 구성


 SQL Server 보안을 위해 심층 방어 접근법 사용
 서비스 팩 및 패치 적용
   MBSA를 사용하여 누락된 SQL 업데이트 탐지
 사용하지 않는 서비스 비활성화
   MSSQLSERVER(필수)
   SQLSERVERAGENT
   MSSQLServerADHelper
   Microsoft Search
   Microsoft DTC
데이터베이스 서버 보안 범주
SQL Server

               SQL Server 보안


             로그인, 사용자 및 역할     데이터베이스 개체




                                           패치 및 업데이트
                   공유           감사 및 로깅
운영 체제




                  서비스          파일 및 디렉터리


                   계정           레지스트리
 네트워크




                 프로토콜             포트
네트워크 보안


 SQL을 TCP/IP로 제한
   IPSec 정책을 통해 서버에 연결할 수 있는
    사용자 제어
   Kerberos 인증 적용
 TCP/IP 스택 강화
 포트 제한
   SQL Server 포트 및 인증에 필요한 포트를
    제외한 모든 포트 차단
   포트 1433 및 1434에 대한 액세스를
    제한하도록 IPSec 구성
운영 체제 보안


 최소한의 권한을 가진 SQL Server 서비스 계정
 구성
   서비스 계정에는 Administrators 또는 Users
    그룹 권한이 부여되어서는 안 됨
 사용되지 않는 계정 삭제 또는 비활성화
   공격자가 액세스하는 수단이 될 수 있음
   로컬 계정 감사/필요하지 않은 계정 삭제
 인증 트래픽 보안 설정
   NTLM v2를 요구하도록 Windows 구성
로그인, 사용자 및 역할


 강력한 sa(시스템 관리자) 암호 사용
 SQL 게스트 사용자 계정 제거
 BUILTIN\Administrators 서버 로그인 제거
 공용 역할에 권한 부여 금지
파일, 디렉터리 및 공유

 사용 권한 확인:
   SQL Server 설치 디렉터리에 대한 사용 권한
   확인
   Everyone 그룹이 SQL Server 파일에 대한
   권한을 갖고 있지 않은지 확인
   레지스트리 키가 적절한 ACL을 사용하여
    구성되었는지 확인
   필수 공유 폴더에 대한 사용 권한 확인 및
    불필요한 공유 제거
 로그 파일에 있을 수 있는 암호 제거(KillPwd.exe
 사용)
 도구, 유틸리티 및 SDK를 제거하거나 보안 설정
유용한 SQL 인증 정보


 Windows 전용으로
 인증 설정
   자격 증명이
    네트워크를 통해
    전달되지 않음
   보안 관리가 쉬워짐
   자격 증명 위임을
    사용할 수 있음
   클라이언트에
    암호를 저장할
    필요가 없음
SQL 감사


 실패한 Windows 로그인 시도 모두 기록
 파일 시스템에서 성공한 작업과 실패한 작업
 기록
 SQL Server 로그인 감사 활성화
 SQL Server 일반 감사 활성화
데이터베이스 개체 보안 설정


 예제 데이터베이스 제거
 저장 프로시저에 대한 액세스 제한
   SQL 로그인 만들기
   로그인을 데이터베이스 사용자로 매핑
   데이터베이스 사용자를 사용자 정의 DB
    역할에 추가한 다음 DB 역할에 권한 부여
 sysadmin 역할만 cmdExec에 액세스할 수 있도록
 제한
뷰 및 저장 프로시저 사용


 SQL 쿼리에는 기밀 정보가 포함되어 있을 수 있음
   데이터베이스 구성 요소 이름
   프로세싱 논리
   계정 이름 또는 암호
 되도록이면 항상 저장 프로시저 사용
 직접 테이블에 액세스하지 말고 뷰 사용
 웹 기반 어플리케이션에 대해 유용한 보안 정보
 구현
웹 어플리케이션 보안 설정


 모든 입력 데이터의 유효성 검사
 인증 및 권한 부여에 보안 설정
 중요한 데이터에 보안 설정
 최소한의 권한을 가진 프로세스 및 서비스 계정
 사용
 감사 및 로깅 구성
 구조화된 예외 처리를 사용
SQL Server 및 Windows XP 서비스 팩 2


 Windows 방화벽이 기본적으로 활성화됨
   SQL Server 구성 요소에 대해 기본적으로
    TCP/UDP/멀티프로토콜/명명된 파이프 포트
    수신 대기가 활성화되어 있지 않음
   공유 메모리는 영향을 받지 않으며, 같은
    컴퓨터의 다른 연결에서는 SQL Server/MSDE를
    계속 사용할 수 있음
 네트워크에서 제대로 작동하도록 SQL Server 구성
   Windows 방화벽에서 SQL Server의 각
    인스턴스에 대한 예외 만들기
   각 SQL 구성 요소에 대한 예외 만들기
   각 SQL 구성 요소와 SQL Server의 각
    인스턴스에 사용될 포트를 연결별로 정의
SQL Server 보호를 위한 10가지 사항


   1   최신 서비스 팩 설치
       MBSA 실행 및 확인된 보안 문제에 대해 업데이트
   2   적용
   3   Windows 인증 구성
   4   서버 격리 및 백업
   5   sa 암호 검사 및 sa 암호가 복잡한지 확인
   6   SQL 서비스의 권한 제한
   7   방화벽에서 포트 차단
   8   NTFS 사용
   9   설치 파일 및 예제 데이터베이스 제거
   10 연결 감사
IIS 서버 보안 설정 방법


 소개
 Exchange Server 보호
 SQL Server 보호
 IIS 서버 보안 설정 방법
 Small Business Server 보안 설정
IIS 잠금 도구


  IIS 잠금 도구는 불필요한 기능을 해제하여
  IIS 4.0, IIS 5.0, IIS 5.1이 공격받을 수 있는
  범위를 줄입니다.
  잠금 도구는 URLScan을 통합하여 심층
  방어를 제공합니다. URLScan에는 지원되는
  각 서버 역할에 맞게 수정된 템플릿이
  포함되어 있습니다.
  IIS 6.0은 이전 버전의 IIS 잠금에서 구성된
  보안 설정을 사용하여 설치되므로,
  IIS 6.0용 IIS 잠금은 없습니다.
   IIS 잠금 결과

                      서비스                       스크립트 매핑                                                     고급 보안
X는 기능이




                                                                                                                                                    IIS 도움말
활성화되었




                                                                                                실행 거부
                                                                                                        쓰기 거부


                                                                                                                         스크립트


                                                                                                                                        IIS Admin



                                                                                                                                                              URLScan
                                                                                       WebDAV




                                                                                                                IIS 샘플
음을 나타냄




                                                                                                                                MSADC
                                                                      .printer
                                                        SSINC
                WWW


                            SMTP
                                   NNTP



                                                Index
                                          ASP




                                                                                 HTR
                      FTP




                                                                IDC
Win2K
sbs2000         X           X       X     X                                            X        X       X       X        X      X        X           X         X
exchange5.5     X           X       X     X                                                     X       X       X        X      X        X           X         X
exchange2k      X           X       X     X                                            X        X       X       X        X      X        X           X        X
sharepoint_p    X                         X                                            X        X       X       X        X      X        X           X        X
ortal           X                         X     X                                               X               X        X      X        X           X        X
frontpage       X           X             X                                            X        X       X       X                        X           X        X
biztalk         X           X             X                                            X        X       X       X        X      X        X           X        X
commerce        X                         X                                                     X                X              X        X            X
프록시             X                                                                               X       X       X        X      X        X           X        X
정적 웹            X                         X                                                     X       X       X        X      X        X           X        X
동적 웹                                                                                            X       X       X        X      X        X           X        X
기타                                                                                              X       X       X        X      X        X           X
Iis_uninstall
URLScan


 URLScan은 위험한 요청이 서버로 전달되지
 못하게 차단합니다.
 URLScan은 IIS에서 처리할 HTTP 요청의 유형을
 제한합니다.
   긴 URL 요청
   대체 문자 집합을 사용하는 요청
   허용되지 않는 메서드가 포함된 요청
   모든 패턴과 일치하는 요청
 IIS 6.0은 대부분의 URLScan 기능을 구현하므로
 URLScan은 사용자 지정된 컨텐츠 차단을
 설정하는 데만 필요합니다.
IIS 5.x 보안 설정을 위한 10가지 사항

1   운영 체제를 강화하고 관련 보안 패치를 모두 적용합니다.
2   불필요한 구성 요소를 제거합니다.
3   IIS 잠금 도구를 실행합니다.
4   URLScan을 구성합니다.
5   별도의 NTFS 파티션에 컨텐츠를 저장합니다.
6   최소 사용 권한만을 사용함으로써 파일을 보호합니다.
7   중요한 웹 트래픽의 경우 암호화가 필요합니다.
   동일한 웹 사이트에서 실행 권한과 쓰기 권한을 모두 허용하지
8  않도록 합니다.
   중간 또는 높은 수준의 어플리케이션 보호를 사용하여
9 어플리케이션을 실행합니다.
   IPSec 필터링을 사용하여 웹 서버에 필요한 트래픽(HTTP 및
10 HTTPS)만 허용합니다.
  IIS 6.0의 보안 강화 기능

   IIS 6.0은 기본적으로 강력한 시간 제한 및 컨텐츠 제한이
   설정된 잠긴 제품입니다.
    기능                          설명
              IIS 6.0은 기본적으로 설치되어 있지 않습니다. 새로 설치할
잠겨 있는 서버
              경우에도 정적 파일만 지원됩니다.
              기본 설치에서는 동적 컨텐츠를 포함하는 파일을 컴파일, 실행
웹 서비스 확장 목록
              또는 서비스하지 않습니다.
최소한의 권한을 가진 IIS 프로세스는 NETWORK SERVICE 계정으로 로그온하여 상당히
기본 계정       낮은 수준의 권한으로 실행됩니다.
              권한 부여 관리자를 사용하여 URL을 인증합니다. 제한된 위임
권한 부여
              인증.
              시간 제한 및 URL 길이 제한을 구성합니다. 파일을 실행하기 전에
URL 검사        파일이 존재하는지 여부를 검사합니다. 실행 파일 가상 디렉터리가
              없습니다.
              향상된 어플리케이션 샌드박싱. 타사 코드는 작업자
프로세스 격리
              프로세스에서만 실행됩니다. 리소스 재활용
IIS 6.0 어플리케이션 풀


 어플리케이션 풀은
 어플리케이션 및 이를
 제공하는 작업자 프로세스의
 분리된 집합입니다.
 어플리케이션에 문제가
 발생해도 다른 어플리케이션
 풀에서 실행 중인
 어플리케이션의 가용성에는
 영향을 주지 않습니다.
 서로 종속되지 않는
 어플리케이션에 대해 별도의
 어플리케이션 풀을
 만드십시오.
데모 3: IIS 6.0 보안 설정


         어플리케이션 풀 구성
Small Business Server 보안 설정


  소개
  Exchange Server 보호
  SQL Server 보호
  IIS 서버 보안 설정 방법
  Small Business Server 보안 설정
Small Business Server 개요


 Small Business Server 2003은 다음과 같은,
 소규모 기업을 위한 완전한 서버 솔루션을
 제공합니다.
   전자 메일, 네트워킹 및 인터넷 연결 제공
   Microsoft Windows SharePoint Services에서
    소규모 기업 인트라넷 사용
   원격 액세스 가능
   모바일 사용자 액세스 가능
   간편한 서버 관리
소규모 기업의 보안


 소규모 기업의 보안 문제
   보안 전문 기술 부족
   리소스가 부족하여 서비스를 분리하기가
    어려움
   보안 모니터링 능력 부족
   서버 리소스의 부적절한 사용
 Small Business Server 보안 위험
   많은 서비스가 기본적으로 설치됨
   인터넷에 직접 연결
외부 위협 요소로부터 보호


 복잡한 암호를 요구하도록 암호 정책 구성
 보안 원격 액세스 구성
   원격 웹 작업 사이트 사용
   원격 액세스
 필요하지 않은 원격 액세스 옵션은 모두 해제
 Administrator 계정 이름 변경
 Exchange 및 IIS의 유용한 보안 정보 구현
 서버에 필요한 소프트웨어만 설치
내부 위협 요소로부터 보호


 바이러스 백신 솔루션 구현
 백업 계획 구현
 MBSA를 실행하여 보안 취약점 확인
 액세스 권한 제어
 사용자 교육
 서버를 워크스테이션으로 사용하지 않음
 서버를 물리적으로 보호
 소프트웨어 업데이트
세션 요약


   모든 어플리케이션 서버에서 기본 운영
   체제에 보안 설정
   Exchange Server와 연결되는 클라이언트
   연결 및 클라이언트에 보안 설정
   SQL 인증 및 데이터베이스 사용 권한에 보안
   설정

   IIS 6.0을 구현하여 보안 개선 기능 사용

   Small Business Server에서 필요한
   서비스만 활성화
다음 단계

 추가 보안 교육 이벤트 검색
  http://www.microsoft.com/korea/seminar/security.asp
 Security Communications 등록
  http://www.microsoft.com/technet/security/signup/
   default.mspx(영문)
 Security Guidance Kit 주문
  http://www.microsoft.com/security/guidance/order/
   default.mspx(영문)
 추가 보안 도구 및 컨텐츠 얻기
  http://www.microsoft.com/korea/security/guidance
질문과 대답

								
To top