IIS 보안 검사 목록

인트라넷에 정보를 게시하는 컴퓨터의 보안을 향상시키는 방법이 몇 가지 있습니다. 시스템 보안에 관심이 있다면 이 검사 목록을 검토하여 시스템 보안을 개선할 수 있을지 확인하십시오.

참고   아주 중요한 정보에 대해서는 보안 전문 컨설팅 회사의 도움을 받아야 합니다. 컨설팅 회사에서는 적절한 보안 정책과 절차 설정을 도와줍니다.

Windows 보안 인터넷 정보 서비스 보안
실제 보안
개인 보안
보안 관련 자세한 정보

Windows 보안

IIS의 보안 기능은 Windows를 바탕으로 합니다. 웹 사이트 보안을 위해 도움이 되는 Windows 설정은 다음과 같습니다.

파일 시스템

동작 이유
  NTFS 사용 NTFS 시스템이 FAT 시스템보다 안전합니다. 컴퓨터 하드 디스크를 FAT에서 NTFS로 변환하는 작업에 대한 자세한 내용은 Windows 설명서를 참조하십시오.
 
  디렉터리 사용 권한 검토 기본적으로 Windows에서 새 폴더를 만들면 그 파일에 대해 Everyone 그룹에 모든 권한이 할당됩니다.
 
  IUSER_computername 계정에 대한 액세스 제어 설정 익명 사용자가 컴퓨터를 액세스하는 것을 쉽게 제한할 수 있습니다.
 
  실행 파일을 별도의 디렉터리에 저장 액세스 권한과 감사를 쉽게 할당할 수 있습니다.
 
  네트워크 드라이브의 NTFS 권한 확인 기본적으로 Windows에서 새 공유 리소스를 만들면 그 리소스에 대해 Everyone 그룹에 모든 권한이 할당됩니다.
 

사용자 계정

 동작  이유
  사용자 계정을 자주 검토 유효하지 않은 관리자가 만든 새 계정이 있는지 확인합니다. IUSR_computername 계정에 허용된 권한을 검토합니다. 사이트에 대한 액세스가 허용된 모든 익명 사용자는 이 계정에 할당된 권한을 갖습니다. 감사 기능을 사용하면 보안 정책이 언제 누구에 의해 변경되는지를 모니터링할 수도 있습니다. 자세한 내용은 감사를 참조하십시오.
  어려운 암호 선택 대소문자와 숫자, 특수 기호를 섞어 만든 암호는 알아내기가 어렵습니다.
  엄격한 계정 정책 유지 중요한 사용자 계정과 그룹에 어떤 종류의 액세스가 허용되는지 추적합니다. 보안 정책을 변경할 수 있는 권한이 누구에게 허용되는지도 파악합니다.
  Administrator 그룹의 구성원 제한 일반적으로 이 그룹은 컴퓨터에 대한 모든 액세스 권한을 갖습니다.
 
  Administrator 계정에 암호 할당 기본적으로 Administrator 계정에는 암호를 사용하지 않지만 보안 강화를 위해, 앞에서 설명한 바와 같이 어려운 암호를 설정합니다.
 

서비스 및 기타 문제

 동작  이유
  서비스 실행 최소화 꼭 필요한 서비스만 실행합니다. 추가로 실행하는 모든 서비스는 해커 침입의 시작점으로 제공될 수 있습니다. 서비스 및 보안에 대한 자세한 내용은 Microsoft Windows 2000 Server Resource Kit을 참조하십시오.
 
  감사 사용 감사는 보안이 설정된 파일이나 중요한 파일에 대한 액세스를 추적할 수 있는 아주 유용한 도구입니다. 보안 정책상의 변경과 같은 서버 이벤트를 추적할 때도 사용할 수 있습니다. 감사 로그를 나중에 사용하기 위해 보관할 수도 있습니다. 자세한 내용은 감사를 참조하십시오.
 
  컴퓨터를 원격으로 관리할 때는 암호화 사용 일반적으로 원격 관리에는 중요한 정보, 예를 들면 Administrator 계정에 대한 암호와 같은 정보 교환이 이루어집니다. 개방된 네트워크에서 이 정보를 보호하려면 SSL(Secured Sockets Layer) 암호화를 사용합니다. 자세한 내용은 암호화를 참조하십시오.
 
  하위 수준 계정을 사용하여 인터넷 검색 Administrator나 Power User 또는 그 밖의 높은 권한이 부여된 계정을 사용하여 인터넷을 검색하면 해커가 컴퓨터를 침입할 수 있는 시작점을 열어주는 것이 될 수도 있습니다. 마찬가지로, 절대로 PDC(주 도메인 컨트롤러)에서 인터넷을 검색하지 마십시오.
 
  중요한 파일과 레지스트리를 자주 백업 아무리 보안을 철저히 해도 데이터의 완벽한 안전을 보장할 수는 없습니다. 자세한 내용은 Microsoft Windows 2000 Server Resource Kit를 참조하십시오.
 
  바이러스 검사를 정기적으로 실행 공개된 네트워크 상의 컴퓨터는 모두 컴퓨터 바이러스에 감염될 소지가 있습니다. 따라서 정기적인 검사를 통해 데이터 손실을 막을 수 있습니다.
 
 

인터넷 정보 서비스 보안

IIS에서는 인증과 웹 사용 권한을 비롯하여 웹 사이트를 위한 가장 직접적인 보안을 제공합니다.

인증

 동작  이유
  가장 안전한 인증 방법 사용 클라이언트에서 지원하는 가장 안전한 형태의 인증 방법을 사용합니다. 예를 들면, 통합 Windows 인증과 다이제스트 인증이 기본 인증보다 안전합니다. 더욱 안전한 인증을 위해 클라이언트 인증서를 사용할 수도 있습니다. 자세한 내용은 인증을 참조하십시오.
 
  일대일 매핑과 다대일 매핑 이 두 방법 중 하나를 사용하거나 두 가지를 모두 사용하여 클라이언트 인증서를 Windows 사용자 계정에 매핑할 수 있습니다. 일대일 매핑은 높은 수준의 확실성을 제공하지만 클라이언트 인증서 복사본을 서버에 저장해야 합니다. 다대일 매핑은 구현하기가 더 쉬우며 인증서 복사본을 서버에 저장하지 않아도 됩니다. 자세한 내용은 사용자 계정에 클라이언트 인증서 매핑을 참조하십시오.
 

웹 사용 권한

 동작  이유
  웹 사용 권한과 NTFS 권한 동기화 웹 사용 권한과 NTFS 권한이 동기화되지 않은 경우에는 두 가지 중 제한 수준이 높은 쪽이 사용됩니다. 동기화는 수동으로 이루어질 수도 있고 사용 권한 마법사를 통해 이루어질 수도 있습니다. 웹 사용 권한에 대한 자세한 내용은 액세스 제어 정보를 참조하십시오. NTFS 권한에 대한 자세한 내용은 Windows 설명서를 참조하십시오.
 
  가장 제한적인 권한 사용 예를 들어, 웹 사이트에서 정보를 보기만 하는 경우에는 읽기 권한을 할당합니다. 디렉터리나 사이트에 ASP 응용 프로그램이 들어 있으면 실행(스크립트 포함) 권한 대신 스크립트 권한을 할당합니다. 자세한 내용은 웹 서버 권한 설정을 참조하십시오.
 
  쓰기 권한과 실행(스크립트 포함) 권한 이 두 권한을 함께 사용하게 되면 다른 사람이 위험한 실행 파일을 서버에 업로드하고 실행할 수 있으므로, 많은 주의를 기울여야 합니다. 자세한 내용은 웹 서버 권한 설정을 참조하십시오.
 

실제 보안

 동작  이유
  자리를 비울 때는 워크스테이션 잠금 잠시 자리를 비울 때는 바로 가는 키, Ctrl+Alt+Delete를 누르거나 워크스테이션 잠금을 선택하여 데스크톱을 잠급니다.
 
  암호로 보호된 화면 보호기 사용 대기 시간을 짧게 하여 자리를 비운 사이에 컴퓨터를 아무도 사용하지 못하게 합니다. 애니메이션 화면 보호기는 서버 성능을 저하시킬 수 있으므로, 빈 화면 보호기를 사용합니다.
 
  컴퓨터 잠금 악의를 가진 사람이 액세스할 수 있는 가능성을 줄이기 위해 컴퓨터를 안전한 곳에 잠겨진 상태로 보관합니다.
 

개인 보안

 동작  이유
  서로 다른 관리자 계정 사용 관리 권한을 가진 각 사용자에게는 별도의 사용자 계정과 암호를 주어야 합니다. 이렇게 하면 모든 변경 사항을 쉽게 추적할 수 있습니다.
 
  비밀 유지 계약 사용 비밀 유지 계약을 통해 자세한 책임 사항을 강화할 수 있습니다.
 
  계정을 정기적으로 다시 할당 사용자 계정 정보가 노출될 위험을 줄이기 위해, 관리자나 그 밖의 높은 권한을 갖는 사용자에게 정기적으로 새 계정을 할당합니다.
 
  사용하지 않는 계정을 신속히 삭제 이렇게 하면 불만을 품은 퇴사 직원이나 업체가 네트워크를 액세스하게 되는 위험을 줄일 수 있습니다.
 

보안 관련 자세한 정보

웹 사이트 보안에 대한 자세한 정보를 참고할 수 있는 자료는 다음과 같습니다.

© 1997-2001 Microsoft Corporation. All rights reserved.