W-44(중) 터미널 서비스 암호화 수준 설정

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 Windows 서버 점검 항목

■ 취약점 개요

○ 점검개요 : 터미널 서비스 암호화 수준 적절성 점검

○ 점검목적 : 터미널 서비스 암호화 설정으로 데이터를 암호화하여 클라이언트와 서버간의 통신에서 전송되는 데이터를 보호하기 위함

○ 보안위협 : 서버 접속 시에 낮은 암호화 수준을 적용할 경우 악의적인 사용자에 의해 서버와 클라이언트 간 주고받는 정보가 노출될 우려가 있음

○ 점검대상 : Windows NT, 2000, 2003, 2008, 2012, 2016 등

○ 판단기준

- 양호 : 터미널 서비스를 사용하지 않거나 사용 시 암호화 수준을 "클라이언트와 호환 가능(중간)" 이상으로 설정한 경우

- 취약 : 터미널 서비스를 사용하고 암호화 수준이 "낮음" 으로 설정한 경우

 

■ 점검방법

○ Window NT

Step 1

아래 경로를 참고하여 설정 확인 시작> 실행> regedit

○ Window 2000

Step 1

아래 경로를 참고하여 설정 확인 시작> 실행> TSCC.MSC> "해당 서비스" 선택> 속성

○ Window 2003

Step 1

아래 경로를 참고하여 설정 확인 시작> 실행> TSCC.MSC> "해당 서비스" 선택> 속성

○ Window 2008, 2012, 2016 등

Step 1

아래 경로를 참고하여 설정 확인 시작> 관리 도구> 원격 데스크톱 서비스 > 원격 데스크톱 세션호스트 구성> RDP-Tcp 속성

 

■ 조치방안

○ Window NT

Step 1	아래 경로를 참고하여 설정 확인 시작> 실행> regedit
Step 2	HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\MinEncryptionLevel 값을 2(중간) 이상으로 설정

○ Window 2000

Step 1	아래 경로를 참고하여 설정 확인 시작> 실행> TSCC.MSC> "해당 서비스" 선택> 속성
Step 2	암호화 수준 → 중간(Windows 2000) 이상으로 설정

암호화 수준	설정
낮음	○ 클라이언트에서 서버로 보낸 데이터만 서버의 표준 키 길이를 기반으로 하는 암호화로 보호. ○ 서버가 클라이언트로 보낸 데이터는 보호되지 않음
중간	○ 클라이언트와 서버 간에 받은 모든 데이터는 서버의 표준 키 길이를 기반으로 암호화로 보호
높음	○ 클라이언트와 서버 간에 받은 모든 데이터는 서버의 최대 키 길이를 기반으로 암호화로 보호

○  Window 2003, 2008, 2012, 2016 등

Step 1	아래 경로를 참고하여 설정 확인 시작> 관리 도구> 원격 데스크톱 서비스 > 원격 데스크톱 세션호스트 구성> RDP-Tcp 속성
Step 2	[일반] 탭에서 암호화 수준 설정 → 클라이언트 호환 가능(Windows 2003, 2008, 2012)

 

암호화 수준	설정
낮음	○ 클라이언트에서 서버로 보내는 모든 데이터는 클라이언트가 지원하는 최대 키 강도를 기반으로 하는 암호화로 보호
클라이언트 호환 가능	○ 클라이언트와 서버 간에 받은 모든 데이터는 클라이언트가 지원하는 최대 키 강도를 기반으로 하는 암호화로 보호
높음	○ 클라이언트와 서버 간에 받은 모든 데이터는 서버의 최대 키 강도를 기반으로 하는 암호화로 보호하며 이 암호화 수준을 지원하지 않는 클라이언트는 연결할 수 없음
FIS 규격	○ 클라이언트에서 서버로 보내는 모든 데이터를 Federal Information Processing Standard 140-1 유효 암호화 방법을 사용하여 보호

 

■ 터미널 서비스가 필요한 경우 추가 보완 대책

1. 관리자 이외의 일반 사용자의 터미널 서비스 접속을 허용하지 않음

2. 방화벽에서 터미널 서비스 포트(3389)의 사용을 관리자 컴퓨터의 IP로 제한

 

■ 조치 시 영향

암호화 수준 변경 시 일반적으로 영향 없음

■ 기반시설 시스템은 터미널 서비스의 사용을 원칙적으로 금지하나, 부득이 해당 서비스를 사용해야 하는 경우 클라이언트 서버간의 데이터 전송 시 암호화하여 보호해야 함