Offcanvas

������������

블로그 | 윈도우 네트워크 보안의 4대 핵심 요소

마이크로소프트의 이그나이트(Ignite) 컨퍼런스가 열리기 전, 필자는 마이크로소프트 CISO 브렛 아스놀트와 윈도우 네트워크 보안을 위한 핵심 요소에 관해 대화를 나눌 수 있었다. 아스놀트는 패스워드리스 ID 관리(passwordless identity management), 패치 관리(patch management), 장치 제어(device control) 및 보안 벤치마크(security benchmarks) 등 보안의 4대 기둥에 관해 이야기했다.   1. 패스워드리스 ID 관리 아스놀트의 권고는 다중 인증(Multi-Factor Authentication, MFA)를 사용하고 패스워드리스 ID 관리로 이행하는 것으로 시작된다. 2020년 버라이즌 데이터 유출 조사 보고서에 따르면, 자격 증명 도난의 배후의 80%는 사이버 공격이다. 그래서 마이크로소프트는 일반적인 비밀번호를 버리는 것을 강조하고 패스워드리스 기법에 초점을 맞추고 있다. 윈도우 배치 시 3가지 주요 패스워드리스 선택지가 있다. 첫 번째는 생체인식 인증이 포함된 WHB(Windows Hello for Business)를 사용하는 것이다. 클라우드 전용 배치에서 WHB를 지원하기 위해서는 윈도우 10 버전 1511 이상, 마이크로소프트 애저 계정, 애저 액티브 디렉터리(AD), 애저 다중 인증, 모던 매니지먼트(인튠 또는 지원되는 서드파티 MDM)가 필요하다.  장치가 애저 AD에 가입할 때 자동 MDM 등록을 위한 애저 AD 프리미엄 구독을 선택할 수 있다. 하이브리드 배치의 경우, 윈도우 10 버전 1511 이상이 필요하며 하이브리드 애저 AD 또는 애저 AD에 가입할 수 있다. 다음 선택지는 필자가 사용하는 것으로 마이크로소프트 어센터케이터(Microsoft Authenticator) 앱이다(이중 인증에 구글 어센터케이터 앱을 사용할 수도 있지만 패스워드리스 구현을 위해서는 마이크로소프트 어센터케이터가 필요하다). 애플리케이션이 어센터케이터 앱을 지원하고 사...

윈도우 네트워크보안 패스워드리스ID관리 패치관리 장치관리 보안벤치마크

2020.10.27

마이크로소프트의 이그나이트(Ignite) 컨퍼런스가 열리기 전, 필자는 마이크로소프트 CISO 브렛 아스놀트와 윈도우 네트워크 보안을 위한 핵심 요소에 관해 대화를 나눌 수 있었다. 아스놀트는 패스워드리스 ID 관리(passwordless identity management), 패치 관리(patch management), 장치 제어(device control) 및 보안 벤치마크(security benchmarks) 등 보안의 4대 기둥에 관해 이야기했다.   1. 패스워드리스 ID 관리 아스놀트의 권고는 다중 인증(Multi-Factor Authentication, MFA)를 사용하고 패스워드리스 ID 관리로 이행하는 것으로 시작된다. 2020년 버라이즌 데이터 유출 조사 보고서에 따르면, 자격 증명 도난의 배후의 80%는 사이버 공격이다. 그래서 마이크로소프트는 일반적인 비밀번호를 버리는 것을 강조하고 패스워드리스 기법에 초점을 맞추고 있다. 윈도우 배치 시 3가지 주요 패스워드리스 선택지가 있다. 첫 번째는 생체인식 인증이 포함된 WHB(Windows Hello for Business)를 사용하는 것이다. 클라우드 전용 배치에서 WHB를 지원하기 위해서는 윈도우 10 버전 1511 이상, 마이크로소프트 애저 계정, 애저 액티브 디렉터리(AD), 애저 다중 인증, 모던 매니지먼트(인튠 또는 지원되는 서드파티 MDM)가 필요하다.  장치가 애저 AD에 가입할 때 자동 MDM 등록을 위한 애저 AD 프리미엄 구독을 선택할 수 있다. 하이브리드 배치의 경우, 윈도우 10 버전 1511 이상이 필요하며 하이브리드 애저 AD 또는 애저 AD에 가입할 수 있다. 다음 선택지는 필자가 사용하는 것으로 마이크로소프트 어센터케이터(Microsoft Authenticator) 앱이다(이중 인증에 구글 어센터케이터 앱을 사용할 수도 있지만 패스워드리스 구현을 위해서는 마이크로소프트 어센터케이터가 필요하다). 애플리케이션이 어센터케이터 앱을 지원하고 사...

2020.10.27

패치 관리 정책에 구멍이 생기는 8가지 경우, 그리고 해결 방법

소프트웨어와 디바이스에 대한 적절한 패치의 실패는 30년째 조직이 해킹 당하는 가장 큰 이유가 되고 있다. 자바와 같은 패치되지 않는 애플리케이션 하나가 모든 사이버보안 사고 원인의 90%가 된 적도 있다. 패치되지 않은 소프트웨어 문제를 효과적으로 해결할 방법이 필요하다.   대부분의 조직은 스스로는 패치 관리를 잘 하고 있다고 여기지만 실제로는 제대로 하지 못한다. 패치 관리 정책에 구멍이 생기는 8가지 일반적인 경우는 다음과 같다. 1. 적절한 대상을 패치하지 않음 가장 흔한 패치 문제는 가장 위험도가 높은 애플리케이션을 가장 먼저 패치하지 않는 것이다. 어느 환경에서나 패치가 필요한 대상은 수없이 많지만 이 가운데에서 가장 많은 공격이 집중되는 소프트웨어 프로그램의 유형은 소수다. 이런 소프트웨어 프로그램을 가장 먼저, 효과적으로, 신속하게 패치해야 한다. 클라이언트 워크스테이션에서 가장 많은 공격을 받는 4가지 소프트웨어 유형은 다음과 같다. - 인터넷 브라우저 추가 기능 - 인터넷 브라우저 - 운영체제 - 생산성 애플리케이션(예: 오피스 프로그램) 서버에서 가장 많은 공격을 받는 4가지 소프트웨어 유형은 다음과 같다. - 웹 서버 소프트웨어 - 데이터베이스 서버 소프트웨어 - 운영체제 - 원격 서버 관리 소프트웨어 전체 소프트웨어 취약점에서 이런 유형의 소프트웨어가 차지하는 비중은 5% 미만이며, 더 중요한 점은 현재 활동하는 익스플로잇이 없다면 걱정할 필요가 없다는 것이다. 수십년 동안 누적된 데이터를 보면 공개적인 익스플로잇 코드가 “나돌지” 않는 한 취약점이 악용될 가능성은 낮다. 공개적으로 발표된 취약점 중에서 실제 사용되는 비율은 약 2%에 불과하다. - 해결책: 악용될 가능성이 가장 높은 소프트웨어를 가장 먼저, 가장 신속하게 패치한다. 2. 패치율에 너무 집착 필자가 방문한 고객 대부분은 99%와 같은 엄청나게 높은 패치율을 자랑했다(필자는 지금까지 수백 곳 넘게 방문했음). 그러나 하나의 디바이스를 완전하게 패...

위험관리 패치관리 패치율

2019.10.10

소프트웨어와 디바이스에 대한 적절한 패치의 실패는 30년째 조직이 해킹 당하는 가장 큰 이유가 되고 있다. 자바와 같은 패치되지 않는 애플리케이션 하나가 모든 사이버보안 사고 원인의 90%가 된 적도 있다. 패치되지 않은 소프트웨어 문제를 효과적으로 해결할 방법이 필요하다.   대부분의 조직은 스스로는 패치 관리를 잘 하고 있다고 여기지만 실제로는 제대로 하지 못한다. 패치 관리 정책에 구멍이 생기는 8가지 일반적인 경우는 다음과 같다. 1. 적절한 대상을 패치하지 않음 가장 흔한 패치 문제는 가장 위험도가 높은 애플리케이션을 가장 먼저 패치하지 않는 것이다. 어느 환경에서나 패치가 필요한 대상은 수없이 많지만 이 가운데에서 가장 많은 공격이 집중되는 소프트웨어 프로그램의 유형은 소수다. 이런 소프트웨어 프로그램을 가장 먼저, 효과적으로, 신속하게 패치해야 한다. 클라이언트 워크스테이션에서 가장 많은 공격을 받는 4가지 소프트웨어 유형은 다음과 같다. - 인터넷 브라우저 추가 기능 - 인터넷 브라우저 - 운영체제 - 생산성 애플리케이션(예: 오피스 프로그램) 서버에서 가장 많은 공격을 받는 4가지 소프트웨어 유형은 다음과 같다. - 웹 서버 소프트웨어 - 데이터베이스 서버 소프트웨어 - 운영체제 - 원격 서버 관리 소프트웨어 전체 소프트웨어 취약점에서 이런 유형의 소프트웨어가 차지하는 비중은 5% 미만이며, 더 중요한 점은 현재 활동하는 익스플로잇이 없다면 걱정할 필요가 없다는 것이다. 수십년 동안 누적된 데이터를 보면 공개적인 익스플로잇 코드가 “나돌지” 않는 한 취약점이 악용될 가능성은 낮다. 공개적으로 발표된 취약점 중에서 실제 사용되는 비율은 약 2%에 불과하다. - 해결책: 악용될 가능성이 가장 높은 소프트웨어를 가장 먼저, 가장 신속하게 패치한다. 2. 패치율에 너무 집착 필자가 방문한 고객 대부분은 99%와 같은 엄청나게 높은 패치율을 자랑했다(필자는 지금까지 수백 곳 넘게 방문했음). 그러나 하나의 디바이스를 완전하게 패...

2019.10.10

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.4.0.13