윈도우 7, 철벽 보안을 위한 7단계 가이드

소프트웨어 개발업체들은 때로 사용성을 높이기 위해 일부 보안을 희생시키곤 한다. 필자의 직업은 소프트웨어를, 특히 운영체제를 기본 상태보다 더 강력하게 하는 법을 가르치는 것이다. 안전하면서도 실용적인 상태로 만들기 위해서 어떤 보안 템플릿(Template)을 적용할 지, 어떤 파일을 삭제해야 할 지, 그리고 어떤 레지스트리(Registry) 항목을 수행해야 할 지를 사람들에게 가르치고 있다.

그러나 윈도우 비스타를 시작으로 그런 낡은 조언은 더 이상 필요 없게 되었다. 마이크로소프트는 이제 출하 시부터 훨씬 더 안전해진 제품을 제공하고 있다. 사용자는 매우 안전한 상태를 유지하기 위해 애초에 NSA 보안 템플릿을 다운로드 하거나 어떤 식으로든 시스템을 수정할 필요가 없어졌다.

현재 대부분의 클라이언트 측 위협은 UAC(User Access Control: 사용자 계정 컨트롤)를 해제하거나, 자동 업데이트를 사용하지 않거나, 또는 윈도우의 내장 방화벽을 비활성화 시키는 등 기본 방어수단을 순진하게 낮추거나 사용자가 악의 있는 트로이 목마 실행파일을 실행하도록 유인 당하여 발생하고 있다.

그러나 윈도우 7의 보안을 기본 상태 이상으로 높이기 위해 사용자가 할 수 있는 것이 없다고 말하려는 것이 아니다. 이 기사에서는 너무 큰 문제를 일으키지 않고 대부분의 애플리케이션을 구동할 수 있는 컴퓨터를 운영하면서 약간은 더 나은 보안을 구현하고 싶어하는 관리자나 개인 사용자를 위한 권고사항을 설명한다. 아래 설명된 팁은 애플리케이션 구동을 거부하거나 웹 사이트 로드를 거부하는 등의 불편함을 초래하지 않을 것이다.

1단계 : 비트로커 활성화

부트, 시스템, 그리고 USB 키 같은 이동식 미디어(Removable Media)까지도 포함하여 하드 드라이브 상의 임의 볼륨을 암호화하기 위해 비트로커 드라이브 암호화를 사용할 수 있다.

윈도우 7에서는 비스타에서의 엉성했던 부분이 사라졌다. 이제 사용자는 윈도우 탐색기 내에서 오른쪽 버튼을 눌러서 볼륨을 암호화할 수 있다. 신뢰할 수 있는 플랫폼 모듈(TPM: Trusted Platform Module) 칩, PIN, 암호, 그리고 스마트 카드를 포함하여 몇 가지 보호 방법이 있다.

개인적으로 NTFS와 FAT 볼륨 모두에서 이동식 미디어에 대한 암호화를 지원하는 새 기능이 특히 마음에 든다. 사용자는 이동식 미디어를 한번에 한 개씩 암호화하거나 기본으로 모든 이동식 미디어를 암호화하도록 만들 수 있다.

암호화된 이동식 미디어는 어떤 윈도우 7 컴퓨터에서도 해독하거나 다시 암호화 할 수 있다. 처음에 암호화되었던 컴퓨터에서뿐만이 아니다. 암호화된 FAT, exFAT, 그리고 FAT32 미디어를 윈도우 XP나 윈도우 비스타 클라이언트와 공유할 수도 있으나, 이 경우 암호화된 데이터는 읽기 전용이며 다시 암호화될 수 없다.

조언 : 비트로커 복구 정보를 컴퓨터에서 분리된 어딘가 안전하고 믿을 수 있는 곳에 저장하라. 비트로커는 훌륭한 암호화 기능이므로 사용자가 복구 암호를 제공하지 못하면 그 데이터를 영원히 뒤섞어 놓는다.

대부분의 조직에서는 사용자의 복구 암호를 AD(Active Directory)에 자동으로 백업해야 할 것이다. 비트로커 복구 정보는 컴퓨터 오브젝트(Object)에 속성(Attribute)으로 저장되므로, 이런 속성들에 대한 사용자의 액세스가 조직의 보안 정책에 부합하도록 반드시 조정해야 한다.

2단계 : UAC 슬라이더 바를 상향 조정

윈도우 7에서는 UAC(User Access Control)가 크게 개선되었다. 합법적인 활동과 잠재적으로 악의적인 활동을 구분하는 데 있어서 덜 성가시고 더 똑똑하도록 달라졌다.

하지만, 관리자로 로그온 했는지 아니면 표준 사용자(Standard User)로 로그온 했는지에 따라, 몇몇 윈도우 7 설치는 일부 전문가들이 권고하는 것보다 한 단계 낮은 기본 UAC 보안 설정으로 되어 있을 수도 있다.

표준 사용자의 기본 UAC 보안은 가장 안전한 설정 값으로 되어 있는 반면, 관리자 계정은 가장 높은 설정 값보다 한 눈금 아래로 설정되어 잠재적으로 더 위험하다.

마이크로소프트는 관리자와 사용자가 각자의 UAC 보안 수준을 조정할 수 있도록 사용하기 쉬운 UAC 슬라이더 바를 만들었다.

초기 소프트웨어를 모두 설치하고 원하는 대로 윈도우 7을 구성한 다음, UAC 슬라이더 바를 가장 안전한 설정 값인 "항상 알림(Always notify)"으로 올릴 것을 권고한다. "항상 알림" 모드에서도 윈도우 비스타에서 보다 더 적은 개수의 UAC 프롬프트가 나타난다.

조언 : 비록 UAC가 관리자 권한의 오용을 막기 위해 많이 필요한 메커니즘을 제공하고 있기는 하지만, 피할 수도 있다. 높은 보안이 필요하다면, 필요하기 전까지는 권한 승급(Elevated) 사용자 계정으로 로그온 하지 마라. 최상의 결과를 얻으려면, UAC 설정 사이드 바를 "항상 알림"으로 이동하라.

3단계 : 모든 소프트웨어를 업데이트

윈도우 7 기본 설정에서, 윈도우 자동 업데이트 서비스는 중요한 윈도우 운영체제와 마이크로소프트 애플리케이션 파일을 적시에 다운로드 해서 설치하도록 적절하게 구성될 것이다. 여러 연구 결과에 따르면, 마이크로소프트 소프트웨어는 세계에서 가장 많이 패치(Patch)되는 소프트웨어 중 한가지다.

하지만 윈도우에는 마이크로소프트 이외의 다른 패치를 최신으로 유지할 수 있도록 도와주는 그 어떤 것도 내장되어 있지 않다. 모든 프로그램이 확실히 패치 될 수 있도록 소프트웨어를 설치하거나 프로세스를 활성화해야 한다. 특히, 사용자의 브라우저 플러그인(Plug-in). 악의적인 해커들은 최종 사용자를 기척 없이 악용하기 위해 자주 패치 되지 않는 써드파티 프로그램으로 신속하게 움직이고 있다.

4단계 : 스팸 방지 소프트웨어 및 악성코드 제거 소프트웨어

클라이언트 시스템에 대한 가장 큰 위협은 최종 사용자를 악성 소프트웨어를 다운로드 해서 실행하도록 속이는 트로이 목마다. 가짜 아웃룩(Outlook) 패치, 가짜 안티 바이러스 스캐너, 꼭 봐야 할 브리트니 스피어스(Britney Spears) 비디오를 보기 위해 필요한 가짜 코덱(Codec) 등이 그 예다.

문법에 맞지 않거나 철자가 많지 않는 것을 기준으로 나쁜 것을 가려낼 수 있었던 호시절은 다 지나갔다. 지금은, 가장 지식이 많은 보안 전문가들까지도 속아넘어갈 수 있다. 독자 (혹은 독자가 관리하는 최종사용자)가 좋은 소프트웨어와 나쁜 소프트웨어를 완벽하게 구별해 낼 수 있을 때까지는, 최신 스팸 방지 소프트웨어와 악성코드 제거 소프트웨어를 설치해서 사용해야 한다.

5단계 : 인터넷 익스플로러 8에서 스마트스크린 필터를 활성화

최초로 IE8을 실행시키면, 시작 마법사 중 하나가 서핑 중인 웹 사이트가 이전에 합법적이거나 악의적인 사이트로 표시되었는지를 보기 위해 지역 데이터베이스나 마이크로소프트 사이트를 확인하는 스마트스크린 필터를 사용할 것인지를 묻는다.

스마트스크린은 교차 사이트 스크립팅(XSS: Cross-Site Scripting) 같은 여러 가지 사전 정의된 악성 행위도 점검한다. 스마트스크린이 활성화되면 약간의, 겨우 감지할 수 있을 정도의 지연을 유발할 수 있다. 보안 지식이 풍부한 사용자라면 이 설정을 해제시키고 싶어할 수도 있지만, 대부분의 사용자는 활성화 되어 있는지 확인하는 게 좋다. 이미 IE8을 실행하고 있다면, 안전(Safety) 메뉴에서 스마트스크린 필터를 선택하여 점검하는 것이 좋다.

6단계 : 재고 정리

시간이 흐름에 따라, 대부분의 시스템에는 결국 메모리 자원을 낭비하는 점점 더 많은 프로그램이 쌓인다. 능동적으로 시스템을 청소하지 않으면, 시스템은 더 늦어지고, 쉽게 다운되며, 악성 코드가 악용할 수 있는 추가 공격 매개체로 채워지게 된다.

불필요한 소프트웨어 재고에 맞서 싸우려면, 시스템 상에서 구동되는 소프트웨어와 서비스에 대한 주기적인 재고 조사를 해서 필요 없는 것을 삭제해야 한다. 수작업으로 시스템을 점검하거나 마이크로소프트의 무료로 다운할 수 있는 오토런스(Autoruns) 같은 소프트웨어를 사용할 수 있다.

오토런스는 시스템 상에서 실행되고 있는 모든 프로그램과 서비스 목록을 보여주고 사용자가 마우스 클릭 한번으로 필요 없는 것을 비활성화 시킬 수 있게 해준다. 필자의 조언은 모르는 것을 비활성화시키기 전에 조사부터 해서, 나중에 비활성화 시킨 것을 잊어버린 뒤에 설명할 수 없는 운영 상의 문제를 야기하지 말라는 것이다.

7단계 : 데이터를 백업

우리 모두는 오래 동안 컴퓨터를 사용해 왔으며, 이제 우리는 어떻게 해도 일은 일어나기 마련임을 알고 있다. 다년 간의 컴퓨터 품질 보증이 있어 다행이지만, 컴퓨터가 고장 났을 때 피해를 최소화 하려면, 그 무엇으로도 대신 할 수 없는 데이터를 확실하게 백업해둬야 한다.

윈도우 7에는 사용자가 "제어판 > 시스템과 보안 > 백업과 복구"에서 설정할 수 있는 믿을만한 백업 프로그램이 포함되어 있다. 아니면, 윈도우 백업에 대해 알아야 할 필요가 있는 모든 것을 배우기 위해 "백업"이란 키워드를 "도움말 및 지원"에서 검색하면 된다.

이 기사에서는 이미 안전한 윈도우 7 시스템을 더 안전하게 만들기 위해 해야 할 일을 설명했다. 사용자의 운영체제와 모든 애플리케이션이 완벽하게 패치 된 상태를 유지하고 있다면 속아서 트로이 목마 실행파일을 실행하는 일은 없을 것이다. 이 정도만 유지해도 평균 사용자보다 훨씬 더 적은 위험부담이 있다.

마지막으로 당부하고 싶은 말은 윈도우 7 기본 설정 값 (UAC, 인터넷 익스플로러의 보호 모드, 윈도우 방화벽, 등등)을 해제하는 함정에 빠지지 말라는 것이다. 많은 선의의 조언자들은 마이크로소프트만큼의 축적된 고객 지원 경험을 가지고 있지 않다. editor@idg.co.kr