윈도우 2000 DNS 보안 방법
안녕하세요. 주원아빠입니다. 이글은 DNS 서버를구성할때주의해야하는보안상의문제점을 짚어보고 그에따르는해결책을제시하고자 합니다. 이글은 경험이부족한 제가여러 자료를 수집하고 분석하여 작성한 글로 오류가 있을 수도 있습니다. 오류를 발견하시거나, DNS에대한 좋은보안 방법을알려주시면감사하겠습니다.
주의 : 이 글의 논점은 Windows 2000 Server 한글판 기준으로 되어 있습니다. 간혹 영문화면이 있을수도 있으니유념하시기바랍니다.
현재 Windows 2000 을 사용하는 부류에는 여러가지가 있습니다. 여기에서 알려드릴 DNS 서버, 메일 서버(예:EMWAC, Exchange 서버포함), FTP 서버 등이 있으며, Windows 2000의새로운 가장 중요한 기능인 액티브 디렉터리(이하AD)를 이용하여 회사에서운영하는 경우도 있을것입니다. 여기서는 AD로 승격하지않은독립실행형(standardalone) 및 멤버(member) 서버에서 DNS 서버를 구성할 때,크래커가 침입을위한 기본적인 네트워크 구성 정보파악, 문제점및해결방안등에 대해다룹니다.
또한, 최근의DoS 취약점과 더불어DNS서버의DoS에 대해서도 많은관심이이루어지고있습니다. 현재 Windows 2000에서 DNS서버의DoS 공격에 대한 해결책은 완벽하게 제시되지 않았습니다. 다만 Verisign사가이에 대한해결책을 일환으로 보조서버 서비스를 제공한다고합니다.
이 글에서는보안 즉방어가주목적이므로 어떻게공격하는지에대한글을따로 쓰지않습니다. 저한테물어보셔도소용없습니다.
1. NTFS 파티션에 Windows 2000 설치
Windows 2000을 설치하는 방법중에 FAT32(16) 또는 NTFS5에설치하는 두가지 방법이 있습니다. 하위운영체제와듀얼부팅등을 할 경우에 FAT 파일시스템으로 설치하는경우도있지만, 인터넷상에 DNS서비스를운영하기 위한서버에는반드시 NTFS로설치하여야합니다.
참고로 파일 시스템상에서 DACL을 구현합니다. 즉,사용자는 액세스하려는 자원에 대해 적절한권한을확보해야만합니다. 크래커가침입하더라도 적절한권한이없다면별로 할일도없을것입니다.
2. 최신의서비스 팩 설치
현재 Windows 2000에서 제공되는 서비스 팩은 SP1이며 Pre-SP2라고하여 임시용 여러 개의 패치로 구성된 SP2가제공됩니다. 그리고,SP2가 지금베타테스팅이라고 하니조금만 기다리시면 여러분에게 제공될것입니다.
최신의 서비스팩을 설치함으로써이전에 발견된 취약점 해결과 개선점을 포함하여운영체제를 좀더보안성있게 해줍니다. 따라서, 모든 보안 상의패치를 http://windowsupdate.microsoft.com/ 에서다운로드하여 설치하는 것이좋습니다. 그리고, www.WindowSecurity.Net에서 최신의보안 취약점에 대해 자주방문하여 확인하여 그에해당하는패치를적용하거나 대안책을적용해야합니다.
3. 최소한의서비스로운영
Windows 2000을 설치한상태에서서비스(시작->관리도구->서비스)를시작합니다. 그안에 서비스를보면 아마수십가지이상이현재 동작되고있을것입니다. 서비스는시작유형에따라 자동/수동실행방법이 있고, 현재실행이 되고있는지에대한 상태에대한 정보를제공해 줍니다. 아래그림을보면여러가지서비스가실행되고있습니다.
제가 지금 사용하는 전용선은 ADSL입니다. 따라서 DHCP Client 서비스가 필요합니다. 하지만 고정 IP를 가지고 있는경우(DNS서버는 당연하겠지요)에는 이러한 서비스가 필요없습니다. 또한, 오직 DNS 서버로만운영한다면IIS, FTP 등에대한 서비스도필요가없을것입니다.
그래서, 일단모든 서비스의 목록을 문서로 작성하고나서 필요없는 서비스를하나하나 제거해 나갑니다. 일단 알기쉬운 누가봐도 뻔한 서비스는 일단모두 중지를시켜나갑니다.한번에여러 개씩 하는것이 아니라한두개씩합니다. 그러면서시스템이DNS서버로동작하는데문제점이 발생하는 가에대해계속이벤트뷰어등을통해 확인합니다. 문제가없을때까지최대한많은 서비스를 중지시키는 것이좋습니다. 특히, NetBios부분은 보안상문제가 많은 부분으로 앞으로 많은 취약점이나올것이라예상됩니다. 이쪽 부분도 또한 주의해서 없애주시면 됩니다.
4. 최소한의사용자및관리자 계정유지 및암호관리
이 내용은 엄격히 보면 Windows 2000 에 대한 보안 방법이지만 DNS서버를 운영하는데 있어 필수적으로적용됩니다. 먼저DNS 서비스를유지 및관리하고자하는 계정만을생성하여야 합니다.필요없는 계정은 모두삭제 또는사용중지(계정잠금)을설정합니다. 관리자계정 또는 그룹에서만 적절한권한을 설정해 줍니다. 또한 암호를복잡하게 입력하도록 로컬보안 정책에서 “암호는복잡성을만족해야..”를설정하여줍니다.
5. 원격에서nslookup으로 DNS서버의데이터확인 막기
일단 DNS 서버를 구성하고제대로동작하는지확인합니다. 제대로 동작한다고 그대로 놔두어서는당연히안됩니다. Nslookup 명령어를통해 크래커는DNS서버에들어있는모든 레코드를 알아낼수있습니다. 따라서이것부터막아보겠습니다. 예를 들어, www.mcse.co.kr 사이트의내부 DNS 정보를 보도록하겠습니다. 다음그림을 천천히살펴보시면 알 수 있을겁니다.
nslookup 명령어를잘모르시는분을위해 간단히설명드리겠습니다. “set type=ns” 부분은보고자하는DNS정보가네임서버(이하 NS)라는 것을알립니다. 즉, 그다음줄에 “mcse.co.kr“을 입력했을 때에mcse.co.kr의NS 정보만을출력합니다.그리고“server ns.mcse.co.kr”을입력하여 NS의 위치를 168.126.63.1에서 “ns.mcse.co.kr”로 변경합니다. 마지막“ls –d mcse.co.kr”은 mcse.co.kr에있는 모든레코드 정보를출력하는것입니다. 이정보를이용하여 크래커는네트워크에IP가어떻게구성이 되어있는지 그중취약한것이 어느것일지 추측하는데 사용할 수 있습니다. 따라서,이정보를볼 수없도록막을 필요가있습니다.
막는 방법은다음과같습니다.
DNS서버의웹사이트의 등록정보에 보면 “영역전송”탭에서체크박스를 체크해주고 아래에영역을전송할서버를입력하여주면됩니다.
6. 역방향 조회영역
역방향 조회영역은 정방향조회 영역의반대 개념으로 IP 주소를도메인 이름으로 해석하여 줍니다. 일반적인DNS 서비스나웹서비스 등에서는역방향조회 영역이필요하지않습니다. 따라서, 여기서 말씀드리는 것은최소한의 역방향 조회레코드인 PTR을 남겨두고 모두 삭제하는 것입니다. 삭제하지 말하야할것에는 반드시 NS의레코드는 남아있어야 합니다. 없어도상관은 없지만매번 관리자가 nslookup을 통해 NS 설정을 체크할때불편함이따릅니다. NS의 레코드가없는 경우에는 nslookup을 실행했을 때 다음과같은 에러메시지가 나타납니다.
*** can’t find server name for address xxx.xxx.xxx.xxx : Non-existent /domain
그리고, PTR 레코드는스팸 메일등의릴레이를점검하는데사용할 수 있습니다. 즉, 메일이 전송되었을 때 서버에서온건지아니면 다른서버를경유하여 온건지확인하기위해 PTR 레코드를쿼리하게됩니다. 그러므로,메일 서버를 운영하는경우에는반드시 스팸방지 유틸을 사용하고, 메일교환기(MX) 레코드가연결된A 레코드를삭제하지않고남겨두어야합니다.
출처: NTFAQ
|
|
