[윈도우/서비스 관리] 터미널 서비스 암호화 수준 설정 (W-58)

터미널 서비스 암호화 수준 설정

 

취약점 개요

■ 위험도
- 중

■ 점검 목적
- 터미널 서비스 암호화 설정으로 데이터를 암호화하여 클라이언트와 서버 간의 통신에서 전송되는 데이터를 보호하기 위함

■ 보안 위협
- 서버 접속 시에 낮은 암호화 수준을 적용할 경우 악의적인 사용자에 의해 서버와 클라이언트 간 주고받는 정보가 노출될 우려가 있음

점검 및 조치 방법

■ 판단 기준
- 양호 : 터미널 서비스를 사용하지 않거나 사용 시 암호화 수준을 “클라이언트와 호환 가능(중간)” 이상으로 설정한 경우
- 취약 : 터미널 서비스를 사용하고 암호화 수준이 “낮음” 으로 설정한 경우

■ 조치 방법
- 터미널 서비스의 가동을 ‘중지’ 및 ‘사용 안 함’ 설정을 하거나, 부득이 사용할 경우 암호화 수준 설정 적용

■ 점검 및 조치 사례
Windows NT
Step 1) 시작> 실행> regedit
Step 2) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\MinEncryptionLevel 값을 2(중간) 이상으로 설정

Windows 2000
Step 1) 시작> 실행> TSCC.MSC> “해당 서비스” 선택> 속성
Step 2) 암호화 수준 → 중간(Windows 2000) 이상으로 설정

Windows 2003
Step 1) Windows 2003: 시작> 실행> TSCC.MSC> “해당 서비스” 선택> 속성
Step 2) [일반] 탭에서 암호화 수준 설정 → 클라이언트 호환 가능

 

Windows 2008, 2012, 2016, 2019
Step 1) 시작> 실행> GPEDIT.MSC(로컬 그룹 정책 편집기)
Step 2) 컴퓨터 구성> 관리 템플릿> Windows 구성 요소> 터미널 서비스> 원격 데스크톱 세션 호스트> 보안

Step 3) [클라이언트 연결 암호화 수준 설정]> [암호화 수준]을 클라이언트 호환 가능으로 설정

※ 터미널 서비스가 필요한 경우 추가 보완 대책
1. 관리자 이외의 일반 사용자의 터미널 서비스 접속을 허용하지 않음
2. 방화벽에서 터미널 서비스 포트(3389)의 사용을 관리자 컴퓨터의 IP로 제한

■ 스크립트

echo. W-58 START
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo [ W-58 "터미널 서비스 암호화 수준 설정" ]                                                            >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
net start | find /I "Remote Desktop Services"                                                   >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt 2>&1
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" | find /I "MinEncryptionLevel"     >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt 2>&1
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo W-58 END                                                                                   >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo ======================================================================================     >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt
echo.                                                                                           >>	[RESULT]_%COMPUTERNAME%_WINSVR.txt

■ 용어 설명 / 팁
※ 기반시설 시스템은 터미널 서비스의 사용을 원칙적으로 금지하나, 부득이 해당 서비스를 사용해야 하는 경우 클라이언트 서버 간의 데이터 전송 시 암호화하여 보호해야 함