귀하의 환경에는 Windows 7이 설치되어 있지 않죠?

오늘 드디어 마이크로소프트 윈도우 7이 공식적으로 지원 종료(EOL)되는 날입니다. 윈도우 7 운영체제는 2009년 10월 22일에 출시되었습니다. 지난 10년 동안 전 세계 IT 및 시스템 관리자들은 믿음직스러운 윈도우 7 OS를 사용해 왔습니다. 윈도우 XP보다는 확실히 발전된 운영체제였죠. 이제 윈도우 7 지원 종료를 앞두고, 여러분은 모든 시스템을 윈도우 10으로 마이그레이션하셨나요?

아직 마이그레이션을 하지 않으셨다면, 반드시 하셔야 합니다. 보안 측면에서 마이그레이션을 해야 하는 몇 가지 이유를 알려드리겠습니다.

프로세스 생성 완화 치트시트

• 프로세스 생성 완화
  • Windows 10에서는 특정 프로세스에 대해 프로세스 생성 완화 기능을 지정할 수 있습니다. 즉, 프로세스별로 DEP(데이터 실행 방지), SEHOP(구조화된 예외 처리기 덮어쓰기 방지) 및 ASLR(주소 공간 레이아웃 무작위화)을 설정할 수 있습니다. 이는 보안 측면에서 매우 큰 이점입니다.
• 자격증명 경비원
  • Credential Guard는 가상화를 사용하여 NTLM 해시 및 Kerberos 티켓 발급 티켓과 같은 비밀 정보를 격리하여 권한이 있는 소프트웨어만 접근할 수 있도록 합니다.
• SMB 강화
  • Windows 10은 Active Directory에 연결할 때 SYSVOL 및 NETLOGON 공유에 대한 SMB 강화 기능을 제공하여 중간자 공격을 완화하는 데 도움을 줍니다.
• 제어 흐름 가드
  • 윈도우 시스템에서 실행될 소프트웨어를 개발할 때, 개발자는 컴파일 시 CFG(코드 흐름 변경)를 활성화할 수 있습니다. CFG는 공격자가 코드 흐름을 변경하려는 시도를 감지하는 데 사용됩니다. 공격 시도가 감지되면 애플리케이션이 종료됩니다.
• 힙 보호
  • Windows 10은 힙 메모리에 대한 보안을 강화했습니다. 힙은 운영 체제에서 할당하고 사용하는 메모리 영역입니다. Windows 10에서는 힙 메모리의 무작위화 기능이 도입되었습니다. 또한, Windows 10은 버퍼 오버플로우 공격으로부터 보호하는 힙 가드 페이지 기능을 도입했습니다.

이전 IT 및 시스템 관리자로서 이러한 시스템 관리, 특히 GOLD 이미지 배포는 처음에는 어려웠습니다. 하지만 Microsoft Deployment Toolkit 2012를 사용하면서 상황이 달라졌습니다.

출시 당시 마이크로소프트는 각 구성 요소의 작동 방식을 설명하는 700페이지가 넘는 문서를 제공했지만, 실제로 사용 방법을 알려주는 가이드는 제공하지 않았습니다. 그래서 저는 직접 부딪쳐 방법을 알아냈습니다. 그 결과, 저는 일련의 글을 쓰게 되었습니다. 블로그 게시물 MDT 2012를 사용하여 Windows를 배포하는 것에 대해 말씀드리자면, 이제 Microsoft에서 강력한 도구를 제공하므로 훨씬 쉬워졌습니다. 선적 서류 비치 MDT를 사용하여 Windows 운영 체제를 배포하는 방법에 대한 내용입니다. 또한 Microsoft는 GOLD 이미지를 배포하는 과정을 훨씬 더 간편하게 만들었습니다. SCCM.

Windows 10은 또한 다음과 관련하여 더 많은 구성 및 보안 강화 옵션을 제공합니다. 그룹 정책 객체 이러한 설정은 보안 및 IT 관리자가 이전 운영 체제보다 시스템을 더 쉽게 보호하고 관리할 수 있도록 도와줍니다. 또한 여러 가지 다른 기능도 있습니다. 윈도우 업데이트 스트림은 시스템 전반의 업데이트를 용이하게 할 수도 있고, 환경 설정에 따라 더 복잡하게 만들 수도 있습니다.

시스템을 윈도우 10으로 업그레이드하지 않으셨다면, 이미 조금 늦으신 겁니다. 오늘부로 윈도우 7 시스템은 더 이상 마이크로소프트로부터 보안 업데이트를 받지 못하게 됩니다. 즉, 마이크로소프트가 심각하다고 판단하지 않는 한 실제 환경에서 발견되는 모든 취약점은 패치되지 않습니다.

만약 모든 Windows 7 시스템을 제거할 수 없다면, 각 시스템을 별도의 네트워크로 분리하여 시스템 간 통신을 최소화하는 것이 좋습니다. 또한, 특히 PowerShell 및 프로세스 생성/실행 등에 대한 로깅을 추가하는 것이 좋습니다(이미 로깅을 하고 계시겠죠?).