정보보안기사 실기 재도전 03 — 윈도우 보안 (인증 구조·net 명령·공유 폴더·NetBIOS·감사 정책·로그)

정보보안기사 실기 재도전 03 — 윈도우 보안 (인증 구조·net 명령·공유 폴더·NetBIOS·감사 정책·로그)

출제기준 주요항목 1. 시스템·네트워크 보안특성 파악 (1-1 운영체제별) / 2. 취약점 점검·보완 (2-1 운영체제, 2-4 점검이력)
단답은 net 명령어·감사 정책·로그 경로, 서술은 NetBIOS 바인딩(ncpa.cpl)이 반복 출제됩니다.

---

이번 편 출제 맵 ⭐⭐⭐

주제	출제 회차 (예시)	유형
NetBIOS 바인딩 취약 이유·설정(ncpa.cpl)	23회 15번, 28회 14번	서술
net share / use / user / session	30회 3·6번	단답
감사 정책 3종	32회 9번	단답
IIS·DHCP 로그 경로	31회 5번	단답
Tripwire(무결성)·Nessus	31회 4번	단답
NTFS 특징	29회 2번	단답
이벤트 로그 보관 용량 계산	29회 18번	실무
UAC 팝업 해석	26회 13번	서술
BitLocker	11회 1번	단답

 

(회차는 기출 파일에서 확인한 예시이며 전수 목록은 아닙니다. 윈도우는 리눅스보다 문항 수는 적지만, NetBIOS 서술이 23회·28회에 두 번 나왔다는 점이 중요합니다. 서술 한 문제가 12점이에요.)

---

1. 윈도우 인증 구조 ⭐⭐

Winlogon → GINA(msgina.dll, 계정·암호 수집)
        → LSA(lsass.exe, 계정 검증·감사 기록)
        → SAM(계정 해시 저장) / SRM(SID 부여, 접근 권한 검사)

항목	내용
SID 규칙	500 = Administrator, 501 = Guest, 1000 이상 = 일반 사용자
인증 방식	LM(취약) → NTLM → NTLMv2 → Kerberos(도메인)
주요 프로세스	wininit.exe(시작), services.exe(서비스 관리), lsass.exe(인증·감사), svchost.exe(서비스 호스트)

단답 키워드: 계정 해시 저장 = SAM / 인증·감사 = LSA / SID 부여·권한 검사 = SRM / 관리자 SID 끝자리 = 500

---

2. net 명령어 · 공유 폴더 ⭐⭐⭐

명령	용도
net share	내 컴퓨터의 공유 목록 확인, 공유 생성·삭제 (net share C$ /delete)
net use	원격 공유에 연결(드라이브 매핑) net use z: \\IP\share
net user	로컬 계정 목록·정보·생성·삭제
net session	내 컴퓨터에 접속 중인 세션 확인, 종료 net session \\컴퓨터 /delete
net view	네트워크의 공유 컴퓨터 목록
net start / net stop	서비스 시작·중지
net accounts	패스워드·잠금 정책 확인·설정

⚠️ 방향 구분: share = 내 것을 확인 / use = 남의 것에 연결 / session = 나에게 접속한 상대 확인
⚠️ 세션 종료 옵션은 /delete (또는 /d). 30회 3번 정답: /delete (또는 /d)

 

기본 공유(관리 공유)

• C$, ADMIN$(Windows 폴더), IPC$ → 불필요하면 제거
• 재부팅해도 다시 생기지 않게 하려면 레지스트리 HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters의 AutoShareServer = 0
  (서버 기준, 실무 참고)

공유 폴더 개선 4가지

① 기본 공유 제거
② Everyone 권한 제거
③ 필요한 계정에만 읽기·변경 권한 부여
④ 공유 접근 비밀번호 설정

---

3. NetBIOS 바인딩 (서술 단골) ⭐⭐⭐

NetBIOS는 UDP 137·138, TCP 139, SMB는 TCP 445를 사용합니다.

 

취약한 이유 3가지 (28회 해설 기준)

① 인증 없는 정보 노출 (Null Session)
   → 외부에서 계정 목록·공유 폴더·도메인 정보·도메인 SID 식별 가능
② 브로드캐스트 기반 스푸핑 (NBT-NS Spoofing)
   → 가짜 응답으로 NTLM/NTLMv2 해시 탈취 (Responder 같은 도구)
③ 공유 자원 무단 접근 및 악성코드 전파
   → SMB/NetBIOS 취약점으로 원격 코드 실행(RCE), 웜·랜섬웨어 전파 매개체

 

설정 방법 (ncpa.cpl)

1. Win + R → ncpa.cpl
2. 사용 중인 어댑터 우클릭 → 속성
3. 인터넷 프로토콜 버전 4 (TCP/IPv4) → 속성
4. [일반] 탭 → 고급
5. WINS 탭 → NetBIOS 설정 → "NetBIOS over TCP/IP 사용 안 함"
6. 확인으로 적용

⚠️ 경로를 순서대로 써야 부분 점수가 갈립니다: ncpa.cpl → 어댑터 속성 → TCP/IPv4 → 고급 → WINS 탭 → 사용 안 함
⚠️ 설정 위치는 "WINS 탭"입니다. DNS 탭이나 IP 설정 탭이 아닙니다.

---

4. 감사 정책 · 이벤트 로그 ⭐⭐⭐

로컬 보안 정책(secpol.msc) → 감사 정책

감사 항목	기록 대상
계정 관리 감사	계정 생성·변경·삭제, 암호 변경, 권한(그룹) 변경 등 관리 작업
계정 로그온 이벤트 감사	사용자 계정 로그온 인증 성공·실패
로그온 이벤트 감사	로컬/네트워크 로그온·로그오프
권한 사용 감사	관리자·특수 권한(Privilege) 사용
개체 액세스 감사	파일·폴더·레지스트리 접근
정책 변경 감사	감사 정책·사용자 권한 할당 변경
프로세스 추적	프로세스 생성·종료

32회 9번:
(1) 계정 변경·암호 변경·권한 변경 기록 → 계정 관리 감사
(2) 로그온 인증 성공/실패 기록        → 계정 로그온 이벤트 감사
(3) 관리자·특수 권한 사용 기록        → 권한 사용 감사

 

이벤트 뷰어와 서비스 로그 경로

• 이벤트 뷰어(eventvwr.msc): 응용 프로그램 / 보안 / 시스템 로그
• 보안 업데이트(패치) 설치 기록은 시스템 로그

서비스	경로
IIS 웹	%SystemRoot%\system32\LogFiles\W3SVC1\
IIS FTP	%SystemRoot%\system32\LogFiles\MSFTPSVC1\
IIS http.sys 오류	%SystemRoot%\system32\LogFiles\HTTPERR\
DHCP	%SystemRoot%\system32\dhcp
DNS	%SystemRoot%\system32\dns

31회 5번 정답: (1) HTTPERR  (2) dhcp
⚠️ "계정 로그온 이벤트"와 "로그온 이벤트"는 다른 항목입니다.
   계정 로그온 = 자격증명 검증(인증) / 로그온 = 로그온·로그오프 행위

---

5. 레지스트리 · 파일시스템 · 디스크 암호화 ⭐⭐

레지스트리

• OS·응용 프로그램 설정을 저장하는 계층형 데이터베이스 (Key · Value · Data Type · Data)

루트 키	내용
HKCR	확장자·연결 프로그램
HKCU	현재 사용자
HKLM	하드웨어·소프트웨어
HKU	모든 사용자
HKCC	현재 하드웨어 프로파일

• 자동 실행 위치(악성코드 지속성): HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• 최근 실행 명령: ...\Explorer\RunMRU

 

파일시스템

구분	특징
FAT16	파티션 2GB
FAT32	파일 크기 4GB 제한
NTFS	ACL, 저널링, EFS 암호화, 압축, 대용량, MFT 메타데이터

29회 2번: "FAT32의 4GB 제한 극복, 저널링, EFS 암호화, 메타데이터·접근권한 지원" → NTFS

 

디스크 암호화

BitLocker = 볼륨 전체 암호화 + TPM 연동 (AES)
EFS       = NTFS 파일·폴더 단위 암호화

---

6. 취약점 점검 도구 · 점검이력 ⭐⭐

점검 도구 (31회 4번)

Tripwire = 무결성 점검 도구
Nessus   = 취약점 진단 도구 (미국 Tenable 사)

 

2-4 점검이력과 보완내용 관리 (출제기준)

기출에서 이 항목이 독립 문항으로 출제된 사례는 많지 않지만, 출제기준에는 있는 항목이라 실무 문항(설정 점검 후 조치 보고)의 바탕이 됩니다. 점검 결과를 남길 때는 이렇게 정리합니다.

항목	기록할 내용
점검 대상	시스템명, IP, OS, 점검일
점검 항목	계정·패스워드 정책, 공유, 감사, 서비스 등
결과	양호 / 취약 + 근거
조치	조치 내용, 담당자, 조치 일자
재점검	재점검 일자와 결과

 

📌 2027년 개편: 실기 2-4에 점검이력 기반 반복 취약점·미조치 항목 추이 분석과 개선 계획이 신설됩니다.

이력을 쌓아 두는 이유가 바로 이것이에요.

---

7. 윈도우 보안 설정 서술 답안 구조 ⭐⭐⭐

NetBIOS 바인딩 (23회·28회 유형)

정의: 윈도우의 이름 해석·공유 서비스(UDP 137/138, TCP 139)
위험: Null Session 정보 노출, NBT-NS 스푸핑으로 해시 탈취, SMB 악용 웜·랜섬웨어 전파
조치: ncpa.cpl → 어댑터 속성 → IPv4 속성 → 고급 → WINS 탭 → NetBIOS over TCP/IP 사용 안 함
      (추가) 불필요 공유 제거, 방화벽에서 137~139·445 차단

 

공유 폴더 보안 (개선 4가지)

기본 공유 제거 → Everyone 제거 → 필요 계정만 최소 권한 → 접근 비밀번호 설정

 

UAC 팝업 (26회 13번)

(1) 실행 의도: 관리자 권한으로 명령 프롬프트 실행 (시스템 설정 변경 등 높은 권한 작업)
(2) [예] 비활성화 이유: 현재 로그인 계정이 일반(표준) 사용자 계정이라 권한을 승인해 줄
    관리자 계정이 없거나 연결할 수 없는 상태 (해설 기준)

---

⚠️ 함정 모음

⚠️ net share(내 공유) ≠ net use(원격 연결) ≠ net session(접속자)
⚠️ 감사 정책: 계정 관리 / 계정 로그온 이벤트 / 권한 사용 — 설명의 앞 단어 그대로
⚠️ IIS http.sys 오류 로그 폴더는 HTTPERR, DHCP 로그는 dhcp
⚠️ SID 500 = Administrator, 501 = Guest, 1000 이상 = 일반 사용자
⚠️ NetBIOS 설정 위치는 [고급] → [WINS] 탭
⚠️ BitLocker = 볼륨 전체 / EFS = 파일 단위

---

기출 Q&A

Q. (30회 3번) 개인정보취급자가 본인 PC에 다른 세션이 연결된 것을 확인하고 종료하려 한다.

net session \\ComputerName ( )의 괄호는?

A. /delete (또는 /d)

 

Q. (29회 18번) 이벤트 로그 1건이 500바이트, 하루 1,000건 발생한다. 30일 보관 시 로그 용량은?

A. 500 × 1,000 × 30 = 15,000,000 바이트 (10진수 기준 15 MB, 2진수 기준 약 14.31 MiB)

 

Q. (31회 4번) Tripwire가 점검하는 것과, Tenable사가 개발한 무료 취약점 진단 도구는?

A. (1) 무결성 (2) Nessus

---

💡 실무에서는?

20년 인프라/보안 SI 경험에서 윈도우 서버 점검은 KISA 윈도우 서버 취약점 점검 가이드 항목을 하나씩 확인하는 일이에요.

Administrator 계정 이름 변경, Guest 비활성화, 패스워드·계정 잠금 정책, 불필요한 공유 제거, 감사 정책 설정이 단골입니다.

항목 번호와 기준값은 가이드 개정에 따라 달라지니 점검 시점의 최신 가이드를 확인하세요.

감사 정책은 켜 놓기만 하면 로그가 쌓이기만 하므로, 보안 이벤트 로그는 별도 로그 서버(SIEM)로 수집하고 용량을 29회 18번 계산처럼 미리 산정해 두는 것이 기본입니다.

---

핵심 정리

✅ 인증 구조: Winlogon → GINA → LSA(lsass.exe) → SAM / SRM, SID 500 = Administrator
✅ net share(내 공유) / net use(원격 연결) / net session(접속자, /delete로 종료) / net user(계정)
✅ 기본 공유: C$ · ADMIN$ · IPC$ → 제거
✅ NetBIOS 취약 3가지: Null Session, NBT-NS 스푸핑, SMB 악용 전파
✅ 설정: ncpa.cpl → 어댑터 속성 → IPv4 → 고급 → WINS → 사용 안 함
✅ 감사 정책: 계정 관리 / 계정 로그온 이벤트 / 권한 사용
✅ 로그 경로: W3SVC1 · MSFTPSVC1 · HTTPERR · dhcp
✅ NTFS(ACL·저널링·EFS), BitLocker(볼륨+TPM), Tripwire(무결성), Nessus

 

📌 참고: 2027년 출제기준 개편에서 실기 1-1에 클라우드·가상화 환경의 운영체제 특성이, 2-4에 점검이력 추이 분석이 추가됩니다. 이번 11/14 시험은 현행 기준이에요.

 

다음 편에서는 프로토콜 ① 계층·PDU 헤더, IP·ARP·ICMP·라우팅으로 이어갑니다!

 

궁금한 점은 댓글로 남겨주세요!