|
part0. 프롤로그
최근들어 인터넷과 네트워크 환경에 있어 가장 큰 변화는 클라이언트와 서버의 개념적 경계선이 점차 허물어져가고 피어투피어 환경으로 옮겨가고 있다는 것이다. 다시 말해 서비스를 제공하는 서버와 서비스를 제공받는 클라이언트의 역할분담이 사라져 어떤 PC든 서버가 되기도 하고 동시에 클라이언트가 될 수 있다는 것이다. 이러한 변화는 PC의 하드웨어적인 성능향상과 더불어 네트워크 속도향상이 있었기에 가능한 일이다.
이러한 전통적인 C/S 컴퓨팅 환경의 변화는 보안개념에도 큰 변화를 요구했다. 과거 보안관리의 주요대상은 소수의 서버에 한정되어 있어 이를 관리하는 관리자에게만 관심의 대상이었던 것이다. 하지만 현재는 보안공격의 대상이 대다수의 일반 PC로 확장되어 PC 사용자라면 누구도 보안,해킹을 비롯한 기타 여러가지 불법적인 침입에서 안전할 수 없게 되었으므로 일반 사용자의 보안의식의 재고가 필요한 시점이라고 볼 수 있다.
마이크로소프트는 그동안 고질적인 문제로 드러났던 Windows의 보안문제 해결을 개발 최우선 순위로 정하고 부단한 노력을 기울였고 그 노력의 결정체를 현재 주력 클라이언트 운영체제인 Windows XP의 서비스팩2에 적용하게 되었다.
이번에 발표되는 Windows 서비스팩2는 지금까지와의 서비스팩과는 달리 단순한 패치 모음 패키지를 넘어서 신기술로 단단히 무장한 채 우리에게 다가왔다. 지금부터 함께 살펴보기로 하자.
======================================================================
part1. 설치과정
서비스팩2의 설치과정은 이전 업데이트 설치방식과 같아 복잡하지 않고 설치 마법사를 통해 누구나 쉬운 설치가 가능하다.
설치시간은 대략 30분~1시간 소요
설치시간은 시스템의 성능과 설치된 프로그램에 따라 차이가 있으나 일반적인 시스템에서는 30분에서 1시간 정도 소요될 것이 예상되며 MS에서는 공식적으로 설치시간을 2시간으로 표기하고 있다.
설치시 주의할 점
설치시 주의할 점은 실행중인 모든 프로그램을 닫고 서비스팩2 설치를 진행하는 것이 바람직하다는 것이다. 이후과정은 설치 마법사의 설명에 따라 차근차근 진행하면 큰 무리없이 설치가 된다. 설치 이후에는 시스템을 다시 시작해야 변경된 내용이 적용된다.
두가지 설치 패키지 제공
서비스팩2는 빠른 설치, 네트워크 설치 두가지 버전으로 존재한다.
빠른 설치의 경우 사용자 PC에 현재 설치된 업데이트를 기준으로 설치에 필요한 파일만 다운받아 설치를 진행하는 방식이고, 네트워크 설치의 경우 설치에 필요한 모든 업데이트를 하나의 패키지로 묶어 배포하므로 일단 다운로드를 받으면 추가 다운로드 과정없이 설치가 가능하다는 차이점이 있다.
설치 마법사의 제공
설치 마법사는 사용자가 안전하고 쉽게 서비스팩을 설치할 수 있도록 도와준다. 서비스팩 설치시에는 현재 실행중인 모든 프로그램을 모두 닫고 진행하는 것이 바람직하다.
설치 이전상태로 돌리려면 백업기능 사용할 것
서비스팩은 시스템의 주요파일을 새로운 버전을 변경하므로 설치로 인해 프로그램 충돌이나 기타 문제가 발생할 수 있다. 이런 경우 서비스팩 설치 이전상태로 되돌릴 수 있도록 백업옵션을 두고 있다.
설치 완료되면 재부팅 해야
서비스팩을 설치한 이후에는 시스템을 다시 시작해야 변경된 내용이 적용된다. 시스템 다시 시작 이후 그림과 같이 자동 업데이트 설정화면이 나타난다. 자동 업데이트를 사용하는 것이 권장된다.
=====================================================================
part2. 새롭게 강화된 보안기능
Windows XP SP2에서 가장 눈에 띄는 성능개선이라 할 수 있는 Windows 방화벽(Firewall)은 SP2 이전의 인터넷 연결 방화벽(Internet Connection Firewall, ICF) 기능에서 대폭 향상되어 등장했다.
방화벽이란 사용자가 허용하지 않은 네트워크를 통한 불법적인 접근을 막는 프로그램을 말한다. 방화벽은 불과 몇 년 전까지만 해도 보안이 필요한 회사내의 서버나 주요 PC에 별도의 서드파티 프로그램을 설치하여 이용하는 것이 일반적이었다.
하지만 대부분의 PC가 인터넷과 네트워크에 연결되는 것이 일반화되어 거의 모든 PC가 해킹의 대상이 될 수 있어 개인 PC 역시 방화벽의 필요성이 대두되었다.
Windows 방화벽은 허용된 프로그램에 한해서만 네트워크를 통해 접근이 가능하도록 해주므로 불법적으로 접근하는 외부의 침입을 방지하는데 큰 도움이 된다.
SP2 이전 인터넷 연결 방화벽의 단점
Windows 방화벽의 전신인 ICF는 일반 사용자가 이용하기에는 불편함이 있었고 애플리케이션 단위의 방화벽 제외기능도 없어 이용도가 낮았다.
또한 이 기능을 사용할 경우 컴퓨터 외부로부터 들어오는 모든 RPC 커뮤니케이션을 차단하였기 때문에 파일 및 프린트 공유, 원격관리 및 기타 유용한 서비스들을 이용하기 어렵게 되어 많은 사용자들은 이 기능을 사용하지 않게 되었다.
Windows 방화벽은 ICF의 기능과 인터페이스를 개선하여 사용자가 쉽게 방화벽 기능을 사용할 수 있도록 하였다.
Windows 방화벽 실행방법
방화벽 설정 화면에 접근하는 방법은 크게 두가지가 있는데 아래와 같이 접근이 가능하다.
1. [시작] - [제어판] - [Windows 방화벽]
2. [보안센터] - [Windows 방화벽]
방화벽 설정 화면은 매우 심플하며 사용과 사용 안 함 중 선택할 수 있다. 방화벽을 사용하지 않을 경우 외부로부터의 연결에 대해 허용하게 되며 사용할 경우에는 예외리스트에 등록된 프로그램을 제외한 나머지 외부로부터의 연결을 허용하지 않는다. 서비스팩2 설치와 함께 기본값으로 설정이 된다.
단, 호텔, 공항, 카페와 같이 안전하지 않은 공용 무선 네트워크 장소의 경우 ‘예외 허용 안 함’ 체크를 통해 예외리스트에 포함된 프로그램 역시 연결되지 않도록 옵션을 두었다.
부팅 시간 정책의 도입
서비스팩2에서 방화벽에 도입된 부팅 시간 정책은 Windows 부팅과 맞물려 방화벽을 최대한 빨리 로드하고 종료에 가장 가까운 시점에 언로드시킴으로써 시스템이 공격받을 수 있는 시간을 최소화 시켰다.
Windows 보안 경고를 통해 사용자에게 알림
방화벽 예외리스트에 등록되지 않은 프로그램이나 서비스가 외부로부터의 연결을 시도할 경우 방화벽은 이를 감지하고 사용자에게 연결을 허용할 것인지를 물어온다. [차단 해제]를 선택하기 전까지 프로그램은 계속 차단된다.
방화벽 사용시 예외 설정해야만 외부연결 가능
방화벽을 사용할 경우에 예외리스트에 등록된 프로그램 또는 서비스에 한해서만 외부로부터의 연결이 가능하다. 리스트 좌측의 체크옵션은 예외로 설정되었음을 의미하며 필자의 경우 집에서 회사PC로 연결에 필요한 [원격 데스크톱], PDA 싱크 프로그램인 [ActiveSync Application], FTP 접속 프로그램 [CuteFTP]등이 체크되어 있는 것을 확인할 수 있다. 이 리스트는 개인적으로 사용하는 프로그램에 따라 다르다.
예외 목록 프로그램 추가 방법
예외 설정 목록 이외의 프로그램을 추가로 등록하기를 원할 경우 [프로그램 추가] 버튼을 클릭하면 현재 Windows에 설치된 프로그램 리스트가 나타난다. 이 리스트에서 추가할 프로그램을 선택할 수 있으며 리스트에 없을 경우 [찾아보기]를 통해 직접 경로를 지정하여 프로그램을 선택할 수 있다.
예외 프로그램 포트 설정도 가능
포트는 프로그램이 외부와 통신하는 연결 통로라 할 수 있다. 프로그램별로 포트를 열거나 닫을 수 있다. 방화벽에 대한 예외를 활성화시킬 때마다, 모든 컴퓨터 또는 내 서브넷만으로 예외로 설정할 수 있다. 모든 컴퓨터로 설정할 경우 모든 사람이 어디서나 인터넷을 통해서 포트 프로그램 및 서비스를 이용할 수 있다는 것을 의미하며 내 서브넷만으로의 경우에는 로컬 서브넷에서만 포트, 프로그램 또는 서비스를 이용할 수 있음을 의미한다.
네트워크별 설정은 고급설정에서 가능
고급 설정에서는 개별 네트워크 인터페이스에 대해 방화벽 예외설정이 가능하다. 보안 로깅 기능으로 차단된 패킷과 성공한 연결에 대한 패킷 로그를 남길 수 있다. 네트워크상의 컴퓨터들 사이에 오류 및 상태 정보를 공유할 수 있는 ICMP 등을 설정할 수 있다. ICMP에서는 [수신 에코 요청(‘Ping’에 대한 응답요청)]등을 허용할 것인지를 설정할 수 있다. 이를 막을 경우 Ping에 대한 응답을 요청한 상대방에게 내 PC을 노출시키지 않는데 도움이 된다.
Windows 방화벽
Windows XP SP2에서 가장 눈에 띄는 성능개선이라 할 수 있는 Windows 방화벽(Firewall)은 SP2 이전의 인터넷 연결 방화벽(Internet Connection Firewall, ICF) 기능에서 대폭 향상되어 등장했다.
방화벽이란 사용자가 허용하지 않은 네트워크를 통한 불법적인 접근을 막는 프로그램을 말한다. 방화벽은 불과 몇 년 전까지만 해도 보안이 필요한 회사내의 서버나 주요 PC에 별도의 서드파티 프로그램을 설치하여 이용하는 것이 일반적이었다.
하지만 대부분의 PC가 인터넷과 네트워크에 연결되는 것이 일반화되어 거의 모든 PC가 해킹의 대상이 될 수 있어 개인 PC 역시 방화벽의 필요성이 대두되었다.
Windows 방화벽은 허용된 프로그램에 한해서만 네트워크를 통해 접근이 가능하도록 해주므로 불법적으로 접근하는 외부의 침입을 방지하는데 큰 도움이 된다.
SP2 이전 인터넷 연결 방화벽의 단점
Windows 방화벽의 전신인 ICF는 일반 사용자가 이용하기에는 불편함이 있었고 애플리케이션 단위의 방화벽 제외기능도 없어 이용도가 낮았다.
또한 이 기능을 사용할 경우 컴퓨터 외부로부터 들어오는 모든 RPC 커뮤니케이션을 차단하였기 때문에 파일 및 프린트 공유, 원격관리 및 기타 유용한 서비스들을 이용하기 어렵게 되어 많은 사용자들은 이 기능을 사용하지 않게 되었다.
Windows 방화벽은 ICF의 기능과 인터페이스를 개선하여 사용자가 쉽게 방화벽 기능을 사용할 수 있도록 하였다.
Windows 방화벽 실행방법
방화벽 설정 화면에 접근하는 방법은 크게 두가지가 있는데 아래와 같이 접근이 가능하다.
1. [시작] - [제어판] - [Windows 방화벽]
2. [보안센터] - [Windows 방화벽]
방화벽 설정 화면은 매우 심플하며 사용과 사용 안 함 중 선택할 수 있다. 방화벽을 사용하지 않을 경우 외부로부터의 연결에 대해 허용하게 되며 사용할 경우에는 예외리스트에 등록된 프로그램을 제외한 나머지 외부로부터의 연결을 허용하지 않는다. 서비스팩2 설치와 함께 기본값으로 설정이 된다.
단, 호텔, 공항, 카페와 같이 안전하지 않은 공용 무선 네트워크 장소의 경우 ‘예외 허용 안 함’ 체크를 통해 예외리스트에 포함된 프로그램 역시 연결되지 않도록 옵션을 두었다.
부팅 시간 정책의 도입
서비스팩2에서 방화벽에 도입된 부팅 시간 정책은 Windows 부팅과 맞물려 방화벽을 최대한 빨리 로드하고 종료에 가장 가까운 시점에 언로드시킴으로써 시스템이 공격받을 수 있는 시간을 최소화 시켰다.
Windows 보안 경고를 통해 사용자에게 알림
방화벽 예외리스트에 등록되지 않은 프로그램이나 서비스가 외부로부터의 연결을 시도할 경우 방화벽은 이를 감지하고 사용자에게 연결을 허용할 것인지를 물어온다. [차단 해제]를 선택하기 전까지 프로그램은 계속 차단된다.
방화벽 사용시 예외 설정해야만 외부연결 가능
방화벽을 사용할 경우에 예외리스트에 등록된 프로그램 또는 서비스에 한해서만 외부로부터의 연결이 가능하다. 리스트 좌측의 체크옵션은 예외로 설정되었음을 의미하며 필자의 경우 집에서 회사PC로 연결에 필요한 [원격 데스크톱], PDA 싱크 프로그램인 [ActiveSync Application], FTP 접속 프로그램 [CuteFTP]등이 체크되어 있는 것을 확인할 수 있다. 이 리스트는 개인적으로 사용하는 프로그램에 따라 다르다.
예외 목록 프로그램 추가 방법
예외 설정 목록 이외의 프로그램을 추가로 등록하기를 원할 경우 [프로그램 추가] 버튼을 클릭하면 현재 Windows에 설치된 프로그램 리스트가 나타난다. 이 리스트에서 추가할 프로그램을 선택할 수 있으며 리스트에 없을 경우 [찾아보기]를 통해 직접 경로를 지정하여 프로그램을 선택할 수 있다.
예외 프로그램 포트 설정도 가능
포트는 프로그램이 외부와 통신하는 연결 통로라 할 수 있다. 프로그램별로 포트를 열거나 닫을 수 있다. 방화벽에 대한 예외를 활성화시킬 때마다, 모든 컴퓨터 또는 내 서브넷만으로 예외로 설정할 수 있다. 모든 컴퓨터로 설정할 경우 모든 사람이 어디서나 인터넷을 통해서 포트 프로그램 및 서비스를 이용할 수 있다는 것을 의미하며 내 서브넷만으로의 경우에는 로컬 서브넷에서만 포트, 프로그램 또는 서비스를 이용할 수 있음을 의미한다.
네트워크별 설정은 고급설정에서 가능
고급 설정에서는 개별 네트워크 인터페이스에 대해 방화벽 예외설정이 가능하다. 보안 로깅 기능으로 차단된 패킷과 성공한 연결에 대한 패킷 로그를 남길 수 있다. 네트워크상의 컴퓨터들 사이에 오류 및 상태 정보를 공유할 수 있는 ICMP 등을 설정할 수 있다. ICMP에서는 [수신 에코 요청(‘Ping’에 대한 응답요청)]등을 허용할 것인지를 설정할 수 있다. 이를 막을 경우 Ping에 대한 응답을 요청한 상대방에게 내 PC을 노출시키지 않는데 도움이 된다.
Windows 방화벽의 전신, 인터넷 연결 방화벽
새로운 Windows 방화벽
방화벽의 보안경고
방화벽의 예외설정
프로그램 추가도 가능하다
프로그램별 포트 추가 화면
방화벽의 고급설정
+ Internet Explorer의 팝업 차단
팝업창(Pop-Up Window)은 주로 인터넷 사이트에서 광고나 주요 공지사항을 알릴 목적으로 띄우는 작은 창을 말한다.
사이트의 광고기법으로 가장 널리 사용되고 있기 때문에 인터넷 사용자라면 하루에 몇 번씩 만나게 되는 팝업 광고는 새로 뜬 창을 매번 닫아주어야 하는 불편을 준다.
이러한 팝업광고를 막기 위해 별도의 서드파티 프로그램을 설치하는 사용자가 많을 정도로 사용자들의 스트레스는 예상외로 크다. 이러한 팝업 차단 기능이 internet Explorer에 기본 기능으로 추가되었으니 함께 살펴보자.
추가된 팝업 차단 메뉴
SP2 설치전과 비교해보면 인터넷 등록정보의 [개인 정보]탭 하단에 팝업 차단 항목이 추가된 것을 볼 수 있다(좌:설치 후, 우:설치 전). 팝업 차단 체크박스의 체크여부에 따라 그 동작유무가 결정되며 [설정]버튼을 클릭하면 세부적인 팝업 차단 설정이 가능하다.
팝업 차단 설정 방법
팝업 차단을 기본으로 설정할 경우 예외 설정을 통해 특정 사이트에 대해서만 팝업을 허용할 수 있다. [허용할 웹 사이트 주소]란에 URL을 입력하고 [추가]버튼을 클릭하면 아래 허용된 사이트에 리스트에 등록되며 해당 사이트에 대해서는 팝업이 허용된다. 또한 [알림 및 필터 수준]에서는 소리 또는 알림 표시줄을 통해 팝업 차단이 되었음을 사용자에게 알리도록 설정할 수 있다. 필터 수준에서는 팝업 차단 필터링 수준을 높음,보통,낮음으로 선택할 수 있게 했다.
팝업 차단 알림메시지 표시
방문한 사이트가 팝업을 강제로 띄우려 할 경우 IE는 이를 감지하고 자동으로 팝업을 차단하며 주소창 하단의 알림 표시줄에 차단했음을 알리는 알림 메시지를 띄운다. 이때 사용자가 알림 메시지를 클릭하면 해당 사이트 단위의 팝업 설정이 가능하다.
인터넷 등록정보에 추가된 팝업 차단 메뉴
팝업 차단 설정 화면
팝업 차단 알림 메시지
+ Windows 보안센터
새롭게 등장한 보안센터는 컴퓨터 보안과 관련된 설정을 초보자라도 쉽게 설정할 수 있도록 새롭게 추가되었다. 방화벽, 자동 업데이트, 바이러스 백신 항목으로 구성되어 있으며 현 시스템이 어떤 설정으로 되어 있는지 한눈에 파악할 수 있도록 정보를 제공해주고 있으며 추가정보까지 지원해주어 편의성을 높였다.
새롭게 등장한 보안 센터
방화벽, 자동업데이트, 바이러스 백신항목으로 크게 구분되어 현재의 각 기능의 동작상태를 모니터링 해준다. 특히 방화벽이나 바이러스 백신 프로그램의 경우 써드파티 업체들이 이용할 수 있도록 공개 인터페이스를 제공하여 보안센터는 이 정보를 기반으로 해당 업체가 어떤 소프트웨어를 출시했는지 또는 업데이트 상태 체크를 할 수 있게 되었다.
그림에서 보면 필자의 PC의 경우 Symantec Antivirus가 설치되어 있음을 자동으로 인식하였으며 단 현재 상태는 알 수 없음을 알려왔다.
사용자가 추가적인 확인이 필요한 경우에는 [권장 사항] 버튼이 나타난다. 이외에 시스템 트레이의 아이콘을 통해 보안경고를 하여 사용자를 환기시킨다.
가이드라인 제시해 주는 권장 사항
권장 사항에서는 사용자에게 현 PC 보안상태를 자동으로 파악하고 어떤 설정을 하는 것이 좋은지, 무엇을 확인해야 하는지 등의 가이드라인을 제공해준다. 예를 들어 바이러스 백신 프로그램의 경우 최신버전으로 유지되어 있는지, 실시간 모니터링이 진행중인지의 여부에 대해 사용자에게 경고를 해주는 역할을 한다. 이외에도 Windows가 해당 프로그램을 모니터링하지 않도록 설정이 가능하다.
보안 센터
보안 센터 권장 사항
+ Outlook Express 첨부 파일 관리자
e메일은 바이러스 주요 감염경로로 손꼽힌다. 메일을 통한 웜바이러스의 가장 일반적인 확산경로를 살펴보면 다음과 같다.
웜바이러스에 감염된 첨부파일이 담긴 메일을 받은 사용자가 첨부파일을 실행할 경우 PC는 웜바이스러에 감염됨과 동시에 해당 PC의 아웃룩 주소록에 등록된 메일주소로 다시 웜바이러스에 감염된 첨부파일이 담긴 메일을 발송한다.
이때 사용자 PC에는 당장 눈에 띄는 증상이 나타나지 않으므로 감염여부에 대해 모르고 넘어가는 경우가 많다.
또 웜바이러스 메일을 받은 사용자는 지인으로부터 도착한 메일이므로 특별한 의심없이 메일을 읽고 또 첨부파일을 실행할 확률이 높기 때문에 웜바이러스의 확산속도는 대단히 높다.
첨부파일 차단기능
첨부 파일 가운데 확장자를 사전검사하여 EXE(실행파일, VSF(스크립트 실행파일) 등과 같이 사용자 PC에 직접적인 영향을 미칠 수 있는 파일에 대해 사전차단하고 엑세스를 하지 못하도록 제거하고 알림 표시줄에 이에 대해 알려준다. 그림에서 [OE가 사용자의 메일에서 엑세스를 제거한 안전하지 못한 첨부 파일]이라는 안내 메시지를 확인할 수 있다.
같은 첨부파일 일지라 하더라도 HTM(HTML 파일), TXT(텍스트 파일) 등과 같이 파일의 실행으로 인해 직접적인 영향을 끼칠 위험이 적은 경우에는 엑세스가 가능하도록 한 것을 볼 수 있다.
첨부파일 열기 경고기능
사용자가 메일 첨부 파일에 접근을 시도할 경우 파일을 실행하는 것으로 인해 컴퓨터에 피해를 줄 수 있음을 다시 한번 경고하고 있다.
HTML 컨텐츠 차단기능
이 기능은 이미 Office Outlook 2003에서 등장한 기능으로 컨텐츠 가운데 이미지, 스크립트, ActiveX 컨트롤과 같은 외부 컨텐츠를 차단한다. 제목 하단에 일부 사진이 차단되었음을 알리는 알림 메시지를 볼 수 있다. 이미지를 보려면 알림 메시지를 클릭하면 된다.
이미지의 차단기능이 추가된 이유는 사용자가 전자메일을 읽을 경우 문서 내 이미지 파일이 저장된 웹 서버로부터 이미지를 불러오기 위해 요청을 해야하고 웹서버는 이에 대한 접속 로그를 기록으로 남기게 되어 수신인을 확인하는 데 사용되기 때문에 사생활 노출 및 사용자의 PC에 대한 보호를 목적으로 이러한 기능이 추가되었다.
실제로 전문 메일발송 프로그램의 경우 위와 같은 방법을 통해 발송한 메일을 사용자가 실제로 오픈 하였는지 체크를 하고 있으며 이후 메일방송에 참고자료로 사용하고 있다.
이미지 다운로드 보안설정
서비스팩2 설치 이후에 OE의 옵션에 이미지 다운로드 설정이 추가된 것을 볼 수 있다.
첨부파일 차단 화면
참부 파일 열기 경고 화면
HTML 컨텐츠가 차단된 메일
옵션에 이미지 다운로드 보안설정이 추가
+ Internet Explorer 추가 기능 관리
사용자들이 인터넷 서핑을 하면서 의도적으로 때론 무의식적으로 설치한 애드온(Add-On) 프로그램, 예를 들면 ActiveX 컨트롤, 브라우저 확장 프로그램, 툴바 등이 IE와 충돌하여 시스템에 문제를 야기시키거나 혹은 강제 팝업 창을 띄우는 등 이상증상을 초래하는 경우가 많이 있다.
이때 사용자는 문제가 있음을 알면서도 정확히 어떤 파일이 문제의 원인인지 알기 어렵다. 이에 서비스팩2에서는 추가 기능 관리 및 충돌 탐지 기능이 추가되었다. 아래 그림을 통해 살펴보자.
추가 기능 프로그램 설치 차단
웹사이트 방문시 추가 기능 프로그램을 강제적으로 설치를 시도할 경우 일단 차단하고 알림 표시줄을 통해 사용자에게 이를 알려준다. 사용자는 사이트의 신뢰성을 바탕으로 추가 기능을 설치할 것인지에 대해 판단을 내리게 된다.
추가 기능 관리
IE의 도구메뉴에 새롭게 추가된 추가 기능 관리는 현재 IE에 로드한 ActiveX 컨트롤, 브라우저 확장 프로그램, 도구 모음 등을 한눈에 파악할 수 있게 도와준다. 뿐만 아니라 특정 기능을 사용하지 않도록 설정하거나 업데이트 확인 기능을 통해 새로운 버전이 있는지 확인할 수 있다.
IE의 도구모음에 추가된 추가 기능 관리
추가 기능 관리 화면
+ 업데이트 기능 개선
Windows의 업데이트 기능은 사용자의 PC를 보안위험에서 보호해주는 최선의 선택이라 할 수 있다. 서비스팩2에서는 업데이트 기능을 더욱 향상시키고 편의성을 높여 사용자가 보다 편리하고 시스템을 유지 관리할 수 있게 되었다.
자동 업데이트 기능의 변화
자동 업데이트 기능은 현재 Windows의 업데이트 상태를 파악하여 아직 설치되지 않은 업데이트 항목을 자동으로 검사하여 설치하도록 도와준다. Windows XP에서 처음으로 등장한 이 기능은 이전 업데이트 설치과정이 사용자가 일일이 업데이트 항목을 선택하고 다운로드하고 설치하는 과정까지 수동으로 진행한 것과 비교했을 때 정말 편리한 기능임을 알 수 있다.
이전 자동 업데이트(우측 그림)의 경우 자동으로 업데이트를 다운로드하고 설치할 준비가 되었을 때 사용자에게 이를 알려주어 설치하도록 하는 설정이 기본값이었으나 서비스팩2(좌측 그림) 에서는 다운로드와 설치를 사용자가 지정된 시간에 자동으로 처리되도록 하는 설정이 기본값이 되었다. 따라서 사용자가 이에 대해 별도로 신경쓰지 않아도 항상 최신 보안 업데이트를 할 수 있게 되었다.
자동 업데이트의 선택항목은 총 4가지로 다음과 같다.
1) 자동 : 자동은 권장되는 설정으로 사용자가 정한 주기 및 시간에 자동으로 새로운 업데이트를 검사하고 새 업데이트가 있을 경우 이를 다운로드 하여 설치까지 진행하므로 가장 편리한 방법임을 알 수 있다.
2) 업데이트를 다운로드하지만 사용자가 원하는 시간에 설치함 : Windows가 일정 시간 단위로 업데이트를 검사하여 새 업데이트가 있을 경우 이를 로컬 PC 다운로드한다. 다운로드가 완료되면 설치를 진행하지는 않으며 사용자에게 새 업데이트를 알리고 이를 선택적으로 설치할 수 있도록 알려준다. 필요없다고 판단되는 업데이트는 사용자 임의로 설치하지 않을 수 있다.
3) 새 업데이트를 알리도록 선택하지만 다운로드하거나 설치하지 않음 : 새 업데이트가 있을 경우 다운로드를 하지않고 먼저 사용자에게 새 업데이트에 대한 정보를 제공한다. 사용자가 설치를 원할 경우 그때 다운로드 후 설치를 진행한다.
4) 자동 업데이트를 사용하지 않음 : 자동 업데이트 기능을 아예 사용하지 않는 것으로 사용자 컴퓨터에 보안 문제가 생길 수 있어 위험도가 높아질 수 있다. 가급적 권장하지 않는다.
또한 업데이트가 지정된 시간에 컴퓨터가 꺼져있을 경우 시작과 동시에 자동으로 업데이트를 진행하게 되며 업데이트를 다운로드 했으나 설치하지 않고 종료할 경우에는 시스템 종료옵션에서 업데이트 설치 후 종료 라는 옵션이 추가되어 사용자가 업데이트를 하지 않고 넘어가는 실수를 최소화 했다.
Windows Update 5
Windows 업데이트 웹사이트는 사용자가 직접 업데이트 사이트에 접속하여 중요 및 선택적 항목에 대해 원하는 설치를 할 수 있도록 해준다. 주로 새롭게 Windows를 설치한 후나 오랫동안 업데이트를 하지 않아 일괄적인 설치가 필요할 경우 이 사이트에 접속하여 설치하면 편리하다.
서비스팩2에서는 새로운 버전으로 변경된 Windows Update 5로 연결된다.
이전 버전에서 개선된 점은 그림에서도 볼 수 있듯이 빠른 설치 항목과 사용자 지정 설치 항목으로 구분되어 빠른 설치를 선택할 경우 사용자의 별다른 개입 없이도 중요 업데이트를 빠르고 쉽게 설치할 수 있도록 간소화했다는 점이다.
Windows Installer 3.0
Windows Installer 서비스는 서비스팩2에서 3.0으로 새롭게 업그레이드 됐다. 애플리케이션 설정, 설치 및 업그레이드를 위한 표준 형식을 정의하고 관리하는데 이는 파일, 레지스트리 언트리 및 바로가기와 같은 구성요소들을 추적한다.
Windows Installer는 올바른 배포를 지원하기 위해 시스템에 내장되는 설치 서비스이며 관리자와 사용자가 공유 폴더를 관리하고, 설치 프로세스를 사용자가 지정하며, 애플리케이션 사용에 관한 결정을 내리고, 구성 문제를 해결할 수 있도록 해준다.
Windows Installer 3.0에서는 다운로드 해야할 패치 구성요소와 하지 않아도 될 구성요소를 확인하는 인벤토리 기능을 강화시켰고 패치의 용량을 줄이는 델타 압축기술을 지원하여 패치의 용량을 줄이게 되었다. 이와 더불어 인스톨 뿐만 아니라 언인스톨까지도 안정적으로 할 수 있도록 지원해준다.
SP2 설치 이전의 자동 업데이트 화면
새로운 자동 업데이트 화면
새롭게 업그레이드 된 Windows Update 5 사이트
+ 기타 업데이트 내용
Remote Procedure Call(RPC) 서비스
RPC는 한 컴퓨터의 애플리케이션이 네트워크 상의다른 컴퓨터들이 제공하는 서비스를 호출할 수 있도록 해주는 메시지 전달 장치로 네트워크 상의 컴퓨터들을 원격으로 관리하고 파일 및 프린터를 공유하며, 사용자 지정 분산 애플리케이션을 구축할 때 주로 사용된다.
정상적으로 설치된 Windows XP는 네트워크 상의 클라이언트 요청을 수신하는 60개 이상의 RPC 기반 서비스를 실행하며 대부분은 Svchost.exe라는 프로세서에서 실행된다. 시스템을 보호하지 않을 경우에는 침입자에게 엄청난 허점을 노출하게 된다.
서비스팩2에서는 외부 공격에 대한 취약성을 낮추고 관리자가 RPC 서버를 차단시키거나 로컬 서브넷에만 노출되도록 하거나 혹은 전체 네트워크에만 노출되도록 제어할 수 있는 새로운 수준의 권한이 추가되었다. Windows 방화벽은 이러한 권한을 지원할 수 있도록 강화되었으며 감염이 의심되는 RPC 서버의 포트 공개를 제한할 수 있게 되었다.
Distributed Component Object Model(DCOM)
COM은 상호 작동이 가능한 바이너리 소프트웨어 구성요소를 생성하는 플랫폼 독립적이며, 분산된 개체 지향 시스템이다. 관리자들은 주로 DCOM을 통해 COM 서버를 원격으로 사용할 수 있도록 구성한다.
서비스팩2에서는 DCOM의 보안이 대폭 강화되어 전체 시스템에 대한 설정은 DCOM 활성화와 실행, 호출 권한을 제한하며 로컬과 원격 클라이언트를 구분한다. 시스템 전체에 대한 DCOM보안 설정 외에도, 각 COM 서버별로 사용자에 대한 권한을 제한하도록 설정할 수 있다. COM서버에 대한 4가지 수준의 새로운 실행 권한이 있는데 이는 로컬 실행, 원격 실행, 로컬 활성화 및 원격 활성화로 나뉜다. 또한 COM서버에 대한 2가지 수준의 새로운 액세스 권한으로 로컬 호출과 원격 호출이 있다.
서비스팩2는 네트워크 공격 위험을 줄이기 위해 액세스 제약 조건을 추가하여 인증된 관리자들만이 COM 구성요소를 원격으로 활성화하거나 실행할 수 있고 인증된 사용자들만이 COM 구성요소를 호출할 수 있도록 했다.
실행보호(NX) 기술
실행보호 기술은 공격자에 의한 버퍼오버런 취약점을 이용한 공격을 막아주어 바이러스가 전파되지 않도록 도와준다. 단, 현재 이 기능을 지원하는 CPU는 64비트 AMD K8, Intel Itanium에 한정되어 있는데 이때 CPU는 코드가 실행되지 못한다는 것을 알려주는 특성을 메모리에 표시할 수 있게 되었다. 이 실행보호 기능은 가상 메모리 페이지 단위로 실행되며 메모리 페이지에 표시를 하기 위해 페이지 표 엔트리의 비트가 변경된다.
이들 프로세서 상에서, 서비스팩2는 실행보호 기능을 이용해 데이터페이지에서 코드가 실행되지 않도록 막는다. 실행불가 표시된 데이터 페이지에서 코드를 실행시키려 할 경우 프로세서는 즉시 예외를 발생시켜 코드가 실행되지 못하도록 한다. 결국 공격자가 코드를 이용해 고의적으로 데이터 버퍼 오버런 시킨 후 코드를 실행하지 못하도록 하므로 Blaster 웜류의 바이러스의 경우 더 이상 전파되지 않게 된다.
Sandboxing 보호기능
서비스팩2는 원시코드가 사용하는 두 가지 유형의 메모리 스토리지(스택,힙)에 소프트웨어 검사기능을 추가했다. 이 보호기능을 Sandboxing이라 한다.
스택을 보호하기 위해, 시스템 내의 모든 바이너리들은 스택 버퍼 보안 검사를 활성화시키는 옵션을 이용하여 재컴파일되었다. 기능에 대한 시퀀스를 호출하고 반환하는 작업에 몇 가지 지시 사항이 추가되어 런타임 라이브러리가 대부분의 스택 버퍼 오버런을 탐지할 수 있도록 해준다.
또한 힙에 추가된 쿠키는 할당된 버퍼의 시작 및 종료 지점을 알리는 특수한 표시로 사용되는데 메모리 블록이 할당되거나 해제될 때 런타임 라이브러리가 이를 확인하여 버퍼 오버런을 체크하게 된다.
경고 및 메신저 서비스의 비활성화
주로 관리자들이 네트워크를 통한 커뮤니케이션 용도로 사용하는 경고 및 메신저 서비스가 새로운 광고 상품으로 악용되면서 이로 인해 많은 사용자들의 불편이 따랐다. 서비스팩2에서는 이 메신저 서비스가 기본적으로 비활성화됨으로써 이전과 같은 불편을 줄이게 되었다.
======================================================================
part3. 에필로그
지금까지 서비스팩2의 새로운 기능을 살펴보았다. 이전까지의 서비스팩이 단순히 일정 기간동안의 업데이트 모음 패키지였다면 서비스팩2는 마이너 업그레이드 버전라고 할 수 있을만큼 새로운 기능추가가 돋보인다고 할 수 있다. 뿐만 아니라 보안강화와 더불어 이 기능을 사용하는 사용자의 편의성을 동시에 높였다는 점에서 만족할 만한 평가를 내린다.
세상에 완벽한 방패는 분명 존재하지 않으므로 이번 서비스팩2를 설치했다고 해서 모든 보안 문제가 해결될 수는 없다. 다만 여러가지 보안상의 위험을 대폭 감소시킬 수 있음에 주목하고 반드시 설치하도록 하자. 이와 더불어 구슬이 서말이라도 꿰어야 보배인 것처럼 새롭게 추가된 기능을 십분 활용하고 보안문제에 대해 적극적으로 대처하도록 하자. 앞에서도 언급한 바와 같이 더 이상 보안은 소수 관리자에만 해당 되는 문제가 아니기 때문이다.[mn]
|
 샬롬~
난! 자유인... |
|
|
