주요정보통신기반시설 윈도우 서버 W-04 계정 잠금 임계값 설정

■ 개념

2021 주요정보통신기반시설 취약점 분석 및 평가 중 점검대상 윈도우 서버의 W-04 계정 잠금 임계값 설정 점검항목에 대해 알아보겠습니다. 해당 포스팅은 윈도우 서버(Windows Server 2012 R2)를 기준으로 진단 및 실습합니다.

항목명		계정 잠금 임계값 설정
항목코드		W-04
위험도		상
점검내용		계정 잠금 임계값의 설정 여부 점검
점검목적		계정 잠금 임계값을 설정하여 공격자의 자유로운 자동화 암호 유추 공격을 차단하기 위함

 

보안위협		공격자는 시스템의 계정 잠금 임계값이 설정되지 않은 경우 자동화된 방법을 이용하여 모든 사용자 계정에 대해 암호조합 공격을 자유롭게 시도할 수 있으므로 사용자 계정 정보의 노출 위험이 있음 ※ 계정 잠금 임계값 설정은 사용자 계정이 잠기는 로그온 실패 횟수를 결정하며 잠긴 계정은 관리자가 재설정하거나 해당 계정의 잠금 유지 시간이 만료되어야 사용할 수 있음 ※ 계정 잠금 정책: 해당 계정이 시스템으로부터 잠기는 환경과 시간을 결정하는 정책으로 ‘계정 잠금 기간’, ‘계정 잠금 임계값’, ‘다음 시간 후 계정 잠금 수를 원래대로 설정’ 의 세가지 하위 정책을 가짐
판단기준	양호	계정 잠금 임계값이 5 이하의 값으로 설정되어 있는 경우
	취약	계정 잠금 임계값이 6 이상의 값으로 설정되어 있는 경우
조치방법		계정 잠금 임계값을 5번 이하의 값으로 설정

 

■ 실습

W-04 점검항목은 윈도우 서버의 계정 잠금 임계값 설정 여부를 점검하여 양호/취약을 판단합니다. 아래 메뉴를 통해 확인하시기 바랍니다.

메뉴 : 시작> 실행> SECPOL.MSC> 계정 정책> 계정 잠금 임계값
"계정 잠금 임계값"을 "5"이하의 값으로 설정

계정 잠금 임계값 5 이하로 설정

진단 스크립트 상에는 LockoutBadCount 레지스트리 값으로 계정 잠금 임계값을 확인할 수 있습니다.

 

본 포스팅 내용은 한국인터넷진흥원(KISA)에서 발행한 주요정보통신기반시설 평가기준을 바탕으로 작성했습니다.