주요정보통신기반시설 윈도우 서버 W-51 패스워드 최소 사용 기간

■ 개념

주요정보통신기반시설 취약점 분석 및 평가 중 점검대상 윈도우 서버의 W-51 패스워드 최소 사용기간 점검항목에 대해 알아보겠습니다. 해당 포스팅은 윈도우 서버(Windows Server 2012 R2)를 기준으로 진단 및 실습합니다.

항목명		패스워드 최소 사용 기간
항목코드		W-51
위험도		중
점검내용		패스워드 최소 사용 기간 정책 설정 여부 점검
점검목적		암호를 변경할 수 있기 전까지 경과해야 하는 최소 날짜를 설정하여 원래 패스워드로 즉시 변경할 수 없도록 함
보안위협		패스워드 변경 후 최소 사용 기간이 설정되지 않은 경우 사용자에게 익숙한 패스워드로 즉시 변동이 가능하여, 이를 재사용함으로써 원래 암호를 같은 날 다시 사용할 수 있음 패스워드 변경 정책에 따른 주기적인 패스워드 변경이 무의미해 질 수 있으며, 이로 인해 조직의 계정 보안성을 낮출 수 있음 ※ 암호정책: 사용자에게 암호를 정기적으로 변경하게 하고, 암호의 최소 길이를 지정하며, 암호가 특정 복잡성을 만족시키도록 하는 등 암호 설정을 강제하여 컴퓨터를 보호하는 정책 ※ 이 정책은 이전 암호를 그대로 재사용 하는 것을 방지하기 위해 W-55(중) ‘최근 암호 기억’ 정책과 같이 적용될 경우 보안성이 훨씬 강화됨
판단기준	양호	최소 암호 사용 기간이 0보다 큰 값으로 설정되어 있는 경우
	취약	최소 암호 사용 기간이 0으로 설정되어 있는 경우
조치방법		최소 암호 사용 기간 1일 설정

 

■ 실습

해당 점검항목은 윈도우 서버의 패스워드 최소 사용 기간 설정 여부를 확인하여 양호/취약을 판단합니다. 아래 메뉴를 통해 확인하시기 바랍니다.

1. 시작> 실행> SECPOL.MSC> 계정정책> 암호 정책
2. "최소 암호 사용 기간"을 "1일"로 설정

■ 진단 스크립트 결과 확인

MinimumPasswordAge 값으로 패스워드 최소 사용 기간 설정 여부를 판단합니다. MinimumPasswordAge 값이 1로 설정되어 있어야 양호 조건인 패스워드 최소 사용기간이 설정되어 있는 경우입니다.

 

본 포스팅 내용은 한국인터넷진흥원(KISA)에서 발행한 주요정보통신기반시설 평가기준을 바탕으로 작성했습니다.

수고하셨습니다.

궁금한 사항은 댓글로 남겨주세요.