WMIS(Windows Management Instrumentation Service) 관련 하여 보안 강화

[동우]

WMIS(Windows Management Instrumentation Service)에 대한 보안을 강화하기 위해서는, 원격에서 WMIS에 대한 액세스 권한을 제한하는 것이 좋습니다. 이를 위해 아래와 같은 reg add 명령어를 사용할 수 있습니다.

REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM" /v "Autorecover MOFs" /t REG_DWORD /d 0 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Winmgmt\Parameters" /v "DisableScriptEventConsumer" /t REG_DWORD /d 1 /f
위의 명령어는 다음과 같은 기능을 수행합니다.

"Autorecover MOFs" 레지스트리 값을 0으로 설정하여, WMIS가 자동으로 MOF 파일을 복구하지 못하도록 합니다. 이를 통해, 악성 MOF 파일이 WMIS에 의해 자동으로 로드되는 것을 방지할 수 있습니다.

"DisableScriptEventConsumer" 레지스트리 값을 1로 설정하여, WMIS에서 PowerShell 스크립트를 사용하는 이벤트 소비자를 비활성화합니다. 이를 통해, 악성 스크립트가 WMIS를 통해 실행되는 것을 방지할 수 있습니다.

위의 명령어는 "CIMOM"이라는 WMIS 구성 요소에서 기본 서비스 호스트를 사용하지 않도록 설정하는 것입니다. 이를 통해 외부에서 WMIS를 통한 원격 액세스를 차단할 수 있습니다.

REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM" /v "EnableDefaultSvchost" /t REG_DWORD /d 0 /f