윈도우 서버 3일차(5.22)

  폴더 보안
  폴더 보안을 위해서 Linux에서 shred 도구처럼 복원이 안 되게 완전 삭제를 할 수 있다. Windows에서는 생성한 파일/폴더를 휴지통에 버리고 휴지통 비우기도 하지만 복원 도구로 쉽게 복원되기 때문에 복원 불가한 '완전 삭제'가 보안상 중요하다. 복구를 위해서 복구 키를 생성해서 작업하는데 일종의 Windows 11에 들어 있는 TPM(bit locker)과 같은 원리이다.  
  특정 폴더를 생성한 뒤 cipher라는 도구 로 암호화 키를 생성한다.
a) cipher /R:C:\testtt식으로 해주면 ‘암호를 입력하여 .PFX 파일을 보호하라’고 보이는데 rootoor식으로 암호를 두 번 입력해주   면 .CER(인증서만 포함)과 PFX(인증와 개인 키 포함) 파일을 생성했다고 보인다. 
b) 이 두 키를 별도의 저장공간에 저장한 뒤
c) cipher /W:C:\testt 해주는데 /W:는 쓰라는 의미로 C:\testt 폴더를 암호화해준다. 잠시 시간이 걸려서 복구되지 않는 0x00과 0xFF, 난수로 폴더/파일을 겹쳐 써서 testt 폴더가 복원을 불가능하게 한다. 
==>은밀한 파일이 HDD에 있을 때, 이를 제거하기 위해서 delete 명령어를 사용하면 웃긴다!!! <-복원 가능 
      HDD를 물에 넣거나, 불에 태우거나, 망치로 파쇄하면 '증거인멸'이 되어서 문제가 된다!!! 
      <=Digital Forensic 또는 Reverse Engineering을 수행할 때에는 반드시 '법적인 문제'를 고려해 두어야 한다.
  이럴 때 Linux에서는 shred 도구로 파일/디렉터리를 삭제하고, Windows에서는 cipher 도구로 삭제하면 파일의 크기는 그대로 인데, 모두 0이나 난수로 채워지므로 데이터는 없어진다! 데이터는 0과 1로 구성되지만 모두 0이 되면 크기는 있지만 데이터는 없는 셈이 된다. 아니면 DeGaussing 하는 도구를 구매해서 전자적으로 전자기장을 HDD에 강하게 쏘여서 모두 0으로 만들 수도 있다.  

  성능 모니터
  서버 성능의 문제나 오류 등을 확인하려면 성능 모니터를 사용하면 된다. 성능 모니터에는 '성능 모니터'와 '안정성 모니터' 두 가지가 있다. 

  데이터 암호화해서 저장하기 
  A 사용자가 생성한 평문장을 B 사용자가 읽을 수는 있지만 쓸 수는 없다. 
  A 사용자가 생성한 암호문은 B 사용자가 읽을 수 조차 없다!!! 
  관리자는 A 사용자가 생성한 평문장을 읽을 수 있고, 쓸 수도 있다.  하지만 암호문은 관리자라도 읽을 수조차 없다!!!
  암호화 키를 가져오기 하면 누구나 읽을 수 있지만 역시 쓸 수는 없다.
=>일반적인 키 배포에서처럼, A 사용자가 암호문을 생성한 뒤 '키와 함께 B 사용자에게 암호문을 전달'해야 B 사용자가 암호화 키로 암호문을 풀어서 읽을 수 있다. 쓰기는 여전히 불가하다!!!! 
<=대칭키 구조인데 키도 함께 보내야 하는 문제가 있을 수 있다. 
**** 키에서 개인키와 공개키가 있는데 개인키가 더 중요하다!!!

  Administrator의 패스워드를 암호화해서 USB 등 다른 저장소에 저장해두고, 로그인할 때 이 키로 로그인 해본다. 관리자의 패스워드가 HDD에 저장이 되어 있지 않기 때문에(이것 해킹이 reverse engineering) 해킹이 안 통한다.  
  관리자 패스워드를 Windows Server 시스템에 저장해둘 필요가 없으므로 보안이 매우 좋아진다!!! 여기서 다른 저장소란 1GB 정도의 실제 USB가 있으면 그대로 사용하고 USB가 없으면 가상 FDD를 만들어서 실습해볼 수 있다.
  원리는 관리자가 패스워드를 분실했다고 가정해서 패스워드 재설정을 해서 별도의 저장공간에 저장하고 로그온 할 때마다 패스워드를 재설정하는 방식으로 그때그때 변경하는 기법이다.
1) 시작>관리도구>컴퓨터 관리>로컬 사용자 및 그룹>관리자 Administrator를 클릭하고>관리자가 패스워드를 변경하게 한다.
   =>Internet Banking 등에서의 OTP(One Time Password)를 사용하는 것과 같은 원리이다.
2) 서버 머신의 BIOS 설정화면으로 가서>Boot Sequence>USB(removable disk)를 first priority로 지정해준다.  
부팅 시 암호 재설정하기>암호 재설정 디스크 만들기>패스워드를 USB에 저장한다.
3) 부팅 시 패스워드 재설정 방식으로 패스워드를 그때그때 변경해서 로그인 한다. 

  부팅 순서는 removable disk가 첫번째로 되어 있어서 USB로 운영체제 등을 설치하게 한다. 예전에서는 DVD/CD-ROM이 첫번째로 되어 있어서 CD-ROM/DVD로 운영체제를 설치했었다. 현재는 이동식 장치에 아무 것도 없므로 두 번째 HDD로 가서 HDD에 저장된 OS를 불러서 부칭이 되는 메카니즘이다. 

  공유폴더 권한과 NTFS 권한, 파일 권한
a. Windows는 파일 및 폴더에 대한 액세스를 제한하기 위해 두 가지 권한인 NTFS 권한과 공유 권한을 제공하는데 두 권한은 모두 파일 또는 폴더의 속성 창에서 할당할 수 있다. 
  기본적으로 권한은 부모 폴더에서 자식 파일/폴더로 상속(inherit)되는데 이 상속을 비활성화시킬 수 있다.  
▪ 공유폴더 권한은 원격지에서 이 시스템의 접속해서 공유폴더에 저장된 파일/폴더를 사용할 때 적용된다.
=>설정은 해당 폴더의 속성 창에서>고급 공유로 가서>권한으로 가서>공유 탭에서 설정하면 된다.
▪ NTFS 권한은 NTFS 파일 시스템으로 포맷된 볼륨(HDD)에 저장된 모든 파일/폴더에 적용된다. 
  NTFS 권한은 데이터가 HDD 등 저장장치에 적용되기 때문에 로컬 또는 원격에서 액세스되는지와 상관없이 파일/폴더에 모두 적용되므로 로컬에 적용된다. NTFS 권한은 기본적으로 읽기, 읽기 및 실행, 쓰기, 수정, 폴더 내용 목록 및 모든 권한에 대한 액세스 수준을 제공한다. 
=>NTFS 권한은 HDD의 속성 창에서>보안 탭에서 설정하면 된다. 
▪ 공유 권한은 공유 폴더에만 적용되고, 원격 시스템에서 네트워크를 통해서 해당 공유폴더에 액세스할 때 적용되는 권한이다. 특정 공유폴더에 대한 공유 권한은 해당 폴더 및 그 내용에 적용되는데 공유 권한은 NTFS 권한보다 덜 세분화되어 있어서 읽기, 변경 및 모든 권한의 액세스 수준만 제공한다. 
▪ 이들 권한을 혼합해서 사용할 수 있다.
1) NTFS 권한과 공유 권한을 조합해서 액세스를 조절할 수 있다. 특정 파일에 대한 사용자의 액세스 수준을 결정하는 규칙은 다음과 같은데
a) 파일이 로컬로 액세스되는 경우 NTFS 권한만 적용된다.
b) 파일이 네트워크를 통해서 액세스되는 경우 NTFS와 공유 권한이 모두 적용되는데 가장 제한적인 권한이 적용된다. 예를 들어 공유폴더의 공유 권한이 읽기 권한이고 NTFS 권한이 수정 권한일 경우, 사용자의 유효 권한은 원격으로 공유 폴더에 액세스할 때 읽기이며, 로컬로 폴더에 액세스할 때는 수정이 된다.
2) 사용자의 개별 권한과 사용자가 속한 그룹의 권한을 조합해서 액세스를 조절할 수 있다.
  이 경우 사용자는 여러 권한을 누적(accumulated) 해서 가지기 때문에 더 높은 권한이 있으면 해당 권한을 가지게 된다. 예를 들어서 사용자가 파일에 대해 읽기 권한을 가지고 있고 해당 사용자가 속한 그룹이 동일한 파일에 대해서 수정 권한이 있다면, 이 사용자의 유효 권한은 수정이 된다. 
3) 특정 파일/폴더에 직접 할당된 명시적 권한이 상위 폴더에서 암묵적으로 상속된 권한보다 우선한다. 
  예를 들어서 부모 폴더에 쓰기 권한이 있으면 자식 폴더/파일은 자동으로 부모의 권한을 상속받아서 쓰기 권한을 가지게 된다. 하지만 자식 파일이 읽기 권한만 가지게 한다면 부모로부터의 상속(쓰기)을 끊고 자식에게 읽기 권한으로 설정하면 이 명시적 읽기 권한이 상속으로 인한 암묵적 쓰기 권한보다 우선한다는 의미이다.   

  참고적으로 파일공유 권한 설정은 폴더공유 권한 설정과 같은데,
  C:\에 파일_공유라고 이름해서 파일 하나를 생성한 뒤>우클릭>속성>공유나 보안 탭에서 앞에서와 같이 사용자/그룹 지정과 권한을 설정해주면 된다. 하지만 
1) 여러 파일을 일일이 설정해주는 것보다 이들 파일을 폴더에 넣고 폴더에 공유와 권한을 설정해서 상속시키는 것이 더 좋다. 
2) 또 해당 컴퓨터에만 적용되는 로컬에서 그룹을 생성해서 권한을 설정하는 것보다 도메인 내의 모든 컴퓨터에 적용되는 도메인 그룹을 생성해서 권한을 설정해주는 것이 더 좋다.

  상속 포기
  부모로부터의 권한 상속을 자식에서 포기할 수 있다.