런타임 환경이 내부 상태에서 불일치를 감지했습니다. 이것은 프로세스가 잠재적으로 불안정함을 나타내며, COM+ 응용 프로그램에서 실행 중인 구성 요소, 이들 구성 요소에서 사용하는 구성 요소 또는 기타 요소가 그 원인이 될 수 있습니다.

Out of memory

d:\nt\com\complus\src\comsvcs\threads\stathread.cpp(284), 관련에러

참고 자료 : http://support.microsoft.com/kb/556076

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

윈도우 VISTA는 기본적으로 네이티브 IPv6 프로토콜을 지원하는 운영체제입니다.

위의 그림은 국내의 인터넷서비스 업체들이 기존의 IPv4 망에서 IPv6 로 점진적으로 변경해 가는데

필수적인 IPv6 to IPv4 GRE터널기술을 설명한 예이구요..

쉽게 설명을 하자면, 가입자는 네이티브 IPv6 주소를 할당하고 가입자에게서 나오는 IPv6 패킷을

배달하면서 중간에 IPv6로 업그레이드되지 않은 IPv4망을 만나게 되면 다음 IPv6 망을 만날때 까지

그 IPv6패킷을 IPv4패킷으로 재포장을 해서 배달하는 방식입니다.

(IPv4 망 안에 가상의 터널을 뚫는거죠 ^^;)

여기에서 중요한 것은 대부분의 홈유저들은 자신의 망이 IPv4 이면 기존처럼 그대로 IPv4 로 쓰면 되고,

추후에, 통신사에서 IPv6 로 가입자망을 바꾸면 그냥 IPv6 주소를 받아서 쓰면됩니다.

굳이 PC단에 IPv4 주소를 받은 어댑터 위에 IPv6 터널어댑터를 얹어서 복잡한 구성을 하도록 하지 않는

다는 것입니다.

중요한 건 IPv6 터널링 기술은 통신사에서 고민할 일이지 가입자가 고민할 일이 아니고,

대부분의 경우 윈도우 VISTA에 기본으로 내장된 IPv6 터널어댑터를 사용하실 일은 없다고 보시면 됩니다.

(회사가 IPv6 네트웍을 사용하고 집이 IPv4망인데 회사망에 접속할 일이 있을땐 PC에 IPv6 터널어댑터를

사용하시겠지만..)

regedit 를 실행한 후,

HKEY_LOCAL_MACHINE => SYSTEM => CurrentControlSet => Services => tcpip6 => Parameters

를 펼쳐서 그림과 같이 DisabledComponents 라는 DWORD 값을 하나 만듭니다.

값의 데이터를 "1" 을 입력하시고 시스템을 재부팅

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

useradmin user add <유저명> -g <그룹명>

그룹명 보는 방법
useradmin group list

유저명 보는 방법
useradmin user list

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

1. 우선 실행-cmd로 명령프롬프트로 나옵니다. 명령프롬프트에서 ctrl + shift + enter 를 눌러서 admin 권한을 획득합니다.

2. Static으로 설정하고자 하는 아이피어드레스와 맥어드레스를 확인합니다.

3. 명령프롬프트창에서 netsh -c "interface ipv4" 를 입력합니다. 잠시후에 'netsh interface ipv4>' 를 보실 수 있을겁니다.

4. set neighbors "Connection_name" "A.B.C.D" "XX-XX-XX-XX-XX-XX" 를 입력합니다.

예를 들어서 set neighbors "로컬영역연결" "192.168.10.1" "1e-1e-1e-1e-1e-1e" 이런식으로 입력하시면 됩니다.

이제 명령창에서 arp -a 를 통해  static으로 지정된 아이피를 확인하실 수 있습니다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

터미널 서비스는 관리자용 세션이 두개 접속이 가능 합니다.
그런데 가끔 그 세션이 끊기지 않아 두개가 다 서버에 남아 있을 때,  접속자 초과라는 메세지가 나오는데 로컬 컴에서 명령프롬프트로 세션을 끊어 주는 방법이 있습니다.
먼저 원격서버와 똑같은 아이디,패스워드로 로컬컴에 로그인 합니다.
그 후 명령프롬프트를 띄운 후


tsdiscon 1 /server:서버ip를 하시면 됩니다.


세션이 두개니까 나머지도 끊을려면
tsdiscon 2 /server:ip 하면 되겠죠
주의사항은 띄어 쓰기만 주의하면 됩니다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

http://www.orkspace.net/secdocs/

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

1. 먼저 프로그램 기능/변경에서 nProtect를 모두제거합니다

2. http://www.15660808.co.kr/ 로 들어가서 6. npkcrypt.sys 잠김처리파일 클릭후 실행하고

3. 4. 키크립트 최신베타버전-Core 2 CPU 클릭후 설치합니다

끝 ^^

그리고 쿼드 cpu제품은 바이오스 설정들어가서 QUAD CPU 설정을 해제한뒤사용하면됩니다

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

register.bat로 등록 / unregister.bat로 삭제

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

http://www.domaintools.com

http://www.whois.sc

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

/////////////////////////////////////////////////////////////////////////////////////////////
/////////////////////////   보안 점검 사항 & 웹 호스팅 서버 설정
//////////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////
6차 수정 : 2003년  4월  9일  -추가사항 : 서비스 중지시 다시 시작하게
지정하기(필수..)
5차 수정 : 2003년  3월 28일  -추가사항 : 다른 SQL 서버에서 백업한
데이터베이스를 리스토어 했거나
     attach 를 이용하여 데이터를 생성후  설정사항
4차 수정 : 2003년  3월 22일  -추가사항 : Database 백업 자동화 구성/IIS
LockDown/URLScan 설치
3차 수정 : 2003년  1월 27일  -추가사항 : 서비스팩 및 hotfix 설치 방법
2차 수정 : 2003년  1월 21일  -추가사항 : 이벤트 로그 크기 및 보유 방법
1차 수정 : 2002년 12월 30일
**서버에서는 ipsec에의한 ping 차단 정책을 설정해 두었음.

참고 : 대림출판사:윈도우 웹서버 보안.
 ntfaq :
 IIS 5 보안 고려사항(Security Considerations):

;http://www.ntfaq.co.kr/notice/content.asp?tname=ntfaq_security&pid=44&page=5&keyword=&choice=
 보안 감사정책 :

;ttp://www.ntfaq.co.kr/notice/content.asp?tname=ntfaq_security&pid=81&page=1&keyword=&choice=
 웹호스팅 서버 설정 : http://www.superuser.co.kr/ (NT 쪽 참고)
 Database 백업 자동화 구성 : http://sqler.pe.kr/sql2k/102.asp

문서 저장 : Patch폴더

점검후 추가 사항 : iis에서 shell명령어 사용불가(exec  명령어):iis5.0은
기본설정이 불가인지 test해야됨.
   ;http://www.ntfaq.co.kr/ntfaq_view.asp?faq_no=210

/////////////////////////////////////////////////////////////////////////////////////////////
///////////////////////////////////    차    례
///////////////////////////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////
< A. 설치순서 >

< DNS 설정법 >

< B. 보안설정 가이드 >
 1. NTFS 계정
 2. 기초 설정
 3. 기본 서버 보안
 4. 고급 서버 보안
 5. 터미널 서비스 보안 설정
 6. IIS 설정(www)
 7. IIS 설정(ftp)
 8. 로그 크기 및 보유 방법

< C. 웹 호스팅 서버 설정법 >
 1. NT웹호스팅가입자그룹 생성하기
 2. NT웹호스팅가입자 계정생성하기
 3. NT웹호스팅가입자 홈디렉토리 구성하기
 4. NT웹호스팅가입자를 위한 가상웹사이트생성하기  (생략가능)
 5. NT웹호스팅가입자 웹사이트 등록하기(IIS)
 6. NT웹호스팅가입자 FTP사이트 등록하기  (기본 ftp를 그대로 이용해도 된다.)
 7. NT서버 데이터베이스사용자를 위한 MS-SQL셋팅하기
 8. NT가입자를 위한 특정페이지 인증하는 방법 (보통 가상 디렉토리를 이렇게
사용한다.)

< D. Database 백업 자동화 구성 >

< E. IIS 5.0 실행에 필요한 최소 NTFS 권한 >

< F. 추가 보안 사항 >
1. 기본 NTFS 설정 복원방법
2. IIS의 Content-Location에서 IP 주소를 숨기는 방법은 ?
3. 원격에서 nslookup으로 DNS서버의 데이터 확인 막기
4. 139포트,455포트에 대한 사용 불가능하게 설정하기(네트워크용 파일 프린트
공유 막기)
5. ping 막기(ipsec이용 : 대림출판사 <윈도우 웹서버 보안> 참고)
6. IIS LockDown(v2.1)/URLScan 설치(v2.5) - nttool/iislockdown 문서 참조
7. 서비스 중지시 다시 시작하게 지정하기(필수..)

< G. Q&A >

< H. Mail computer 설정 >

인터넷 서비스를 추가한 후 핫픽스와 서비스 팩을 다시 적용해야 합니까?

Q: Windows 2000 서버에 IIS를 설치하였지만 다른 인터넷 서비스는 설치하지
않았습니다.
그리고는 서버에서 메일을 보내는 웹 응용 프로그램용으로 SMTP 서비스를
추가하려고 합니다.
SMTP 서비스를 추가하면 최신 서비스 팩과 핫픽스를 다시 적용해야 합니까?

A: Windows NT 4.0의 경우 운영 체제에 SMTP 서비스 등의 서비스를 추가할 때마다
서비스 팩과 핫픽스를
다시 설치해야 했습니다.
하지만 Windows 2000에서는 기능이 향상되어서 소프트웨어, 서비스 또는
업데이트를 설치할 때 일반적으로
서비스 팩을 다시 적용하지 않아도 됩니다.
예를 들어, IIS가 없이 Windows 2000을 설치하고 서비스 팩 x(x: 최신 서비스 팩
번호)를 적용한 다음 IIS를
설치하면 바이너리(프로그램)의 버전 번호가 서비스 팩(SP) x와 같아질 것입니다.
따라서 SMTP 등의 서비스를 추가해야 할 때 수행해야 하는 작업량이 상당히
줄어듭니다.
하지만 핫픽스와 롤업의 경우는 이와 다릅니다. SMTP 서비스는 SP x와 같은
수준이 되지만 서비스와 관련된
핫픽스와 롤업은 다시 적용해야 합니다. 예를 들어, IIS를 제거하거나 다시
설치하는 경우 최근에 적용한
서비스 팩 릴리스 이후의 모든 IIS 핫픽스와 롤업을 다시 설치해야 합니다.

이러한 설치를 완벽하게 수행하는 가장 좋은 방법은 시스템에서 HFNetChk  또는
MSBA(Microsoft Security
Baseline Analyzer)를 사용하는 것입니다. 이 두 도구는 서버에 적용해야 할
핫픽스와 업데이트를 결정하는
가장 확실한 방법입니다. 그러므로 SMTP를 설치한 다음 이 도구 중 하나를
실행하면 어떤 핫픽스를 적용해야
하는지 알 수 있습니다.

/////////////////////////////////////////////////////////////////////////////////////////////
//////////////////////////////////    A. 설치순서
/////////////////////////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////
1. 윈도우 2000 설치(기본 or Detail하게)
2. 서비스팩
3. 익스플로러 업데이트
4. 미디어 플레이어 업데이트
5. 핫픽스 검사 및 설치(묶음)
6. 핫픽스 검사
7. sql 설치
8. master,msdb,model 백업
8. sql 서비스팩
9. 핫 픽스 검사 및 설치
10. 윈도우 업데이트 사이트 방문(MDAC 2.6, MSXQL2.6)
11. 핫 픽스 검사

/////////////////////////////////////////////////////////////////////////////////////////////
///////////////////////////////   B. 보안설정 가이드
//////////////////////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////
[ 차례 ]
1. NTFS 계정
2. 기초 설정
3. 기본 서버 보안
4. 고급 서버 보안
5. 터미널 서비스 보안 설정
6. IIS 설정(www)
7. IIS 설정(ftp)
8. 이벤트 로그 크기 및 보유 방법

***1. NTFS 계정***
1. 모든 드라이버(C,D..)의 root : everyone 제거 ,administrators-system
계정추가(all권한)
    , creator owner(all 권한-없어도 됨)
  **everyone을 제거하기전 환경은 inetpub의 디렉토리가 everyone에게 모든
권한이 있으며,
  단,wwwroot 디렉토리에서만은 everyone에게 [읽기 및 실행,폴더
내용보기,읽기]권한이 주어져 있다.
  ;everyone의 권한은 드라이버의 root에서 everyone계정을 제거 하더라도
   wwwroot 디렉토리에서는 everyone의 권한이 그대로 유지 된다.
 **추가 설명 : iis5.0에 필요한 최소권한을 참고

2. inetpub \ ftproot           -everyone 그룹 추가 (읽기 및 실행, 폴더
내용보기, 읽기 체크 )
    \ mailroot \ pickup -everyone 그룹 (읽기, 쓰기):cdo 콤포넌트를 이용한
asp에서만 메일을 보낼경우..
    \ wwwroot         -everyone 그룹 (읽기 및 실행, 폴더 내용보기, 읽기)
    \ nntproot           -everyone 그룹 (읽기 및 실행, 폴더 내용보기, 읽기)
    - 차후에nntp를 사용할때 권한을 부여하면 된다.
    \ AdminScripts -everyone 그룹 제거

 *추가 설명 : 1. IUSR_(Servername) 계정은 Read/Write 권한을 가지고 있지만,
               Pickup 폴더에 대해서는 Execute 권한을 거부(Deny)하는 것이
좋다.
       2. ftproot는 가상디렉토리를 사용할 경우 everyone에게 읽기 권한만
주어도 된다.

3. 웹사이트의 디렉토리
  ejoymart1 \ www - everyone 그룹 (읽기 및 실행, 폴더 내용보기, 읽기),
ftp계정 (모든 권한)

4. DB 저장 디렉토리
 Administrators 그룹만 남기고 나머지 모두 제거

---------------------
[현 서버 설정사항]
[NTFS 설정]
1. C:(레이블:system) /운영체제와 sql 서버만 깔려져 있음.
  -all권한(administrators,system,creator owner),
읽기-실행/폴더내용보기/읽기(everyone)

  \ inetpub \ AdminScripts -everyone 그룹 제거
   \ mailroot \ pickup -everyone 그룹(쓰기 권한 추가)

 *추가 설명 : 1. IUSR_(Servername) 계정은 Read/Write 권한을 가지고 있지만,
               Pickup 폴더에 대해서는 Execute 권한을 거부(Deny)하는 것이
좋다.

2. D:(레이블:Hosting) /웹 페이지 파일 및 www로그 파일 저장
 -administrators,system(all권한)

  \ ejoymart1(계정 및 db명과 동일) \ Logs
     \ WWW   -everyone 그룹(읽기 및 실행, 폴더 내용보기, 읽기)
      -- [파일 업로드 폴더]은 쓰기 권한을 준다.
 ** 주의 : 모든 보안 설정이 완료된 후  iislockdown을 설치한 다음에
    [파일 업로드 폴더]에 [web anonymous/web applications] 그룹이 쓰기 거부
권한이 되어 있는데
  이 2개의 <계정을 제거>

3. E:(레이블:DataBase) /웹 서비스에 필요한 db 저장
 -administrators(all권한), 다른 계정은 모두 삭제

  \ ejoymart1_DB(계정 및 db명과 동일)

[iis 설정]
1. www :  웹사이트 설명<ejoymart1(ejoymart.com)>
2. ftp :  기본 ftp 사이트 [익명연결 허용 안함] <쓰기
거부><목록스타일:Unix용>
  \ ejoymart1(가상디렉토리) <읽기, 쓰기, 방문기록>,  경로 = D:\ejoymart1 \
WWW

3. smtp : 등록정보 -> 엑세스 -> [연결] -> 아래목록만 체크, ip추가(현재 서버
ip)
        [릴레이] -> 설정 안함..

  -> 메시지 ->다음으로 배달하지 않은 메시지의 보고서 복사본 보내기.. -> 받을
메일주소

***2. 기초 설정***

1. 탐색기 보기 편하도록

2. 익스플로러 설정
 1) 자동 완성 해제
 2) 브라우저 닫을때 임시 폴더 비우기 (체크)

3. 화면보호기(암호 설정)/전원관리

4. CD-ROM 드라이브 경로 변경
 1) 컴퓨터 관리>>디스크 관리>> Z:
 2) 위치 : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion
 값 : SourcePath>> 경로 변경 Z:

5. 인터넷 익스플로러 에러 보고기능 제거
 1) 위치 : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
 DWARD 값 : IEWastonEnabled   (0) (16진수)

6. 불필요한 서브 시스템 제거
 1) 레지스트리 키 삭제
 위치 : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session
Manager\SubSystems
 값 : Os2,Posix - 삭제

 2) 파일 삭제
 위치 : %systemroot%/system32 폴더
 파일 : posix.exe, psxss.exe, os2.exe, os2srv.exe, os2ss.exe

7. 불필요한 스케줄러 제거
 1) 위치 :
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RemoteComputer\NameSpace
 항목 : {D6277990-4C6A-11CF-8D87-00AA0060F5BF} 항목 삭제

8. 가상 메모리 최적화 -시스템-고급-성능옵션
 1) 부트 파티션을 제외한 하드중 사용량이 적고 가장 빠른 하드 디스크로 옮김.
 2) 여러곳에 분할
  처음 크기 : 메모리의 1.5배(웹서버 기본메모리)
  최대 크기 : 메모리의 2.5배(익스체인지서버, SQL서버) 또는 3배 정도

9. 메모리 덤프의 최소화 -시스템-고급-시작및 복구
 1) 작은 메모리나 커널 메모리 덤프로 설정

***3. 기본 서버 보안***

1. 모든 사용 파티션의 파일 시스템을 NTFS로 변경
 >>데이타가 있을 경우 : CONVERT E: /FS:NTFS

2. 강력한 암호설정 : 영어, 숫자, 기호 조합

3. 계정관리
 1) Admin 계정 & Guest 계정 바꾸기
  (추가로 1개의 admin 계정 설정하기)

 2) 공개로컬 보안 인증에 대한 액세스 제한(익명 계정으로부터의 접근 제어)
 위치 : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
 값 : restrictanonymous (1) (16진수)

 3) guest 계정 및 TsInternetUser 계정 사용 중지.

4.익명 엑세스로부터 레지스트리 보호 (regedt32)
 -Hive: HKEY_LOCAL_MACHINE \SYSTEM
 -Key: \CurrentControlSet\Control\SecurePipeServers
 -Value Name: \winreg
 -winreg를 선택하고, "보안" 메뉴를 선택한 다음, "사용 권한"을 선택
  -Administrators : 모든권한
  -기타 계정및 그룹: 제거함

5. 공유 관리
 1) 관리 목적의 공유 제거>>재부팅후 다시 공유 되는것 막기
 위치 :
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
 값 추가 :AutoShareServer (REG_DWORD ,0)
 2) IPC$ : 시스템 시작시 마다 별도 제거
 2) print$ : print spooler 서비스 사용중지 해야됨.

6. 강력한 보안 정책
 1) 계정정책
 암호정책 >>복잡성 만족(사용),최근암호기억(6개),최대
암호길이(8문자),최소암호사용기간(1).

 2) 계정 잠금 정책
 계정 잠금기간 >>30분
 계정 잠금 임계값>>5번
 다음 ..~~ >>30분

 3) 감사 정책
 계정 관리 감사 (성공,실패)
 계정 로그온 이벤트 감사 (성공)
 시스템 이벤트 감사 (성공, 실패)
 정책 변경 감사 (성공, 실패)

 참고 : Windows 2000 IIS 5.0 웹 서버 감사를 위한 권장 사항(Microsoft 기술
자료 - 300549)
 -개체 액세스(감사 없음)
 -계정 관리(실패)
 -계정 로그온(성공,실패) - 실패에러가 너무 많이 뜨므로 실패는 사용안함으로
하는 것이 좋음.
 -권한 사용(실패)
 -디렉터리 서비스 액세스(실패) -Active Directory 가 아닐경우 필요 없음.
 -로그온(성공,실패)
 -시스템(감사 없음)
 -정책 변경(성공,실패)
 -프로세스 추적(감사 없음)

 4) 보안 옵션
 로그온 스크린에 마지막 사용자 표시 안함
 Admin 계정 & guest계정 바꾸기 ->앞에서 했음.

 >>보안 정책 저장

***4. 고급 서버 보안***
1. 서비스 (중첩되는 서비스(ex,services)들은 1개의 서비스를 중지시키면 약
20kb 정도의 메모리사용 감소
 1) 사용 중지를 권장하는 서비스들(또는 수동)
 .Application Management (수->사용안함)
 .Clipbook Service (수->사용안함)
 .Computer Browser (자->사용안함)
 .DHCP Client (자->사용안함) ; 고정 IP에서는 불필요
 .DHCP Server (자->사용안함)
 .Distributed File System (자->사용안함) ; (일명 DFS 임: DC 역할에서만 사용)
 .FAX (수->사용안함)
 .Internet Authentication Service (자동->수동) ; 구성요소중 <com 인터넷
서비스 프록시>
 .Messenger (자->사용안함)
 .Network DDE (수->사용안함)
 .Print Spooler (자->사용안함)
         ; 사용안함으로 할 경우 터미널 서비스로 접속후 접속을 끊고 나면
이벤트 서비스에서
  TermServDevices 에러 발생(무시 가능)
 .Remote Registry Service (자->사용안함) <<Emwac 에서는 반드시 필요.>>
 .Simple TCP/IP Services (자->사용안함) ; 구성요소중 <단순TCP/IP 서비스>
 .Smart Card (수->사용안함)
 .Smart Card Helper (수->사용안함)
 .Telnet (수->사용안함)
 .WINS (수->사용안함)
 .Windows Time (수->사용안함)
 .Task Scheduler (수->사용안함) ; 제어판의 <예약된 작업>을 사용 못하게 함.
 .기타 불필요한 서비스 사용중지(snmp,task scheduler)

** http://support.microsoft.com/default.aspx?scid=kb;KO;189271 참조

**(참고) :서비스 기능 중 필요 없는 기능리스트 및 설명(iis admin service는
web 서비스시 꼭 실행 돼야됨.)
(=>http://www.windowsitsecurity.com/Articles/Index.cfm?ArticleID=16301)
Clipbook Service,Computer Browser Service,IIS Admin Service,Internet
Connection Sharing Service,
Indexing Service,Infared Monitor Service,NetMeeting Remote Desktop Sharing
Service,
Remote Registry Service,Routing and Remote Access Service,Simple TCP/IP
Service,
SMTP Service,FTP Publishing Service,Telnet Service ,Task Scheduler
Service,Terminal Service,
Windows Media Services,World Wide Web Publishing Service

2. TCP/IP 필터링
 >>책 참조 (p206)

3. ipSec을 이용한 ping 차단
 >>책 참조 (p220)

4. 시스템 실행 파일
 1) Admin 그룹,System그룹만 모두 허용
(%systemroo%system32)->기본은Everyone,Power Users,Users(RE,R)
 **********************************************************
    [!!! IISLockDown 설치시 적용되므로 생략가능 !!!]
 **********************************************************
[!!! IISLockDown을 설치하면 <iuser_, iwan_> 계정에 대해서는 <all 거부>
권한이 주어짐.
단,iislockdown은 everyone 그룹과 users 그룹을 제거하지는 않으므로 **여기서
설정해주는 것이 더 안정적이다!!!]

 >>arp.exe, at.exe, cmd.exe, drwtsn32.exe, edit.com, edlin.exe, finger.exe,
ftp.exe
 >>ipconfig.exe, net.exe, netstat.exe, nslookup.exe, ping.exe, qbasic.exe,
rcp.exe,
 >>regedit.exe(Winnt\),regedit32.exe, rexec.exe, route.exe, runas.exe,
rsh.exe, syskey.exe
 >>telnet.exe, tracert.exe, tftp.exe, xcopy.exe

 2) system32/drwtsn32.exe의 크래쉬 덤프 파일 만들기 해제
 등록정보 >>크래쉬 덤프 파일 만들기 체크 해제

***5. 터미널 서비스 보안 설정***
1. TsInternetUser 계정 사용중지

2. 암호화 수준 [높음]으로
  터미널 서비스 구성>>연결>>Rdp~~>>등록정보>>일반>>암호화>>[높음]

3. 세션 설정
  터미널 서비스 구성>>연결>>Rdp~~>>등록정보>>세션
  1) 사용자 설정 무시 체크
   :연결 끊긴 세션 끝내기(30분)
   :활성세션 제한 (해당없음)
   :유휴 세션 제한(10분)

  2) 사용자 설정 무시 체크
   :세션 제한에 도달하거나 연결이 끊어지면 >>세션 끝내기

4.1 서버의 연결용 포트 변경하기
 1) 위치 : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal
Server\Wds\rdpwd\Tds\tcp
 값 :PortNumber (3d3,16진수,dword)(3389)>>(다른 포트 7003,10진수)로 변경

 2) 위치 :HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal
Server\WinStations\RDP-Tcp
 값 :PortNumber (3d3,16진수,dword)(3389)>>(다른 포트 7003,10진수)로 변경

 *****tcp/ip필터링이 적용 됐다면.. tcp포트에 해당 포트를 추가 해야됨.

4.2 클라이언트의 포트 변경
 >>터미널 클라이언트 연결관리자 실행.
  >>아이콘 생성되면 [내보내기] 실행 >파일 이름을 ???.cns로 저장..
 >메모장으로 열어서.
  Server Port=설정된 포트로 변경
  >>클라이언트 연결관리자 >>가져오기 >>위에서 수정한 파일 가져오기

**************************************************************************************************
*** 도메인(www.joymart.com)에서 이름을 따서
 [계정],[가상 ftp 별칭],[웹 디렉토리 명],[database 명],[웹사이트 명]으로
사용하면 편리하다.
  **단, 계정과 가상 ftp명은 반드시 동일 해야 한다.
**************************************************************************************************

***6. IIS 설정(www)***
*모든 웹서버에 공통 적용되는 것들은 "웹서버"의 "등록정보" [마스터 속성]에서
지정하면 편리(WWW.FTP)

1. 불필요한 가상 디렉토리 삭제 (웹서비스에서 지운다.)
**********************************************************
    [!!! IISLockDown 설치시 적용되므로 생략가능 !!!]
**********************************************************
 1) iis예제 : 가상 디렉토리 -\iissample :위치 -c\inetpub\iissample
 2) 데이터 액세스 : 가상 디렉토리-\msadc :위치 -c\program~\command
files\system\msadc
 3) iis 설명서 : 가상 디렉토리 -\iishelp :위치 -c\winnt\help\iishelp(파일은
지우면 안됨.)
 **가상 디렉토리 지우기 : IISADMPWD - 암호 재설정 할수 있는것임..

2. 확장자별 권한 할당. (각 분류별 디렉토리 할당 권유) --->위의 ***NTFS 권한
설정****을 적용 권유..
 CGI(exe,dll,cmd.pl)   >> admin-system(모든권한)
 스크립트 파일(asp)     >> 위와 동일
 include 파일 (inc,shtm,shtml)  >> 위와 동일
 정적 컨텐트(txt,html,그림파일)   >> Everyone(R),Admin-system(모든권한)

 >>static,include,script,executable,images 이런 식으로 폴더 생성 유도..

3. 정기적으로 불필요 파일 제거.(data폴더들만,**시스템 드라이브(C:)는 될수
있으면 건들지 말것.)
 >>log,tmp,bak등

4. 로그 파일. (변경시 바로 적용되므로 주의..)
 >> 웹 사이트의 폴더가 있는 곳에 iislog폴더를 따로 만들어 사이트별 로그
기록요함.
  (날짜의 경우는 매일 로그파일을 만들경우는 생략가능)
  >www의 경우
  :날짜, 시간, 클라이언트 ip,사용자 명,메서드, uri 스템(액세스한 리소스)
  :uri 쿼리, 프로토콜상태, win32상태, 사용자 에이젼트(클라이언트 프로그램)

  >ftp의 경우
  :날짜, 시간, 클라이언트 ip, 사용자 이름, 메서드, uri 스템,프로토콜
상태,win32상태

  >smtp의 경우
  :날짜, 시간, 클라이언트 ip,사용자 이름, 메서드, 프로토콜
상태,보낸바이트,받은바이트,걸린시간,
  win32상태

([Win32 Status 등록정보]는 디버깅 목적으로 사용할 때 유용하다.
로그를 판단할 때, error 5가 있다면 액세스 거부를 나타낸다.
다른 Win32 에러들은 명령 프롬프트에서 [[net helpmsg err]] 을 입력하여 무슨
뜻인지 확인할 수 있다.)

5. IIS 등록정보 환경설정
 **********************************************************
    [!!! IISLockDown 설치시 적용되므로 생략 !!!]
 **********************************************************
 1) 스크립트 매핑 제거(**사용하는지 안하는지 확인후 작업 실시)
 >>인터넷 서비스 관리자>인터넷 정보 서비스>등록정보>마스터
속성>www서비스>편집>홈 디렉토리>구성
 ex) 삭제 대상 (역할)
 .htr(웹기반 암호 재설정)
  -**중요:.htr 기능을 사용할 중요한 이유가 없다면 .htr extension을 반드시
제거해야한다.
 .idc(인터넷 데이터베이스 커넥터:all IIS 5 web sites should use ADO or
similar technology)
 .stm, .shtm, .shtml(Server-side includes)
 .printer(인터넷 인쇄)
 .htw,.ida,.idq(인덱스 서버)
 >>>>필요한것들..asp,asa,cer,cdx등..

6. 상위 경로 사용 해제 (".."사용 해제)  **보통 ".."를 사용 하는 경우가
많으므로 충분한 검토후 해제 바람.
 >>홈디렉토리>>구성>>상위 경로 사용

7. SyncAttack 에 유연한 레지스트리 설정 (p265참고)

***7. IIS 설정(ftp)***
**기본 ftp를 그대로 이용해서 모든 계정은 이 디렉토리를 거쳐서 자기 계정으로
갈수 있도록 한다.
** NTFS 권한  :\inetpub\ftproot(ntfs : everyone :읽기) - 가상디렉토리를 다른
곳에 생성할 경우
 >>기본 ftp사이트 등록정보
 1단계 : ftp 사이트 탭
  -로깅사용 체크->등록정보
  -로그 파일 디렉토리 : default 유지
  -확장 속성 : 날짜, 시간, 클라이언트 ip, 사용자 이름, 메서드, uri
스템,프로토콜 상태,win32상태

 2단계 : 보안계정 탭 :익명 연결허용 체크 해제

 3단계 : 홈디렉토리 탭
  -디렉토리 : (default 경로 유지 : \inetpub\ftproot)
     : 읽기, 방문기록(방문기록은 체크 해제해도 된다.wsftp의 log가 샇이지
않는다.)
     : 쓰기는 체크 해제
  -디렉토리 목록 : UNIX 용 체크(클라이언트에서 rwx보임)
 >> 가상디렉토리 생성
  -별칭 : 호스팅 가입자 계정명과 동일해야한다.
  -디렉토리 : 호스팅 가입자의 웹사이트의 홈 디렉토리(ntfs 권한 : 호스팅
가입자-admin-system:all)
  -엑세스 권한 : 읽기,쓰기
  (ftp 포트를 다른것으로 바꿔서 사용하는 것을 추천함..)

***8. 이벤트 로그 크기 및 보유 방법***
1. 로그 크기 권고 사항

로그  도메인 컨트롤러  파일/프린터/데이터베이스/웹
서버 RAS서버  워크스데이션
security 5-10M   2-4M     5-10M  1M
system  1-2M   1-2M     1-2M  1M
application 1-2M   1-2M     1-2M  1M

2. 로그 보유 권고 사항

로그   덮어쓰기 정책 설정
security  최소 21일 이후에 덮어쓰기 (2048KB)
system   최소 15일 이후에 덮어쓰기 (1024KB)
application  필요에 따라 덮어쓰기 (1024KB)
DNS   다음보다 오래된 이벤트(7일) (512KB)

/////////////////////////////////////////////////////////////////////////////////////////////
///////////////////////////////////   DNS 설정 절차
///////////////////////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////

회사 dns 서버 : 표준 주 영역
isp 업체 : 표준 보조 영역 (알려줘야 할 것들 : 영영
이름(도메인명:e-joymart.com),dns 서버의 IP주소 )
정방향 영역의 [영역 형식]은 FQDN(ejoymart.com. <-.으로 끝남) 을 사용한다.

[컴퓨터 명 등록]
1. 내컴퓨터->등록정보->네트워크 식별->등록정보
2. ID 변경
 - 컴퓨터 이름 : ns
 - 작업 그룹 : WORKGROUP
3. DNS 접미사 및 NetBios 컴퓨터 이름
 - 이 컴퓨터의 주  DNS 접미사 : e-joymart.com
 - 도메인 구성원 자격이 변경되면 주 DNS 접미사 변경 <체크>
 - NetBios 컴퓨터 이름 : NS

[정방향 /역방향 조회 영역]
1. [동작] -> [서버구성]
2. 정방향 조회 영역 : 예
3. 영역형식 : 표준 주 영역
4. 영역이름 : e-joymart.com
5. 영역파일 : 다음 이름으로 새 파일 만들기(e-joymart.com.dns)
6. 역방향 조회 영역 : 예
7. 영역형식 : 표준 주 영역
8. 역방향 조회 영역 : 210.182.34
9. 영역파일 : 다음 이름으로 새 파일 만들기 (34.182.210.in-addr.arpa.dns)
10. 마침.

[결과]
정방향 조회 영역 : ns.e-joymart.com
이름 종류 데이터
(부모 폴더와 같음) 권한의 시작 [1], ns., admin.
(부모 폴더와 같음) 이름 서버 ns.

역방향 조회 영역 : 210.182.34.x.Subnet
이름 종류 데이터
(부모 폴더와 같음) 권한의 시작 [1], ns., admin.
(부모 폴더와 같음) 이름 서버 ns.

[호스트 및 메일 교환기 등록]
**연결된 포인터 레코드 만들기 : 역방향 조회쪽에 포인터를 등록시키는 것이다.
**ip주소로 도메인을 찾도록 하려면 역방향 조회쪽에 포인터를 등록시켜야 한다.
[!! 역방향향 포인트 레코드는 안만드는 것이 보안상 좋음!!]

1. [새호스트..]
위치 : e-joymart.com(정방향조회 영역)

2. 이름 : 입력 없음
   ip   : 210.182.34.130
   연결된 포인터 레코드 만들기(PPT) : 체크.(ip 주소로 사이트 접속허용일
경우/역방향 생성됨)
   호스트 추가...(부모폴더와 같음 : 210.182.34.130)

3. 이름 : ns
   ip   : 210.182.**.***
   호스트 추가...(ns.e-joymart.com : 210.182.34.130)

4. 이름 : www
   ip   : 210.182.34.130(www서비스를 실행할 서버의 ip 주소)
   연결된 포인터 레코드 만들기 : 체크(ip 주소로 사이트 접속허용일
경우/역방향 생성됨)
   호스트 추가...

5. 이름 : mail
   ip   : 210.182.34.XXX(mail 서비스를 실행할 서버의 ip 주소)
   호스트 추가...

6. [새 메일 교환기...]

7. 호스트 또는 도메인 : 입력 안함.
   메일 서버 : mail.e-joymart.com.(찾아 보기를 이용해서 입력)
   메일 서버 우선 순위 : 10( default )

[결과]
<<<정방향 조회>>>
이름 종류 데이터
www 호스트 210.182.34.130
ns 호스트 210.182.34.130
mail 호스트 210.182.34.150
(부모 폴더와 같음) 호스트 210.182.34.130
(부모 폴더와 같음) 이름 서버 ns.e-joymart.com.
(부모 폴더와 같음) 메일 교환기 [10]  mail.e-joymart.com.
(부모 폴더와 같음) 권한의 시작 [6], ns.e-joymart.com., admin.e-joymart.com.

<<<역방향 조회>>>
이름 종류 데이터
(부모 폴더와 같음) 이름 서버 ns.e-joymart.com.
(부모 폴더와 같음) 권한의 시작 [3], ns.e-joymart.com., admin.e-joymart.com.
210.182.34.130 포인터 www.e-joymart.com.
210.182.34.130 포인터 e-joymart.com.

/////////////////////////////////////////////////////////////////////////////////////////////
//////////////////////////////   C. 웹 호스팅 서버 설정법
/////////////////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////
차례
1. NT웹호스팅가입자그룹 생성하기
2. NT웹호스팅가입자 계정생성하기
3. NT웹호스팅가입자 홈디렉토리 구성하기
4. NT웹호스팅가입자를 위한 가상웹사이트생성하기  (생략가능)
5. NT웹호스팅가입자 웹사이트 등록하기(IIS)
6. NT웹호스팅가입자 FTP사이트 등록하기  (기본 ftp를 그대로 이용해도 된다.)
7. NT서버 데이터베이스사용자를 위한 MS-SQL셋팅하기
8. NT가입자를 위한 특정페이지 인증하는 방법 (보통 가상 디렉토리를 이렇게
사용한다.)

********
설치 절차
**************************************************************************************************
*** 도메인(www.joymart.com)에서 이름을 따서
 [계정],[가상 ftp 별칭],[웹 디렉토리 명],[database 명],[웹사이트 명]으로
사용하면 편리하다.
  **단, 계정과 가상 ftp명은 반드시 동일 해야 한다.
**************************************************************************************************

참고 : 하나의 IP address에 여러 개의 웹사이트를 설정해 놓았을 경우:
 ; IP address로 접근하면 어느 홈페이지가 화면에 나타나는가 ?
 >>>  바로 [호스트 헤더 이름이 설정이 안된 웹서버]가 응답을 하게
되는것이다....

**아래의 예에서 사용되는 도메인은 www.joymart.com 의 경우로 한다.

1. NT웹호스팅가입자그룹 생성하기(생략!!)
 >그룹 이름 : WebHosting
 >설명 : 웹호스팅 가입자 그룹

2. NT웹호스팅가입자 계정생성하기
 >이름 : joymart (도메인(www.joymart.com))
 >전체이름 : joymart.com
 >설명 : joymart 폴더의 www폴더 엑세스
 >암호 변경할수 없음. 체크
 >암호 제한기간 없음. 체크
 >>소속 그룹을 1에서 만들어 놓은 곳으로 한다.

3. NT웹호스팅가입자 홈디렉토리 구성하기
 >>하드디스크를 따로 분리(파티션을 나눠서)해서 사용하면 편하다..
 >>>없을 경우 :
 root
     /Hosting(권한설정- admin-system:모든권한)
  /joymart(www.joymart.com의 경우)-(또는 가입자 계정과 동일한 디렉토리를
만들어도 됨)
   /Database :데이터베이스의 디바이스파일저장됨
   /Logs     :각종로그파일이 저장됨
   /www      :홈페이지 디렉토리(권한설정- everyone : 읽기및실행,
폴더내용보기,읽기 허용
                    호스팅 가입자 계정(joymart):all(ftp사용))

        >>디폴트 웹페이지(default.html) 1개 생성 or parking페이지 생성시켜
둔다.

4. NT웹호스팅가입자를 위한 가상웹사이트생성하기  (생략가능)
 >>www폴더 ->공유-> 웹공유(기본 또는 현재 실행되고 있는 웹사이트 지정)
      ->별칭(디폴트:디렉토리명과 동일)
      ->엑세스 권한 : 읽기
      ->실행 권한 : 스크립트

 >>test방법 : 웹공유에서 지정한 사이트명/별칭/

5. NT웹호스팅가입자 웹사이트 등록하기(IIS)

컴퓨터 관리 실행(인터넷서비스관리자에서 해도 됨) > 인터넷 정보 서비스 >
새로만들기 > web사이트

 1단계 : [웹 사이트 설명](다른사이트와 구분될수 있는 설명)
  >가입자명(도메인명) : joymartwww(www.e-joymart.com)
  >또는 도메인명 : e-joymart.com

 2단계 : [IP 주소 및 포트 설정]
  >"모두 지정되지 않음" 선택(default)
  **참고 : 만약 웹호스팅서비스를 운용하는 방식이
    가입자에게 개별적인 IP Address를 부여하는 Virtual IP Address방식이라면
    "이 웹 사이트에 사용할 IP 주소 선택"란에서 사용할 IP Address를 지정해
주면된다.
    하지만 대부분 한 개의 IP Address를 가입자 모두가 공유하는 Virtual
Domain방식이므로
   "모두 지정되지 않음"을 선택해야한다.

 3단계 : [웹사이트 홈 디렉토리] ([찾아보기]를 통해서)
  >/Hosting/joymart/www 로 설정
  >익명사용자 연결허용 체크(default)

 4단계 : [웹사이트 액세스 권한] 설정
  >읽기, 스크립트 실행 만 체크(default)

 5단계 : 웹사이트 등록확인
  >인터넷 정보 서비스 > 1단계에서 설정한 것이 나타나는지 확인

 6단계 : 웹사이트 등록정보(웹사이트 탭 :6단계~10 단계)
  >>방금 등록한 웹사이트에서 [등록정보] > "웹사이트" 탭 > 고급 (고급 복수
웹사이트 구성)

 7단계 : [고급 복수 웹사이트 구성] 설정
  >"이 웹 사이트의 복수 ID(M)"에서 작업
   default설정 -ip 주소 : 모두 할당되지 않음   -TCP 포트 : 80

    >>위의 항목을 선택하고서 [편집](고급 웹사이트 확인 창에서)
   -> 호스트 헤드 이름 : www.e-joymart.com(도메인)
    >>[추가]
   -> -ip 주소 : 모두 할당되지 않음
      -TCP 포트 : 80
      -호스트 헤드 이름 : e-joymart.com(url창에서 e-joymart.com 을 입력해서
사용 가능.)

  >>>>>>>실제적으로 여기에서 설정한 것이 홈페이지의 주소가 된다.

 8단계 : 도메인정보 등록확인
  >"이 웹사이트의 복수 ID(M)" 쪽에 아래와 같이 설정 되었는지 확인
  -ip 주소 : 모두 할당되지 않음   -TCP 포트 : 80   -호스트 헤드 이름 :
www.e-joymart.com
  -ip 주소 : 모두 할당되지 않음   -TCP 포트 : 80   -호스트 헤드 이름 :
e-joymart.com

 9단계 : 웹사이트 로그파일설정
  >"로깅사용" 체크 -> 등록정보
   - 로그파일 디렉토리 : 3번의 가입자 홈디렉토리 구성에서 만든 곳으로
지정(joymart/logs)
   - :날짜, 시간, 클라이언트 ip,사용자 명,메서드, uri 스템(액세스한 리소스)
     :uri 쿼리,프로토콜상태,win32상태,사용자 에이젼트

 10단계 : 웹사이트 등록정보(운영자 탭) (생략)
  ( 웹호스팅 전문으로 하는 업체에서는 설정. )
  > 호스팅 가입자 추가

 11단계 : 웹사이트 등록정보(성능 탭)
  > default  설정 유지
 12단계 : 웹사이트 등록정보(홈디렉토리 탭)
  >읽기, 방문기록, 리소스 색인화(체크 확인)
  >>다른 것은 default 설정 유지

 참고::::
    ◎ 이 컴퓨터에 있는 디렉토리
  : 현재 사용중인 컴퓨터에 있는 디렉토리를  웹사이트의 홈페이지디렉토리로
사용함.
   대부분 이것을 선택한다.

           ◎ 다른 컴퓨터에 있는 공유디렉토리
  : SUN에서 사용할 수 있는 NFS와 비슷한 기능을 흉내낼 수 있는 것으로
  다른컴퓨터에 있는 디렉토리를 공유하여 홈페이지 디렉토리로 사용한다.

           ◎ URL로 방향전환
  : 도메인포워딩이 가능한 것으로 URL로 다른곳을 지정 할 수있다.

 13단계 : 웹사이트 등록정보(문서탭)
  >기본 문서 등록(index.asp)

 14단계 : 웹사이트 등록정보(디렉토리보안)
  >익명 인증 ,윈도우즈 통합인증 (체크확인)
  >default 설정유지

 15단계 : 웹사이트 등록정보(사용자정의 오류)
  >default 설정유지
  >계발용이면,가상 디렉토리를 만들어서 asp에 대한 도움말을 볼수 있도록 한다.
   1)가상 디렉토리 별칭 : iishelp
   2)경로 :\WINNT\Help\iisHelp\common
   3)나머지는 default 설정
   4)[해당 사이트]에서 [등록정보] -> [사용자 정의 오류]탭->http오류
    -500;100 ->등록정보편집->url->/iishelp/500-100.asp 입력

 26단계 : 웹사이트 실행(시작)하기

6. NT웹호스팅가입자 FTP사이트 등록하기  (기본 ftp를 그대로 이용해도 된다.)
 >>기본 ftp사이트 등록정보
 1단계 : ftp 사이트 탭
  -로깅사용 체크->등록정보
  -로그 파일 디렉토리 : default 유지
  -확장 속성 : 날짜, 시간, 클라이언트 ip, 사용자 이름, 메서드, uri
스템,프로토콜 상태,win32상태

 2단계 : 보안계정 탭 :***익명 연결허용 체크 [[해제]]***중요

 3단계 : 홈디렉토리 탭
  -디렉토리 : (default 경로 유지 : \inetpub\ftproot)
     : 읽기, 방문기록(방문기록은 체크 해제해도 된다.wsftp의 log가 샇이지
않는다.)
     : 쓰기는 체크 해제
  -디렉토리 목록 : UNIX 용 체크(클라이언트에서 파일의 권한(rwx) 보임)

 >> 가상디렉토리 생성
  -별칭 : 호스팅 가입자 계정명과 동일
  -디렉토리 : 호스팅 가입자 홈 디렉토리
  -엑세스 권한 : 읽기,쓰기
  (ftp 포트를 다른것으로 바꿔서 사용하는 것을 추천함..)

7. NT서버 데이터베이스사용자를 위한 MS-SQL셋팅하기
**************************************************************************************************
*****************
계정 생성 절차 :
;;로그인 계정 생성 -> 사용자 설정(계정생성시 or 해당 db에서 사용자 추가
이용)
 -> 역할 권한 설정 -> 개체에 대한 권한 부여
******************************************
***계정***
** 1. [SQL Server 의 (보안)]
 : [로그인 계정]을 관리 하는 곳 - sql 서버에 접속할수 있는 계정
** 2.[특정 database내에서의 (사용자)]
 : [사용자 계정]을 관리하는 것 - 해당 db를 사용(select등)할수 있는
계정(로그인에 계정이 있어야 한다.)
**특정 db에 대해서 select의 권한을 얻으려면
 >> [로그인 계정]과 해당 db에서 [사용자 계정]이 있어야 되며, 개체에 대한
권한이 부여되어야 한다.

**DB(joymart)를 사용할수 있는 역할(권한) 설정(주로 MCL명령어 관련) -해당
db에서 이 사용자가 할수 있는 작업들을 설정
 : 해당 db(joymart)의 [등록정보]에서 작업.(테이블 만들기, 뷰만들기,sp만들기,
등등.. )
 >>DB의 관리자 격이다...

**특정 table이나 개체에 대한 권한 부여(DML관련 명령-select ,insert,..)
 : [특정 database내에서의 (사용자)] -> 특정 사용자 ->모든 작업-> 사용권한
또는,
 : [특정 table나 뷰]에서 [사용권한]을 설정해도 된다.

 : 이 작업은 table를 사용하는 사용자 들에게만 해주면 된다.

**************************************************************************************************

 1) sa로 로긴

 2) db 생성(joymart) ->경로는 database로 설정 - 파일 최대값을 설정하지
않는다.

 3) SQL Server 로그인 계정 생성
  (- SQL Server 쪽의 [보안](database 내에서의 사용자가 아님.)->[로그인] ->
새로그인 ...)

    ---[SQL Server 로그인 속성- 새로그인]  창에서
  :[일반]탭
   - 이름 : 계정명
   - 인증 : SQL Server 인증
   - 기본값 : 데이터베이스 : 2)에서 생성한 기본값(이 계정으로 접속하면
연결되는 db)
      언어 : 기본값(한글 MS-SQL일 경우 default 설치면 korean_ws)

  :[데이터베이스 엑세스]탭
   - 접근허용할 db 에 체크
    (joymart DB의 [사용자] -> [새 데이터베이스 사용자.]에서 추가 해도 된다.)
   - [데이터베이스의 역할]은 public 만 유지한다.
    (*** 만약 db_owner 에 체크를 하게 되면,
     이 계정으로 접근 허용한 db에서 [데이터베이스 사용자]탭이 활성화된다.
       **그러나, 해당 사용자를 추가시킬 수는 있지만 [로그인 계정]을 만들
수는 없다.)

 4) DB(joymart)를 사용할수 있는 역할(권한) 설정  -<<<해당 db(joymart)의
[등록정보]에서 작업.>>>
  **DCL관련 명령어(테이블 만들기,뷰 만들기,..)
  **해당 DB의 관리자 격이다.
  :해당계정 선택 : 모든 것을 체크(다 해도 상관없다.)
    -테이블 만들기, 뷰만들기,sp만들기, 등등..
    -***일반 사용자들의 경우는 이작업을 생략해야 된다.

 ***추가 계정을 만든후 그 계정들은 특정  table 이나 뷰만 사용 하게 할려면:
  : [해당 database의 사용자]에서 [모든작업]->[사용권한]을 설정하거나
  :아니면 [특정 table나 뷰]에서 [사용권한]을 설정해도 된다.

 5)이후 이 db의 작업은 위에서 만들어둔 계정으로 접속을 해서 작업(table
만들기등)

8. NT가입자를 위한 특정페이지 인증하는 방법 (보통 가상 디렉토리를 이렇게
사용한다.)
 1) 인증에 의한 로긴을 할 [특정 사이트]의 [등록정보]
  >[디렉토리 보안] 탭 -> "익명 엑세스 및 인증제어" ->편집
   -익명 액세스(A)  : 체크 해제
   -기본 인증 : 체크
   -Windows 통합인증 :체크(default)
   ('기본인증' 방법:특정사용자만을 ID와 패스워드로 인증하여 접근을 허용할 수
있도록 하는 것.)

 2)탐색기 ->인증할 [디렉토리]의 등록정보 -> [보안]탭
   : everyone 계정 제거 , 특정사용자 추가 (all권한)

 3)해당 사이트입력, -> 시스템 로그온 다이얼 로그 박스 뜸..

[ 용어 설명  ]
Virtual IP Address방식 : 가입자에게 개별적인 IP Address를 부여하는 방식의
웹서비스
 - "이 웹 사이트에 사용할 IP 주소 선택"란에서 사용할 IP Address를 지정해
주면된다.
Virtual Domain방식 :한 개의 IP Address를 가입자 모두가 공유하는 방식의
웹서비스
 - "이 웹 사이트에 사용할 IP 주소 선택"란에서 모두 지정되지 않음"을 선택해야
된다.

/////////////////////////////////////////////////////////////////////////////////////////////
//다른 SQL 서버에서 백업한 데이터베이스를 리스토어 했거나 attach 를 이용하여
데이터를 생성후//
//////////////////////      설정사항      /////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////

--[DB를 백업한다.]
 BACKUP DATABASE pubs TO DISK = 'c:\pubs1' WITH INIT

[DB를 detach로 떼어낸다.]

 EXEC sp_detach_db 'pubs', 'true'

[다른 SQL 서버에 DB 연결하기]
--1. 기존 db(attach한 db)의 사용자와 동일한 로그인계정을 만든다.
--Add the new login.
 USE master
 go
 EXEC sp_addlogin 'attach한 db의 사용자명' , 'PWD'
 go

--2. Attatch 시킨다.
-- 1) MDF 만 존재할 경우 :
 EXEC sp_attach_single_file_db 'DB명' ,
  '경로명\pubs.mdf'

--2)MDF, LDF 가 존재할 경우
 EXEC sp_attach_db @dbname = N'pubs',
    @filename1 = N'c:\Program Files\Microsoft SQL
Server\MSSQL\Data\pubs.mdf',
    @filename2 = N'c:\Program Files\Microsoft SQL
Server\MSSQL\Data\pubs_log.ldf'

--3. attach한 db의 SQL Server 사용자와 Microsoft® SQL Server™ 로그인
계정을 일치 시킨다.
[사용자의 로그인 변경]
--Change the user account to link with the 'attach한 db의 사용자명' login.
 USE DB명
 go
 EXEC sp_change_users_login 'Update_One', 'attach한 db의 사용자명', '1번에서
만든 로그인계정'

/////////////////////////////////////////////////////////////////////////////////////////////
///////////////////////////////    D. Database 백업 자동화 구성
////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////
1. 해당 데이터베이스->유지관리 계획

2. 데이터베이스 선택

3. 데이터 최적화 정보 업데이트
 -데이터와 인덱스 페이지 다시 구성
 -페이지당 빈 공간 비율을 다음으로 변경 (10)
 -(1주마다 일요일에, 오전 3:00:00에)

4. 데이터베이스 무결성 검사
 -데이터베이스 무결성 검사
 -인덱스포함
 -백업 실행전에 다음 검사 수행
 -(1주마다 일요일에, 오전 2:00:00에)

5. 데이터베이스 백업 계획 지정
 -유지관리계획의 일부로 데이터베이스 백업
 -완료시 백업 무결성 확인(디스크)
 -(1주마다 일요일에, 오전 4:00:00에)

6. 백업 디렉터리 지정
 -디렉터리 지정 (e:\BKUP_DataBase\db_back)
 -데이터베이스마다 하위 디렉터리 만들기
 -다음보다 오래된 파일 제거 (4주)
 -백업파일 확장명 (MBK : Masterdb BacKup)

7. 트랜잭션 로그 백업 계획 지정
 -유지 관리 계획의 일부로 트랜잭션 로그 백업
 -완료시 백업 무결성 확인
 -디스크
 -(1주마다 월,화,수,목,금,토요일에, 오전 4:00:00에)

8. 트랜잭션 로그 백업 디스크 디렉터리 지정
 -디렉터리 지정 (e:\BKUP_DataBase\tlog_back)
 -데이터베이스마다 하위 디렉터리 만들기
 -다음보다 오래된 파일 제거 (4주)
 -백업 파일 확장명 (TRN : 디폴트)

9.생성할 보고서
 -보고서를 다음 디렉터리 텍스트 파일로 쓰기 (디폴트 - \Microsoft SQL
Server\MSSQL\LOG)
 -다음보다 오래된 텍스트 보고서 파일 삭제 (4주)

10. 유지 관리 계획 기록
 -로컬 서버
 -이 서버의 msdb.dob.sysdbmaintplan_history 테이블에 기록쓰기
 -이 계획의 테이블 행 수를 1000행으로 제한

11. 완료

12. 운영자 등록
 -관리 -> SQL Server 에이전트 -> 운영자
 -일반탭 : 이름등록, Net Send 등록(ip)
 -알림탭 : net send 쪽에 모두 체크,운영자가 알림메시지를 받을 수 있음 체크

/////////////////////////////////////////////////////////////////////////////////////////////
///////////////////////////////  E. IIS 5.0 실행에 필요한 최소 NTFS 권한
///////////////////
/////////////////////////////////////////////////////////////////////////////////////////////

IIS 5.0 실행에 필요한 최소 NTFS 권한

마지막으로 수정한 날짜 : 13-Jun-2001
문서 번호: KR271071
--------------------------------------------------------------------------------
본 문서의 정보는 다음의 제품에 적용됩니다.:
Microsoft Internet Information Services 5.0
--------------------------------------------------------------------------------

**현상
 이 문서에서는 IIS 5.0 웹 사이트에 필요한 최소 NTFS 액세스 권한에 대해
설명합니다. IIS를
 설치할 때 이미 기본 웹 사이트와 기본 FTP 사이트에 대해 적절한 NTFS 액세스
권한을 갖고
 있어야 합니다. 올바른 NTFS 권한이 필요한 폴더가 많이 있습니다. 이러한 폴더
중 하나의 설정이
 틀리면 다음 중 하나 이상의 오류가 발생할 수 있습니다.

웹 브라우저의 오류:

 You are not authorized to view this page
  You do not have permission to view this directory or page using the
   credentials you supplied.

  HTTP 401.3 - Access denied by ACL on resource
  Internet Information Services

-또는-

웹 브라우저의 오류:

 Server Application Error
  The server has encountered an error while loading an application during
the
   processing of your request. Please refer to the event log for more
detailed
   information. Please contact the server administrator for assistance.

시스템 로그의 오류 설명:

 Event Type: Warning
 Event Source: W3SVC
 Event Category: None
 Event ID: 36
 Date: 3/5/2001
 Time: 9:59:40 AM
 User: N/A
 Computer: MACHINE-NAME
 Description:
 The server failed to load application '/LM/W3SVC/5/Root'. The error was
  'General access denied error'.
 For additional information specific to this message please visit the
Microsoft
  Online Support site located at:
 http://www.microsoft.com/contentredirect.asp.

 Event Type: Error
 Event Source: DCOM
 Event Category: None
 Event ID: 10001
 Date: 3/5/2001
 Time: 9:59:40 AM
 User: NT AUTHORITY\SYSTEM
 Computer: MACHINE-NAME
 Description:
 Unable to start a DCOM Server: {99169CB1-A707-11D0-989D-00C04FD919C1} as
  ./IWAM_MACHINE-NAME.
 The error: "Access is denied. " Happened while starting this command:
  C:\WINNT\System32\dllhost.exe
 /Processid:{3D14228D-FBE1-11D0-995D-00C04FD919C1}

-또는-

웹 브라우저의 오류:

 Error: Access is Denied.

시스템 로그의 오류 설명:

 Event Type: Warning
 Event Source: W3SVC
 Event Category: None
 Event ID: 30
 Date: 3/5/2001
 Time: 10:01:13 AM
 User: N/A
 Computer: MACHINE-NAME
 Description:
 The server was unable to read the file
C:\WINNT\help\iisHelp\common\401-3.htm.
  The file does not exist.
 For additional information specific to this message please visit the
Microsoft
  Online Support site located at:
http://www.microsoft.com/contentredirect.asp.

**원인
NTFS 권한이 기본 설정에서 변경되어 IIS 5.0 실행 권한으로는 충분하지
않습니다.

**해결 방법
참고: 본 문서에서 설명하는 단계를 수행하면 IIS 5.0 컴퓨터에서 관리자만
소프트웨어를 설치하거나
실행할 수 있도록 권한이 제한됩니다. 이 문서에서 지정한대로 권한을 재설정한
후에는 인터넷
서비스 관리자를 통해 각 웹 사이트에 대해 Server Extensions 확인 작업을
수행해야 합니다.
FrontPage 클라이언트가 HTTP 프로토콜을 사용하여 연결될 수 있으려면 이 단계가
필요합니다.

Windows 탐색기를 사용하여 다음과 같이 하십시오.

 1. 전체 하드 드라이브를 다음과 같이 설정합니다.

  SYSTEM - 모든 권한
  ADMINISTRATORS - 모든 권한

 이렇게 설정하려면 고급을 누르고 모든 자식 개체의 사용 권한 재설정 및 상속
가능한
  사용 권한 전파 허용을 선택합니다.

 참고: Pagefile.sys 파일에 사용 권한을 적용하려고 하면 오류 메시지가
나타납니다.
   이 오류 메시지와 유사한 모든 오류 메시지에 대해 계속을 누르십시오.

 2. Program Files\Common Files의 경우 Everyone을 추가하고 읽기 및 실행, 폴더
내용 보기
   및 읽기를 선택합니다.

  참고: 부모로부터 상속 가능한 사용 권한을 이 개체로 전파할 수 있음 확인란을
   선택 취소하지 마십시오.

 3. Inetpub\Wwwroot의 경우 IUSR_MACHINE을 추가하고 읽기 및 실행, 폴더 내용
보기 및 읽기를
  선택합니다.

  참고: 부모로부터 상속 가능한 사용 권한을 이 개체로 전파할 수 있음 확인란을
   선택 취소하지 마십시오.

 4. Winnt\System32 폴더에서 Inetsrv 폴더와 Certsrv 폴더를 제외하고 모든
폴더를 선택합니다.

  이러한 폴더의 등록 정보 시트를 열고 부모로부터 상속 가능한 사용 권한을 이
개체로 전파할
   수 있음을 선택 취소합니다. 나타나는 대화 상자에서 복사를 누릅니다. 확인을
눌러 등록
   정보 시트를 종료합니다.

 5. Winnt 폴더에서 Downloaded Program Files, Help, IIS Temporary Compressed
Files,
  Offline Web Pages, System32, Tasks, Temp 및 Web 폴더를 제외하고 모든
폴더를 선택합니다.

  이러한 폴더의 등록 정보 시트를 열고 부모로부터 상속 가능한 사용 권한을 이
개체로
  전파할 수  있음을 선택 취소합니다. 나타나는 대화 상자에서 복사를 누릅니다.
확인을 눌러
  등록 정보 시트를 종료합니다.

 6. Winnt의 경우 Everyone을 추가하고 읽기 및 실행, 폴더 내용 보기 및 읽기를
선택합니다.

  참고: 부모로부터 상속 가능한 사용 권한을 이 개체로 전파할 수 있음 확인란을
  선택 취소하지 마십시오.

 7. Winnt\Temp(ASP 페이지에서 Access 데이터베이스를 볼 수 있게 해줌)의 경우
Everyone 그룹
  (이 그룹은 Winnt 폴더에서 상속하여 이미 존재해야 함)을 선택하고 수정을
선택합니다.

**추가 정보
 각 시스템 관리자의 필요에 맞게 사용 권한을 특수화할 수도 있지만
IUSR_MACHINE 계정 대신
 Everyone 그룹을 사용하는 것이 좋습니다.

 Everyone 그룹은 사용자 그룹, IUSR_MACHINE 계정 및 IWAM_MACHINE 계정을
포함합니다.

 IIS 5.0에서는 웹 페이지를 실행하는 데 별도의 두 가지 계정을 사용합니다.
익명 인증을 사용할
 경우 IIS는 IUSR_MACHINE 계정을 사용하여 해당 페이지를 봅니다. 그러나,
Dllhost.exe라는
 별도의 프로세스를 시작할 때는 IWAM_MACHINE을 사용합니다. 모든 ASP(Active
Server Page),
 구성 요소 개체 모델(COM) 구성 요소 또는 기타 ISAPI 확장(ASP는 ISAPI
확장으로 간주됨)이
 Dllhost.exe 프로세스 내부에서 실행됩니다. 이것은 주로 안정성을 위한
것입니다. ASP 페이지에서
 호출된 사용자 지정 COM 구성 요소가 동작하지 않아도 즉, 액세스 위반으로 인해
프로세스가
 중단되어도 Inetinfo.exe가 영향을 받지 않아 웹 서비스가 계속 실행됩니다.

 IIS 4.0의 두 가지 보호 수준은 아래와 같습니다.

  *기본설정: IIS 4.0이 프로세스 내 즉, SYSTEM 계정에 의해 시작되는
Inetinfo.exe
  프로세스 내부에서 모든 응용 프로그램을 시작합니다. 웹 페이지가 나타나면
해당 페이지를
  서비스하는 특정 스레드가 IUSR_MACHINE 계정의 컨텍스트에서 실행됩니다. HTM,
ASP 및
  그 밖의 다른 ISAPI 확장이 Inetinfo.exe 내부에서 실행됩니다.

  *구분 메모리 공간에서 실행(격리된 프로세스): 이를 out-of-process라고도
합니다.
  IWAM_MACHINE 계정을 사용하여 ASP와 그 밖의 다른 ISAPI 확장을 실행하는
별도의 Mtx.exe
  프로세스를 만듭니다.

 IIS 5.0의 세 가지 보호 수준은 아래와 같습니다.

  *낮음(IIS 프로세스): 이 설정은 IIS 4.0의 기본 설정과 유사합니다. 모든 웹
페이지가
   HTM인지 아니면 ASP인지에 관계 없이 Inetinfo.exe 프로세스 내부에서
실행됩니다.

  *보통(풀링됨): 이것이 기본값입니다. IIS 4.0에서처럼 이 설정은 모든 ASP 및
COM 구성
   요소가 실행되는 Dllhost.exe라는 별도의 프로세스를 시작합니다. 이
프로세스는
   IIS 4.0에서처럼 IWAM_MACHINE 계정에 의해 시작됩니다. 또한, 이 설정은
IIS에서
   실행하는 모든 웹 사이트가 ASP 페이지를 실행하는 데 이 단일 Dllhost.exe를
   공유하므로 풀링됨이라고도 합니다. Windows 2000에서는 Mtx.exe가
Dllhost.exe로
   대체됩니다.

  *높음(격리됨): 이 설정은 각 웹 사이트나 응용 프로그램에 대해 전용
Dllhost.exe 프로세스를
  시작합니다. 5개의 웹 사이트가 있고 각각 높은 수준의 보호로 설정되어 있으면
총 6개의
  Dllhost.exe 프로세스 즉, 5개의 Dllhost.exe 프로세스 외에 시스템 응용
프로그램 아래에서
  COM+가 시작하는 추가 Dllhost.exe 프로세스 하나가 더 시작됩니다.

/////////////////////////////////////////////////////////////////////////////////////////////
//////////////////////////////////   F. 추가 보안 사항
//////////////////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////
[ 차례 ]
1. 기본 NTFS 설정 복원방법
2. IIS의 Content-Location에서 IP 주소를 숨기는 방법은 ?
3. 원격에서 nslookup으로 DNS서버의 데이터 확인 막기
4. 필수:**139포트,455포트에 대한 사용 불가능하게 설정하기(네트워크용 파일
프린터 공유 막기)
5. ping 막기(ipsec이용 : 대림출판사 <윈도우 웹서버 보안> 참고)
6. IIS LockDown/URLScan 설치
7. 서비스 중지시 다시 시작하게 지정하기

*** 1. 기본 NTFS 설정 복원방법 ***
Windows 2000
1. MMC.EXE 를 시작한다.
2. 콘솔 메뉴에서 Add/Remove Snap-in을 선택한다.
3. Security Configuration and Analysis Snap-in을 추가한다.
4. Close 를 클릭하고 OK를 클릭한다.
5. Security Configuration and Analysis root에서 오른클릭하고 Open database를
선택한다.
6. 새로운 데이터 베이스의 이름을 입력하고 OK를 클릭한다.
7. “basicwk.inf” 템플릿을 선택하고 OK를 클릭한다.
8. 다시 노드에서 오른클릭하고 “Configure Computer Now”를 선택한다.

*** 2. IIS의 Content-Location에서 IP 주소를 숨기는 방법은 ? (포트 스케닝을
통한 ip누출예방)
(현 서버에서는 설정 안함.)
  상황 : Content-Location: http://192.168.0.44/Default.htm
  패치후 : Content-Location: http://homer.test.bh.tm/Default.htm

  IIS 메타베이스에 있는 W3SVC 키에 UseHostName이라는 값을 추가해 주면 된다.
  ADSUTIL은 기본적으로 설치되어 있다.(위치 : ../inetpub/adminscripts)

  명령 프롬프트를 열어서 다음과 같이 입력한다.
  adsutil set w3svc/UseHostName True

*** 3. 원격에서 nslookup으로 DNS서버의 데이터 확인 막기
DNS서버의 웹사이트의 등록정보에 보면 “영역 전송” 탭에서 체크박스를
체크해주고
아래에 영역을 전송할 서버를 입력하여 주면 됩니다.
 >>이름 서버탭에 나열된 서버로만,, 혹은  다음 서버로만..->ip추가
  (prompt:>nslookup
   >set type=ns :보고자하는 dns정보가 네임서버(ns)라는 것을 알림
   >server ns.mcse.co.kr :ns의 위치를 nslookup에 의한 맨 처음의
default서버의 ip에서 ns.mcse.co.kr로 변경
   >ls -d mcse.co.kr : 모든 레코드 정보 출력>>>>이 정보가 출력되는것을 막는
것이 목적이다.)

*** 139포트,455포트에 대한 사용 불가능하게 설정하기(널 세션 공유 막기)
 (**주의: 1. 단, 파일 프린터 공유를 해제한 컴퓨터는 네트워크 환경에 나타나지
않으며,
   컴퓨터 찾기를 통해서도 나타나지 않는다. 공유폴더가 존재해도 연결이
안된다.

          2. "서버가 트랜잭션을 구성할수 없읍니다." 및 이벤트 뷰어에
Browser에러가 뜬다
                    >>>>에러 막는 방법 : 이벤트 뷰어를 참고로 하여 computer
browser service를 중지)

 >>[네트워크 환경]->등록정보
 ->[로컬영역연결]->등록정보->일반탭->네트워크용 파일 프린트 공유 체크 해제

 >>또는 [네트워크 환경]->등록정보->메뉴의 [고급]->[고급 설정]
 -> [연결]의 설정할 연결 선택->[로컬 영역 연결 바인딩]->MS네트워크용 파일 및
프린터 공유 체크 해제

 참고 포트:
 139 포트 - NetBIOS 전송포트(client에서 EM으로 SQL 접근시 열려 있어야 한다.)
 455 포트 - SMB 파일 전송 프로토콜(Windows 2000 이상의 운영체제에서 139번
포트를 대신한다.)

--------------------------------------
참고 :  139번 만 막고, 445는 유지하기.
--------------------------------------
NetBIOS over TCP/IP 를 사용하지 않으면 된다.
>>>"고급 TCP/IP 설정" -> WINS 에서 TCP/IP에서 NetBIOS 사용 안함. 을 선택.
이렇게 하면 139 포트가 닫힘.
대신에 445 번 포트를 사용. SMB...

5. ping 막기(ipsec이용 : 대림출판사 <윈도우 웹서버 보안> 참고)

6. IIS LockDown/URLScan 설치
참고) IIS LockDown 자동 보안 설정
==============================================================================================
IIS LockDown 보안 설정     설정 보안수칙
a. 인터넷 서비스 enable,disable(http,ftp,smtp,nntp) 수동 설정 권장
b. Scipt Maps설정     사이트별로 Scipt Maps이 설정되어 있음
c. 필요없는 가상디렉토리 제거    수동 설정 권장
d. cmd,tftp,anonymous 실행 거부    보안도구에서 설정 권장
e. 사이트내에 anonymous 쓰기 거부   보안도구에서 설정 권장
f. WebDAV 거부
g. URLScan 설치      패킷 피터링 도구(필수)
==============================================================================================
***설치후 언인스톨하면 원래의 설정으로 되 돌릴 수 있다.
IISLockDown(v2.1) :
iis 보안 자동화 도구(URLScan(v2.5)도 같이 설치됨)
URLScan(v2.5) :
웹서버에 보내지는 모든 요청들을 관리자가 정의한 통과규칙에 근거하여 필터링
할수 있도록 하는 도구

[설치순서]

 1) 다운로드 검색 센터
 http://www.microsoft.com/downloads/search.asp?LangID = 14&LangDIR=KO

 2) IISLockD.exe 설치(언인스톨 할때도 사용하므로 계속 보관해야됨.)

 3) 사용자 계약 동의

 4) Select Server Template
  -View Template Setting 체크박스 선택
  -Dynamic WebServer(ASP Enabled) 선택

 5)Internet Services
  -설치된 서비스만 선택
  -Remove Unselected service 는 체크 안함.(만약, 체크하면 서비스가 삭제됨)

 6)Script Maps (체크된 스크립트 매핑은 사용 중지됨)
  -asp를 제외한 나머지는 모두
체크(idq,htw,ida,shtl,shtm,stm,idc,htr,printer)

 7)Additional Security(모두 체크)
  -가상 디렉토리 제거(이미 제거 된 것은 활성화 안됨)
  -익명 사용자가 시스템 유틸리티(cmd.exe, tftp.exe)를 사용할수 있는 권한
제거
  -익명 사용자가 컨텐트 디렉토리에 쓸수 있는 권한 제거
  -WebDAV 기능 중지
  참고 : WebDAV -원격지 사용자들 간에 인터넷 상에서 파일을 공동 편집하고
     관리할 수 있도록 해주는 일련의 HTTP 확장기능
  : Additional Security 페이지에서 WebDAV를 설정했지만
  URLScan을 설치하려고 결정한 경우 URLScan은 기본적으로 WebDAV 요청을
차단합니다.
  URLScan과 함께 WebDAV를 사용하려면 Urlscan.ini 파일을 수정해야 합니다.

  :보안 잠금 마법사는 메타베이스를 백업하고 선택한 변경을 수행합니다.
   -IIS 보안 잠금 마법사 보고서 파일을 검토하여 해당 도구가
   변경한 모든 내용을 확인할 수 있습니다
   -%WINDIR%\System32\Inetsrv\Oblt-rep.log를 열어 설치 보고서를 볼 수
있습니다.

 8)URLScan 설치
  -URLScan 만 설치 할 경우 위의 사항을 건너뛰고 설치하면 된다..

 9)설치후 시스템을 재시작

[제거]
iisLockD.exe를 실행

[설치후 문제해결]
<1.> IIS 웹 서버로부터 한글 이름으로 된 파일이 열리지 않을 수 있습니다.

-원인
IIS Lockdown Tool 설치 시 포함된 URLScan ISAPI 필터에 의해 영문 이름이 아닌
다른 파일명에 대한
요청이 차단되었습니다.
URLScan의 설정 파일인 URLScan.ini 파일에서 AllowHighBitCharacters의 기본값은
0 입니다.
이 옵션이 0으로 설정되면 URLScan은 ASCII 문자가 아닌 문자를 포함한 모든
요청을 거부합니다.
이것은 특정 유형의 공격을 막을 수 있지만, 영문 이름이 아닌 특정 파일에 대한
요청도 막을 수 있습니다.

-해결 방법
이 문제를 해결하려면 다음 방법 중 하나를 사용합니다.
URLScan.ini 파일에서 AllowHighBitCharacters를 0이 아닌 값으로 변경하고 IIS를
재시작합니다.
URLScan 필터를 웹 서버의 WWW 서비스 마스터 속성에서 ISAPI 필터에서
제거합니다.

<2.>"HTTP 404 - 파일을 찾을 수 없음" 오류 메시지의 일반적 원인과 해결 방법
URLScan 로그 파일을 검토하여 URLScan이 요청을 차단하고 있는지 확인
 (%WINDIR%\System32\Inetsrv\Urlscan\UrlscanMMDDYY.log - MMDDYY는 로그 날짜)
-HOWTO: IIS 보안 잠금 마법사 설치 및 사용 참고

<3.>FTP 또는 SMTP가 작동하지 않을 수도 있습니다
 1) 제어판을 엽니다.
 2) Windows 2000에서는 관리 도구 폴더를 연 다음 서비스 애플릿을 엽니다.
 3) FTP Publishing 또는 Simple Mail Transfer Protocol (SMTP)을 두 번
누릅니다.
 4) 시작 유형으로 자동을 선택합니다.
 5) 서비스를 즉시 시작하려면 시작을 누릅니다

<4.>IIS 보안 잠금 마법사를 실행할 때 Remove unneeded services를 선택하여
이러한 서비스 중 하나 또는 둘 다 완전히 제거한 경우 다음 단계에 따라 다시
설치하십시오.
1) 제어판을 엽니다.
2) 프로그램 추가/제거 애플릿을 연 다음 왼쪽 창에서 Windows 구성 요소
추가/제거를 누릅니다.
3) 인터넷 정보 서비스(IIS)를 선택하고 자세히를 누릅니다.
4) File Transfer Protocol (FTP) 서버 또는 SMTP Service를 선택합니다.
5) 확인을 누르고 다음을 누릅니다. 선택한 서비스가 설치됩니다.
6) 이전에 설치한 최신 Windows 서비스 팩과 핫픽스를 다시 적용해야 합니다.

[기타 자세한 사항은 MS홈페이지 참조 (KB325864)]
http://support.microsoft.com/default.aspx?scid=kb;KO;325864

***7. 서비스 중지시 다시 시작하게 지정하기***

서비스 명 : DNS , WWW, MSSQLSERVER, SQLSERVERAGENT, 기타 중요한 서비스

1. 서비스 관리자에서
2. 해당 서비스의 등록정보
3. [복구]탭
4. 1차 및 2차 실패 : 서비스 다시 시작.
5. 3차 실패  : 재부팅(비 추천)

/////////////////////////////////////////////////////////////////////////////////////////////
//////////////////////////////////      G. Q&A
//////////////////////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////
//iis 로그 보는 법
Q . IIS 에 로그 파일을 메모장으로 불러 보니 시간이 틀리더군요 무슨 문제가
있는 것인지요 ?
 일반적으로 IIS 로그 파일 형식은 "W3C 확장 로그 파일 형식" 으로 많이 사용
합니다.
 이유는 시간은 UTC(그리니치 표준시)로 기록되기 때문이며,
  +9 시간을 더 하면 현재의 서버 시간을 아실 수 있습니다.
sc: server 가 client에게 정보 요청
cs: client 가 server에게 정보 요청

***기타 감사 명령어***
net use
netstat -na
net group
net localgroup
net share
net session
at : 스케줄러등록 현황.

/////////////////////////////////////////////////////////////////////////////////////////////
////////////////////////////////// H. Mail computer 설정
//////////////////////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////

Mail computer

1. partation
 c:10240MB(system)
 d:5120MB(mail)
 e:5120MB(data)
 f:10240MB(backup)
 g:2048MB(etc)
 h:나머지(ghost)

2. 계정 정책(www 관련)
 e: DATA  >>>Hosting(testwww)
 e:\  >>>admin-systems (all)
 e:\hosting\testwww\www >>>everyone (읽기/실행,폴더
내용보기,읽기),testwww(all)
 e:\hosting\testwww\www\admin\product\Uploaded_Files  >>>everyone(all)

3. 기타 드라이버
 c: root - admin-systems(all),everyone 제거
    inetpub\mailroot\pickup -everyone(읽기,쓰기)
    emwac와 install은 admin-systems(all))

 d,f,g: admin-systems(all)

4. 설치 상황:
 기본설치 + 네트워크 서비스 : DNS + iis : www, ftp, smtp, nntp

syspatch.gho
;windows all patch
;sql not install
;security not apply

syssqlsp2.gho
;www,ftp
;security apply
;sql2ksp patch

sysfinal.gho
;windows all patch
;www,ftp open
;sql2000+sql2ksp patch
;emwac+smtprcv apply
;security apply

이 포스트를..
덧글 5개  엮인글 쓰기

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

★ 윈도우 서버를 관리하는 분이라면 원격제어를 위해 윈도우 터미널 서비스를 많이 사용하게 됩니다. 관리하는 서버가 한두대라면 괜찮지만, 여러대를 관리해야 하고 동시에 여러대의 서버를 왔다 갔다 하면서 작업을 해야 한다면 기존의 원격데스크톱 연결로는 너무나 불편하죠.

★ 그래서인지 윈도2003에는 tsmmc.msc가 내장되어 있습니다. XP에서도 있으면 했는데 XP에서는 없더군요 ㅠㅠ 혹시 XP에서도 같은 기능을 실핼할 수 있는 방법을 아시는 분 계시면 꼭 댓글 좀 부탁드려요!

1. 우선 프로그램을 실행하기 위해서 시작-실행 을 누르시고 tsmmc.msc를 적어주시고, 확인을 누릅니다.




2. 그러면 아래와 같은 원격데스크톱이 실행됩니다. 기존에 보던것과 많이 다르죠?

3. 자 이제 서버를 등록해볼까요? 콘솔루트-원격데스크톱에 마우스를 올리시고 마우스 우측 버튼을 눌러주시면 메뉴가 뜹니다. 여러 메뉴중에서 새 연결 추가를 선택하시면 됩니다.

4. 새 연결 추가를 누르면 아래와 같이 여러가지 정보를 넣게 됩니다. 서버 주소, 계정정보, 암호를 넣으시고 확인을 눌러주세요!

5. 자 이제 완료가 되었습니다. 좌측 메뉴에서 새로 등록된 192.168.10.5번 서버가 보이네요. 좌측 메뉴에서 192.168.10.5번을 눌러주시면 우측창에 곧바로 원격제어가 실행된 모습이 보입니다. 이런 방법으로 여러개의 서버를 등록하면 좌측에는 서버목록이 생기게 되고, 우측에는 원격접속된 모습이 보이게 됩니다. 어떠신가요? 여러대를 관리할때는 무척이나 편리하답니다!

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

1. 변조된 Gateway의 Mac Address를 적는다.
2. http://www.foundstone.com/us/resources-free-tools.asp로 가서 SuperScan을 다운로드한다.
3. 변조된 Gateway IP를 hostname/ip에 적는다.
   적절한 startip / endip를 subnet에 맞춰서 적고 ->를 눌러서 추가한다.
   Host and Service Discovery탭으로 가서 host discovery만 체크하고 UDP Port scan, TCP port scan은 언체크
   Host Discovery는 전부 체크.
   스캔한다.
4. 명령창에서 arp -a를 실행한후 변조된 gateway의 mac address와 같은 mac address를 가진 ip를 찾는다.
5. 발견했다면 그 서버가 문제의 서버!
6. 문제의 서버로 이동
7. 문제의 서버에서 quser를 실행해서 혹시나 불법침입이 있는지 확인한다.
   서버에서 process를 뒤져서 의심이 가는것을 찾도록 하며, 찾기 힘든경우에는 kisa.or.kr의 침해대응방법을 참고한다.
8. 의심이 가는 파일 발견시 virustotal.com 사이트에서 해당 파일을 검색해보고 발견이후 삭제한후에는, http://www.kaspersky.com에 가서 전체 서버를 무료 치료 검색해본다.

- 관리하고 있는 서버가 실제 ARP Spoofing에 의해 해킹되었을때 처리한 방법입니다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.

크리에이티브 커먼즈 라이선스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이선스에 따라 이용하실 수 있습니다.