[인프라 취약점 진단] W-03. 불필요한 계정 제거

이번에는 Windows 시스템에 불필요하거나 의심스러운 사용자 계정이 존재하는지 점검한다.
사용하지 않는 계정이 남아 있으면 해당 계정을 이용한 비인가 접근이나 패스워드 추측 공격에 악용될 수 있으므로 실제 사용 여부를 확인해야 한다.

 

 

점검 기준

점검 내용

  - 시스템 내 불필요하거나 의심스러운 계정 존재 여부 점검

 

점검 목적

  - 사용하지 않는 계정을 통한 비인가 접근 및 패스워드 추측 공격 차단

 

양호

  - 불필요한 계정이 존재하지 않는 경우

 

취약

  - 불필요한 계정이 존재하는 경우

 

 

Windows Server 2008 R2

다음 경로로 이동한다.

컴퓨터 관리 → 로컬 사용자 및 그룹 → 사용자

등록되어 있는 로컬 사용자 계정을 확인하고 실제 사용 목적이 없는 계정이나 의심스러운 계정이 존재하는지 확인한다.

현재 불필요하거나 의심스러운 사용자 계정이 존재하지 않아 양호으로 판단한다.
불필요한 계정이 존재할 경우 해당 계정을 우클릭한 뒤 삭제를 선택한다.
삭제 전에는 해당 계정이 실제 서비스나 시스템 운영에 사용되고 있는지 반드시 확인해야 한다.

 

 

Windows Server 2016

다음 경로로 이동한다.

컴퓨터 관리 → 로컬 사용자 및 그룹 → 사용자

등록되어 있는 로컬 사용자 계정을 확인하고 실제 사용 목적이 없는 계정이나 의심스러운 계정이 존재하는지 확인한다.

현재 불필요하거나 의심스러운 사용자 계정이 존재하지 않아 양호으로 판단한다.
불필요한 계정이 존재할 경우 해당 계정을 우클릭한 뒤 삭제를 선택한다.
삭제 전에는 해당 계정이 실제 서비스나 시스템 운영에 사용되고 있는지 반드시 확인해야 한다.

 

 

Windows Server 2022

다음 경로로 이동한다.

컴퓨터 관리 → 로컬 사용자 및 그룹 → 사용자

등록되어 있는 로컬 사용자 계정을 확인하고 실제 사용 목적이 없는 계정이나 의심스러운 계정이 존재하는지 확인한다.

현재 불필요하거나 의심스러운 사용자 계정이 존재하지 않아 양호으로 판단한다.
불필요한 계정이 존재할 경우 해당 계정을 우클릭한 뒤 삭제를 선택한다.
삭제 전에는 해당 계정이 실제 서비스나 시스템 운영에 사용되고 있는지 반드시 확인해야 한다.

 

 

자동 점검 스크립트

수동 점검에서 확인한 로컬 사용자 계정 목록을 PowerShell에서도 확인할 수 있도록 스크립트를 작성했다.

gwmi Win32_UserAccount -Filter "LocalAccount=True"|ft Name,Disabled

 

Win32_UserAccount에서 LocalAccount=True 조건을 사용해 현재 시스템에 생성된 로컬 사용자 계정만 가져온다. 출력값에서는 Name을 통해 계정명을 확인하고, Disabled 값을 통해 해당 계정의 비활성화 여부를 함께 확인한다. 계정이 실제로 필요한 계정인지 불필요한 계정인지는 시스템의 사용 목적에 따라 달라지기 때문에 스크립트만으로 양호/취약을 자동 판단하지 않는다.

출력된 사용자 목록을 확인한 뒤 실제 사용 여부와 생성 목적을 확인하여 최종적으로 양호/취약을 판단한다.

 

 

Windows Server 2008 R2

PowerShell에서 스크립트를 실행해 로컬 사용자 계정을 확인한다.

출력된 계정 목록을 확인한 결과 불필요하거나 의심스러운 계정이 존재하지 않아 양호로 판단한다.

 

 

Windows Server 2016

PowerShell에서 스크립트를 실행해 로컬 사용자 계정을 확인한다.

출력된 계정 목록을 확인한 결과 불필요하거나 의심스러운 계정이 존재하지 않아 양호로 판단한다.

 

 

Windows Server 2022

PowerShell에서 스크립트를 실행해 로컬 사용자 계정을 확인한다.

출력된 계정 목록을 확인한 결과 불필요하거나 의심스러운 계정이 존재하지 않아 양호로 판단한다.

 

 

Windows Server 2008 R2, 2016, 2022에서 로컬 사용자 계정을 확인한 결과 불필요하거나 의심스러운 계정은 존재하지 않았다.
자동 점검에서는 로컬 계정 목록과 비활성화 상태를 출력하고, 계정의 실제 사용 여부는 직접 확인하여 판단하도록 했다.