다음을 통해 공유

  • 아티클

2007 Office system의 보안 및 개인 정보 위협 확인

업데이트 날짜: 2009년 2월

적용 대상: Office Resource Kit

 

마지막으로 수정된 항목: 2009-02-05

이 문서의 내용

  • 보안 위협 개요

  • 코드 및 응용 프로그램 위협

  • 문서 위협

  • 외부 위협

  • Internet Explorer 위협

  • 개인 정보 위협

  • 보안상 취약점

보안된 데스크톱 구성은 조직의 심층 방어 전략에서 중요한 부분입니다. 그러나 2007 Microsoft Office 시스템이 포함된 보안된 데스크톱 구성을 계획하려면 먼저 2007 Office System과 관련된 보안 위협을 이해하고 조직의 사업 자산이나 비즈니스 프로세스를 위협할 수 있는 보안 위협을 식별해야 합니다. 사용자의 개인 정보에 위험 요소가 되는 개인 정보 위협도 식별해야 합니다.

보안 위협 개요

2007 Office System의 보안 모델은 여섯 가지 유형의 보안 위협을 완화하는 데 유용합니다. 이러한 각 보안 위협에는 여러 위협 행위가 포함되며 광범위한 보안 공격에 악용될 수 있습니다.

보안 및 개인 정보에 대한 위협

대부분의 조직은 이러한 각 여섯 가지 보안 위협에 대한 잠재적인 위험에 직면해 있습니다. 그러나 모든 조직이 동일한 위협 행위에 직면하는 것은 아니며 동일한 보안 공격이나 악용에 직면하는 것도 아닙니다. 2007 Office System이 포함되는 보안된 데스크톱 구성을 계획하기 위한 첫 번째 단계는 다음 섹션에 제공된 안내에 따라 다음 사항을 확인하는 것입니다.

  • 여섯 가지의 보안 위협 중 관련된 보안 위협

  • 위협 행위의 잠재적인 위험

  • 공격자가 이러한 위협 행위를 악용할 수 있는 방법

조직에는 위협 모델, 보안 계획, 작업 계획 등의 조직에 대한 위협을 식별하는 데 유용할 수 있는 여러 문서가 있습니다. 신뢰할 수 있는 문서 외에도 보안 위협을 확인할 때 다음 사항을 고려해야 합니다.

  • 네트워크 보안 아키텍처(예: 경계 네트워크 디자인, 익스트라넷 디자인, 방어벽 디자인 및 프록시 서버 디자인)

  • 실제 보안 정책(예: 건물 출입 제한, 문서 보존 정책 및 랩톱 보안 정책)

  • 개인 정보 정책(예: 개인 정보 정의)

  • 인증 및 권한 부여 인프라(예: 네트워크에 대한 액세스가 부여된 고객, 공급업체, 파트너)

  • 갑작스런 보안 위협과 관련된 준비 계획

  • 전자 메일 및 인터넷 액세스를 위한 개인 사용 정책

또한, 새로운 위협이나 위협 행위를 식별한 경우 조직의 기존 위협 모델 또는 보안 계획을 업데이트해야 합니다.

코드 및 응용 프로그램 위협

코드 및 응용 프로그램 위협은 일반적인 데스크톱 보안 위협입니다. 일반적으로 위협 행위에는 ActiveX 컨트롤, 추가 기능 및 VBA(Visual Basic for Applications) 매크로가 포함됩니다. 이러한 위협 행위는 악성 코드를 작성하거나 악성 프로그램을 만드는 프로그래머가 악용하여 사용자의 컴퓨터에서 실행될 수 있습니다. 코드 및 응용 프로그램 위협은 모든 규모의 조직에 잠재적인 위험을 발생시킵니다. 특히 코드 및 응용 프로그램 위협은 조직의 사용자가 다음을 수행할 수 있는 경우 조직에 잠재적인 위험을 발생시킵니다.

  • 매크로, ActiveX 컨트롤 또는 추가 기능 실행

  • 전자 메일 첨부 파일 받기

  • 인터넷과 같은 공용 네트워크에서 문서 공유

  • 클라이언트, 공급업체 또는 파트너와 같은 조직 외부에서 문서 열기

조직에 위험 요소가 되는 코드 및 응용 프로그램 위협이 있을 경우 해당 위협을 완화하기 위해 기본 보안 설정을 변경해야 할지 여부를 확인하려면 2007 Office system의 기본 보안 설정 및 개인 정보 옵션 확인을 참조하십시오.

문서 위협

문서 위협은 권한이 없는 사용자가 조직의 문서나 조직의 문서에 포함된 정보에 액세스하려고 할 때 발생합니다. 권한이 없는 공격자나 침입자가 문서에 액세스하면 다음 사항이 손실됩니다.

  • 기밀성: 문서 데이터가 더 이상 소유에 속하지 않습니다.

  • 무결성: 문서 데이터가 변경되거나 손상됩니다.

  • 콘텐츠: 문서 데이터가 누락됩니다.

여러 조직에서 위협이 최소한으로 인식되거나 위협을 완화하기 위한 관리 비용으로 인해 높은 위협만 인식되도록 하므로 문서 위협을 완화하지 않도록 선택하더라도 대부분의 조직은 문서 위협에 직면해 있습니다. 그러나 문서 위협은 다음과 같은 경우 조직에 위험 요소가 됩니다.

  • 조직의 네트워크 보안 아키텍처에서 침입자나 공격자가 내부 네트워크에 액세스할 수 없도록 하는 경우. 침입자나 공격자가 내부 네트워크에 액세스하면 조직의 문서에 액세스할 수 있는 위험이 늘어납니다.

  • 조직에서 사용자가 인터넷을 통해 회계 데이터, 프로젝트 계획, 프레젠테이션 또는 드로잉을 포함하여 소유권이 있는 문서를 주고 받거나 공유할 수 있도록 허용하는 경우

  • 조직에서 사용자가 공용 네트워크에 랩톱 컴퓨터를 연결할 수 있도록 허용하는 경우. 확인할 수 없는 공격자가 사용자의 랩톱 컴퓨터에 저장된 문서에 액세스할 수 있는 위험이 늘어납니다.

  • 조직에서 사용자가 사무실 외부에서 비공개 정보가 포함된 문서를 사용할 수 있도록 허용하는 경우

  • 권한이 없는 공격자나 침입자가 비공개 정보가 들어 있는 문서에 액세스할 수 있다고 판단되는 경우

조직에 위험 요소가 되는 문서 위협이 있을 경우 해당 위협을 완화하기 위해 기본 보안 설정을 변경해야 할지 여부를 확인하려면 2007 Office system의 기본 보안 설정 및 개인 정보 옵션 확인을 참조하십시오.

외부 위협

외부 위협에는 인터넷과 같은 인트라넷이나 공용 네트워크를 통해 특정 문서를 다른 문서, 데이터베이스 또는 웹 사이트에 연결하는 위협 행위가 포함됩니다. 외부 위협은 다음과 같은 위협 행위를 통해 악용됩니다.

  • 하이퍼링크   일반적으로 공격자는 악성 코드나 콘텐츠가 포함된 신뢰할 수 없는 문서나 웹 사이트에 연결되는 하이퍼링크를 만들어 이 위협 행위를 악용합니다.

  • 데이터 연결   일반적으로 공격자는 데이터 원본 또는 데이터베이스에 연결되는 데이터 연결을 만든 후 해당 데이터 연결을 사용하여 악의적으로 조작하거나 데이터를 추출함으로써 이 위협 행위를 악용합니다.

  • 웹 유도   일반적으로 공격자는 전자 메일 메시지에 원격 이미지에 대한 보이지 않는 링크를 포함하여 이 위협 행위를 악용합니다. 사용자가 전자 메일 메시지를 열면 해당 링크를 통해 원격 이미지가 활성화되고 다운로드됩니다. 이렇게 하면 사용자의 전자 메일 주소, 사용자 컴퓨터의 IP 주소 등의 사용자 정보가 원격 컴퓨터에 전송될 수 있습니다.

  • 패키지 개체   공격자는 포함 개체를 통해 악성 코드를 실행하여 이 위협 행위를 악용할 수 있습니다.

조직에는 다음과 같은 외부 위협 요소가 있습니다.

  • 사용자는 인트넷과 같은 공용 네트워크에 제한 없이 액세스할 수 있습니다.

  • 사용자는 포함 이미지 및 HTML이 들어 있는 전자 메일 메시지를 받을 수 있습니다.

  • 사용자는 스프레드시트나 다른 문서에 데이터 연결을 사용할 수 있습니다.

조직에 위험 요소가 되는 외부 위협이 있을 경우 해당 위협을 완화하기 위해 기본 보안 설정을 변경해야 할지 여부를 확인하려면 2007 Office system의 기본 보안 설정 및 개인 정보 옵션 확인을 참조하십시오.

Internet Explorer 위협

Internet Explorer 위협은 응용 프로그램이나 문서에서 Internet Explorer 기능이 프로그래밍 방식으로 사용되는 경우에 발생할 수 있습니다. Internet Explorer 위협은 Internet Explorer에 대해 있는 위협이 Internet Explorer를 호스팅하는 응용 프로그램이나 문서에도 있으므로 응용 프로그램 및 문서에 위험 요소가 됩니다. Internet Explorer 위협에는 다양한 위협 행위가 포함되며 광범위한 보안 공격을 통해 악용될 수 있습니다. 이러한 위협 행위의 예에는 ActiveX 컨트롤 설치, 파일 다운로드, MIME(Multipurpose Internet Mail Extensions) 검색, 영역 수준 및 추가 기능 설치가 포함됩니다.

조직에는 다음과 같은 Internet Explorer 위협 요소가 있습니다.

  • 사용자는 Internet Explorer 기능을 사용하는 ActiveX 컨트롤, 추가 기능 또는 매크로를 실행할 수 있습니다.

  • Internet Explorer 기능을 호출하는 Office 솔루션을 개발하고 배포합니다.

조직에 위험 요소가 되는 Internet Explorer 위협이 있을 경우 해당 위협을 완화하기 위해 기본 보안 설정을 변경해야 할지 여부를 확인하려면 2007 Office system의 기본 보안 설정 및 개인 정보 옵션 확인을 참조하십시오.

개인 정보 위협

개인 정보 위협에는 사용자의 동의나 양해 없이 개인 정보를 공개하거나 드러내는 위협 행위가 포함됩니다. 개인 정보 위협은 여러 위협 행위를 통해 악용될 수 있지만 가장 일반적인 위협 행위는 메타데이터라고 하는 숨겨진 문서 데이터입니다. 메타데이터를 사용하면 만든 이, 조직 이름, 문서 편집 시간, 또는 문서 버전 번호와 같은 문서 속성을 기록하거나 추적할 수 있습니다. 메타데이터를 문서에서 제거할 수 있지만 제거할 경우 문서를 열려는 모든 사용자가 메타데이터에 액세스할 수 있습니다.

개인 정보 위협은 문서에 기밀 정보나 메모, 수정 내용, 주석, 사용자 지정 XML 데이터, 숨겨진 텍스트, 워터마크, 머리글 및 바닥글 정보 등의 소유 정보로 간주되는 보조 내용이 들어 있는 경우에도 악용될 수 있습니다. 이 내용을 문서에서 제거하지 않는 한 문서에 액세스할 수 있는 모든 사용자가 보조 내용에 액세스할 수 있습니다.

개인 정보 위협 외에도 여러 응용 프로그램 기능을 사용하여 개인 정보를 공개하거나 드러낼 수 있는 인스턴스도 있습니다. 이러한 기능은 위협 행위로 간주되지 않지만 조직에서 기밀 또는 소유 정보로 여기는 개인 정보를 공개하거나 드러낼 수 있습니다.

개인 정보에 대한 자세한 내용은 보안 센터에서 개인 정보 옵션을 클릭하고 개인 정보 취급 방침 읽기를 클릭하여 액세스할 수 있는 "2007 Microsoft Office System 개인 정보 취급 방침"을 참조하십시오.

대부분의 조직에서는 개인 정보 위협에 직면해 있으며 개인 정보가 공개되는 것을 적극적으로 관리하려고 합니다. 기본 개인 정보 옵션을 변경해야 하는지 여부 또는 개인 정보 위협을 완화하기 위해 기본 보안 설정을 변경해야 하는지 여부를 확인하려면 2007 Office system의 기본 보안 설정 및 개인 정보 옵션 확인을 참조하십시오.

보안상 취약점

보안상 취약점은 Microsoft 보안 공지 또는 서비스 팩과 같은 소프트웨어 업데이트에서 처리되는 특수한 유형의 보안 위협입니다. 보안상 취약점에는 다음과 같이 광범위한 위협 행위가 포함될 수 있습니다.

  • 원격 코드 실행

  • 권한 상승

  • 정보 공개

악의적인 프로그래머나 사용자는 다양한 보안 공격을 통해 보안상 취약점을 악용할 수 있습니다. 보안상 취약점을 보완하는 보안 공지 또는 서비스 팩이 출시될 때까지는 조직은 취약점과 관련된 잠재적인 위협에 노출될 수 있습니다. 보안상 취약점이 조직에 잠재적인 위협 요소가 되는 경우 보안상 취약점과 관련된 기본 보안 설정을 변경해야 할지 여부를 확인하려면 2007 Office system의 기본 보안 설정 및 개인 정보 옵션 확인의 "보안 취약점의 기본 보안 설정 평가"를 참조하십시오.

이 문서의 다운로드

이 항목은 다운로드 가능한 다음 문서에도 포함되어 있어 더 쉽게 읽고 인쇄할 수 있습니다.

사용 가능한 문서의 전체 목록은 다운로드 가능한 2007 Office Resource Kit 관련 콘텐츠를 참조하십시오.