[카테고리:] 보안운영

오피스스캔 클라이언트가 미아가 되는 경우가 있습니다.
서버가 바뀌거나 어떤 이유로 클라이언트가 단절되어 업데이트를 못하게 되는 경우가 있습니다.
문제가 발생하여 서버와 통신이 단절된 클라이언트를  올바른 서버로 다시 연결해주려고 할때 ipxfer를 사용하세요
ipxfer.exe라는 파일은 서버내의 “\PCCSRV\Admin\Utility\IpXfer\”아래에 위치하고 있습니다.
이 파일을 이용하여 아래와 같이 스크립트를 돌리면  올바른 서버로 연결을 다시 재개합니다.
서버의 오피스스캔 프로그램/패턴등을 자동으로 받아오게 되어서  향후 안정적인 운영이 가능해집니다.

사용법: ipXfer.exe -m 1 -s < server_name > -p < Server_Web_port > -c < client_listening_port > -q 1
사용례: ipxfer.exe -m 1 -s officescanserver -p 8089 -c 15269

옵션설명:
• -m <installation mode>     1->HTTP-based 0->File-based
• -s < server >  [server_FQDN| server_WINS_name| server_IP_address | UNC_Path_to_Server]
• -p< IIS_TCP_Port > : \pccsrv\ofcscan.ini 파일내의 “MASTER_DOMAINPORT” 확인하세요
• -c < client listening port > \pccsrv\ofcscan.ini 파일내의”CLIENT_LOCALSERVER_PORT” 확인
• -q <internet settings force-change switch>    항상 1로 세팅할 것

오피스스캔의 서버/클라이언트 통신 모듈에 대한 Buffer Overflow Vulnerability 패치가 나왔습니다.
영문/한글 모두 적용가능합니다.

오피스스캔 8.0 (먼저 sp1으로 업그레이드 하셔야 합니다.)
OSCE_8.0_SP1_Win_EN_CriticalPatch_B2392.exe

오피스스캔 7.3
OSCE_7.3_Win_EN_CriticalPatch_B1355.exe

오피스스캔 7.0
OSCE_7.0_Win_EN_CriticalPatch_B1395.exe

이 패치에 관한 설명입니다.
   This critical patch addresses a buffer overflow vulnerability in
   an OfficeScan ActiveX control that an attacker can exploit.

   OfficeScan clients can be installed from the OfficeScan Web
   console logon screen. The OfficeScan server utilizes several
   ActiveX controls when deploying the product through the Web
   console interface and the local machine caches these controls.
   One of these controls, “objRemoveCtrl”, is vulnerable to a
   stack-based buffer overflow when embedded in a Web page.
  
   An attacker can exploit this vulnerablity by enticing a victim
   into viewing a malicious Web page. A successful exploit will allow
   attacker-supplied code to run in the context of the currently
   logged-on user.

보다 더 자세한 설명보기 :  ReadMe 

백신이 설치되어 있다고 해도  엔진과 패턴등이 최신으로 업데이트가 신속하게 되고있지않다면
백신이 없는것과 마찬가지가 됩니다.   트랜드마이크로의 오피스스캔의 경우 백신클라이언트의 업데이트 상태를 확인하는 방법을 정리해봅니다.  

내 컴퓨터에 설치된 오피스스캔의 상태가 정상인지 아닌지 확인해보겠습니다.
1. 트레이의 오피스스캔 아이콘의 상태를 확인해봅시다.
    * 먼저 정상인 상태입니다.  아래처럼 파란색 원형에 물결모양이 보이면  중앙의 백신서버의 정책을
       잘 내려받고있으며  패턴도 최신으로 업데이트 되어있다는 것을 알수있습니다.   * 다음으로 비정상인 상태입니다.  빨간 느낌표는 일주일이상 패턴이업데이트가 안되었다는 뜻이며 
      물결모양이 단절된 사선모양으로 보이면  중앙서버와의 통신이 단절되어서 업데이트가 안되는다는 뜻입니다

2. 백신의 상태를 좀더 자세히 조사해보도록 하겠습니다.
  * 트레이의 오피스스캔 아이콘에 마우스 올린후 우클릭합니다.   메뉴중에서 component version을 선택하세요

  * version infomation 창을 보면 백신의 버전/패턴의 버전/업데이트날짜등을 확인할수 있습니다.
   아래경우  프로그램의 버전은 8.0 ,  패턴의 버전은 5.461.00이며 2008년 8월6일 패턴업데이트되었습니다.

3. 수동으로 즉시 업데이트 해봅시다.
  * Update Now 메뉴를 선택해줍니다.  그러면 즉시 엔진및 패턴등 모든 구성요소가 업데이트됩니다.
     중앙서버를 먼저 찾고  없으면 인터넷으로 접속해서  업데이트를 시키게 됩니다.
  4. 수동업데이트가 안되는 경우가 있을 수 있습니다. 이땐 관리자에게 즉시 전화등으로 연락해주어야합니다.
   관리자가 항상 보고있는 것이 아니기때문에  신속하게 연락해주는것이 좋습니다.

Brute Force Attact등에 대비하기위해서는 유저계정의 로그인에 제한정책을 두어야합니다.  이른바 Clipping level이라고 하는데요… 관리자의 일이 늘어날 가능성이 다분합니다.

하지만 보안이 많이 필요한 경우 account lockout정책을 설정해야합니다.
1. Dsa.msc를 실행합니다.
2. Default Domain policy를 Edit합니다.
3. 아래 보이는 경로에서 아래처럼 설정합니다.
경로: Computer configuration/Windows Settings/security setting/accout policy/account lockout policy
▶ account lockout threshold값을 지정합니다. 저는 5번 로그온 잘못하면 락아웃되게했습니다.
▶ account lockout duration: lockout되는 시간
▶ reset account lockout counter after: lockout counter가 리셋되는 시간