Windwos시스템 보호 설정도구(EMET)

EMET( Enhanced Mitigation Experience Toolkit )는 MS에서 무료로 제공되는 보안설정 도구이다. 이 도구는 소프트웨어의 취약성이 악용되지 못하게 하는 보안 유틸리티 도구로, 공격자가 소프트웨어의 취약성을 공격하기 위해 포함해야 하는 특수한 동작(행위)를 사전에 감지하여 사전에 차단하는 설정(기술)로 구성되어 있습니다.

또한, 이 도구의 사용은 모든 취약성에 대한 조치는 어렵다고 보여지나, 취약성의 악용을 어렵게 할 수 있습니다.

 

EMET 최신 버전 다운로드:

-> EMET v3 (http://blogs.technet.com/b/srd/archive/2012/05/15/introducing-emet-v3.aspx)

 

EMET 보호기능

- DEP (Dynamic Data Execution Prevention):

Heap이나 스택의 메모리에 위치한 공격자의 제어데이터 또는 shellcode를 실행하려는 시도를 프로세서 수준에서 거부시키는 기능 (즉, 설정된 데이터영역(read-only)에서 코드를 실행하려는 시도를 감지하고 종료시켜 버림)

- SEHOP (Structure Exception Handler Overwrite Protection):

스택 오버플로우 공격으로 부터 시스템을 보호. 이 기능은 OS에서 Exception Handler들을 호출하기 전에, Exception Record Chain을 확인/점검하는 기능

- ASLR (Mandatory Address Space Layout Ramdomization):

호출되는 모듈의 위치를 랜덤화함으로써 공격자가 취약한 DLL의 위치를 예측할 수 없도록 하는 기능

- Null page allocation:

사용자 모드에서 잠재적인 Null 역참조 문제를 방어하는 기능

- EAF (Export Address Table Access):

공격자의 페이로드에 필요한 인도우즈 APIs 조회 차단 ( 현재 시도되는 대부분의 shellcode를 차단 )

- Bottom-up randomization:

힙, 스택, 다른 메모리의 할당을 포함하여 기본주소를 랜덤화하는 기능

 

 

시스템 보호 설정 프로파일

- Maximum Security Settings: 최고수준의 보호

- Recommended Security Settings: 권장수준의 보호

- Custom Settings: 일반

 

지원하는 운영체제

• Client Operating Systems
       Windows XP service pack 3 and above
       Windows Vista service pack 1 and above
       Windows 7 all service packs
• Server Operation Systems
       Windows Server 2003 service pack 1 and above
       Windows Server 2008 all service packs
       Windows Server 2008 R2 all service packs

시스템별 지원하는 보안설정 구분

 

 

보안 설정 GUI

 

System Configuration
Application Configuration

 

EMET는 위와 같은 기술로 공격자가 시스템의 취약성을 악용하려는 시도를 미연에 막고, 0-day를 포함하는 알려지지 않은 새로운 형태의 공격에 대응할 수 있다.

또한, EMET는 보호설정이 적용된 EMET 프로그램의 패키지를 생성할 수 있기 때문에, 이를 통한 기업내 표준화된 보호설정을 지원할 수 있을 것으로 생각된다.

하지만, 그 강력한 기능으로 인해 시스템에 자주 접근하는 응용프로그램에는 위험요소가 존재할 수 있다. 따라서, 다양한 응용프로그램을 사용하는 사용자의 경우 많은 시나리오 테스트와 커스터마이징이 필요할 것으로 생각된다.

 

아래에는 추가로, EMET의 User's Guide를 첨부한다.

 

EMET User's Guide.pdf

 

아래는, EMET도구에 대한 이해를 돕기위한 동영상입니다.

http://technet.microsoft.com/en-us/security/ff859539.aspx