PC-01: 비밀번호의 주기적 변경
분류: PC
중요도: 상
개요
점검 내용
최대 암호 사용 기간이 “90일” 이하 설정 여부 점검
점검 목적
비밀번호를 주기적으로 변경하여 비밀번호 크래킹의 가능성을 낮추고, 불법으로 획득한 비밀번호의 무단 사용을 방지하기 위함
보안 위협
동일한 비밀번호를 변경하지 않고 오랫동안 사용할 경우 유출이나 무차별 대입 공격에 당할 가능성이 크고 이전에 사용하던 비밀번호를 재사용한다면 비밀번호 추측 공격으로 계정을 탈취당할 위험이 존재함
참고
- -
점검 대상 및 판단 기준
대상
Windows 10, Windows 11
판단 기준
✅ 양호: 최대 암호 사용 기간이 “90일” 이하로 설정된 경우
❌ 취약: 최대 암호 사용 기간이 “제한 없음”이거나 “90일을”을 초과하여 설정된 경우
조치 방법
- 최대 암호 사용 기간 “90일” 설정
- 최소 암호 사용 기간 “1일” 설정
- 최근 암호 기억 설정 (권장: 24개의 비밀번호 기억)
- 사용자가 새 비밀번호를 변경하기 전에 이를 유지해야 하는 일수를 결정. 비밀번호 변경 후 편의성때문에 기존 비밀번호로 다시 설정하는 경우가 많으므로 최소 사용 기간을 설정
- 이전 비밀번호를 다시 사용한다면 변경 주기가 의미가 없으므로 기존에 사용하던 비밀번호를 기억해서 사용하지 못하게 함
조치 시 영향
비밀번호 변경 시 기존 사용했던 비밀번호를 재사용할 수 없음
점검 및 조치 사례
Windows 10, 11
Step 1) 계정별 비밀번호 기간 설정
- 시작 > 실행 > LUSRMGR.MSC
- 사용자 > 계정별 속성 > “암호 사용 기간 제한 없음(P)”, “계정 사용 안함(B)” 적용 해제
Step 2) 비밀번호 정책 설정
- 시작 > Windows 관리 도구 > 로컬 보안 정책
- 보안 설정 > 계정 정책 > 암호 정책 > “최대 암호 사용 기간” 속성을 “90일”, “최근 암호 기억”을 “24개”, “최소 암호 사용 기간”을 “1일”로 설정
