[인프라진단] #W-44 원격으로 액세스할 수 있는 레지스트리 경로

1. 항목 설명

Remote Registry 서비스는 원격 관리 도구가 다른 시스템의 레지스트리를 조회·변경하게 합니다. 불필요하게 실행하면 인증 또는 권한 설정 오류를 통해 중요 설정이 노출·변경될 공격면이 늘어납니다.

판단 기준: Remote Registry 서비스가 중지되어 있으면 양호, 서비스가 사용 중이면 취약입니다.

2026 가이드 근거

 

출처: 과학기술정보통신부·한국인터넷진흥원, 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」, W-44, p.241. 본 게시글은 위 가이드의 판단 기준을 참고하여 작성했으며, 진단 결과와 증적은 개인 실습 환경에서 직접 수집했습니다.

2. 점검 목적

업무상 필요하지 않은 원격 레지스트리 접근 경로를 제거해 구성 정보 노출과 원격 설정 변경, 서비스 거부 공격 가능성을 줄이는 것이 목적입니다.

3. 실습 환경

• 운영체제: Microsoft Windows Server 2019 Standard Evaluation
• OS 버전: 10.0.17763
• 확인 Build: 17763.3650
• 가상화 환경: VMware, Inc. VMware20,1
• 컴퓨터 이름: WIN-RTQP19JGCE2
• 네트워크: VMware Host-only isolated network
• 실행 ID: 20260806-235001
• 진단 일자: 2026-08-06

4. 취약 상태 구성

Remote Registry 서비스 시작 유형을 Automatic으로 바꾸고 서비스를 실제로 시작했습니다. 실행 상태를 수집한 직후 중지·비활성화했습니다.

이 구성은 인터넷과 분리된 실습 VM에서만 수행했습니다.

구성 방법

Set-Service RemoteRegistry -StartupType Automatic
Start-Service RemoteRegistry
Get-CimInstance Win32_Service -Filter "Name='RemoteRegistry'"

다음 명령으로 설정 상태를 확인했습니다.

Get-CimInstance Win32_Service `
    -Filter "Name='RemoteRegistry'" |
    Select-Object Name,State,StartMode

 

5. 최초진단 결과

• 판정: 취약
• 자동 판정 근거: Remote Registry가 Running/Auto 상태로 원격 레지스트리 접근 경로가 활성화돼 있었습니다.

6. 조치 방법

서비스를 중지하고 시작 유형을 Disabled로 변경했습니다. 원격 관리 제품이 이 서비스를 요구하는 환경에서는 의존성을 확인한 뒤 관리망, 방화벽, 허용 계정을 함께 제한해야 합니다.

Stop-Service RemoteRegistry -Force
Set-Service RemoteRegistry -StartupType Disabled
Get-Service RemoteRegistry

Windows 설정 경로: 서비스 > Remote Registry > 속성 > 시작 유형: 사용 안 함

 

7. 이행진단 결과

• 판정: 양호
• 자동 판정 근거: Remote Registry가 Stopped/Disabled 상태로 확인됐습니다.

8. 실무 주의사항

서비스를 바로 끄면 백업, 자산 관리, 취약점 진단 도구가 실패할 수 있습니다. 사용 주체와 연결 방향, 서비스 종속성을 먼저 조사해야 합니다.

컨설턴트 조언

• EDR·백업·패치·자산 관리 도구가 Remote Registry를 실제로 사용하는지 벤더 문서와 통신 로그로 확인합니다.
• 필요한 예외는 상시 자동 시작보다 승인된 작업 시간의 일시 실행과 관리망 방화벽 제한을 우선 검토합니다.
• 도메인 GPO와 로컬 서비스 설정의 우선순위를 확인하고 재부팅 후에도 비활성 상태인지 검증합니다.
• 서비스 시작 이벤트와 원격 레지스트리 연결을 모니터링해 비인가 재활성화를 탐지합니다.

9. 마무리

Remote Registry는 불필요하면 중지·비활성화하고, 필요한 경우에도 승인된 관리 경로와 계정으로 범위를 좁혀야 합니다.