[인프라진단] #W-59 LAN Manager 인증 수준

1. 항목 설명

LAN Manager 인증 수준은 네트워크 로그온에서 사용할 LM·NTLM·NTLMv2 응답을 결정합니다. LM과 구형 NTLM은 가로채기와 오프라인 암호 추측에 취약합니다.

판단 기준: NTLMv2 응답만 보내도록 설정하면 양호, LM 또는 NTLM 응답을 허용하면 취약입니다.

2026 가이드 근거

출처: 과학기술정보통신부·한국인터넷진흥원, 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」, W-59, pp.263-264. 본 게시글은 위 가이드의 판단 기준을 참고하여 작성했으며, 진단 결과와 증적은 개인 실습 환경에서 직접 수집했습니다.

출처: 과학기술정보통신부·한국인터넷진흥원, 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」, W-59, pp.263-264. 본 게시글은 위 가이드의 판단 기준을 참고하여 작성했으며, 진단 결과와 증적은 개인 실습 환경에서 직접 수집했습니다.

2. 점검 목적

레거시 인증 응답을 제거하고 NTLMv2 이상으로 네트워크 인증을 제한해 자격 증명 가로채기 위험을 낮추는 것이 목적입니다.

3. 실습 환경

• 운영체제: Microsoft Windows Server 2019 Standard Evaluation
• OS 버전: 10.0.17763
• 확인 Build: 17763.3650
• 가상화 환경: VMware, Inc. VMware20,1
• 컴퓨터 이름: WIN-RTQP19JGCE2
• 네트워크: VMware Host-only isolated network
• 실행 ID: 20260824-185107
• 진단 일자: 2026-08-24

4. 취약 상태 구성

LmCompatibilityLevel=1로 설정해 LM과 NTLM 응답을 허용하고 협상 시에만 NTLMv2를 사용하도록 했습니다. 인증 트래픽 발생은 하지 않았습니다.

이 구성은 인터넷과 분리된 실습 VM에서만 수행했습니다.

구성 방법

$lsa = 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa'
New-ItemProperty $lsa LmCompatibilityLevel -Value 1 `
    -PropertyType DWord -Force

다음 명령으로 설정 상태를 확인했습니다.

Get-ItemPropertyValue `
    'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' `
    -Name LmCompatibilityLevel

5. 최초진단 결과

• 판정: 취약
• 자동 판정 근거: LmCompatibilityLevel=1로 LM·NTLM 응답이 허용돼 NTLMv2 전용 기준을 충족하지 못했습니다.

6. 조치 방법

값을 5로 변경해 NTLMv2 응답만 보내고 LM과 NTLM을 거부하도록 강화했습니다. 레거시 NAS·복합기·응용프로그램 호환성은 사전 시험이 필요합니다.

$lsa = 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa'
Set-ItemProperty $lsa LmCompatibilityLevel 5

Windows 설정 경로: 로컬 보안 정책 > 로컬 정책 > 보안 옵션 > 네트워크 보안: LAN Manager 인증 수준

7. 이행진단 결과

• 판정: 양호
• 자동 판정 근거: LmCompatibilityLevel=5로 NTLMv2 응답만 전송하고 LM·NTLM을 거부하도록 설정됐습니다.

8. 실무 주의사항

바로 최고 수준을 적용하면 오래된 NAS, 프린터와 업무 프로그램의 인증이 중단될 수 있습니다. NTLM 감사 로그로 사용처를 식별한 뒤 단계적으로 강화해야 합니다.

컨설턴트 조언

• NTLM 감사 정책과 이벤트를 먼저 수집해 LM·NTLM 의존 시스템을 식별합니다.
• 레거시 장비는 예외를 장기 유지하기보다 교체·펌웨어 업데이트 계획과 연결합니다.
• 도메인 GPO의 최종 적용값과 로컬 레지스트리를 비교해 정책 충돌을 확인합니다.
• 가능한 서비스는 Kerberos·인증서 기반 인증으로 전환하고 NTLM 사용 자체를 줄입니다.

9. 마무리

NTLMv2 전용 수준을 적용하고 레거시 인증 의존성을 단계적으로 제거해야 네트워크 자격 증명 보호가 가능합니다.