[인프라진단] #W-62 시작 프로그램 목록 분석

1. 항목 설명

시작 프로그램은 부팅이나 사용자 로그온 시 자동 실행되므로 불필요한 항목과 악성 지속성 도구가 숨어들기 쉽습니다. 등록 위치를 정기적으로 검토하고 승인되지 않은 항목을 제거해야 합니다.

판단 기준: 시작 프로그램을 정기적으로 검사하고 불필요한 서비스·항목을 비활성화하면 양호, 검토 절차가 없고 불필요한 항목이 실행되면 취약입니다.

2026 가이드 근거

출처: 과학기술정보통신부·한국인터넷진흥원, 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」, W-62, p.268. 본 게시글은 위 가이드의 판단 기준을 참고하여 작성했으며, 진단 결과와 증적은 개인 실습 환경에서 직접 수집했습니다.

2. 점검 목적

부팅·로그온 자동 실행 지점을 관리해 악성코드의 지속성과 불필요한 자원 사용을 차단하는 것이 목적입니다.

3. 실습 환경

• 운영체제: Microsoft Windows Server 2019 Standard Evaluation
• OS 버전: 10.0.17763
• 확인 Build: 17763.3650
• 가상화 환경: VMware, Inc. VMware20,1
• 컴퓨터 이름: WIN-RTQP19JGCE2
• 네트워크: VMware Host-only isolated network
• 실행 ID: 20260824-185107
• 진단 일자: 2026-08-24

4. 취약 상태 구성

HKLM Run 키에 W62-Lab-ReviewRequired라는 실습용 Notepad 자동 실행 항목을 등록하고 정기 검토 절차를 제거했습니다. 로그온은 수행하지 않아 프로그램이 실제 실행되지는 않았습니다.

이 구성은 인터넷과 분리된 실습 VM에서만 수행했습니다.

구성 방법

$run = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run'
New-ItemProperty $run W62-Lab-ReviewRequired `
    -Value 'C:\Windows\System32\notepad.exe' `
    -PropertyType String -Force

다음 명령으로 설정 상태를 확인했습니다.

Get-ItemProperty `
    'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run'
Get-CimInstance Win32_StartupCommand |
    Select-Object Name,Command,Location,User

5. 최초진단 결과

• 판정: 취약
• 자동 판정 근거: 승인되지 않은 실습용 자동 실행 항목이 존재하고 시작 프로그램 정기 검토 절차가 없는 상태였습니다.

6. 조치 방법

실습용 Run 항목을 제거하고 Run 키, 시작 폴더, 예약 작업과 자동 시작 서비스를 정기 검토하는 절차를 증적으로 작성했습니다.

$run = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run'
Remove-ItemProperty $run W62-Lab-ReviewRequired
# 정기 검토 범위: HKLM/HKCU Run, 시작 폴더,
# 예약 작업, 자동 시작 서비스와 승인 소유자

Windows 설정 경로: 레지스트리 편집기 > HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

7. 이행진단 결과

• 판정: 양호(검토 절차)
• 자동 판정 근거: 승인되지 않은 실습 항목이 제거됐고 시작 프로그램 정기 검토 절차가 파일로 확인됐습니다.

8. 실무 주의사항

Run 키만 보면 예약 작업, 서비스, 시작 폴더, WMI 구독과 드라이버 기반 지속성을 놓칠 수 있습니다. 여러 자동 실행 지점을 하나의 기준 목록으로 검토해야 합니다.

컨설턴트 조언

• Autoruns·EDR 인벤토리로 Run 키, 서비스, 예약 작업과 WMI 지속성을 함께 수집합니다.
• 항목별 파일 서명, 해시, 설치 제품, 업무 소유자와 변경 티켓을 대조합니다.
• 불필요 항목은 삭제 전 비활성화와 영향 관찰을 거쳐 롤백 경로를 확보합니다.
• 신규 자동 실행 등록과 기존 항목 변경을 EDR·SIEM에서 실시간 경보화합니다.

9. 마무리

모든 자동 실행 지점을 정기적으로 인벤토리화하고 승인되지 않은 항목을 소유자·서명·변경 기록에 따라 제거해야 합니다.