Windows NT, 2000, 2003, 2008, 2012, 2016, 2019, 2022
양호기준
특정 IP 주소에서만 FTP 서버에 접속하도록 접근 제어 설정을 적용한 경우
취약기준
특정 IP 주소에서만 FTP 서버에 접속하도록 접근 제어 설정을 적용하지 않는 경우
조치방법
특정 IP 주소에서만 FTP 서버에 접속하도록 접근 제어 설정
상세 설명
1. 판단 기준
기본 판단 기준
양호: FTP 서비스에 IP 주소 기반 접근 제어(IP Restriction)가 설정되어 특정 IP만 접속 가능한 경우
취약: 모든 IP 주소(0.0.0.0/0)에서 FTP 접속이 가능한 경우
경계 케이스 (Edge Case) 처리 방법
상황
판단 기준
설명
허용 IP가 127.0.0.1만 있는 경우
주의
로컬 접속만 가능하나 실제 운영 환경 고려 필요
특정 IP 대역(예: 192.168.1.0/24) 허용
양호
내부망 대역 제한
방화벽에서만 IP 제한됨
양호
네트워크 레벨에서 접근 제어
거부 목록(Blocklist)만 구성
취약
명시적 허용(Allowlist) 정책 권장
VPN 서버 IP만 허용
양호
VPN 경유 접속만 허용
권장 설정값
환경
항목
권장 설정
비고
IIS FTP
IP 제한 기본 정책
거부(Deny All)
명시적 허용만 접속 가능
IIS FTP
허용 IP
관리자 PC, 관련 서버 IP
화이트리스트 방식
방화벽
인바운드 규칙
특정 IP로 제한
Windows 방화벽 또는 외부 방화벽
FTP 포트
21/TCP
허용 IP로 제한
필요시 PASV 포트도 제한
2. 점검 방법
Windows 서버 점검
FTP 포트는 무차별 대입 공격의 주요 표적이 되므로, 반드시 IP 기반 접근 제어가 설정되어 있어야 합니다.
1
2
3
# IIS FTP IP 제한 설정 확인Import-ModuleWebAdministrationGet-WebConfiguration-Filter"/system.ftpServer/security/ipSecurity"-PSPath"IIS:\"
양호 출력 예시:
1
allowUnlisted : False
취약 출력 예시:
1
allowUnlisted : True
1
2
# Windows 방화벽 FTP 규칙 확인
netsh advfirewall firewall show rule name="FTP Server"
1
2
# 방화벽 규칙의 원격 IP 확인Get-NetFirewallRule-Displayname"*FTP*"|Get-NetFirewallAddressFilter|Select-Object-PropertyRemoteAddress
1
2
# FTP 포트 리스닝 및 바인딩 확인
netstat -an | findstr ":21"
3. 조치 방법
Windows 서버 설정
IIS FTP IP 제한 설정
1
2
3
4
5
6
7
8
# IP 제한 기본 정책을 '거부'로 설정Set-WebConfigurationProperty-Filter"/system.ftpServer/security/ipSecurity"-PSPath"IIS:\"-Name"allowUnlisted"-Value$false# 허용할 IP 추가 (단일 IP)Add-WebConfiguration-Filter"/system.ftpServer/security/ipSecurity"-PSPath"IIS:\"-Value@{ipAddress="192.168.1.100";allowed="true"}# 허용할 IP 대역 추가Add-WebConfiguration-Filter"/system.ftpServer/security/ipSecurity"-PSPath"IIS:\"-Value@{ipAddress="192.168.1.0";subnetMask="255.255.255.0";allowed="true"}
Windows 방화벽 IP 제한
1
2
3
4
5
# FTP 인바운드 규칙의 원격 IP 제한
netsh advfirewall firewall set rule name="FTP Server" new remoteip="192.168.1.100,192.168.1.200"# 또는 특정 IP 대역 허용
netsh advfirewall firewall set rule name="FTP Server" new remoteip="192.168.1.0/24"
IIS 관리자에서 설정 (GUI)
1
2
3
4
5
6
7
1. IIS 관리자 실행 > FTP 사이트 선택
2. "FTP IPv4 주소 및 도메인 제한" 더블클릭
3. 우측 작업 창에서 "기능 설정 편집" 클릭
4. "지정되지 않은 클라이언트에 대한 액세스": [거부] 선택 > 확인
5. 우측 "허용 항목 추가" 클릭
6. 접속을 허용할 IP 주소 또는 범위 입력
7. [확인]
Windows 방화벽 GUI 설정
1
2
3
4
5
6
1. 고급 보안이 포함된 Windows Defender 방화벽 실행
2. 인바운드 규칙 > FTP Server 관련 규칙 더블클릭
3. [영역] 탭 선택
4. 원격 IP 주소: "다음 IP 주소" 선택
5. [추가] 버튼으로 허용할 IP 입력
6. [확인]