영어로 읽기

다음을 통해 공유

안전하게 이벤트 수신

  • 아티클

임시 및 영구 소비자는 이벤트 배달을 보호하는 다양한 방법을 가지고 있습니다.

이 항목에서는 다음 섹션에 대해 설명합니다.

임시 소비자 보안

임시 소비자는 시스템이 다시 부팅되거나 WMI가 중지될 때까지 실행될 있지만 특정 이벤트가 발생하는 경우 시작할 수 없습니다. 예를 들어 SWbemServices.ExecNotificationQueryAsync 호출하면 임시 소비자가 만들어집니다.

호출은 SWbemServices.ExecNotificationQuery 또는 IWbemServices::ExecNotificationQuery을 통해 임시 이벤트 소비자를 만듭니다. 임시 사용자는 자신이 생성하는이벤트가싱크에 제공되는 것을 제어할 수 없습니다.

ExecNotificationQuery 메서드에 대한 호출은 동기적으로, 반동적으로또는 비동기적으로 수행할 수 있습니다. 예를 들어 SWbemServices.ExecNotificationQueryiflags 매개 변수를 설정하는 방법에 따라 반동적으로 호출할 수 있는 동기 메서드입니다. SWbemServices.ExecNotificationQueryAsync 비동기 호출입니다.

이러한 호출의 비동기 버전에 대한 싱크에 대한 콜백은 스크립트가 수행한 호출과 동일한 인증 수준에서 반환되지 않을 수 있습니다. 따라서 비동기 호출 대신 세미동기 호출을 사용하는 것이 좋습니다. 비동기 통신이 필요한 경우 메서드 호출 및 비동기 호출 보안 설정참조하세요.

스크립팅 구독자는 이벤트 공급자의 액세스 권한을 확인하여 스크립트에서 만든 싱크에 이벤트를 제공할 수 없습니다. 따라서 SWbemServices.ExecNotificationQuery 호출은 호출의 반동기 형식을 사용하고 특정 보안 설정을 사용하는 것이 좋습니다. 자세한 내용은 VBScript로 반동기 호출 하기을 참조하세요.

영구 소비자 보호

영구 소비자는 운영 체제를 다시 시작한 후에도 지속되는 이벤트 공급자의 이벤트에 대한 영구 구독을 보유하고 있습니다. 영구 소비자를 지원하는 이벤트 공급자는 의 이벤트 소비자 공급자입니다. 이벤트가 발생할 때 이벤트 공급자가 실행되지 않는 경우 WMI는 이벤트를 제공해야 할 때 공급자를 시작합니다. WMI는 소비자 공급자가 정의한 논리 소비자 클래스과 연결된 __Win32Provider 인스턴스를 설명하는 __EventConsumerProviderRegistration 인스턴스를 기반으로 이벤트를 전달해야 할 소비자 공급자를 식별합니다. 소비자 공급자의 역할에 대한 자세한 내용은 이벤트 소비자 공급자작성을 참조하세요.

영구 소비자는 이벤트를 보내는 사람을 제어할 수 있으며 이벤트 공급자는 이벤트에 액세스하는 사용자를 제어할 수 있습니다.

클라이언트 스크립트 및 애플리케이션은 구독의 일부로 논리 소비자 클래스의 인스턴스를 만듭니다. 논리 소비자 클래스는 이벤트에 포함된 정보, 클라이언트가 이벤트로 수행할 수 있는 작업 및 이벤트 전달 방법을 정의합니다.

WMI 표준 소비자 클래스는 논리 소비자 클래스의 역할 예제를 제공할 있습니다. 자세한 내용은 표준 소비자 사용하여모니터링 및 이벤트에 응답하는 방법을 참조하세요.

영구 구독 보안 설정

영구 구독은 WMI에서 보안 문제를 일으킬 가능성이 더 크므로 다음과 같은 보안 요구 사항이 있습니다.

  • 논리 소비자 인스턴스, __EventFilter및 __FilterToConsumerBinding 인스턴스에는 CreatorSID 속성에 동일한 개별 SID(보안 식별자)가 있어야 합니다. 자세한 내용은 영구 구독모든 인스턴스에서 동일한 SID 유지를 참조하세요.

  • 구독을 만드는 계정은 로컬 관리자 권한이 있는 도메인 계정 또는 로컬 관리자 그룹 계정이어야 합니다. 관리자 그룹 SID를 사용하면 네트워크에서 연결이 끊긴 경우에도 구독이 로컬 컴퓨터에서 계속 작동할 수 있습니다. 도메인 계정을 사용하면 사용자를 정확하게 식별할 수 있습니다.

    그러나 컴퓨터가 연결되어 있지 않고 생성 계정이 도메인 계정인 경우 WMI가 계정의 ID를 확인할 수 없으므로 소비자가 실패합니다. 컴퓨터가 네트워크에서 연결이 끊어지는 경우 구독 실패를 방지하려면 구독에 대해 Administrators 그룹 SID를 사용합니다. 이 경우 LocalSystem 계정이 도메인의 그룹 멤버 자격 데이터에 액세스할 수 있는지 확인해야 합니다. 일부 이벤트 소비자 공급자는 악의적인 구독으로 인해 큰 피해를 줄 수 있으므로 보안 요구 사항이 특히 높습니다. 다음은 표준 소비자들입니다: ActiveScriptEventConsumer 및 CommandLineEventConsumer.

  • 특정 이벤트 공급자 ID의 이벤트만 허용하도록 영구 구독을 구성할 수 있습니다. __EventFilter 인스턴스의 EventAccess 속성에서 보안 설명자를 이벤트 공급자 ID로 설정합니다. WMI는 이벤트 공급자의 ID를 보안 설명자와 비교하여 공급자에 WBEM_RIGHT_PUBLISH 액세스 권한이 있는지 확인합니다. 자세한 내용은 WMI 보안 상수 참조하세요.

    필터가 이벤트 공급자 ID에 대한 액세스를 허용하는 경우 이벤트를 신뢰합니다. 이렇게 하면 이벤트를 받은 소비자가 위임된 이벤트를 발생시키는 것을 허용합니다.

    참고EventAccess의 보안 설명자의 기본값은 NULL이며, 이는 모든 사용자가 액세스할 수 있음을 의미합니다. 더 나은 이벤트 보안을 위해 __EventFilter 구독 인스턴스에서 액세스를 제한하는 것이 좋습니다.

Administrator-Only SD 설정

다음 C++ 코드 예제에서는 __EventFilter 인스턴스에 관리자 전용 보안 설명자를 만듭니다. 이 예제에서는 SDDL(보안 설명자 정의 언어)을 사용하여 보안 설명자를 만듭니다. WBEM_RIGHT_SUBSCRIBE대한 자세한 내용은 WMI 보안 상수참조하세요.

// Create SD that allows only administrators 
//    to send events to this filter. 
// The SDDL settings are O:BAG:BAD:(A;;0x80;;;BA)
// Set the EventAccess property in the 
//    IWbemClassObject of the __EventFilter instance. 
   long lMask = WBEM_RIGHT_PUBLISH;
     WCHAR wBuf[MAX_PATH];
     _ltow( lMask, wBuf, 16 );
 
HRESULT hRes = pEventFilterInstance->Put( L"EventAccess", 0,
    &_variant_t( L"O:BAG:BAD:(A;;0x80;;;BA)" ), NULL );

이전 코드 예제에는 다음 참조 및 #include 문이 필요합니다.

#define _WIN32_DCOM
#include <wbemidl.h>
#include <comdef.h>

#pragma comment(lib, "wbemuuid.lib")

이벤트 공급자 ID 사칭

영구 소비자는 이벤트를 처리하기 위해 이벤트 공급자를 가장해야 할 수 있습니다. 영구 소비자는 다음 조건이 있는 경우에만 이벤트 공급자를 가장할 수 있습니다.

  • __FilterToConsumerBinding 인스턴스에는 MaintainSecurityContext 속성이 True설정됩니다.
  • 이벤트는 공급자가 이벤트를 생성할 때 있었던 것과 동일한 보안 컨텍스트에서 전달됩니다. 프로세스 내 소비자인 DLL로 구현된 소비자만 공급자의 보안 컨텍스트에서 이벤트를 받을 수 있습니다. in-process 공급자 및 소비자의 보안에 대한 자세한 내용은 공급자 호스팅 및 보안참조하세요.
  • 이벤트 공급자가 가장을 허용하는 프로세스에서 실행 중입니다.

소비자 프로세스를 실행하는 계정에는 WMI 리포지토리(CIM 리포지토리라고도 함)에 대한 FULL_WRITE 액세스 권한이 있어야 합니다. 구독에서 __FilterToConsumerBinding, __EventConsumer및 __EventFilter 인스턴스에는 CreatorSID 속성에 동일한 개별 SID(보안 식별자) 값이 있어야 합니다. WMI는 각 인스턴스의 CreatorSID에 SID를 저장합니다.

SID 및 영구 구독

바인딩, 소비자 및 필터가 동일한 사용자에 의해 만들어지지 않으면 영구 구독이 작동하지 않습니다. 즉, __FilterToConsumerBinding, __EventConsumer및 __EventFilterCreatorSID 속성에 동일한 개별 SID(보안 식별자) 값이 있어야 합니다. WMI(Windows Management Instrumentation)는 이 값을 저장합니다.

도메인 계정을 사용하여 영구 구독 만들기

도메인 계정을 사용하여 영구 구독을 만들 때 몇 가지 문제를 고려해야 합니다. 모든 영구 구독은 로그온한 사용자가 없을 때 계속 작동해야 합니다. 즉, 기본 제공 LocalSystem 계정에서 작동합니다.

도메인 사용자가 보안에 민감한 소비자(ActiveScriptEventConsumer, CommandLineEventConsumer)에 대한 영구 구독을 만든 경우 WMI는 __EventFilter 클래스, __FilterToConsumerBinding 클래스 및 소비자 인스턴스의 CreatorSID 속성이 로컬 관리자 그룹의 구성원인 사용자에 속하는지 여부를 확인합니다.

다음 코드 예제에서는 CreatorSID 속성을 지정하는 방법을 보여 줍니다.

 instance of __EventFilter as $FILTER
    {
        // this is the Administrators SID in array of bytes format
        CreatorSID = {1,2,0,0,0,0,0,5,32,0,0,0,32,2,0,0};    
        // Add filter code here ...
    }

    instance of ActiveScriptEventConsumer as $CONSUMER
    {
       CreatorSID = {1,2,0,0,0,0,0,5,32,0,0,0,32,2,0,0};
       // Add consumer code here ...
    }

    instance of __FilterToConsumerBinding
    {
       CreatorSID = {1,2,0,0,0,0,0,5,32,0,0,0,32,2,0,0};
       Consumer = $CONSUMER;
       Filter = $FILTER;
       // Add binding code here ...
    }

도메인 간 상황의 경우 인증된 사용자를 "Windows 권한 부여 액세스 그룹"에 추가합니다.

WMI 이벤트 보안

WMI 이벤트를 수신