컴퓨터를 무단 사용으로부터 보호하는 가장 기본적이면서도 확실한 방법은 강력한 암호를 설정하는 것입니다. Windows 11/10/8/7은 암호를 통한 보호 기능을 기본적으로 제공하며, 탄탄한 암호 정책은 곧 컴퓨터 보안의 첫 번째 방어선이라 할 수 있습니다.
Windows PC의 보안을 한층 더 강화하고 싶다면, 시스템에 내장된 로컬 보안 정책(Local Security Policy), 즉 Secpol.msc를 활용해 로그인 암호 정책을 세부적으로 구성할 수 있습니다. 수많은 설정 항목 사이에는 컴퓨터의 암호 정책을 손쉽게 관리할 수 있는 유용한 옵션들이 포함되어 있습니다.
Windows 로그인 암호 정책 강화하기
실행 창(Win + R)을 열어 secpol.msc를 입력한 뒤 Enter 키를 누르면 로컬 보안 정책이 실행됩니다. 왼쪽 창에서 계정 정책 > 암호 정책을 클릭하면, 오른쪽에 구성 가능한 설정 목록이 나타납니다.
각 항목을 두 번 클릭하면 속성 창이 열리고, 드롭다운 메뉴에서 원하는 값을 선택할 수 있습니다. 설정을 마친 후에는 반드시 적용/확인 버튼을 눌러 변경 사항을 저장해야 합니다.
1] 암호 기록 적용 (Enforce Password History)
이 정책을 사용하면 사용자가 예전에 쓰던 암호를 일정 기간 후 다시 재사용하는 것을 방지할 수 있습니다. 이전 암호를 다시 사용하기 전에 새로 설정해야 하는 고유 암호의 개수를 지정하는 방식이며, 도메인 컨트롤러에서는 기본값이 24, 독립 실행형 서버에서는 0으로 설정되어 있습니다.
2] 최대 암호 사용 기간 (Maximum Password Age)
사용자가 일정 기간이 지나면 반드시 암호를 변경하도록 강제할 수 있습니다. 만료 기간은 1~999일 사이로 설정하거나, 0으로 지정하면 암호가 만료되지 않습니다. 기본값은 42일입니다.
3] 최소 암호 사용 기간 (Minimum Password Age)
새 암호를 설정한 후 일정 기간 동안은 변경할 수 없도록 하는 설정입니다. 1~998일 사이로 지정하거나, 0으로 설정하면 즉시 변경이 가능합니다. 도메인 컨트롤러의 기본값은 1일, 독립 실행형 서버는 0입니다. 이 설정 자체가 보안을 직접적으로 강화하지는 않지만, 사용자가 암호를 너무 자주 바꾸는 것을 막고 싶을 때 유용합니다.
4] 최소 암호 길이 (Minimum Password Length)
해킹 시도를 예방하기 위해 반드시 점검해야 할 중요한 항목입니다. 암호 길이는 1~14자 사이로 지정할 수 있으며, 0으로 설정하면 암호 없이 로그인할 수 있습니다. 도메인 컨트롤러의 기본값은 7자입니다.
아래의 두 가지 추가 설정도 필요에 따라 활성화할 수 있습니다. 각 항목의 속성 창을 연 뒤 사용(Enabled)을 선택하고 적용하면 정책이 활성화됩니다.
5] 복잡성 요구 사항 충족 (Password Must Meet Complexity Requirements)
이 정책을 활성화하면 암호가 더욱 복잡해져 유출되기 어려워집니다. 정책이 적용되면 암호는 다음의 최소 요구 사항을 충족해야 합니다.
- 사용자의 계정 이름 또는 전체 이름에서 연속된 2자를 초과하는 부분을 포함하지 않을 것
- 최소 6자 이상일 것
- 아래 네 가지 범주 중 세 가지 이상의 문자를 포함할 것
- 영문 대문자(A~Z)
- 영문 소문자(a~z)
- 숫자(0~9)
- 특수 문자(예: !, $, #, %)
6] 해독 가능한 암호화로 암호 저장 (Store Passwords Using Reversible Encryption)
이 설정은 운영 체제가 암호를 해독 가능한(reversible) 형태로 저장할지 여부를 결정합니다. 해독 가능한 암호화로 저장하는 것은 사실상 평문으로 암호를 보관하는 것과 마찬가지이므로, 응용 프로그램의 요구 사항이 암호 정보 보호보다 우선하는 특수한 경우가 아니라면 절대 활성화해서는 안 됩니다.
참고: Windows에서 암호 정책을 직접 사용자 지정하는 방법도 함께 확인해 보세요.
Windows 11/10 계정 잠금 정책 설정하기
암호 정책과 더불어 계정 잠금 기간과 임계값을 설정하면, 지정된 횟수만큼 로그인에 실패한 순간 계정이 잠기므로 잠재적인 해커의 공격을 효과적으로 차단할 수 있습니다. 왼쪽 창에서 계정 잠금 정책(Account Lockout Policy)을 클릭해 설정을 시작하세요.
1] 계정 잠금 임계값 (Account Lockout Threshold)
이 정책을 설정하면 잘못된 로그인 시도 횟수를 제한할 수 있습니다. 기본값은 0(잠금 없음)이며, 0~999회 사이로 로그인 실패 허용 횟수를 지정할 수 있습니다.
2] 계정 잠금 기간 (Account Lockout Duration)
계정이 잠긴 후 자동으로 잠금이 해제될 때까지 걸리는 시간을 분 단위로 지정합니다. 0분에서 99,999분 사이로 설정할 수 있으며, 반드시 '계정 잠금 임계값' 정책과 함께 구성해야 합니다.
3] 다음 시간 후 계정 잠금 카운터 다시 설정 (Reset Account Lockout Counter After)
로그인 실패 후 몇 분이 지나야 실패 횟수 카운터가 0으로 초기화되는지를 결정하는 설정입니다. 설정 가능 범위는 1분에서 99,999분까지이며, 이 역시 '계정 잠금 임계값' 정책과 함께 설정해야 합니다.
안전하게, 보안을 지키세요!
Windows의 AuditPol(감사 정책 도구)에 대해 알고 계신가요? 시스템 감사와 보안 모니터링에 관심이 있다면 한번 살펴볼 만합니다.