Windows 보안 기반

Microsoft는 소프트웨어 개발 프로세스를 개선하고 설계부터 매우 안전한 소프트웨어를 구축하며 보안 규정 준수 요구 사항을 해결하는 데 지속적으로 투자하기 위해 최선을 다하고 있습니다. Microsoft에서는 모든 소프트웨어 개발 프로세스의 초기 수명 주기 단계에서 보안 및 개인 정보 보호 고려 사항을 포함합니다. 우리는 오늘날의 위협 환경에서 강력한 방어를 위해 기초 단계부터 보안을 구축합니다.

당사의 강력한 보안 기반은 Microsoft SDL(보안 개발 수명 주기) 버그 장려금, 제품 보안 표준 및 인증 지원, Azure 코드 서명을 사용합니다. 결과적으로 취약성이 식별된 후 업데이트를 적용하는 대신 결함과 취약점이 적은 소프트웨어를 생성하여 보안을 개선합니다.

보안 기반에 대해 자세히 알아보려면 다음 표의 링크를 사용하세요.

공격적인 연구

기능 이름	설명
Microsoft SDL(보안 개발 수명 주기)	Microsoft SDL(보안 개발 수명 주기)은 엔지니어링 및 개발의 모든 단계에서 보안 모범 사례, 도구 및 프로세스를 도입합니다.
OneFuzz 서비스	위협 모델링, 정적 분석, 퍼지 테스트 및 코드 품질 검사와 같은 다양한 도구와 기술을 통해 팀의 모든 엔지니어가 Windows에 지속적인 보안 값을 포함할 수 있습니다. SDL 사례를 통해 Microsoft 엔지니어는 코드가 릴리스되기 전에 개발 워크플로 및 전반적인 제품 보안을 개선하기 위한 실행 가능하고 최신 방법을 지속적으로 제공합니다.
Microsoft Windows Insider Preview 현상금 프로그램	Microsoft Windows Insider Preview 현상금 프로그램은 보안 개발 프로세스의 일환으로 전 세계 적격 연구원을 초대하여 WIP(최신 Windows Insider Preview) 개발 채널에서 재현되는 취약성을 찾아 제출합니다. Windows Insider Preview 현상금 프로그램의 목표는 최신 버전의 Windows를 사용하는 고객의 보안에 직접적이고 입증 가능한 영향을 미치는 중요한 취약성을 발견하는 것입니다. 전 세계 연구자와의 공동 작업을 통해 팀은 개발 중에 이전에 발견되지 않은 중요한 취약성을 식별하고 최종 Windows를 릴리스하기 전에 문제를 신속하게 해결합니다.

Certification

기능 이름	설명
공통 조건 인증	CC(Common Criteria)는 현재 공통 기준 인식 배열에 참여하는 국가 정부가 관리하는 국제 표준입니다. CC는 보안 기능 요구 사항, 보안 보증 요구 사항 및 평가를 받는 제품이 기능 및 보증 요구 사항을 충족하도록 하는 데 사용되는 평가 방법론에 대한 일반적인 분류를 정의합니다. Microsoft는 제품이 관련 Common Criteria Protection 프로필에 필요한 기능과 기능을 통합하고 Microsoft Windows 제품의 공통 조건 인증을 완료하도록 합니다.
FIPS(Federal Information Processing Standard) 140 유효성 검사	FIPS(Federal Information Processing Standard) 게시 140은 IT 제품의 암호화 모듈에 대한 최소 보안 요구 사항을 정의하는 미국 정부 표준입니다. Microsoft는 FIPS 140 표준의 요구 사항을 충족하기 위한 적극적인 노력을 유지하고 있으며, 2001년에 처음 설립된 이래로 FIPS 140-2에 대한 암호화 모듈의 유효성을 검사했습니다. Windows 11, Windows 10, Windows Server 및 많은 클라우드 서비스를 비롯한 여러 Microsoft 제품은 이러한 암호화 모듈을 사용합니다.

보안 공급망

기능 이름	설명
SBOM(Software Bill of Material)	SBOM은 Windows 공급망의 다양한 단계를 거치면서 콘텐츠의 투명성과 출처를 제공하는 데 활용됩니다. 이를 통해 각 공급망 세그먼트 간의 신뢰를 확보하고, 수집 중 및 그 과정에서 변조가 발생하지 않도록 하고, 고객에게 배송하는 제품에 대한 입증 가능한 보관 체인을 제공합니다.
Azure 코드 서명	Windows Defender WDAC(애플리케이션 제어)를 사용하면 고객이 디바이스에서 실행할 수 있는 항목을 제어하기 위한 정책을 정의할 수 있습니다. WDAC 정책은 Microsoft Intune 같은 MDM 솔루션을 사용하여 디바이스에 원격으로 적용할 수 있습니다. WDAC 사용을 간소화하기 위해 조직은 WDAC 정책 및 앱에 서명하기 위한 안전하고 완전히 관리되는 서비스인 Azure Code Signing을 활용할 수 있습니다. Azure Code 서명은 Microsoft 관리 인증 기관에서 지원되는 턴키 서비스를 사용하여 코드 서명의 복잡성을 최소화하므로 서명 인증서를 조달하고 자체 관리할 필요가 없습니다. 이 서비스는 다른 Azure 리소스와 마찬가지로 관리되며 선도적인 개발 및 CI/CD 도구 세트와 쉽게 통합됩니다.
Windows 애플리케이션 SDK(소프트웨어 개발 키트)	개발자는 최신 Windows 보호 기능을 활용하는 매우 안전한 애플리케이션을 설계할 수 있습니다. 이 Windows 앱 SDK Windows용 보안 데스크톱 앱을 개발하기 위한 통합 API 및 도구 집합을 제공합니다. 최신 상태로 보호되는 앱을 만들 수 있도록 SDK는 핵심 Windows 운영 체제와 동일한 보안 표준, 프로토콜 및 규정 준수를 따릅니다.