KB5089549: 마이크로소프트, 필수 Windows 11 업데이트 설치 간소화

마이크로소프트의 새로운 패치 화요일 업데이트는 보안 부팅 배포 스크립트를 중앙 집중화하여 관리를 더욱 간편하게 만들었습니다.

지난주 마이크로소프트는 최신 패치 화요일 업데이트 (Windows 10용 KB5087544 및 Windows 11용 KB5089549)와 해당 복구 업데이트를 배포했습니다. 공식 미디어 제작 도구도 업데이트되었습니다. 하지만 주의할 점은 Windows 11 업데이트 설치에 문제가 발생할 수 있으며, 마이크로소프트에서 해결 방법을 제공했지만, 오늘 앞서 보도한 보안 취약점 "MiniPlasma"에 여전히 취약하다는 것입니다.

긍정적인 소식으로는, 마이크로소프트가 이번 패치 화요일 업데이트에서 시스템 루트 디렉터리 (일반적으로 C 드라이브)에 새로운 보안 부팅 폴더를 추가하는 유용한 개선 사항을 조용히 적용했다는 점입니다. Neowin은 검색 중에 이 변경 사항을 발견했습니다.

어떤 이유에서인지 회사는 초기 릴리스 노트에 이 내용을 언급하는 것을 잊었지만, 나중에 수정하여 추가했습니다. 추가된 내용은 다음과 같습니다. "보안 부팅 릴리스 노트 추가: 이 업데이트는 적격 장치의 C:\Windows 아래에 새 SecureBoot 폴더를 추가합니다." 따라서 이번 업데이트를 통해 Microsoft는 필요한 모든 리소스를 "ExampleRolloutScripts" 폴더에 한 곳에 모았습니다. 기본적으로 이러한 스크립트를 사용하면 IT 관리자와 시스템 관리자가 GPO (그룹 정책 개체) 배포를 통해 설치를 자동화하고 각 기업 환경에서 보안 부팅 업데이트 상태를 모니터링하고 추적할 수 있습니다. 이 스크립트는 감지 및 상태 모니터링을 위한 1단계와 업데이트된 인증서 배포 완료를 위한 2단계를 모두 다룹니다.

따라서 새 Secure Boot 폴더에는 다음과 같은 PowerShell 스크립트 샘플이 포함되어 있습니다: 

• Detect-SecureBootCertUpdateStatus.ps1: 장치 상태 데이터 수집
• Aggregate-SecureBootData.ps1: 보고서 및 대시보드 생성
• Deploy-GPO-SecureBootCollection.ps1: 데이터 수집을 위한 GPO 생성 자동화
• Start-SecureBootRolloutOrchestrator.ps1: 인증서 설치를 위한 자동화된 GPO 배포를 포함한 완전 자동화된 지속적인 오케스트레이션
• Deploy-OrchestratorTask.ps1: 자동 배포를 위해 오케스트레이터를 Windows 예약 작업으로 배포
• Get-SecureBootRolloutStatus.ps1: 모든 워크스테이션에서 보안 부팅 인증서 배포 상태 확인
• Enable-SecureBootUpdateTask.ps1: 보안 부팅 업데이트 작업 활성화 

참고로, Microsoft는 2024년 초에 보안 부팅 키가 2026년에 15년이 되어 만료될 예정이므로 업데이트할 것이라고 발표했습니다. 이에 따라 최신 Windows 11 업데이트와 함께 새로운 2023년 인증서가 배포되었습니다. 부트 관리자와 보안 부팅 인증서를 최신 버전으로 업데이트하는 것은 부트킷과 같은 악성코드로부터 시스템을 보호하는 데 매우 중요합니다. 마이크로소프트는 이전에 여러 번 재부팅이 발생하는 이유가 바로 이 때문이라고 밝힌 바 있습니다.

일반 가정 사용자라면 필요한 인증서가 최신 버전인지 확인하기 위해 윈도우 보안 앱에 추가된 유용한 표시를 활용할 수 있습니다.