Microsoft 보안 대응 센터는 Microsoft 제품 및 서비스에 영향을 주는 보안 취약성에 대한 모든 신고서를 조사합니다. 보안 연구원이 Microsoft 보안 취약성을 발견했다고 생각되면 함께 조사할 수 있도록 알려주세요.

Microsoft 보안 대응 센터는 Microsoft 제품에 대한 기술 지원을 제공하지 않습니다. 가능한 보안 취약성을 신고하는 것 외에 다른 작업과 관련된 도움이 필요한 경우, 아래에서 해당 상황과 가장 일치하는 설명을 찾은 후에 펼쳐서 다음 단계를 확인하세요.
|

참고: 아래 지침에서는 신고자 혼자 힘으로 연구를 수행한다고 가정합니다. 다른 엔터티에 대한 작업을 수행하는 동안 취약성을 발견한 경우(예: 침투 테스트 참여 중) 여기를 클릭하세요.

Microsoft 보안 취약성 정의를 충족하는 보안 취약성을 발견했다고 생각되면 https://msrc.microsoft.com/create-report에서 MSRC에 신고서를 제출해 주세요. 가능한 문제의 특성 및 범위를 더 잘 이해할 수 있도록 아래에 나열된 요청된 정보(가능한 한 많이)를 포함해 주세요. 신고하는 취약성이 침투 테스트에서 발생한 경우 신고서를 해석하고 수정을 제안하는 데 도움을 제공할 수 있는 Microsoft 고객 지원 서비스 팀을 통해 문의하세요. 신고서에 새로운 보안 취약성이 포함된 경우 고객 지원 서비스 팀에서 신고자를 MSRC와 연결하거나 신고자가 직접 신고할 수 있습니다.
  • 문제 유형(버퍼 오버플로, SQL 삽입, 교차 사이트 스크립팅 등)
  • 버그가 포함된 제품 및 버전 또는 온라인 서비스의 경우 URL
  • 설치한 제품의 서비스 팩, 보안 업데이트 또는 기타 업데이트
  • 문제를 재현하는 데 필요한 특수 구성
  • 새로 설치 시 문제를 재현하는 단계별 지침
  • 개념 증명 또는 익스플로잇 코드
  • 공격자가 문제를 악용하는 방법을 비롯한 문제의 영향
이 정보는 신고서를 보다 빠르게 심사하는 데 도움이 됩니다. 버그 신고 장려금을 받기 위해 신고하는 경우, 신고서의 완성도가 높을수록 더 많은 장려금이 지급됩니다. 활성 장려금 프로그램의 자세한 정보와 사용 약관은 Microsoft 버그 장려금 페이지를 참조하세요.
 
영업일 기준 1일 이내에 해당 팀으로부터 응답을 받게 됩니다. 응답을 받지 못한 경우 후속 작업을 통해 원래 메시지를 받았는지 확인하세요. 
 
Microsoft 보안 대응 센터는 모든 취약성 신고서에 대해 다음 프로세스를 따릅니다. 
  • 신고서를 심사하고, 심층 조사를 위해 케이스를 열어야 하는지 확인합니다. 
  • 게시된 서비스 조건에 따라 조사하고 조치를 취합니다. 
  • 수정 사항을 릴리스할 때 에코시스템 보호에 대한 기여를 공개적으로 인정합니다. 
Microsoft는 CVD(Coordinated Vulnerability Disclosure)를 따르며, 에코시스템을 보호하기 위해 Microsoft에 신고하는 사람도 CVD를 따를 것을 요청합니다.

Microsoft에 취약성 신고서를 제출해 주셔서 감사합니다. 사례 관리자에게 취약성 신고서를 제출하는 경우 일반적으로 영업일 기준 1일 이내에 신고서가 접수되었음을 확인하는 응답을 드립니다. 해당 팀은 월요일부터 금요일까지 정규 업무 시간 동안 근무합니다. 영업일 기준 2일 후에도 응답을 받지 못한 경우 정크 메일 폴더에서 응답을 확인하시기 바랍니다. 

 

이후 발생하는 상황 

  • 심사: 해당 팀에서 신고서가 보안 취약성의 정의를 충족하는지 확인하고 신고서를 제품 엔지니어링 그룹에 할당합니다. 자동 커뮤니케이션에 옵트인한 경우 신고자의 사례가 서비스 불가능으로 종결되거나 추가 평가가 필요한 경우 심사 팀으로부터 메시지를 받게 됩니다.
  • 사례 할당 및 평가: 신고서가 보안 취약성으로 확인되면 신고서에 사례 번호가 할당됩니다. 사례 관리자가 해당 평가와 취약성을 처리하기 위한 계획 생성을 감독합니다.  
  • 평가: 문제가 재현되면 심각도 및 영향을 평가하고 추가 조치를 취할 수 있도록 제품 엔지니어에게 해당 문제를 보냅니다. 포털에서 사례 상태가 “평가”로 바뀌는 것을 볼 수 있습니다. 자동 커뮤니케이션을 받도록 옵트인한 경우 같은 내용을 확인하는 메일을 받게 됩니다. 이 프로세스는 문제의 복잡성과 신고서의 완전성에 따라 다소 시간이 걸릴 수 있습니다. 일반적으로는 사례가 개발 단계로 진행되면(일반적으로 2~3주 후에 이루어짐) 메일을 받게 됩니다. 그때까지 Microsoft로부터 소식을 듣지 못하면 응답이 정크 폴더에 있는 것이거나, 문제의 복잡성 때문에 평가에 시간이 오래 걸리는 것일 수 있습니다.  
  • 개발: 문제를 재현할 수 있는 경우 추가 조치를 취할 수 있도록 해당하는 엔지니어링 그룹으로 사례가 전송됩니다. 즉각적인 처리가 불가능한 일부 사례는 향후 릴리스에서 처리되도록 후보로 고려됩니다. 
  • 릴리스: 릴리스 상태의 사례는 릴리스를 위해 준비하는 상태입니다. 경우에 따라 이는 화요일 패치 릴리스나 다른 서비스 업데이트의 일부로 공식 게시되는 것을 기다리는 중임을 의미할 수 있습니다. 사례가 해결되고 해결됨 상태가 되고 나면, 축하합니다! 이제 발견 사항을 공개적으로 마음껏 논의할 수 있습니다. 연구원 감사의 말 페이지에서 성과에 대한 크레딧을 제공합니다(달리 지정되지 않은 경우).

Outlook.com 계정이 손상된 경우 조치를 취하여 계정을 복구하고 다시 해킹되는 것을 방지할 수 있습니다.

Windows 지원 사이트를 방문하여 잊어버린 암호 및 기타 로그인 문제를 처리하는 방법을 알아보세요.

컴퓨터에 스파이웨어, 바이러스 또는 사용자 동의 없이 설치된 기타 소프트웨어의 증상이 표시되는 경우, 먼저 바이러스 백신 소프트웨어로 컴퓨터를 검사하고 문제를 해결하도록 해야 합니다.

또한 컴퓨터에 Microsoft 업데이트의 최신 보안 업데이트가 모두 설치되어 있고 보안 업데이트를 자동으로 가져오는지 확인해야 합니다.

문제가 계속되면 바이러스 및 보안 솔루션 센터를 방문하여 추가 지원 옵션을 확인할 수 있습니다.

Microsoft 보안 업데이트에 문제가 있는 경우 Microsoft 지원 사이트를 방문하여 Windows 업데이트 문제에 대한 해결 방법을 확인하거나 Microsoft 고객 지원에 문의할 수 있습니다.
 
 
보안 업데이트에 대한 기술 정보가 필요한 경우 보안 업데이트 가이드를 참조하세요. 여기서 특정 업데이트 정보를 검색하거나 릴리스 날짜 및/또는 제품 범위를 기준으로 필터링할 수 있습니다.
 

사용자 위치에 해당하는 지원 정보를 확인하려면 Microsoft 기술 지원 서비스를 방문하세요.

TechNet의 포럼 홈페이지에서 질문과 대답을 찾아보거나 직접 질문하세요.

사이버 범죄자는 개인 정보를 도용하기 위해 피싱 메일 메시지를 사용하는 경우가 많습니다. 피싱 메일 메시지를 인식하는 방법과 Microsoft 이름을 부정 사용하는 사기를 방지하는 방법을 알아보세요.

최신 사기에 대해 알아보려면 보안 팁 및 사례 블로그 게시물을 살펴보세요.

사기를 당했다고 생각되면 사기를 신고하고 앞으로 자신을 보호하는 방법을 알아보세요.

piracy@microsoft.com으로 메일을 보내거나, Microsoft 소프트웨어 불법 복제 방지 사이트를 방문하여 자세한 내용을 확인하세요.

바이러스, 웜 또는 트로이 목마를 제출하려면 avsubmit@submit.microsoft.com으로 보내 주세요. 스파이웨어 또는 기타 맬웨어를 제출하려면 windefend@submit.microsoft.com으로 보내 주세요.

자세한 내용은 Microsoft 지원 페이지를 참조하세요.
 

Please submit your thoughts at Contact Us: Questions About Microsoft Products.