주요 파일(설정파일, 패스워드 파일 등)들의 접근 권한 설정 취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - 데이터베이스의 주요 파일에 관리자를 제외한 일반 사용자의 파일 수정권한을 제거함으로써 비인가자에 의한 DBMS 주요 파일 변경이나 삭제를 방지하고 주요 정보 유출을 방지할 수 있음 ■ 보안 위협 - 데이터베이스의 주요 파일에 관리자를 제외한 일반 사용자의 파일 수정권한을 제거함으로써 비인가자에 의한 DBMS 주요 파일 변경이나 삭제를 방지하고 주요 정보 유출을 방지할 수 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : 주요 설정 파일 및 디렉터리 퍼미션 설정 시 일반 사용자의 수정 권한을 제거한 경우 - 취약 : 주요 설정 파일 및 디렉터리의 퍼미션 설정 시 일반 사용자의 수정 권한을 제거하지..
DB 계정의 umask를 022 이상으로 설정 취약점 개요 ■ 위험도 - 하 ■ 점검 목적 - 소프트웨어 설치 때 생성되는 파일에 관리자를 제외한 일반 사용자의 파일 수정 권한을 제거함으로써 비인가자에 의한 DBMS 주요 파일 변경이나 삭제로부터 보호하기 위함 ■ 보안 위협 - umask를 "022" 이상으로 설정하지 않을 경우, 비인가자에 의한 데이터베이스의 주요 파일 변경, 삭제 등으로 데이터 베이스 시스템 장애가 발생할 수 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : 계정의 umask가 022 이상으로 설정되어 있는 경우 - 취약 : 계정의 umask가 022 이상으로 설정되어 있지 않은 경우 ■ 조치 방법 계정의 umask를 022 이상으로 설정 변경 Unix OS - 일시적 설정으로 um..
일정 횟수의 로그인 실패 시 이에 대한 잠금정책 적용 취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - 일정 횟수의 로그인 실패 시 계정 잠금 정책을 설정하여 비인가자의 자동화된 무작위 대입공격, 사전 대입 공격 등을 통한 사용자 계정 패스워드 유출을 방지하기 위함 ■ 보안 위협 - 일정한 횟수의 로그인 실패 횟수를 설정하여 제한하지 않으면 자동화된 방법으로 계정 및 패스워드를 획득하여 데이터베이스에 접근하여 정보를 유출할 수 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : 로그인 시도 횟수를 제한하는 값을 설정하는 경우 - 취약 : 로그인 시도 횟수를 제한하는 값을 설정하지 않은 경우 ■ 조치 방법 로그인 시도 횟수 제한 값 설정 Oracle Step 1) 접근 횟수 제한을 위해 파라미터 설정 Fai..
취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - 불필요한 데이터 소스 및 드라이버를 제거함으로써 비인가자에 의한 데이터베이스 접속 및 자료 및 자료 유출을 차단하기 위함 ■ 보안 위협 - 불필요한 ODBC/OLE-DB 데이터 소스를 통한 비인가자의 데이터베이스 접속 및 주요 정보 유출에 대한 위험이 발생할 수 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : 불필요한 ODBC/OLE-DB가 설치되지 않은 경우 - 취약 : 불필요한 ODBC/OLE-DB가 설치된 경우 ■ 조치 방법 불필요한 ODBC/OLE-DB 제거 ◎ Windows NT Step 1) 사용하지 않는 불필요한 ODBC 데이터 소스 제거 시작 > 설정 > 제어판 > 데이터 원본(ODBC) > 시스템 DSN > 해당 드라이브 클릭 Step ..
취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - 사용자별 별도 DBMS 계정을 사용하여 DB에 접근하는지 점검하여 DB 계정 공유 사용으로 발생할 수 있는 로그 감사 추적 문제를 대비하고자 함 ■ 보안 위협 - DB 계정을 공유하여 사용할 경우 비인가자의 DB 접근 발생 시 계정 공유 사용으로 인해 로그 감사 추적의 어려움이 발생할 위험이 존재함 점검 및 조치 방법 ■ 판단 기준 - 양호: 사용자별 계정을 사용하고 있는 경우 - 취약: 공용 계정을 사용하고 있는 경우 ■ 조치 방법 사용자별 계정 생성 및 권한 부여 ■ Oracle 1. 계정 확인(SQL*Plus) SQL> select username from dba_users order by username;(사용하지 않거나 모르는 계정 확인) 2. 공..
취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 데이터, 로그, 응용프로그램에 대한 감사 기록 정책을 수립하고 적용하여 데이터베이스에 문제 발생 시 원활하게 대응하고자 함 ■ 보안 위협 - 감사기록 정책이 설정되어 있지 않을 경우, 데이터베이스에 문제 발생 시 원인을 규명할 수 있는 자료가 존재하지 않아 이에 대한 대체 및 개선방안 수립이 어려움 점검 및 조치 방법 ■ 판단 기준 양호: DBMS의 감사 로그 저장 정책이 수립되어 있으며, 정책이 적용되어있는 경우 취약: DBMS에 대한 감사 로그 저장을 하지 않거나, 정책이 수립되어있지 않은 경우 ■ 조치 방법 DBMS에 대한 감사 로그 저장 정책 수립, 적용 ■ Oracle 데이터베이스 감사 기록 정책 및 백업 정책 수립 ■ MSSQL 데이터베이스 감사..
취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 정책에 따른 최신 보안패치 및 벤더 권고사항을 적용하여 데이터베이스의 보안성을 향상시키고자 함 ■ 보안 위협 - 데이터베이스의 주요 보안 패치 등을 설치하지 않은 경우, 공격자가 알려진 취약점을 이용하여 데이터베이스에 접근 가능함 점검 및 조치 방법 ■ 판단 기준 - 양호: 버전별 최신 패치를 적용한 경우 - 취약: 버전별 최신 패치를 적용하지 않은 경우 ■ 조치 방법 데이터베이스에 대한 버전을 확인 후 업그레이드 및 패치 적용 ■ Oracle ORACLE_HOME에 설치된 Oracle 제품 컴포넌트를 조회하거나, 적용된 임시 패치를 조회할 때는 lsinventory 명령어를 사용함 • Oracle 제공 패치 명령을 이용하여 확인함 $opatchlsinve..
