불필요한 보조 입·출력 포트 사용 금지 취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - 사용하지 않는 보조(Auxiliary) 포트의 사용을 제한하여 비인가 접근을 원천 적으로 방지 - 불필요한 포트 및 인터페이스의 비활성화 여부를 점검하여 불필요한 포트 및 인터페이스를 통한 비인가자의 접근을 원천적으로 차단하는지 확인하기 위함 ■ 보안 위협 - 불필요한 포트 및 인터페이스가 활성화되어 있을 경우, 비인가자가 활성화된 포트 및 인터페이스를 통해 네트워크 장비에 접근할 수 있는 위험이 존재함 점검 및 조치 방법 ■ 판단 기준 - 양호 : 불필요한 포트 및 인터페이스 사용을 제한한 경우 - 취약 : 불필요한 포트 및 인터페이스 사용을 제한하지 않은 경우 ■ 조치 방법 - 불필요한 포트 및 인터페이스 사용 제..
보안장비 정책 백업 설정 취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - 보안장비 설정 파일의 백업 유무를 점검하여 보안장비 또는 보안장비와 연결된 정보시스템에 문제(장비 이상으로 인해 장비를 교체할 경우, 보안장비 설정을 실수로 잘못 변경하여 문제가 생긴 경우, 비인가자의 공격 및 침입에 의한 설정 변경 및 삭제 등의 침해사고가 발생했을 경우 등) 발생 시 백업된 설정 파일을 통해 즉시 복구 가능하도록 대비하고 있는지 확인하기 위함 ■ 보안 위협 - 설정 파일을 백업 해놓지 않을 경우 보안장비에 문제 발생 시 즉시 설정 복구가 되지 않아 보안장비에 연결된 정보시스템의 가용성(예: 웹서버 서비스 불가)에 영향을 미칠 수 있는 위험이 존재함 점검 및 조치 방법 ■ 판단 기준 - 양호 : 보안장비에 적용된 ..
로그의 정기적 검토 및 보고 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 정기적인 로그 점검을 통해 안정적인 시스템 상태 유지 및 외부 공격 여부 를 파악하기 위함 ■ 보안 위협 - 로그의 검토 및 보고 절차가 없는 경우 외부 침입 시도에 대한 식별이 누락 될 수 있고, 침입 시도가 의심되는 사례 발견 시 관련 자료를 분석하여 해당 장비에 대한 접근을 차단하는 등의 추가 조치가 어려움 점검 및 조치 방법 ■ 판단 기준 - 양호 : 접속기록 등의 보안 로그, 응용 프로그램 및 시스템 로그 기록에 대해 정기 적으로 검토, 분석, 리포트 작성 및 보고 등의 조치가 이루어지는 경우 - 취약 : 위 로그 기록에 대해 정기적으로 검토, 분석, 리포트 작성 및 보고 등의 조 치가 이루어 지지 않는 경우 ■ 조치 ..
동일한 UID 금지 취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - UID가 동일한 사용자 계정을 점검함으로써 타 사용자 계정 소유의 파일 및 디 렉터리로의 악의적 접근 예방 및 침해사고 시 명확한 감사추적을 목적으로 함 ■ 보안 위협 - 중복된 UID가 존재할 경우 시스템은 동일한 사용자로 인식하여 소유자의 권 한이 중복되어 불필요한 권한이 부여되며 시스템 로그를 이용한 감사 추적 시 사용자가 구분되지 않음 (권한 할당은 그룹권한을 이용하여 운영) 점검 및 조치 방법 ■ 판단 기준 - 양호 : 동일한 UID로 설정된 사용자 계정이 존재하지 않는 경우 - 취약 : 동일한 UID로 설정된 사용자 계정이 존재하는 경우 ■ 조치 방법 - 동일한 UID로 설정된 사용자 계정의 UID를 서로 다른 값으로 변경 ■..
계정이 존재하지 않는 GID 금지 취약점 개요 ■ 위험도 - 하 ■ 점검 목적 - 시스템에 불필요한 그룹이 존재하는지 점검하여 불필요한 그룹의 소유권으 로 설정되어 있는 파일의 노출에 의해 발생할 수 있는 위험에 대한 대비가 되어 있는지 확인하기 위함 ■ 보안 위협 - 계정이 존재하지 않는 그룹은 현재 사용되고 있는 그룹이 아닌 불필요한 그 룹으로 삭제 조치가 필요함. 점검 및 조치 방법 ■ 판단 기준 - 양호 : 시스템 관리나 운용에 불필요한 그룹이 삭제 되어있는 경우 - 취약 : 시스템 관리나 운용에 불필요한 그룹이 존재할 경우 ■ 조치 방법 - 불필요한 그룹이 있을 경우 관리자와 검토하여 제거 ■ 점검 및 조치 사례 ■ SOLARIS, LINUX, AIX, HP-UX #groupdel ※ 해당 그룹..
프로세스 검증 누락 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 인증이 필요한 모든 페이지에 대해 유효 세션임을 확인하는 프로세스 및 주요 정보 페이지에 접근 요청자의 권한 검증 로직을 적용하여, 비인가자가 하위 URL 직접 접근, 스크립트 조작 등의 방법으로 중요한 페이지에 접근 시도 하는 것을 차단하기 위함 ■ 보안 위협 - 인증이 필요한 웹 사이트의 중요(관리자 페이지, 회원정보 변경 페이지 등) 페이지에 대한 접근 제어가 미흡할 경우 하위 URL 직접 접근, 스크립트 조작 등의 방법으로 중요한 페이지에 대한 접근이 가능함 점검 및 조치 방법 ■ 점검 및 판단 기준 - 양호 : 인증 후에 접근해야 하는 웹 사이트의 하위 URL을 로그인 하지 않고 직접 접근할 때 접근이 불가능 한 경우 - 취약 ..
자동화 공격 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 웹 애플리케이션에 구현된 기능의 적절성에 대한 검증 로직을 구현하여 자동화 공격 및 무차별 대입 공격 방지 ■ 보안 위협 - 웹 애플리케이션의 특정 프로세스에 대한 접근 시도 횟수 제한을 설정하지 않고 자동화 공격을 방치하면, 웹사이트를 다운시키거나 무차별 대입 공격으로 인해 사용자 계정을 탈취할 수 있고, 데이터 등록 또는 메일 발송 기능 등을 이용하여 악의적인 활용이 가능 점검 및 조치 방법 ■ 점검 및 판단 기준 - 양호 : 웹 애플리케이션의 데이터 등록 등의 기능 사용 시 대량 사용에 대한 통제가 이루어지는 경우 - 취약 : 웹 애플리케이션의 데이터 등록 등의 기능 사용 시 통제가 이루어지지 않는 경우 ■ 조치 방법 - 데이터 등록, 메..
