패스워드 최소 사용기간 설정 취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - 사용자가 자주 패스워드를 변경할 수 없도록 하고 관련 설정(최근 암호 기 억)과 함께 시스템에 적용하여 패스워드 변경 전에 사용했던 패스워드를 재 사용 할 수 없도록 방지하는지 확인하기 위함 ■ 보안 위협 - ※ 최소 사용기간이 설정되어 있지 않아 반복적으로 즉시 변경이 가능한 경 우 이전 패스워드 기억 횟수를 설정하여도 반복적으로 즉시 변경하여 이전 패스워드로 설정이 가능함 점검 및 조치 방법 ■ 판단 기준 - 양호 : 패스워드 최소 사용기간이 1일 이상 설정되어 있는 경우 - 취약 : 패스워드 최소 사용기간이 설정되어 있지 않는 경우 ■ 조치 방법 - 패스워드 정책 설정파일을 수정하여 패스워드 최소 사용기간을 1일(1주)로 ..
패스워드 최대 사용기간 설정 취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - 패스워드 최대 사용 기간 설정이 적용되어 있는지 점검하여 시스템 정책에 서 사용자 계정의 장기간 패스워드 사용을 방지하고 있는지 확인하기 위함 ■ 보안 위협 - 패스워드 최대 사용기간을 설정하지 않은 경우 비인가자의 각종 공격(무작 위 대입 공격, 사전 대입 공격 등)을 시도할 수 있는 기간 제한이 없으므로 공격자 입장에서는 장기적인 공격을 시행할 수 있어 시행한 기간에 비례하 여 사용자 패스워드가 유출될 수 있는 확률이 증가함 점검 및 조치 방법 ■ 판단 기준 - 양호 : 패스워드 최대 사용기간이 90일(12주) 이하로 설정되어 있는 경우 - 취약 : 패스워드 최대 사용기간이 90일(12주) 이하로 설정되어 있지 않는 경우 ■..
사용자·명령어별 권한 수준 설정 취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - 업무에 따라 계정 별 권한이 차등 부여되어 있는지 점검하여 계정 별 권한 에 따라 장비의 사용 및 설정 가능한 기능을 제한하는지 확인하기 위함 ■ 보안 위협 - 계정 별 권한이 차등 부여되어 있지 않은 경우, 일반 계정으로 장비의 모든 기능을 제어할 수 있어 일반 계정이 비인가자에 노출되었을 때 비인가자가 획득한 계정 정보를 통해 네트워크 장비에 접근하여 장비의 설정(ACL) 변경, 삭제 등의 행위를 하여 장비의 가용성(해당 장비를 통해 통신하는 정보시스 템 간 데이터 전송 불가)저하 문제가 발생할 위험이 존재함 점검 및 조치 방법 ■ 판단 기준 - 양호 : 업무에 맞게 계정의 권한이 차등 부여 되어있을 경우 - 취약 : 업..
보안장비 로그 설정 취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - 정기적으로 로그 검토를 이행하는지 점검하여 보안장비의 이상 유무와 비인 가자의 공격 및 침입을 식별하고 있는지 확인하기 위함 ■ 보안 위협 - 로그 검토를 이행하지 않을 경우 보안장비에 이상이 발생했을 경우와 보안장비 및 보안장비에 의해 보호받고 있는 정보시스템에 침해 사고가 발생했을 경우 원인 식별이 어려워지고 사전에 탐지할 수 없 점검 및 조치 방법 ■ 판단 기준 - 양호 : 로그 검토를 정기적으로 이행하는 경우 - 취약 : 로그 검토를 정기적으로 이행하지 않는 경우 ■ 조치 방법 - 보안장비 로그를 정기적으로 분석 및 검토 실시 ■ 점검 방법 Step 1) 보안장비의 로그를 정기적으로 분석하고 검토하는지 확인(정기점검보고서, 검토보..
최신 서비스팩 적용 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 시스템을 최신 버전으로 유지하여 새로운 위협 및 진행 중인 위협으로부터 중요 정보와 시스템을 보호하기 위함 ■ 보안 위협 - 보안 업데이트를 적용하지 않은 경우 시스템 및 응용프로그램의 취약성으로 인해 권한 상승, 원격 코드 실행, 보안 기능 우회 등의 문제를 일으킬 수 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : 최신 서비스팩이 설치되어 있으며 적용 절차 및 방법이 수립된 경우 - 취약 : 최신 서비스팩이 설치되지 않거나, 적용 절차 및 방법이 수립되지 않은 경우 ■ 조치 방법 - 설치에 따른 영향도 확인 후 최신 서비스팩 설치(설치 후 시스템 재시작 필요) ■ 점검 및 조치 사례 ● Windows NT, 2000, 2003, ..
패스워드 최소 길이 설정 취약점 개요 ■ 위험도 - 중 ■ 점검 목적 - 패스워드 최소 길이 설정이 적용되어 있는지 점검하여 짧은(8자 미만) 패스워드 길이로 발생하는 취약점을 이용한 공격(무작위 대입 공격, 사전 대입 공격 등)에 대한 대비(사용자 패스워드 유출)가 되어 있는지 확인하기 위함 ■ 보안 위협 - 패스워드 최소 길이 설정이 적용되어 있지 않을 경우 비인가자의 각종 공격(무작위 대입 공격, 사전 대입 공격 등)에 취약하여 사용자 계정 패스워드 유출 유려가 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : 패스워드 최소 길이가 8자 이상으로 설정되어 있는 경우(공공기관의 경우 9자리 이상) - 취약 : 패스워드 최소 길이가 8자 미만으로 설정되어 있는 경우(공공기관의 경우 9자리 미만) ■ ..
RDS(Remote Data Services) 제거 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 취약한 RDS 서비스를 제거하여 불법적인 원격 공격을 차단하기 위함 ■ 보안 위협 - 취약한 플랫폼의 RDS가 사용되는 경우 서비스 거부 공격이나 원격에서 관리자 권한으로 임의의 명령을 실행할 수 있는 위험이 존재함 점검 및 조치 방법 ■ 판단 기준 - 양호 : 다음 중 한 가지라도 해당되는 경우(2008 이상 양호) 1. IIS를 사용하지 않는경우 2. Windows 2000 서비스팩 4, Windows 2003 서비스팩 2 이상 설치되어 있는 경우 3. 디폴트 웹 사이트에 MSADC 가상 디렉토리가 존재하지 않는 경우 4. 해당 레지스트리 값이 존재하지 않는 경우 - 취약 : 양호 기준에 한 가지도 해..
