취약한 패스워드 복구 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 패스워드 복구 로직을 유추하기 어렵게 구현하고, 인증된 사용자 메일이나 SMS에서만 복구 패스워드를 확인할 수 있도록 하여 비인가자를 통한 사용자 패스워드 획득 및 변경을 방지하기 위함 ■ 보안 위협 - 취약한 패스워드 복구 로직(패스워드 찾기 등)으로 인해 공격자가 불법적으로 다른 사용자의 패스워드를 획득, 변경할 가능성이 있음 점검 및 조치 방법 ■ 점검 및 판단 기준 - 양호 : 패스워드 재설정 시 난수를 이용하여 재설정하고 인증된 사용자 메일이나 SMS로 재설정된 패스워드 전송 시 - 취약 : 패스워드 재설정 시 일정 패턴으로 재설정되고 웹 사이트 화면에 바로 출력될 시 ■ 조치 방법 - 패스워드 복구 로직을 변경하고 인증된 사..
최신 보안패치 및 벤더 권고사항 적용 방법 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 주기적인 패치 적용을 통하여 보안성 및 시스템 안정성을 확보함 ■ 보안 위협 - 최신 보안패치가 적용되지 않을 경우, 이미 알려진 취약점을 통하여 공격자에 의해 시스템 침해사고 발생 가능성이 존재함 점검 및 조치 사례 ■ 판단 기준 - 양호 : 패치 적용 정책을 수립하여 주기적으로 패치관리를 하고 있으며, 패치 관련 내용을 확인하고 적용했을 경우 - 취약 : 패치 적용 정책을 수립하지 않고 주기적으로 패치관리를 하고 있지 않거나 패치 관련 내용을 확인하지 않고 적용하지 않았을 경우 ■ 조치 방법 - OS관리자, 서비스 개발자가 패치적용에 따른 서비스 영향 정도를 파악하여 OS 관리자 및 벤더에서 적용 SOLARIS..
Apache 웹 서비스 영역의 분리 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 웹 서비스 영역과 시스템 영역을 분리시켜서 웹 서비스의 침해가 시스템 영역으로 확장될 가능성을 최소화하기 위함 ■ 보안 위협 - 웹 서버의 루트 디렉토리와 OS의 루트 디렉토리를 다르게 지정하지 않았을 경우, 비인가자가 웹 서비스를 통해 해킹이 성공할 경우 시스템 영역까지 접근이 가능하여 피해가 확장될 수 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : DocumentRoot를 별도의 디렉토리로 지정한 경우 - 취약 : DocumentRoot를 기본 디렉토리로 지정한 경우 ■ 조치 방법 - DocumentRoot "/usr/local/apache/htdocs", "/usr/local/apache2/htdocs", "/..
Apache 파일 업로드 및 다운로드 제한 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 기반시설 특성상 원칙적으로 파일 업로드 및 다운로드를 금지하고 있지만 불가피하게 필요시 용량 사이즈를 제한함으로써 불필요한 업로드와 다운로드를 방지해 서버의 과부하 예방 및 자원을 효율적으로 관리하기 위함 ■ 보안 위협 - 악의적 목적을 가진 사용자가 반복 업로드 및 웹 쉘 공격 등으로 시스템 권한을 탈취하거나 대용량 파일의 반복 업로드로 서버자원을 고갈시키는 공격의 위험이 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : 파일 업로드 및 다운로드를 제한한 경우 - 취약 : 파일 업로드 및 다운로드를 제한하지 않은 경우 ■ 조치 방법 - 파일 업로드 및 다운로드 용량 제한 (/[Apache_home]/conf/h..
주요정보통신기반시설 Apache 링크 사용금지에 대해서 알아보겠습니다. 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 무분별한 심볼릭 링크, aliases 사용제한으로 시스템 권한의 탈취 방지를 목적으로 함 ■ 보안 위협 - 시스템 자체의 root 디렉토리(/) 에 링크를 걸게 되면 웹 서버 구동 사용자 권한(nobody)으로 모든 파일 시스템의 파일에 접근할 수 있게 되어 "/etc/passwd" 파일과 같은 민감한 파일을 누구나 열람할 수 있게 됨 점검 및 조치 방법 ■ 판단 기준 - 양호 : 심볼릭 링크, aliases 사용을 제한한 경우 - 취약 : 심볼릭 링크, aliases 사용을 제한하지 않은 경우 ■ 조치 방법 - 심볼릭 링크, aliases 사용 제한 (/[Apache_home]/con..
주요 정보통신기반시설 - 기술적 취약점 - Web - 충분한 인증 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 중요 페이지에 추가 인증으로 접근을 강화하여 불필요한 정보의 노출 및 변조를 차단하기 위함 ■ 보안 위협 - 중요 정보(회원정보 등) 페이지에 대한 인증 절차가 불충분할 경우 발생하는 취약점으로 권한이 없는 사용자가 중요 정보 페이지에 접근하여 정보를 유출하거나 변조할 수 있으므로 중요 정보 페이지에는 추가적인 인증 절차를 구현하여야 함 점검 및 조치 방법 ■ 점검 및 판단 기준 - 양호 : 중요 정보 페이지 접근 시 추가 인증을 하는 경우 - 취약 : 중요 정보 페이지 접근에 대한 추가 인증을 하지 않는 경우 ■ 조치 방법 - 중요 정보 페이지에 대한 추가 인증 로직 추가 구현 ■ 점검 방..
FTP 디렉토리 접근권한 설정 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - FTP 서비스 디렉토리의 접근 권한을 적절하게 설정하여 의도치 않은 정보 유출 등의 보안 사고를 방지하고자 함 ■ 보안 위협 - FTP 홈디렉토리에 과도한 권한이 부여된 경우 임의의 사용자가 쓰기, 수정이 가능하여 정보 유출, 파일 위변조 등의 위험이 존재 점검 및 조치 방법 ■ 판단 기준 - 양호 : FTP 홈 디렉토리에 Everyone 권한이 없는 경우 - 취약 : FTP 홈 디렉토리에 Everyone 권한이 있는 경우 ■ 조치 방법 - FTP 홈 디렉토리에서 Everyone 권한 삭제, 각 사용자에게 적절한 권한 부여 ● Windows NT(IIS4.0), 2000(IIS 5.0), 2003(IIS 6.0) Step 1)..
