Apache 불필요한 파일 제거 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - Apache 설치 시 디폴트로 설치되는 불필요한 파일을 제거함을 목적으로 함 ■ 보안 위협 - Apache 설치 시 htdocs 디렉토리 내에 매뉴얼 파일은 시스템 관련 정보를 노출하거나 해킹에 악용될 수 있음 점검 및 조치 방법 ○ SOLARIS, LINUX, AIX, HP-UX Step 1) # ls 명령어로 확인된 매뉴얼 디렉토리 및 파일 제거 # rm -rf /[Apache_home] /htdocs/manual # rm -rf /[Apache_home] /manual ■ 판단 기준 - 양호 : 기본으로 생성되는 불필요한 파일 및 디렉토리가 제거되어 있는 경우 - 취약 : 기본으로 생성되는 불필요한 파일 및 디렉토리가 ..
DMZ 설정 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 외부 네트워크로 서비스를 제공하는 호스트에서 내부 네트워크로의 접근이 통제되고 있는지 확인하기 위함 ■ 보안 위협 - DMZ 설정을 통해 내부 네트워크와 외부 서비스 네트워크를 구분하도록 설정 되어 있지 않은 경우, 외부 네트워크를 통해서 서비스를 제공받는 악의적인 사용자가 DMZ 내 호스트를 통해 내부 네트워크로 불법적 연결을 시도할 수 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : DMZ를 구성하여 내부 네트워크를 보호하는 경우 - 취약 : DMZ를 구성하지 않고 사설망에서 외부 공개 서비스를 제공하는 경우 ■ 조치 방법 - DMZ를 구성하여 외부 네트워크와 외부 서비스 네트워크 분리 (물리적 망분리가 되어 있으면 해당사항 없음) ■ ..
정보 누출 4E5C68 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 에러 상황에서 적절한 에러 페이지가 노출되도록 하여 2차 공격에 활용될 수 있는 불필요한 정보 노출을 차단하기 위함 ■ 보안 위협 - 웹사이트 내 적절한 에러 페이지가 마련되지 않은 경우 오류 메시지에서 웹 사이트의 민감한 정보(소스 코드 내 계정 및 비밀번호, 애플리케이션정보, DB정보, 웹서버 구성 정보, 개발 과정의 코멘트 등)가 노출되어 공격자들의 2차 공격을 위한 정보로 활용될 수 있음 점검 및 조치 방법 ■ 점검 및 판단 기준 - 양호 : 웹 서비스 에러 페이지가 별도로 지정되어 있는 경우 - 취약 : 웹 서비스 에러 페이지가 별도로 지정되지 않아 에러 발생 시 중요 정보가 노출되는 경우 ■ 조치 방법 - 발생 가능한 각 ..
IIS Exec 명령어 쉘 호출 진단 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 웹 서버에서 임의 명령어 호출을 제한하여 허가되지 않은 명령어 실행을 차단하기 위함 ■ 보안 위협 - 웹 서버에서 # exec 명령어를 통한 명령어 실행이 차단되지 않은 경우, 웹서버에서 임의의 시스템 명령이 호출 가능하여 허가되지 않은 파일이 실행되는 위험이 존재함 점검 및 조치 방법 ■ 판단 기준 - 양호 : IIS 5.0 버전에서 해당 레지스트리 값이 0 이거나, IIS 6.0 버전 이상인 경우 - 취약 : IIS 5.0 버전에서 해당 레지스트리 값이 1인 경우 ■ 조치 방법 - 위의 양호 기준에 맞춰 레지스트리 값 설정 ● Windows NT (IIS 4.0), 2000(IIS 5.0) Step 1) 시작 > 실..
Apache 상위 디렉토리 접근 금지 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 상위 경로 이동 명령으로 비인가자의 특정 디렉토리에 대한 접근 및 열람을 제한하여 중요 파일 및 데이터 보호를 목적으로 함 ■ 보안 위협 - 상위 경로로 이동하는 것이 가능할 경우 접근하고자 하는 디렉토리의 하위 경로에 접속하여 상위경로로 이동함으로써 악의적인 목적을 가진 사용자의 접근이 가능함 점검 및 조치 방법 ■ 판단 기준 - 양호 : 상위 디렉토리에 이동제한을 설정한 경우 - 취약 : 상위 디렉토리에 이동제한을 설정하지 않은 경우 ■ 조치 방법 Step 1) 사용자 인증을 하기 위해서 각 디렉토리 별로 httpd.conf 파일 내 AllowOverride 지시자의 옵션 설정을 변경 (None 에서 AuthConf..
TFTP 서비스 차단 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 인증 기능이 없는 TFTP 단점을 보완하기 위해 사용이 허용된 시스템만 TFTP 서비스를 사용하게 하여 TFTP를 이용한 비인가자의 내부 정보 유출을 막고 중요정보 등의 정보 유출을 막기 위함 ■ 보안 위협 - TFTP 서비스는 인증절차 없이 누구나 사용이 가능한 서비스로 공격자가 TFTP를 통해 악성 코드가 삽입된 파일을 올려 사용자에게 배포할 수 있고, 네트워크 설정 파일이나 중요한 내부 정보를 유출할 수 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : TFTP 서비스를 사용하지 않거나, ACL을 적용하여 사용하는 경우 - 취약 : TFTP 서비스를 사용하고 ACL 설정하지 않은 경우 ■ 조치 방법 ㆍCISCO Router # ..
Apache 웹 프로세스 권한 제한 취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - Apache 데몬을 root 권한으로 구동하지 않고 별도의 권한으로 서비스함으로써 침해사고 발생 시 피해범위 확산 방지를 목적으로 함 ■ 보안 위협 - 웹 프로세스 취약점 공격으로 Apache 권한이 탈취 당할 경우 Apache 프로세스의 권한이 root이면 시스템 전체의 제어권을 탈취 당해 피해범위가 확산될 가능성이 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : Apache 데몬이 root 권한으로 구동되지 않는 경우 - 취약 : Apache 데몬이 root 권한으로 구동되는 경우 ■ 조치 방법 - Apache 데몬을 root가 아닌 별도 계정으로 구동 ■ 점검 및 조치 사례 ● SOLARIS, LINUX, AIX..
