취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 애플리케이션에서 파라미터 입력 값에 대한 적절성을 점검하여 비정상적 오류 발생을 차단하기 위함 ■ 보안 위협 - 애플리케이션 입력 값의 크기에 대한 적절설이 검증되지 않을 경우 개발시에 할당된 저장 공간보다 더 큰 값의 입력이 가능하고 이로 인한 오류 발생으로 의도되지 않은 정보 노출, 프로그램에 대한 비 인가된 접근 및 사용 등이 발생할 수 있음 점검 및 조치 방법 ■ 점검 및 판단 기준 - 양호 : 파라미터 입력 값에 대량의 인수 값 전달 시 에러 페이지나 오류가 발생되지 않는 경우 - 취약 : 파라미터 입력 값에 대한 검증이 이루어지지 않고 에러 페이지나 오류가 발생하는 경우 - 웹 어플리케이션에 많은 인수 값 전달 ․http://hostname.co..
취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - DBMS 기본 계정의 디폴트 패스워드 및 권한 정책 변경 사용 유무를 점검하여 비인가자의 디폴트 패스워드 대입 공격을 차단하고 있는지 확인하기 위함 ■ 보안 위협 - Oracle : 데이터베이스의 기본 계정(system, scott 등)의 패스워드 또는, 접근제어 정책을 변경하지 않고 사용할 경우 공격자는 알려진 정보를 이용하여 데이터베이스에 쉽게 접근할 수 있는 취약점이 존재함. - MSSQL : sa 계정 null 암호 취약점은 비인가자에 의해 sa 계정으로 데이터베이스에 침입하여 정보 삭제, 변경 등의 행위를 할 수 있는 위험이 있음. - MySQL : root 계정의 패스워드가 디폴트 설정 값인 null을 사용할 경우, 시스템에 접근한 임의의 모든 ..
취약점 개요■ 위험도 - 상 ■ 점검 목적 - 패스워드를 주기적으로 변경하여 암호 크래킹의 가능성을 낮추고, 불법으로 획득한 암호의 무단 사용을 방지하고자 함 ■ 보안 위협 - 동일한 패스워드를 변경하지 않고 오랫동안 사용할 경우 유출이나 무차별 대입공격에 당할 가능성이 높고 이전에 사용하던 패스워드를 재사용한다면 비밀번호 추측 공격에 의해 계정을 탈취당할 우려가 있음.점검 및 조치 방법■ 판단 기준 - 양호 : 최소한 최대 암호 사용 기간이 "90일"로 설정되어 있는 경우 - 취약 : 암호 사용기간이 "제한 없음"으로 설정되어 있는 경우 ■ 조치 방법 - 최소한 최대 암호 사용기간 "90일" 설정 ※ 환경에 따라 30일에서 90일마다 암호가 만료되도록 설정하는 것이 보안을 위해 가장 좋으며, 이 방법을..
취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 윈도우즈 기본 관리자 계정인 Administrator의 이름을 변경하여, 잘 알려진 계정을 통한 악의적인 패스워드 추측 공격을 차단하고자 함 ■ 보안 위협 - 일반적으로 관리자 계정으로 잘 알려진 Administrator를 변경하지 않은 경우 악의적인 사용자의 패스워드 추측 공격을 통해 사용 권한 상승의 위험이 있으며, 관리자를 유인하여 침입자의 엑세스를 허용하는 악성코드를 실행할 우려가 있음 - 윈도우즈 최상위 관리자 계정인 Administrator는 기본적으로 삭제하거나 잠글 수 없어 악의적인 사용자의 목표가 됨 점검 및 조치 방법 ■ 판단 기준 - 양호 : Administrator Default 계정 이름을 변경한 경우 - 취약 : Administra..
취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - 패스워드 복잡성 관련 정책이 설정되어 있는지 점검하여 비인가자의 공격 ( 무작위 대입 공격, 사전 대입 공격 등 ) 에 대비가 되어 있는지 확인하기 위함 ■ 보안 위협 - 패스워드 복잡성 설정이 되어 있지 않은 사용자 계정 패스워드 존재 시 비인가자가 각종 공격 ( 무작위 대입 공격, 사전 대입 공격 등 )을 통해 취약한 패스워드가 설정된 사용자 계정의 패스워드를 획득하여 획득한 사용자 계정정보를 통해 해당 사용자 계정의 시스템에 접근할 수 있는 위험이 존재함 점검 및 조치 방법 ■ 판단 기준 - 양호 : 영문, 숫자, 특수문자를 조합하여 2종류 조합 시 10자리 이상, 3종류 이상 조합 시 8자리 이상의 패스워드가 설정된 경우 ( 공공기관 9자리 이상 )..
취약점 개요 ■ 위험도 - 상 ■ 점검 목적 - root 계정 원격 접속 차단 설정 여부를 점검하여 외부 비인가자의 root 계정 접근 시도를 원천적으로 차단하는지 확인하기 위함 ■ 보안 위협 - 각종 공격(무작위 대입 공격, 사전 대입 공격 등)을 통해 root 원격 접속차단이 적용되지 않은 시스템의 root 계정 정보를 비인가자가 획득할 경우 시스템 계정 정보 유출, 파일 및 디렉터리 변조 등의 행위 침해사고가 발생할 수 있음 점검 및 조치 방법 ■ 판단 기준 - 양호 : 원격 터미널 서비스를 사용하지 않거나, 사용시 root 직접 접속을 차단한 경우 - 취약 : 원격 터미널 서비스 사용 시 root 직접 접속을 허용한 경우 ■ 조치 방법 "/etc/securetty" 파일의 pts/0 ~ pts/x..
정보통신망 이용촉진 및 정보보호 등에 관한 법률 제52조(한국인터넷진흥원) ① 정부는 정보통신망의 고도화(정보통신망의 구축·개선 및 관리에 관한 사항을 제외한다)와 안전한 이용 촉진 및 방송통신과 관련한 국제협력·국외진출 지원을 효율적으로 추진하기 위하여 한국인터넷진흥원(이하 "인터넷진흥원"이라 한다)을 설립한다. ② 인터넷진흥원은 법인으로 한다. ⑤ 인터넷진흥원에 관하여 이 법에서 정하지 아니한 사항에 대하여는 「민법」의 재단법인에 관한 규정을 준용한다. ⑥ 인터넷진흥원이 아닌 자는 한국인터넷진흥원의 명칭을 사용하지 못한다. ⑦ 인터넷진흥원의 운영 및 업무수행에 필요한 사항은 대통령령으로 정한다. 한국인터넷진흥원 KISA 는 이러한 곳입니다. 한국인터넷진흥원(KISA) 한국인터넷진흥원 기관 소개, 인터..