본문 바로가기
728x90
반응형

전자금융기반시설 보안 취약점 분석·평가항목 취약점 판단기준87

비밀번호 관리정책 점검 비밀번호 관리정책 점검 (평가항목) 비밀번호 관리정책 점검 (취약점 ID) SRV-069 (평가목적) 사용자 비밀번호에 대한 관리정책 설정이 미흡 할 경우 유추 하기 쉬운 비밀번호 설정, 주기적인 비밀번호 미변경 등 비인가자에 의한 비밀번호 탈취가 가능한 위협이 존재함으로 적절한 비밀번호 관리정책이 설정되어 있는지 여부를 점검 (판단기준) 비밀번호 관련 필드 미설정일 경우 “취약”으로 판단 (판단방법) secedit /EXPORT /CFG securitypolicy 결과에서 다음 값들 확인 * MinimumPasswordAge * MaximumPasswordAge * MinimumPasswordLength * PasswordComplexity * PasswordHistorySize 2021. 1. 1.
RDS(Remote Data Services)제거 RDS(Remote Data Services)제거 (평가항목) RDS(Remote Data Services)제거 (취약점 ID) SRV-067 (평가목적) RDS(Remote Data Services)는 MDAC(Microsoft Data Access Components)의 한 컴포넌트로 RDS가 잘못 설정되어 있을 경우 서비스 거부 공격이나 원격에서 관리자 권한으로 임의의 명령을 실행할 수 있는 위협이 존재하므로 보안설정의 적절성 여부를 점검 (판단기준) (판단기준) 다음의 중 한 가지라도 해당되지 않는 경우“취약”으로 판단 ◦ IIS 를 사용하지 않는 경우 ◦ Windows 2000 일 경우 서비스팩 4가 설치되어 있는 경우(2003 양호) ◦ 디폴트 웹사이트에 MSADC 가상 디렉터리가 존재하지 않.. 2021. 1. 1.
DNS Zone Transfer 설정 DNS Zone Transfer 설정 (평가항목) DNS Zone Transfer 설정 (취약점 ID) SRV-066 (평가목적) DNS 서버에 저장되어 있는 도메인 정보를 승인된 DNS서버가 아닌 다른 외부로 유출하는 것은 보안상 바람직하지 않으므로 적절한 보안 설정을 통하여 도메인 정보전송을 제한하여야 하는데, 만일 DNS 도메인 정보가 외부로 노출될 경우 악의적인 사용자가 해당 정보를 이용 하여 홈페이지 및 하위 URL 정보를 입수하여 웹 애플리케이션 구조를 예측할 수 있어 추가적인 보안위협이 발생할 수 있으므로 해당 서비스의 보안설정 적절성 여부를 점검 (판단기준) - 아래 기준에 해당 되는 항목이 하나도 없을 경우 “취약”으로 판단 * DNS 서비스를 사용 하지 않을 경우 * DNS 서비스 영역.. 2021. 1. 1.
DNS Recursive Query 설정 미흡 DNS Recursive Query 설정 미흡 (평가항목) DNS Recursive Query 설정 미흡 (취약점 ID) SRV-063 (평가목적) 공격자가 Spoofed IP(Victim) 주소로 다량의 DNS 요청을 보내는 공격 위협(DNS Cache Poisoning-DNS 캐쉬에 거짓정보가 들어가게 하는 공격) 공격 시도가 가능할 수 있으므로 이에 대응 가능한 보안설정의 적절성 여부를 점검 (판단기준) Recursive Query를 제한하는 레지스트리 값이 존재하지 않거나, 1이 아닐 경우 “취약”으로 판단 (판단방법) 다음 레지스트리 값을 확인하여 취약 여부 점검 HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters /v NoRecursion 2021. 1. 1.
미흡한 Apache Tomcat 기본 계정 사용 여부 미흡한 Apache Tomcat 기본 계정 사용 여부 (평가항목) 미흡한 Apache Tomcat 기본 계정 사용 여부 (취약점 ID) SRV-060 (평가목적) Tomcat은 Apache 웹 서버에 JSP와 자바 서블릿을 실행시킬 수 있는 기능을 제공하는 자바 어플리케이션 서버로 Tomcat이 설치될 때 기본적으로 설정되는 계정을 변경하지 않을 경우 비인가자에 대한 시스템 접근이 가능할 수 있으므로 기본 계정에 대한 보안설정의 적절성 여부를 점검 (판단기준) 관리자 계정/비밀번호가 tomcat/tomcat 혹은 tomcat/admin과 같이 디폴트로 설정되어 있을 경우“취약”으로 판단 (판단방법) Apache Tomcat의 기본 계정이 기본 비밀번호로 설정되어 있는지 확인한다 2021. 1. 1.
IIS Exec 명령어 쉘 호출 진단 IIS Exec 명령어 쉘 호출 진단 (평가항목) IIS Exec 명령어 쉘 호출 진단 (취약점 ID) SRV-059 (평가목적) Web 서버에서 임의의 명령을 호출할 수 있도록 설정되어 있는 경우, 이를 이용해 비인가자에 의한 임의 파일 수정 및 시스템 관리자 권한 획득이 가능한 위협이 존재할 수 있어 이에 대한 보안설정 적절성 여부를 점검 (판단기준) HKLM\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\ SSIEnableCmdDirective 값이 1일 경우“취약”으로 판단 (판단방법) 레지스트리 값 확인: "HKLM\SYSTEM\CurrentControlSet\Services\W3SVC\Parameter s" /v SSIEnableCmdDirective 2021. 1. 1.
IIS 미사용 스크립트 매핑 제거 IIS 미사용 스크립트 매핑 제거 (평가항목) IIS 미사용 스크립트 매핑 제거 (취약점 ID) SRV-058 (평가목적) 사용하지 않는 스크립트 매핑은 잠재적 보안 위협이 될 수 있으므로, 업무와 관계없는 불필요한 스크립트가 매핑되어 있는지 여부를 점검 (판단기준) 취약한 매핑(.htr, .idc, .stm, .shtm, .shtml, .printer, .htw, .ida, .idq)이 존재할 경우“취약”으로 판단 (판단방법) IIS 설정 파일인 metabase.xml , applicationHost.config 에서 불필요한 매핑 존재 여부 확인 (직접 확인) IIS관리 메뉴(inetmgr) 에서 취약하거나 불필요한 매핑이 존재하는지 확인 2021. 1. 1.
IIS 데이터 파일 ACL 적용 IIS 데이터 파일 ACL 적용 (평가항목) IIS 데이터 파일 ACL 적용 (취약점 ID) SRV-057 (평가목적) 웹 데이터 파일에 ACL을 부여하여 비 인가자에 대한 IIS 데이터 파일에 대한 실행 및 읽기 제한 설정 여부를 점검 (판단기준) 웹디렉터리 하위 파일들에 Everyone 권한이 존재할 경우 (정적 콘텐츠 파일은 Read 권한만 있을 경우 양호)“취약”으로 판단 (판단방법) Script 수행 결과에서 파일들의 권한 확인 웹 디렉토리 내 파일들 중 Everyone 권한 부여된 파일 존재하는지 여부 확인 2021. 1. 1.
IIS 가상 디렉토리 삭제 IIS 가상 디렉토리 삭제 (평가항목) IIS 가상 디렉토리 삭제 (취약점 ID) SRV-056 (평가목적) IIS 4.0, 5.0 설치 시 기본적으로 /issadmpwd라는 가상 디렉토리가 생성되며, 해당 디렉토리에는 웹 서버를 통하여 비밀번호를 변경시켜 주는 기능을 하는 .HTR 파일에 취약점이 존재하므로 이에 대한 해당 파일의 이용 여부 등을 점검 ◦ 평가 예시 IISADMIN 경로를 사용하지 않을 경우 관련된 모든 파일 및 디렉토리를 삭제하는 등 (판단기준) IIS Admin, IIS Adminpwd 가상디렉터리가 존재할 경우“취약”으로 판단 (판단방법) IIS 설정 파일인 metabase.xml , applicationHost.config 에서 IISadmin, IISadminpwd 경로 존재 .. 2020. 12. 31.
IIS DB 연결 취약점 점검 IIS DB 연결 취약점 점검 (평가항목) IIS DB 연결 취약점 점검 (취약점 ID) SRV-055 (평가목적) Global.asa 파일에는 데이터베이스 관련 정보(IP주소,DB명,비밀번호), 내부 IP주소, 웹어플리케이션 환경설정 정보 및 기타 정보 등 중요 정보가 포함 되어 있으므로 해당 파일에 대한 접근통제의 적절성 여부 등을 점검 ◦ 참고 .asa 파일을 매핑하여 Global.asa 파일이 노출되지 않도록 조치 필요 (판단기준) DB 연결 파일 맵핑이 없는 경우“취약”으로 판단 (판단방법) IIS 설정 파일인 metabase.xml , applicationHost.config 에서 .asa 매핑 관련 설정 값 확인 (직접 확인) IIS관리 메뉴(inetmgr) 에서 .asa 매핑이 존재하는지 .. 2020. 12. 31.
728x90
반응형

티스토리툴바