728x90 반응형 전자금융기반시설 보안 취약점 분석·평가항목 취약점 판단기준87 IIS 파일 업로드 및 다운로드 제한 IIS 파일 업로드 및 다운로드 제한 (평가항목) IIS 파일 업로드 및 다운로드 제한 (취약점 ID) SRV-054 (평가목적) IIS구동시 불필요한 대량의 파일 업로드, 다운로드로 인한 서비스 거부 공격 위협 존재하므로, 서버에 영향을 줄 정도의 대량의 업로드와 다운로드에 대한 통제 여부를 점검 (판단기준) 파일 업로드 및 다운로드 제한 설정 미비 시“취약”으로 판단 (판단방법) IIS 설정 파일인 metabase.xml , applicationHost.config 에서 관련 설정 값 확인 * IIS 6.0 이하 : AspMaxRequestEntityAllowed, AspBufferingLimit * IIS 7.0 이상 : bufferingLimit, maxRequestEntityAllowed 2020. 12. 31. IIS 링크 사용 금지 IIS 링크 사용 금지 (평가항목) IIS 링크 사용 금지 (취약점 ID) SRV-053 (평가목적) 공개적인 웹 컨텐츠 디렉토리 안에서 웹 경로를 벗어나는 서버의 다른 디렉토리나 파일들에 접근할 수 있는 심볼릭 링크, aliases, 바로가기 등을 사용하지 않도록 보안설정의 적절성 여부를 점검 (판단기준) 웹 컨텐츠 디렉터리에 바로가기 파일이 존재할 경우“취약”으로 판단 (판단방법) 웹 컨텐츠 디렉터리를 수작업 점검하여 바로가기 파일이 존재하는지 점검함 2020. 12. 31. IIS 웹 프로세스 권한 제한 IIS 웹 프로세스 권한 제한 (평가항목) IIS 웹 프로세스 권한 제한 (취약점 ID) SRV-052 (평가목적) 웹 프로세스에서 권한을 제한하지 않을 경우, 공격자가 웹 서비스의 취약점을 이용하여 해당 서버의 높은 권한을 획득 가능한 위협이 존재함. 웹 프로세스 권한이 높을수록 보다 다양한 악의적 작업이 수행 가능하므로 권한이 적절하게 설정되어 있는지 여부를 점검 (판단기준) 아래와 같은 경우“취약”으로 판단 ◦ Windows Script의 AppPoolIdentityType 결과값이 Local System인 경우 ◦ Windows 2003 : 시작 > 실행 > INETMGR > 사이트 > Application Pools 선택 > 오른쪽 클릭 > Settings > Identity 탭 > Predef.. 2020. 12. 31. IIS 불필요한 파일 제거 IIS 불필요한 파일 제거 (평가항목) IIS 불필요한 파일 제거 (취약점 ID) SRV-051 (평가목적) IIS를 설치하면 기본적으로 예제와 설명서 등이 같이 설치되는데 이러한 폴더들은 공격 대상으로 이용되거나 백도어가 심어질 위험이 있으므로 운영과 관계없는 불필요한 파일의 제거 여부를 점검 (판단기준) IISSamples, IISHelp와 같은 샘플 디렉터리 존재 할 경우“취약” 으로 판단 (판단방법) IIS 설정 파일인 metabase.xml , applicationHost.config 에서 IISSamples, IISHelp와 같은 샘플 디렉터리 존재 여부 확인 (직접 확인) Windows 2003 : 시작>실행>INETMGR>웹 사이트>IISSamples, IISHelp와 같은 샘플 디렉터리 .. 2020. 12. 31. IIS 상위 디렉토리 접근 금지 IIS 상위 디렉토리 접근 금지 (평가항목) IIS 상위 디렉토리 접근 금지 (취약점 ID) SRV-050 (평가목적) 상위 디렉토리로 이동이 가능하면 하위경로에 접속한 후 상위로 이동하여 중요 파일들에 대한 접근이 가능한 위협이 존재하므로 Unicode 버그 및 서비스 거부 공격에 취약함으로 ".." 와 같은 상위 경로를 사용하지 못하도록 보안설정의 적절성 여부를 점검 (판단기준) "부모 경로 사용" 또는 "상위 경로 사용"으로 설정 되어 있을 경우“취약”으로 판단 (판단방법) - IIS 설정 파일인 metabase.xml , applicationHost.config 에서 Enable Parent Paths 관련 Flag 확인 * IIS 6.0 이하 : egrep "AspEnableParentPaths.. 2020. 12. 31. IIS 디렉토리 리스팅 제거 IIS 디렉토리 리스팅 제거 (평가항목) IIS 디렉토리 리스팅 제거 (취약점 ID) SRV-049 (평가목적) 디렉토리 리스팅은 디렉토리에 대한 요청시 그 디렉토리에 기본 문서가 존재하지 않을 경우 디렉토리 내에 존재하는 모든 파일들의 목록을 출력하므로, 해당 서비스가 활성화 되어 있는 경우 외부에서 디렉토리 내의 모든 파일들에 대한 접근이 가능하여 백업 파일이나 소스 파일 등 중요 파일이 외부에 노출될 수 있으므로, 해당 서비스의 보안설정 적절성 여부를 점검 (판단기준) 디렉터리 리스팅 사용으로 설정된 경우“취약”으로 판단 (판단방법) IIS 설정 파일인 metabase.xml , applicationHost.config 에서 Directory Browsing 관련 Flag 확인 (직접 확인) 윈도우.. 2020. 12. 31. IIS 서비스 구동 점검 IIS 서비스 구동 점검 (평가항목) IIS 서비스 구동 점검 (취약점 ID) SRV-048 (평가목적) Windows 시스템 구동 시 불필요한 서비스들이 설치되어 실행되고 있는 경우가 존재하며 이러한 서비스 중 실제 필요하지 않은 서비스는 시스템의 성능 저하를 야기할 수 있고, 잠재적인 보안 취약점이 발생할 수 있으므로 해당 서비스가 업무에 관계없이 활성화되어 있는지 여부를 점검 (판단기준) IIS 서비스가 불필요하게 동작 중인 경우“취약”으로 판단 업무 상 사용 중일 경우 취약점 제외 (판단방법) (다음 명령들의 결과로 서비스 상태 확인) sc query IISadmin sc query w3svc sc query was (직접 확인) Services.msc 혹은 제어판>관리도구>서비스를 실행하여 II.. 2020. 12. 31. IIS CGI 실행 제한 IIS CGI 실행 제한 (평가항목) IIS CGI 실행 제한 (취약점 ID) SRV-041 (평가목적) CGI(Common Gateway Interface)는 사용자가 서버로 보낸 데이터를 서버에서 작동중인 데이터처리 프로그램에 전달하고, 여기에서 처리된 데이터를 다시 서버로 되돌려 보내는 등의 일을 하는 프로그램 으로 CGI 스크립트는 정해진 디렉토리에서만 실행되도록 제한이 필요함. 게시판/자료실 등과 같이 업로드 파일이 저장되는 디렉토리에서 CGI 스크립트 실행이 가능하면 악의적인 파일을 업로드하고 이를 실행할 수 있으므로 이에 대한 제한 설정 여부를 점검 (판단기준) 해당 디렉터리의 권한을 확인하여 Everyone 의 모든권한, 수정권한, 쓰기권한이 부여되어 있을 경우“취약”으로 판단 (판단방법).. 2020. 12. 31. 불필요한 Tmax WebtoB 서비스 구동 여부 불필요한 Tmax WebtoB 서비스 구동 여부 (평가항목) 불필요한 Tmax WebtoB 서비스 구동 여부 (취약점 ID) SRV-039 (평가목적) Windows 시스템 구동 시 불필요한 서비스들이 디폴트로 설치 되어 실행되고 있는 경우가 있으며, 실행되고 있는 서비스 중 실제 필요 하지 않은 서비스는 시스템의 성능 저하를 야기할 수 있고, 잠재적인 보안 취약점이 발생할 수 있으므로 업무에 관계없이 활성화되어 있는 서비스를 점검 (판단기준) 사용하지 않는 WebToB 웹서버 실행 중(업무상 사용 시 제외) 일 경우“취약”으로 판단 (판단방법) sc query Webtob 명령의 결과에서 서비스 상태를 확인 2020. 12. 31. IIS WebDAV 비활성화 IIS WebDAV 비활성화 (평가항목) IIS WebDAV 비활성화 (취약점 ID) SRV-038 (평가목적) WebDAV는 HTTP 프로토콜 상에서 동작하는 웹기반 공동 작업을 위한 서비스로 일부 버전에 취약점이 존재함. 악의적인 비인가자에 의한 시스템 접근 가능성이 있으므로 해당 서비스가 불필요하게 운영 되고 있는지 여부를 점검 (판단기준) IIS가 구동 중이면서, 다음 중 해당 사항이 있을 경우“취약”으로 판단 ◦ DisableWebDAV 값이 1로 설정되어 있지 않은 경우 ◦ WebDAV를 사용 중이면서, Windows NT, 2000은 서비스팩 4 이상이 설치되어 있지 않은 경우 ◦ Windows 2003, Windows 2008은 WebDAV가 금지 되어 있지 않은 경우 (판단방법) IIS .. 2020. 12. 31. 이전 1 ··· 4 5 6 7 8 9 다음 728x90 반응형