W-59 IIS 웹서비스 정보 숨김 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 중 ■ 점검내용 IIS 웹서비스 정보 숨김 설정 여부 점검 ■ 점검목적 IIS 웹서비스 운용 시 에러 페이지, 웹 서버 종류, 사용 OS, 사용자 계정이름 등 웹 서버와 관련된 불필요한 정보가 노출되지 않도록 하기 위함 ■ 보안위협 IIS 웹서비스 정보 숨김 설정이 적용되지 않은 경우 악의적인 사용자에게 불필요한 정보가 노출되어 외부 공격을 위한 기초 자료로 이용될 수 있음 ■ 참고 - 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016, 2019 양호 웹 서비스 에러 페이지가 별도로 지정되어 있는 경우 취약 웹 서비스 에러 페이지가 별도..
W-60 SNMP 서비스 구동 점검 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 중 ■ 점검내용 SNMP 서비스 구동 여부 점검 ■ 점검목적 취약한 SNMP 서비스를 비활성화 하여 시스템의 주요정보 유출 및 불법수정을 방지하기 위함 ■ 보안위협 취약한 SNMP 서비스를 사용하는 경우 서비스거부공격(DoS, DDoS), 버퍼오버플로우, 비인가 접속 등의 공격의 위험이 있음 ■ 참고 ※ SNMP: SNMP(Simple Network Management Protocol)는 MIB(Management Information Base)에 기반한 네트워크 망을 관리하기 위한 목적으로 만들어진 프로토콜로, 간단한 명령으로 원격 시스템의 CPU정보에서부터, 인터페이스 트래픽량 등 여러 가지 정보를 확인 가능 점검대상..
W-62 SNMP Access control 설정 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 중 ■ 점검내용 SNMP 패킷 접근 제어 설정 여부 점검 ■ 점검목적 SNMP 트래픽에 대한 접근 제어 설정을 하여 내부 네트워크로부터의 악의적인 공격을 차단하기 위함 ■ 보안위협 SNMP Access control 설정을 적용하지 않아 인증되지 않은 내부 서버로부터의 SNMP 트래픽을 차단하지 않을 경우, 장치 구성 변경, 라우팅 테이블 조작, 악의적인 TFTP 서버 구동 등의 SNMP 공격에 노출될 수 있음 ■ 참고 ※ SNMP(v1, v2c)에서 클라이언트와 데몬간의 get_request(요청)와 get_response(응답) 과정은 암호화가 아닌 평문으로 전송되므로 스니핑(sniffing)이 가능함 ..
W-61 SNMP 서비스 커뮤니티스트링의 복잡성 설정 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 중 ■ 점검내용 SNMP 서비스 커뮤니티 스트링(Community String) 적절성 점검 ■ 점검목적 SNMP에서 일종의 패스워드로 사용하는 Community String을 유추할 수 없는 복잡한 값으로 변경하여 불필요한 시스템 정보 노출을 차단하기 위함 ■ 보안위협 Community String 설정을 변경하지 않고 public, private 등 Default 설정 값으로 사용하는 경우, 기본 String 값을 통한 시스템의 주요 정보 및 설정 상태의 비인가자 노출 위험이 존재 ■ 참고 - 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2..
W-01 Administrator 계정 이름 변경 또는 보안성 강화 ■ 점검영역 : 계정관리 ■ 항목 중요도 : 상 ■ 점검내용 윈도우즈 최상위 관리자 계정인 Administrator의 계정명 변경 또는 보안을 고려한 비밀번호 설정 여부 점검 ■ 점검목적 윈도우즈 기본 관리자 계정인 Administrator의 이름을 변경 또는 보안을 고려한, 잘 알려진 계정을 통한 악의적인 패스워드 추측 공격을 차단하고자 함 ■ 보안위협 일반적으로 관리자 계정으로 잘 알려진 Administrator를 변경하지 않은 경우 악의적인 사용자의 패스워드 추측 공격을 통해 사용 권한 상승의 위험이 있으며, 관리자를 유인하여 침입자의 액세스를 허용하는 악성코드를 실행할 우려가 있음 윈도우즈 최상위 관리자 계정인 Administra..
W-02 Guest 계정 비활성화 ■ 점검영역 : 계정관리 ■ 항목 중요도 : 상 ■ 점검내용 Guest 계정 비활성화 여부 점검 ■ 점검목적 Guest 계정을 비활성화 하여 불특정 다수의 임시적인 시스템 접근을 차단하기 위함 ■ 보안위협 Guest 계정은 시스템에 임시로 액세스해야 하는 사용자용 계정으로, 이 계정을 사용하여 권한 없는 사용자가 시스템에 익명으로 액세스할 수 있으므로 비인가자 접근, 정보 유출 등 보안 위험이 따를 수 있음 ■ 참고 ※ 윈도우즈 Guest 계정은 삭제가 불가능한 built-in 계정으로 보안 강화 목적으로 반드시 비활성화 처리 하여야 함 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016..
W-03 불필요한 계정 제거 ■ 점검영역 : 계정관리 ■ 항목 중요도 : 상 ■ 점검내용 시스템 내 불필요한 계정 및 의심스러운 계정의 존재 여부를 점검 ■ 점검목적 퇴직, 전직, 휴직 등의 이유로 더 이상 사용하지 않는 계정, 불필요한 계정 및 의심스러운 계정을 삭제하여, 일반적으로 로그인이 필요치 않은 해당 계정들을 통한 로그인을 차단하고, 계정의 패스워드 추측 공격 시도를 차단하고자 함 ■ 보안위협 관리되지 않은 불필요한 계정은 장기간 패스워드가 변경되지 않아 무작위 대입 공격(Brute Force Attack)이나 패스워드 추측 공격 (Password Guessing Attack)의 가능성이 존재하며, 또한 이런 공격에 의해 계정 정보가 유출되어도 유출 사실을 인지하기 어려움 ■ 참고 ※ 무작위 ..
W-04 계정 잠금 임계값 설정 ■ 점검영역 : 계정관리 ■ 항목 중요도 : 상 ■ 점검내용 계정 잠금 임계값의 설정 여부 점검 ■ 점검목적 계정 잠금 임계값을 설정하여 공격자의 자유로운 자동화 암호 유추 공격을 차단하기 위함 ■ 보안위협 공격자는 시스템의 계정 잠금 임계값이 설정되지 않은 경우 자동화된 방법을 이용하여 모든 사용자 계정에 대해 암호조합 공격을 자유롭게 시도할 수 있으므로 사용자 계정 정보의 노출 위험이 있음 ■ 참고 ※ 계정 잠금 임계값 설정은 사용자 계정이 잠기는 로그온 실패 횟수를 결정하며 잠긴 계정은 관리자가 재설정하거나 해당 계정의 잠금 유지 시간이 만료되어야 사용할 수 있음 ※ 계정 잠금 정책: 해당 계정이 시스템으로부터 잠기는 환경과 시간을 결정하는 정책으로 ‘계정 잠금 기간..
W-05 해독 가능한 암호화를 사용하여 암호 저장 해제 ■ 점검영역 : 계정관리 ■ 항목 중요도 : 상 ■ 점검내용 해독 가능한 암호화 사용 여부 점검 ■ 점검목적 해독 가능한 암호화를 사용하여 암호 저장‘ 정책이 설정되어 사용자 계정 비밀번호가 해독 가능한 텍스트 형태로 저장 되는 것을 차단하기 위함 ■ 보안위협 위 정책이 설정된 경우 OS에서 사용자 ID, PW를 입력받아 인증을 진행하는 응용프로그램 프로토콜 지원 시 OS 는 사용자의 PW 를 해독 가능한 방식으로 암호를 저장하기 때문에, 노출된 계정에 대해 공격자가 암호 복호화 공격으로 PW를 획득하여 네트워크 리소스에 접근할 수 있음 ■ 참고 ※ ‘해독 가능한 암호화를 사용하여 암호 저장‘ 정책은 암호를 암호화 하지 않은 상태로 저장하여 일반 텍..
W-07 공유 권한 및 사용자 그룹 설정 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 공유 디렉토리 내 Everyone 권한 존재 여부 점검 ■ 점검목적 디폴트 공유인 C$, D$, Admin$, IPC$ 등을 제외한 공유 폴더에 Everyone 그룹으로 공유되는 것을 금지하여 익명 사용자의 접근을 차단하기 위함 ■ 보안위협 Everyone이 공유계정에 포함되어 있으면 익명 사용자의 접근이 가능하여 내부 정보 유출 및 악성코드의 감염 우려가 있음 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016, 2019 양호 일반 공유 디렉토리가 없거나 공유 디렉토리 접근 권한에 Everyone 권한이 없는 경우 ..
W-08 하드디스크 기본 공유 제거 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 하드디스크 기본 공유 제거 여부 점검 ■ 점검목적 하드디스크 기본 공유를 제거하여 시스템 정보 노출을 차단하고자 함 ■ 보안위협 Windows는 프로그램 및 서비스를 네트워크나 컴퓨터 환경에서 관리하기 위해 시스템 기본 공유 항목을 자동으로 생성함. 이를 제거하지 않으면 비인가자가 모든 시스템 자원에 접근할 수 있는 위험한 상황이 발생할 수 있으며 이러한 공유 기능의 경로를 이용하여 바이러스가 침투될 수 있음 ■ 참고 ※ 기본 공유: 관리목적으로 자동 생성되는 공유 드라이브(Administrative share). 이러한 드라이브들은 C$, D$, E$ 등과 같이 이름 뒤에 $가 붙어서 숨겨진 공유로 처리..
W-10 IIS 서비스 구동 점검 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 불필요한 IIS 서비스 구동 여부 점검 ■ 점검목적 불필요한 IIS 서비스가 구동 상태인지를 점검하여 제거하고, 해당 서비스가 취약점이 제거되지 않은 상태로 외부 위협에 노출되지 않도록 하기 위함 ■ 보안위협 IIS 서비스는 WEB, FTP 등의 서비스를 제공해주는 유용한 서비스이나 프로파일링, 서비스 거부, 불법적인 접근, 임의의 코드실행, 정보 공개, 바이러스, 웜, 트로이목마 등의 위협에 노출될 수 있어 서비스 불필요 시 삭제하여야 함 ■ 참고 ※ 일반적으로 불필요한 서비스가 시스템 내 구동되고 있는 경우에는 관리되지 않은 상태로 방치되는 경우가 많아 보안 취약점이 그대로 노출되어 악의적인 공격의 대상..
W-11 디렉토리 리스팅 제거 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 웹서버 디렉토리 리스팅 차단 설정 여부 점검 ■ 점검목적 웹서버 특정 폴더에 대한 디렉토리 리스팅 취약점을 제거하여, 불필요한 파일 정보 노출을 차단하기 위함 ■ 보안위협 웹서버에 디렉토리 리스팅이 제거되지 않은 경우 외부에서 디렉토리 내에 보유하고 있는 모든 파일 목록 확인 및 파일에 대한 접근이 가능하여 주요정보의 유출의 가능성이 있음 ■ 참고 ※ 디렉토리 리스팅 취약점 디렉토리에 대한 요청 시 기본 페이지가 호출되어 사용자에게 전송하지만, 기본 페이지가 존재하지 않는 경우 디렉토리 내에 존재하는 모든 파일의 목록을 보여주는 취약점 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows..
W-33 백신 프로그램 업데이트 ■ 점검영역 : 패치 관리 ■ 항목 중요도 : 상 ■ 점검내용 사용 백신의 최신 업데이트 여부 점검 ■ 점검목적 백신의 최신 업데이트 상태를 유지하기 위함 ■ 보안위협 백신이 지속적, 주기적으로 업데이트 되지 않은 경우 계속되는 신종 바이러스의 출현으로 인한 시스템 공격의 우려가 존재 ■ 참고 ※ 네트워크망이 격리된 기반보호 시설의 경우, 시스템에 설치된 백신의 최신 업데이트 상태 유지를 위해 적절한 업데이트 절차 및 적용 방법 수립이 필요함 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016, 2019 양호 바이러스 백신 프로그램의 최신 엔진 업데이트가 설치되어 있거나, 망 격리 환경의 ..