W-57 원격터미널 접속 가능한 사용자 그룹 제한 ■ 점검영역 : 계정관리 ■ 항목 중요도 : 중 ■ 점검내용 원격터미널 사용자 그룹 내 비인가자 포함 여부 점검 ■ 점검목적 비인가자의 원격터미널 접속을 제한하기 위함 ■ 보안위협 원격터미널의 그룹이나 계정을 제한하지 않으면 임의의 사용자가 원격으로 접속하여 해당 서버에 정보를 변경하거나 정보가 유출될 가능성이 있으므로 사용자 그룹과 계정을 설정하여 접속을 제한하여야 함 ■ 참고 ※ 컴퓨터 관리 > 로컬 사용자 및 그룹 > Remote Desktop Users 그룹에서 추가 가능 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016, 2019 양호 (관리자 계정을 제외한) ..
W-58 터미널 서비스 암호화 수준 설정 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 중 ■ 점검내용 터미널 서비스 암호화 수준 적절성 점검 ■ 점검목적 터미널 서비스 암호화 설정으로 데이터를 암호화하여 클라이언트와 서버간의 통신에서 전송되는 데이터를 보호하기 위함 ■ 보안위협 서버 접속 시에 낮은 암호화 수준을 적용할 경우 악의적인 사용자에 의해 서버와 클라이언트간 주고받는 정보가 노출될 우려가 있음 ■ 참고 ※ 기반시설 시스템은 터미널 서비스의 사용을 원칙적으로 금지하나, 부득이 해당 서비스를 사용해야 하는 경우 클라이언트 서버간의 데이터 전송 시 암호화하여 보호해야 함 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2008, 2012, ..
W-68 예약된 작업에 의심스러운 명령이 등록되어 있는지 점검 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 중 ■ 점검내용 예약된 작업에 의심스러운 명령의 등록 여부 점검 ■ 점검목적 외부 무단 침입 시 설정될 수 있는 불필요한 예약 작업의 등록 여부를 확인하기 위함 ■ 보안위협 일정 시간마다 미리 설정해둔 프로그램을 실행할 수 있는 예약된 작업은 시작프로그램과 더불어서 해킹과 트로이 목마, 백도어를 설치하여 공격하기 좋은 루트로 사용될 수 있음 ■ 참고 - 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016, 2019 양호 불필요한 명령어나 파일 등 주기적인 예약 작업의 존재 여부를 주기적으로 점검하고 제거한 경우 ..
W-69 정책에 따른 시스템 로깅 설정 ■ 점검영역 : 패치 관리 ■ 항목 중요도 : 중 ■ 점검내용 시스템 로깅 설정 여부 및 적절성 점검 ■ 점검목적 적절한 로깅 설정으로 유사 시 책임 추적을 위한 로그가 확보될 수 있게 하기 위함 ■ 보안위협 감사 설정이 구성되어 있지 않거나 감사 설정 수준이 너무 낮은 경우 보안 관련 문제 발생 시 원인을 파악하기 어려우며 법적 대응을 위한 충분한 증거 확보가 어려움 ■ 참고 ※ 감사 정책을 너무 강하게 설정할 경우, 보안 로그에 불필요한 항목이 많이 기록되므로 중요한 감사 항목 식별이 어려울 수 있으며, 시스템 성능에도 심각한 영향을 줄 수 있기 때문에 법적 요구 사항과 조직의 정책에 따라 꼭 필요한 로그를 남기도록 설정하여야 함 ※ 윈도우 시스템은 보안 로그가..
W-12 IIS CGI 실행 제한 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 IIS CGI 실행 제한 설정 여부 점검 ■ 점검목적 CGI 스크립트를 정해진 디렉토리에서만 실행되도록 하여 악의적인 파일의 업로드 및 실행을 방지하기 위함 ■ 보안위협 게시판이나 자료실과 같이 업로드 되는 파일이 저장되는 디렉토리에 CGI 스크립트가 실행 가능한 경우 악의적인 파일을 업로드하고 이를 실행하여 시스템의 중요 정보가 노출될 수 있으며 침해사고의 경로로 이용될 수 있음 ■ 참고 ※ CGI(Common Gateway Interface) 사용자가 서버로 보낸 데이터를 서버에서 작동중인 데이터처리프로그램에 전달하고, 여기에서 처리된 데이터를 다시 서버로 되돌려 보내는 등의 일을 하는 프로그램 ※ 일반..
W-09 불필요한 서비스 제거 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 불필요한 서비스 가동 여부 점검 ■ 점검목적 사용자 환경에 필요하지 않은 서비스 및 실행 파일을 제거하거나 비활성화 처리하여 이를 통한 악의적인 공격을 차단하기 위함 ■ 보안위협 시스템에 기본적으로 설치되는 불필요한 취약 서비스들이 제거되지 않은 경우, 해당 서비스의 취약점으로 인한 공격이 가능하며, 네트워크 서비스의 경우 열린 포트를 통한 외부 침입의 가능성이 존재함 ■ 참고 ※ OS 버전에 따라 ‘일반적으로 불필요한 서비스’ 목록에 나열된 서비스가 제공되지 않을 수 있음 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016, ..
W-13 IIS 상위 디렉토리 접근 금지 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 IIS 상위 디렉토리 접근 금지 설정 적용 여부 점검 ■ 점검목적 “..” 와 같은 웹서버 상에서 상위 경로를 사용하지 못하도록 설정하여 Unicode 버그 및 서비스 거부 공격에 이용당하지 않도록 하기 위함 ■ 보안위협 이용자가 상위경로로 이동하는 것이 가능할 경우 하위경로에서 상위로 접근하며 정보 탐색이 가능하여 중요 정보가 노출될 가능성이 존재함 ■ 참고 ※ “..” 는 unicode 버그, 서비스 거부와 같은 공격에 쉽게 이용되므로 허용하지 않는 것을 권장함 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016,..
W-16 IIS 링크 사용금지 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 IIS 링크 사용금지 설정 여부 점검 ■ 점검목적 웹 컨텐츠 디렉토리에서 다른 디렉토리나 파일들에 접근할 수 있는 심볼릭 링크, 별칭(aliases), 바로가기 등을 제거하여 허용하지 않은 경로의 접근을 차단하기 위함 ■ 보안위협 접근을 허용한 웹 콘텐츠 디렉토리 내에 서버의 다른 디렉토리나 파일들에 접근할 수 있는 심볼릭 링크, aliases, 바로가기 등이 존재하는 경우 해당 링크를 통해 허용하지 않은 다른 디렉토리에 액세스 할 수 있는 위험성 존재 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016, 2019 양호 심볼릭 ..
W-20 IIS 데이터 파일 ACL 적용 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 IIS 데이터 파일 ACL 적용 여부 점검 ■ 점검목적 웹 데이터 파일에 ACL을 부여함으로써 권한 없는 사용자로부터의 실행 및 읽기를 방지하고자 함 ■ 보안위협 웹 데이터 파일에 ACL을 부여되지 않은 경우 권한 없는 사용자로부터의 읽기 및 실행이 가능 ■ 참고 ※ 향후 필요에 의해 IIS를 설치하여 운용한다면 웹 데이터 파일에 대한 ACL을 부여하는 것이 바람직하며 ACL을 설정할 때에는 다음과 같은 사항을 참고하여 설정하여야 함 1. 가능한 파일의 종류끼리 분류하여 폴더에 저장 2. 홈 디렉토리(기본: c:\inetpub\wwwroot)내에 적절한 ACL 권한 부여 ※ ACL(Access Con..
W-21 IIS 미사용 스크립트 매핑 제거 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 IIS 미사용 스크립트 매핑 제거 여부 점검 ■ 점검목적 사용하지 않은 확장자 매핑을 제거하여 추가 공격의 위험을 제거하기 위함 ■ 보안위협 미사용 확장자 매핑을 제거하지 않은 .htr .idc .stm .shtm .shtml .printer .htw .ida .idq 확장자는 버퍼 오버플로우(Buffer Overflow) 공격 위험이 존재함 ■ 참고 ※ 사용하지 않는 스크립트 매핑은 보안에 위협이 될 수 있으므로 개발자와 협의하여 불필요한 매핑인지 확인한 후 제거해야 함 ※ .asp나 .shtm 과 같은 확장자들은 특정 DLL 파일과 매핑 되어 있어, 이러한 파일들에 대한 요청이 들어오면 해당 D..
W-34 로그의 정기적 검토 및 보고 ■ 점검영역 : 로그 관리 ■ 항목 중요도 : 상 ■ 점검내용 로그의 정기적 검토 및 보고 여부 점검 ■ 점검목적 정기적인 로그 점검을 통해 안정적인 시스템 상태 유지 및 외부 공격 여부를 파악하기 위함 ■ 보안위협 로그의 검토 및 보고 절차가 없는 경우 외부 침입 시도에 대한 식별이 누락될 수 있고, 침입 시도가 의심되는 사례 발견 시 관련 자료를 분석하여 해당 장비에 대한 접근을 차단하는 등의 추가 조치가 어려움 ■ 참고 ※ 시스템 접속 기록, 계정 관리 로그 등 점검 항목에서 설정한 보안 로그를 포함하여 응용 프로그램, 시스템 로그 기록에 대하여 주기적인 검토 및 보고가 필요함 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, ..
W-14 IIS 불필요한 파일 제거 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 IIS 설치 시 기본적으로 제공되는 불필요한 파일 제거 여부 점검 ■ 점검목적 IIS 서비스 설치 시 기본으로 설치되는 예제 스크립트, 설명서, 샘플 애플리케이션, 디렉토리 등 서비스에 불필요한 IIS 모듈을 제거하여 불필요한 공격대상으로 이용되는 것을 방지하기 위함 ■ 보안위협 IIS 서비스 설치 시 기본적으로 제공 되는 파일 및 디렉토리를 제거하지 않을 경우, 해당 파일들로 인해 공격 대상으로 이용되거나 백도어가 심어질 위험이 존재함 점검대상 및 판단기준(윈도우 서버, window) ■ 대상 : Windows NT, 2000, 2003, 2008, 2012, 2016, 2019 양호 해당 웹 사이트에 ..
W-17 IIS 파일 업로드 및 다운로드 제한 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 IIS 파일 업로드 및 다운로드 제한 설정 여부 점검 ■ 점검목적 기반시설 시스템은 파일의 업로드 및 다운로드를 원칙적으로 금지하나, 부득이 파일의 업로드 및 다운로드 기능을 활용해야 하는 경우, 파일의 용량 제한을 설정하여 보안성 유지 및 안정적인 웹서버 자원관리를 할 수 있도록 하기 위함 ■ 보안위협 대용량 파일 업로드 및 다운로드가 가능한 경우 서버 리소스에 영향을 주어 서비스 장애가 발생할 수 있음 ■ 참고 ※ IIS에서는 파일의 업로드 및 다운로드 기능을 직접적으로 차단하는 기능이 없어, 웹사이트 내 파일의 업로드 및 다운로드 기능의 구현 여부의 병행 점검이 필요 점검대상 및 판단기준(..
W-19 IIS 가상 디렉토리 삭제 ■ 점검영역 : 서비스 관리 ■ 항목 중요도 : 상 ■ 점검내용 불필요한 IIS 가상 디렉토리 삭제 여부 점검 ■ 점검목적 IIS 를 설치 시 가상 디렉토리 내에 제공되는 취약한 샘플 어플리케이션을 제거하여 잠재적인 위험을 제거하기 위함 ■ 보안위협 기본 가상 디렉토리가 삭제되지 않은 경우 ADSI 스크립트를 이용한 기본 웹사이트 설정을 변경 및 MSADC 가상 디렉토리를 통한 서버 자원 접근이 가능하여 악의적인 공격의 대상이 될 수 있음 ■ 참고 ※ /issadmpwd 파일을 제거하고 이 외 존재하는 가상 디렉토리 취약점을 줄이기 위해서 IIS Admin에 관계되는 모든 파일 및 디렉토리를 삭제하여야 함 ※ IIS 4.0, 5.0 설치 시 기본적으로 /issadmpw..