OS Security Checker

참고

Windows/Linux(CentOS, Ubuntu) 운영 체제의 보안 설정을 점검하는 서비스입니다. 보안에 꼭 필요한 항목을 선별하여 점검을 수행합니다.

점검 가능한 운영 체제

Linux (64 bit)

Server 상품이 지원하는 운영 체제

Windows (64 bit)

Server 상품이 지원하는 운영 체제

Linux 점검 항목 (CSAP)

Linux CSAP 보안 설정 점검 항목과 그에 대한 설명은 다음과 같습니다.

Check ID	점검 항목	점검 항목 설명
U-01	root 계정 원격 접속 제한	root 계정의 원격 접속 차단 설정 여부를 점검하여 외부 비인가자의 root 계정 접근 시도를 원천적으로 차단하는지 점검 /etc/securetty: Telnet 접속 시 root 접근 제한 설정 파일 “/etc/securetty” 파일 내 pts/x 관련 설정이 존재하는 경우 PAM 모듈 설정과 관계없이 root 계정 접속을 허용하므로 반드시 ""securetty"" 파일에서 pts/x 관련 설정 제거 필요 tty (terminal-teletype): 서버와 연결된 모니터, 키보드 등을 통해 사용자가 콘솔로 직접 로그인함 pts (pseudo-terminal, 가상터미널): Telnet, SSH, 터미널 등을 이용하여 접속함
U-02	패스워드 복잡성 설정	시스템 정책에 사용자 계정(root 및 일반 계정 모두 해당) 패스워드 복잡성 관련 설정이 되어 있는지 점검
U-03	계정 잠금 임계값 설정	시스템 정책에 사용자 로그인 실패 임계값이 설정되어 있는지 점검. 무작위 대입 공격 등으로 시스템에 로그인 시도에 대한 차단을 위하여 임계값 설정을 하는 것을 권고함
U-04	패스워드 최대 사용 기간 설정	패스워드 최대 사용 기간을 설정하지 않은 경우 비인가자의 각종 공격(무작위 대입공격, 사전 대입 공격 등)을 시도할 수 있는 기간의 제한이 없음. 또한 탈취된 패스워드를 이용하여 오랜 시간동안 시스템을 장악할 수 있는 위험이 있음. 주기적으로 패스워드를 변경할 수 있도록 최대 사용 기간을 적절하게 제한해야 함
U-05	패스워드 파일 보호	일부 오래된 시스템의 경우 패스워드 정책이 적용되지 않아 /etc/passwd 파일에 평문으로 암호가 저장되는 경우가 있음. 사용자 계정의 비밀번호가 암호화되어 저장하는지 점검
U-06	root 홈 패스 디렉터리 권한 및 패스 설정	PATH 환경 변수에 "."(현재 디렉터리 지칭)가 변수의 앞이나 중간에 포함되어 있다면 일반적인 명령어(예: ls, mv, ps 등)를 실행했을 때, 원래의 명령이 아닌 현재 디렉터리의 파일이 우선적으로 실행됨. 악의적인 사용자에 의해 비정상 파일이 실행될 수 있으므로, root 계정의 PATH 환경 변수 점검
U-07	파일 및 디렉터리 소유자 설정	소유자가 존재하는 않는 파일 및 디렉터리가 존재하는지 점검하고, 임의의 사용자에 의한 불법적 행위를 사전에 차단하기 위하여 삭제해야 함. 삭제된 소유자의 UID와 동일한 사용자가 해당 파일/디렉터리에 접근 가능하여 정보 노출의 위험이 있음. 해당 위협은 퇴직자 관련 파일이 삭제되 않거나, 해킹에 의해 악의적인 파일이 생성되었을 가능성이 높음
U-08	/etc/passwd 파일 소유자 및 권한 설정	"/etc/passwd" 파일은 사용자의 ID, 패스워드(보안상 ‘x’로 표시), UID, GID, 홈 디렉터리, 쉘 정보를 담고 있는 중요 파일. 관리자(root) 이외의 사용자가 "/etc/passwd" 파일의 수정이 가능할 경우, Shell 변조, 사용자 추가/삭제, 권한 상승 시도 등의 악의적인 행위가 가능하므로 파일의 권한을 적절하게 관리해야 함
U-09	/etc/shadow 파일 소유자 및 권한 설정	"/etc/shadow" 파일은 시스템에 등록된 모든 계정의 패스워드를 암호화된 형태로 저장 및 관리하고 있는 중요 파일. 해당 파일에 대한 권한 관리가 이루어지지 않을 경우, 계정 및 패스워드 정보가 외부로 노출될 수 있는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고
U-10	/etc/hosts 파일 소유자 및 권한 설정	"/etc/hosts" 파일은 IP 주소와 호스트네임을 매핑하는 데 사용되는 파일. 해당 파일에 대한 권한 관리가 이루어지지 않을 경우, hosts 파일에 악의적인 시스템을 등록하여 DNS 우회한 파밍 공격에 악용될 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고함
U-11	/etc/(x)inetd.conf 파일 소유자 및 권한 설정	인터넷 슈퍼 데몬은 서비스 설정파일(/etc/(x)inetd.conf)에 등록된 내부 프로그램을 외부 네트워크에서 요청 시에 데몬을 실행시켜주는 역할. inetd.conf(xinetd.d)의 접근 권한이 잘못 설정되어 있을 경우, 비인가자가 악의적인 프로그램을 등록하고 root 권한으로 서비스를 실행시켜 기존 서비스에 영향을 줄 수 있는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고함
U-12	/etc/syslog.conf 파일 소유자 및 권한 설정	"/etc/syslog.conf" 파일은 시스템 운영 중 발생하는 주요 로그 기록을 설정하는 파일. 만약, 해당 파일의 접근 권한이 적절하지 않을 경우, 공격자에 의해 파일이 변조될 수 있음. 침입자의 흔적 또는 시스템 오류 사항 등의 시스템 로그가 정확히 기록되지 않는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 쓰기 권한을 제한하는 것을 권고함
U-13	/etc/services 파일 소유자 및 권한 설정	"/etc/services" 파일은 서비스 관리를 위해 사용. 일반 사용자에 의해 접근 및 변경이 가능하면, 정상적인 서비스를 제한하거나 허용되지 않은 서비스를 악의적으로 실행시켜 침해 사고를 유발하는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 쓰기 권한을 제한하는 것을 권고함
U-14	SUID, SGID, Stick bit 설정 파일 점검	SUID (Set User-ID)와 SGID (Set Group-ID)가 설정된 파일은(특히, root 소유의 파일인 경우) 특정 명령어를 실행하여 root 권한 획득 및 정상 서비스 장애를 발생시킬 수 있음. root 소유의 SUID 파일의 경우에는 꼭 필요한 파일을 제외하고는 SUID, SGID 속성을 제거하고, 잘못 설정되어 보안 위협이 되고 있는지 주기적인 진단 및 관리가 요구됨 SUID (Set User-ID): 설정된 파일 실행 시, 특정 작업 수행을 위하여 일시적으로 파일 소유자의 권한을 얻게 됨 SGID (Set Group-ID): 설정된 파일 실행 시, 특정 작업 수행을 위하여 일시적으로 파일 소유 그룹의 권한을 얻게 됨
U-15	사용자, 시스템 시작파일 및 환경파일 소유자 및 권한 설정	홈 디렉터리 내의 사용자 파일 및 사용자별 시스템 시작 파일 등과 같은 환경변수 파일의 접근 권한 적절하게 제한해야 함. 비인가자가 환경 변수 파일을 변조하여 정상적인 서비스의 장애를 유발할 위험이 있음. 관리자(root) 계정과 해당 사용자를 제외한 모든 사용자의 쓰기 권한을 제한하는 것을 권고함. 환경변수 파일 종류: ".profile", ".kshrc", ".cshrc", ".bashrc", ".bash_profile", ".login", ".exrc", ".netrc" 등
U-16	world writable 파일 점검	시스템 파일과 같은 중요 파일에 world writable 설정이 될 경우, 악의적인 사용자가 해당 파일을 변조할 수 있음. 시스템의 무단 접근 및 장애를 유발할 위험이 있으므로 일반 사용자의 쓰기 권한을 제한해야 함
U-17	$HOME/.rhosts, hosts.equiv 사용 금지	rlogin, rsh, rexec 등과 같은 'r' command는 인증 없이 관리자의 원격 접속이 가능한 명령어. 적절한 보안 설정이 적용되지 않은 경우, 원격지의 공격자가 관리자 권한으로 시스템에 임의의 명령을 실행시킬 수 있는 위험이 있음. 보안상 매우 취약한 구조이므로 사용이 불가피한 경우에는 권한을 제한해야 함. /etc/hosts.equiv 파일 및 .rhosts 파일 사용자를 root 또는, 해당 계정으로 설정한 뒤 권한을 600으로 설정하고 해당 파일 설정에 ‘+’ 설정(모든 호스트 허용)이 포함되지 않도록 제한해야 함
U-18	접속 IP 및 포트 제한	제한된 호스트만이 서비스를 사용할 수 있도록 설정하여 외부 공격을 사전에 방지해야 함. 기본적으로 모든 호스트에 대하여 deny 설정을 하고, 서비스에 반드시 필요한 호스트만을 allow 설정에 추가해야 함. 관련 설정 파일: hosts.allow, hosts.deny
U-19	cron 파일 소유자 및 권한설정	root 이외의 일반 사용자가 crontab 명령어를 사용할 수 있을 경우, 고의 또는 실수로 불법적인 예약 파일 실행될 위험이 있음. Cron 관련 파에 인가되지 않은 사용자가 접근할 수 없도록 관리해야 함
U-20	finger 서비스 비활성화	Finger (사용자 정보 확인 서비스)를 통해서 네트워크 외부에서 해당 시스템에 등록된 사용자 정보를 확인할 수 있음. 비인가자에게 사용자 정보가 조회되는 것을 방지하기 위해서 서비스의 사용 금지를 권고함
U-21	Anonymous FTP 비활성화	실행 중인 FTP 서비스에 익명 FTP 접속이 허용되고 있는지 확인하고, 접속을 차단하는 것을 권고함
U-22	r 계열 서비스 비활성화	rlogin, rsh, rexec 등과 같은 'r' command는 인증 없이 관리자의 원격 접속이 가능한 명령어. 적절한 보안 설정이 적용되지 않은 경우, 원격지의 공격자가 관리자 권한으로 시스템에 임의의 명령을 실행시킬 수 있는 위험이 있음. 서비스에 사용하지 않을 경우 비활성화하는 것을 권고함
U-23	Dos 공격에 취약한 서비스 비활성화	DoS 공격 등에 취약한 서비스를 사용하지 않는다면 비활성화 하는 것을 권고함. 사용 금지 권고 대상 서비스: echo, discard, daytime, chargen
U-24	NFS 서비스 비활성화	NFS (Network File System)는 원격 컴퓨터의 파일 시스템을 로컬 시스템에 마운트하여 사용할 수 있는 서비스. 비인가 서비스에서 악용하여 NFS 마운트로 시스템 접근 및 변조 등의 위험이 높아 사용 금지. 불가피하게 사용해야 할 경우, 25번 통제 항목에 따라 관리되어야 함
U-25	NFS 접근 통제	NFS 사용 시 허가된 사용자만 접근할 수 있도록 제한해야 함. 비인가자의 접근을 차단하기 위하여 everyone 공유는 반드시 제한해야 함
U-26	automountd 제거	automountd는 클라이언트에서 자동으로 서버에 마운트를 시키고 일정 시간 사용하지 않으면 unmount 시켜주는 기능을 제공함. 로컬 공격자가 automountd를 이용하여 RPC (Remote Procedure Call)를 보낼 수 있는 취약점이 존재하기 때문에 사용하는 것을 금지
U-27	RPC 서비스 확인	RPC (Remote Procedure Call)은 별도의 원격 제어를 위한 코딩 없이 다른 주소 공간에서 함수나 프로시져를 실행할 수 있는 프로세스 간의 프로토콜. 일부 RPC 서비스는 원격 실행 등의 취약점을 가지고 있어서 사용하지 않는 것을 권고함. 사용금지 권고 RPC 서비스: rpc.cmsd, rpc.ttdbserverd, sadmind, rusersd, walld, sprayd, rstatd, rpc.nisd, rexd, rpc.pcnfsd, rpc.statd, rpc.ypupdated, rpc.rquotad, kcms_server, cachefsd
U-28	NIS , NIS+ 점검	NIS (Network Information Service)는 ypserv라고 불리우는 RPC 서비스로서 portmap 및 다른 관련 서비스들과 함께 사용되어 동일한 도메인에 위치한 컴퓨터에 사용자명, 암호와 다른 기밀 정보를 배포하는 기능. 네트워크 상에서 기밀 정보를 암호화되지 않은 상태에서 전달하기 때문에 보안상 취 NIS 서비스는 가급적 사용하지 않아야 하며, 필요할 경우에는 NIS+ 를 사용하는 것을 권장
U-29	tftp, talk 서비스 비활성화	tftp, talk, ntalk 서비스는 보안상 취약하므로 사용하지 않는 것을 권장함
U-30	Sendmail 버전 점검	Sendmail 서비스의 경우, 대부분의 버전에서 많은 취약점이 보고되고 있음. 서비스에 불필요할 경우 사용하지 않은 것을 권장하며, 사용이 필요하다면 최신 버전을 사용하는 것을 권장함
U-31	스팸 메일 릴레이 제한	SMTP (Simple Mail Transfer Protocol)는 인터넷 상에서 전자우편을 전송할 때 이용하는 표준 통신규약. SMTP 서버를 통해 전자우편을 발신하는 서비스를 제공해야 한다면 적절한 보안 설정이 필요함. 릴레이 기능을 제한하지 않으면 악의적인 목적의 스팸 메일 서버로 도용되거나 DoS 공격의 대상이 될 위험이 있음
U-32	일반 사용자의 Sendmail 실행 방지	SMTP 서비스 사용 시 q 옵션을 사용하면, sendmail 설정을 임의로 변경하거나 메일큐를 강제로 drop 할 수 있음. 그러므로 일반 사용자는 q 옵션을 사용할 수 없도록 제한해야 함
U-33	DNS 보안 버전 패치	BIND (Berkeley Internet Name Domain)는 BSD 기반의 유닉스 시스템을 위해 설계된 DNS 서버와 resolver 라이브러리로 구성되어 있음. 거의 모든 버전에서 다양한 취약점이 보고되어 있어서 가급적 최신 버전을 설치하여 사용하는 것을 권장함
U-34	DNS Zone Transfer 설정	DNS Zone Transfer는 Primary Name Server와 Secondary Name Server 간에 Zone 정보를 일관성 있게 유지하기 위하여 사용하는 기능. Zone 정보는 Secondary Name Server로만 전송하도록 제한해야 함. 만약 허가되지 않는 사용자에게 Zone Transfer를 허용할 경우 공격자는 전송받은 Zone 정보를 이용하여 호스트 정보, 시스템 정보, 네트워크 구성 형태 등의 많은 정보를 파악할 수 있음
U-35	최신 보안 패치 및 벤더 권고 사항 적용	주기적인 보안 패치를 통해 시스템이 안전하게 관리되는지 확인. 알려진 취약점을 이용한 공격을 사전에 차단하기 위하여 최신 버전의 보안 패치를 적용하는 것을 권고함
U-36	로그의 정기적 검토 및 보고	정기적인 로그 점검을 통해 안정적인 시스템 상태를 유지하고 있는지 확인. 로그의 검토 및 보고 절차가 없는 경우, 외부 침입 시도에 대한 식별이 누락될 수 있음. 그리고 침입 시도가 의심되는 사례 발견 시 관련 자료를 분석하여 해당 장비에 대한 접근을 차단하는 등의 추가 조치가 어려워질 수 있음

Check ID

점검 항목

점검 항목 설명

U-01

root 계정 원격 접속 제한

root 계정의 원격 접속 차단 설정 여부를 점검하여 외부 비인가자의 root 계정 접근 시도를 원천적으로 차단하는지 점검
/etc/securetty: Telnet 접속 시 root 접근 제한 설정 파일
“/etc/securetty” 파일 내 pts/x 관련 설정이 존재하는 경우 PAM 모듈 설정과 관계없이 root 계정 접속을 허용하므로 반드시 ""securetty"" 파일에서 pts/x 관련 설정 제거 필요
tty (terminal-teletype): 서버와 연결된 모니터, 키보드 등을 통해 사용자가 콘솔로 직접 로그인함
pts (pseudo-terminal, 가상터미널): Telnet, SSH, 터미널 등을 이용하여 접속함

U-02

패스워드 복잡성 설정

시스템 정책에 사용자 계정(root 및 일반 계정 모두 해당) 패스워드 복잡성 관련 설정이 되어 있는지 점검

U-03

계정 잠금 임계값 설정

시스템 정책에 사용자 로그인 실패 임계값이 설정되어 있는지 점검. 무작위 대입 공격 등으로 시스템에 로그인 시도에 대한 차단을 위하여 임계값 설정을 하는 것을 권고함

U-04

패스워드 최대 사용 기간 설정

패스워드 최대 사용 기간을 설정하지 않은 경우 비인가자의 각종 공격(무작위 대입공격, 사전 대입 공격 등)을 시도할 수 있는 기간의 제한이 없음. 또한 탈취된 패스워드를 이용하여 오랜 시간동안 시스템을 장악할 수 있는 위험이 있음. 주기적으로 패스워드를 변경할 수 있도록 최대 사용 기간을 적절하게 제한해야 함

U-05

패스워드 파일 보호

일부 오래된 시스템의 경우 패스워드 정책이 적용되지 않아 /etc/passwd 파일에 평문으로 암호가 저장되는 경우가 있음. 사용자 계정의 비밀번호가 암호화되어 저장하는지 점검

U-06

root 홈 패스 디렉터리 권한 및 패스 설정

PATH 환경 변수에 "."(현재 디렉터리 지칭)가 변수의 앞이나 중간에 포함되어 있다면 일반적인 명령어(예: ls, mv, ps 등)를 실행했을 때, 원래의 명령이 아닌 현재 디렉터리의 파일이 우선적으로 실행됨. 악의적인 사용자에 의해 비정상 파일이 실행될 수 있으므로, root 계정의 PATH 환경 변수 점검

U-07

파일 및 디렉터리 소유자 설정

소유자가 존재하는 않는 파일 및 디렉터리가 존재하는지 점검하고, 임의의 사용자에 의한 불법적 행위를 사전에 차단하기 위하여 삭제해야 함. 삭제된 소유자의 UID와 동일한 사용자가 해당 파일/디렉터리에 접근 가능하여 정보 노출의 위험이 있음. 해당 위협은 퇴직자 관련 파일이 삭제되 않거나, 해킹에 의해 악의적인 파일이 생성되었을 가능성이 높음

U-08

/etc/passwd 파일 소유자 및 권한 설정

"/etc/passwd" 파일은 사용자의 ID, 패스워드(보안상 ‘x’로 표시), UID, GID, 홈 디렉터리, 쉘 정보를 담고 있는 중요 파일. 관리자(root) 이외의 사용자가 "/etc/passwd" 파일의 수정이 가능할 경우, Shell 변조, 사용자 추가/삭제, 권한 상승 시도 등의 악의적인 행위가 가능하므로 파일의 권한을 적절하게 관리해야 함

U-09

/etc/shadow 파일 소유자 및 권한 설정

"/etc/shadow" 파일은 시스템에 등록된 모든 계정의 패스워드를 암호화된 형태로 저장 및 관리하고 있는 중요 파일. 해당 파일에 대한 권한 관리가 이루어지지 않을 경우, 계정 및 패스워드 정보가 외부로 노출될 수 있는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고

U-10

/etc/hosts 파일 소유자 및 권한 설정

"/etc/hosts" 파일은 IP 주소와 호스트네임을 매핑하는 데 사용되는 파일. 해당 파일에 대한 권한 관리가 이루어지지 않을 경우, hosts 파일에 악의적인 시스템을 등록하여 DNS 우회한 파밍 공격에 악용될 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고함

U-11

/etc/(x)inetd.conf 파일 소유자 및 권한 설정

인터넷 슈퍼 데몬은 서비스 설정파일(/etc/(x)inetd.conf)에 등록된 내부 프로그램을 외부 네트워크에서 요청 시에 데몬을 실행시켜주는 역할. inetd.conf(xinetd.d)의 접근 권한이 잘못 설정되어 있을 경우, 비인가자가 악의적인 프로그램을 등록하고 root 권한으로 서비스를 실행시켜 기존 서비스에 영향을 줄 수 있는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고함

U-12

/etc/syslog.conf 파일 소유자 및 권한 설정

"/etc/syslog.conf" 파일은 시스템 운영 중 발생하는 주요 로그 기록을 설정하는 파일. 만약, 해당 파일의 접근 권한이 적절하지 않을 경우, 공격자에 의해 파일이 변조될 수 있음. 침입자의 흔적 또는 시스템 오류 사항 등의 시스템 로그가 정확히 기록되지 않는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 쓰기 권한을 제한하는 것을 권고함

U-13

/etc/services 파일 소유자 및 권한 설정

"/etc/services" 파일은 서비스 관리를 위해 사용. 일반 사용자에 의해 접근 및 변경이 가능하면, 정상적인 서비스를 제한하거나 허용되지 않은 서비스를 악의적으로 실행시켜 침해 사고를 유발하는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 쓰기 권한을 제한하는 것을 권고함

U-14

SUID, SGID, Stick bit 설정 파일 점검

SUID (Set User-ID)와 SGID (Set Group-ID)가 설정된 파일은(특히, root 소유의 파일인 경우) 특정 명령어를 실행하여 root 권한 획득 및 정상 서비스 장애를 발생시킬 수 있음. root 소유의 SUID 파일의 경우에는 꼭 필요한 파일을 제외하고는 SUID, SGID 속성을 제거하고, 잘못 설정되어 보안 위협이 되고 있는지 주기적인 진단 및 관리가 요구됨
*SUID (Set User-ID): 설정된 파일 실행 시, 특정 작업 수행을 위하여 일시적으로 파일 소유자의 권한을 얻게 됨
*SGID (Set Group-ID): 설정된 파일 실행 시, 특정 작업 수행을 위하여 일시적으로 파일 소유 그룹의 권한을 얻게 됨

U-15

사용자, 시스템 시작파일 및 환경파일 소유자 및 권한 설정

홈 디렉터리 내의 사용자 파일 및 사용자별 시스템 시작 파일 등과 같은 환경변수 파일의 접근 권한 적절하게 제한해야 함. 비인가자가 환경 변수 파일을 변조하여 정상적인 서비스의 장애를 유발할 위험이 있음. 관리자(root) 계정과 해당 사용자를 제외한 모든 사용자의 쓰기 권한을 제한하는 것을 권고함.
환경변수 파일 종류: ".profile", ".kshrc", ".cshrc", ".bashrc", ".bash_profile", ".login", ".exrc", ".netrc" 등

U-16

world writable 파일 점검

시스템 파일과 같은 중요 파일에 world writable 설정이 될 경우, 악의적인 사용자가 해당 파일을 변조할 수 있음. 시스템의 무단 접근 및 장애를 유발할 위험이 있으므로 일반 사용자의 쓰기 권한을 제한해야 함

U-17

$HOME/.rhosts, hosts.equiv 사용 금지

rlogin, rsh, rexec 등과 같은 'r' command는 인증 없이 관리자의 원격 접속이 가능한 명령어. 적절한 보안 설정이 적용되지 않은 경우, 원격지의 공격자가 관리자 권한으로 시스템에 임의의 명령을 실행시킬 수 있는 위험이 있음. 보안상 매우 취약한 구조이므로 사용이 불가피한 경우에는 권한을 제한해야 함. /etc/hosts.equiv 파일 및 .rhosts 파일 사용자를 root 또는, 해당 계정으로 설정한 뒤 권한을 600으로 설정하고 해당 파일 설정에 ‘+’ 설정(모든 호스트 허용)이 포함되지 않도록 제한해야 함

U-18

접속 IP 및 포트 제한

제한된 호스트만이 서비스를 사용할 수 있도록 설정하여 외부 공격을 사전에 방지해야 함. 기본적으로 모든 호스트에 대하여 deny 설정을 하고, 서비스에 반드시 필요한 호스트만을 allow 설정에 추가해야 함.
관련 설정 파일: hosts.allow, hosts.deny

U-19

cron 파일 소유자 및 권한설정

root 이외의 일반 사용자가 crontab 명령어를 사용할 수 있을 경우, 고의 또는 실수로 불법적인 예약 파일 실행될 위험이 있음. Cron 관련 파에 인가되지 않은 사용자가 접근할 수 없도록 관리해야 함

U-20

finger 서비스 비활성화

Finger (사용자 정보 확인 서비스)를 통해서 네트워크 외부에서 해당 시스템에 등록된 사용자 정보를 확인할 수 있음. 비인가자에게 사용자 정보가 조회되는 것을 방지하기 위해서 서비스의 사용 금지를 권고함

U-21

Anonymous FTP 비활성화

실행 중인 FTP 서비스에 익명 FTP 접속이 허용되고 있는지 확인하고, 접속을 차단하는 것을 권고함

U-22

r 계열 서비스 비활성화

rlogin, rsh, rexec 등과 같은 'r' command는 인증 없이 관리자의 원격 접속이 가능한 명령어. 적절한 보안 설정이 적용되지 않은 경우, 원격지의 공격자가 관리자 권한으로 시스템에 임의의 명령을 실행시킬 수 있는 위험이 있음. 서비스에 사용하지 않을 경우 비활성화하는 것을 권고함

U-23

Dos 공격에 취약한 서비스 비활성화

DoS 공격 등에 취약한 서비스를 사용하지 않는다면 비활성화 하는 것을 권고함.
사용 금지 권고 대상 서비스: echo, discard, daytime, chargen

U-24

NFS 서비스 비활성화

NFS (Network File System)는 원격 컴퓨터의 파일 시스템을 로컬 시스템에 마운트하여 사용할 수 있는 서비스. 비인가 서비스에서 악용하여 NFS 마운트로 시스템 접근 및 변조 등의 위험이 높아 사용 금지. 불가피하게 사용해야 할 경우, 25번 통제 항목에 따라 관리되어야 함

U-25

NFS 접근 통제

NFS 사용 시 허가된 사용자만 접근할 수 있도록 제한해야 함. 비인가자의 접근을 차단하기 위하여 everyone 공유는 반드시 제한해야 함

U-26

automountd 제거

automountd는 클라이언트에서 자동으로 서버에 마운트를 시키고 일정 시간 사용하지 않으면 unmount 시켜주는 기능을 제공함. 로컬 공격자가 automountd를 이용하여 RPC (Remote Procedure Call)를 보낼 수 있는 취약점이 존재하기 때문에 사용하는 것을 금지

U-27

RPC 서비스 확인

RPC (Remote Procedure Call)은 별도의 원격 제어를 위한 코딩 없이 다른 주소 공간에서 함수나 프로시져를 실행할 수 있는 프로세스 간의 프로토콜. 일부 RPC 서비스는 원격 실행 등의 취약점을 가지고 있어서 사용하지 않는 것을 권고함.
사용금지 권고 RPC 서비스: rpc.cmsd, rpc.ttdbserverd, sadmind, rusersd, walld, sprayd, rstatd, rpc.nisd, rexd, rpc.pcnfsd, rpc.statd, rpc.ypupdated, rpc.rquotad, kcms_server, cachefsd

U-28

NIS , NIS+ 점검

NIS (Network Information Service)는 ypserv라고 불리우는 RPC 서비스로서 portmap 및 다른 관련 서비스들과 함께 사용되어 동일한 도메인에 위치한 컴퓨터에 사용자명, 암호와 다른 기밀 정보를 배포하는 기능. 네트워크 상에서 기밀 정보를 암호화되지 않은 상태에서 전달하기 때문에 보안상 취 NIS 서비스는 가급적 사용하지 않아야 하며, 필요할 경우에는 NIS+ 를 사용하는 것을 권장

U-29

tftp, talk 서비스 비활성화

tftp, talk, ntalk 서비스는 보안상 취약하므로 사용하지 않는 것을 권장함

U-30

Sendmail 버전 점검

Sendmail 서비스의 경우, 대부분의 버전에서 많은 취약점이 보고되고 있음. 서비스에 불필요할 경우 사용하지 않은 것을 권장하며, 사용이 필요하다면 최신 버전을 사용하는 것을 권장함

U-31

스팸 메일 릴레이 제한

SMTP (Simple Mail Transfer Protocol)는 인터넷 상에서 전자우편을 전송할 때 이용하는 표준 통신규약. SMTP 서버를 통해 전자우편을 발신하는 서비스를 제공해야 한다면 적절한 보안 설정이 필요함. 릴레이 기능을 제한하지 않으면 악의적인 목적의 스팸 메일 서버로 도용되거나 DoS 공격의 대상이 될 위험이 있음

U-32

일반 사용자의 Sendmail 실행 방지

SMTP 서비스 사용 시 q 옵션을 사용하면, sendmail 설정을 임의로 변경하거나 메일큐를 강제로 drop 할 수 있음. 그러므로 일반 사용자는 q 옵션을 사용할 수 없도록 제한해야 함

U-33

DNS 보안 버전 패치

BIND (Berkeley Internet Name Domain)는 BSD 기반의 유닉스 시스템을 위해 설계된 DNS 서버와 resolver 라이브러리로 구성되어 있음. 거의 모든 버전에서 다양한 취약점이 보고되어 있어서 가급적 최신 버전을 설치하여 사용하는 것을 권장함

U-34

DNS Zone Transfer 설정

DNS Zone Transfer는 Primary Name Server와 Secondary Name Server 간에 Zone 정보를 일관성 있게 유지하기 위하여 사용하는 기능. Zone 정보는 Secondary Name Server로만 전송하도록 제한해야 함. 만약 허가되지 않는 사용자에게 Zone Transfer를 허용할 경우 공격자는 전송받은 Zone 정보를 이용하여 호스트 정보, 시스템 정보, 네트워크 구성 형태 등의 많은 정보를 파악할 수 있음

U-35

최신 보안 패치 및 벤더 권고 사항 적용

주기적인 보안 패치를 통해 시스템이 안전하게 관리되는지 확인. 알려진 취약점을 이용한 공격을 사전에 차단하기 위하여 최신 버전의 보안 패치를 적용하는 것을 권고함

U-36

로그의 정기적 검토 및 보고

정기적인 로그 점검을 통해 안정적인 시스템 상태를 유지하고 있는지 확인. 로그의 검토 및 보고 절차가 없는 경우, 외부 침입 시도에 대한 식별이 누락될 수 있음. 그리고 침입 시도가 의심되는 사례 발견 시 관련 자료를 분석하여 해당 장비에 대한 접근을 차단하는 등의 추가 조치가 어려워질 수 있음

Linux 점검 항목 (KISA)

Linux KISA 보안 설정 점검 항목과 그에 대한 설명은 다음과 같습니다.

Check ID	점검 항목	점검 항목 설명
U-01	root 계정 원격 접속 제한	root 계정의 원격 접속 차단 설정 여부를 점검하여 외부 비인가자의 root 계정 접근 시도를 원천적으로 차단하는지 점검 사용자는 별도의 사용자 계정으로 로그인한 뒤 su 명령을 이용하여 root 권한으로 변경 후 작업 권장
U-02	패스워드 복잡성 설정	시스템 정책에 사용자 계정(root 및 일반 계정 모두 해당) 비밀번호 복잡성 관련 설정이 되어 있는지 점검
U-03	계정 잠금 임계값 설정	시스템 정책에 사용자 로그인 실패 임계값이 설정되어 있는지 점검
U-04	패스워드 파일 보호	시스템의 사용자 계정 정보가 저장된 /etc/passwd 파일에 사용자 계정 비밀번호가 암호화되어 저장되어 있는지 점검
U-05	root 홈 패스 디렉터리 권한 및 패스 설정	root 계정의 PATH 환경 변수에 "."(현재 디렉터리 지칭)가 포함되어 있는지 점검
U-06	파일 및 디렉터리 소유자 설정	소유자가 존재하지 않는 파일 및 디렉터리가 존재하는지 점검
U-07	/etc/passwd 파일 소유자 및 권한 설정	중요 시스템 파일의 소유자 및 권한 설정 /etc/passwd: 사용자의 ID, 비밀번호(보안상 'x'로 표시), UID, GID, 홈 디렉터리, 쉘 정보를 담고 있는 파일
U-08	/etc/shadow 파일 소유자 및 권한 설정	중요 시스템 파일의 소유자 및 권한 설정 /etc/shadow: 시스템에 등록된 모든 계정의 비밀번호를 암호화된 형태로 저장 및 관리하는 파일
U-09	/etc/hosts 파일 소유자 및 권한 설정	중요 시스템 파일의 소유자 및 권한 설정 /etc/hosts: IP 주소와 호스트 네임을 매핑하기 위해 사용되는 파일
U-10	/etc/(x)inetd.conf 파일 소유자 및 권한 설정	중요 시스템 파일의 소유자 및 권한 설정 /etc/(x)inetd.conf: 인터넷 슈퍼데몬의 서비스 설정 파일
U-11	/etc/syslog.conf 파일 소유자 및 권한 설정	중요 시스템 파일의 소유자 및 권한 설정 /etc/syslog.conf: 시스템 운영 중 발생하는 주요 로그 기록을 설정하는 파일
U-12	/etc/services 파일 소유자 및 권한 설정	중요 시스템 파일의 소유자 및 권한 설정 /etc/services: 서비스 관리를 위해 사용하는 파일
U-13	SUID, SGID, Stick bit 설정 파일 점검	파일에 불필요한 SUID, SGID 속성 제거 SUID (Set User-ID): 설정된 파일 실행 시, 특정 작업을 수행할 수 있도록 일시적으로 파일 소유자의 권한을 얻게 됨 SGID (Set Group-ID): 설정된 파일 실행 시, 특정 작업을 수행할 수 있도록 일시적으로 파일 소유 그룹의 권한을 얻게 됨
U-14	사용자, 시스템 시작 파일 및 환경 파일 소유자 및 권한 설정	홈 디렉터리 내의 사용자 파일 및 사용자별 시스템 시작 파일 등과 같은 환경 변수 파일의 접근 권한 제한 환경 변수 파일 종류 : ".profile", ".kshrc", ".cshrc", ".bashrc", ".bash_profile", ".login", ".exrc", ".netrc" 등
U-15	world writable 파일 점검	불필요한 world writable 파일 존재 여부 점검 world writable: 모든 사용자에 대해 파일의 내용을 쓰기 허용
U-16	/dev에 존재하지 않는 device 파일 점검	실제 존재하지 않는 디바이스 파일 존재 여부 점검
U-17	$HOME/.rhosts, hosts.equiv 사용 금지	rlogin, rsh, rexec 등과 같은 r command 권한 제한 r command: 인증 없이 관리자의 원격 접속이 가능한 명령어
U-18	접속 IP 및 포트 제한	제한된 호스트만이 서비스를 사용할 수 있도록 설정하여 외부 공격을 사전에 방지 관련 설정 파일: hosts.allow, hosts.deny
U-19	finger 서비스 비활성화	비인가자에게 사용자 정보가 조회되는 것을 방지하기 위해 Finger 서비스 비활성화 Finger(사용자 정보 확인 서비스): 네트워크 외부에서 해당 시스템에 등록된 사용자 정보 확인 가능
U-20	Anonymous FTP 비활성화	Anonymous FTP 접속을 차단하여 권한이 없는 사용자의 FTP 사용을 제한 Anonymous FTP (익명 FTP): 누구든지 anonymous 또는 ftp라는 로그인명과 임의의 비밀번호를 사용하여 FTP 실행 가능
U-21	r 계열 서비스 비활성화	rlogin, rsh, rexec 등과 같은 r command 비활성화 r command: 인증 없이 관리자의 원격 접속이 가능한 명령어
U-22	cron 파일 소유자 및 권한설정	중요 시스템 파일의 소유자 및 권한 설정 /etc/cron.allow, /etc/cron.deny: 등록한 사용자의 crontab 명령어 사용을 허용 또는 차단하는 파일
U-23	Dos 공격에 취약한 서비스 비활성화	사용하지 않는 DoS 공격 등에 취약한 서비스 비활성화 사용 금지 권고 대상 서비스: echo, discard, daytime, chargen
U-24	NFS 서비스 비활성화	NFS 서비스 비활성화 NFS (Network File System): 원격 컴퓨터의 파일 시스템을 로컬 시스템에 마운트하여 사용할 수 있게 하는 서비스 불가피하게 사용해야 할 경우, U-25 항목에 따라 관리
U-25	NFS 접근 통제	NFS 사용 시 허가된 사용자만 접근할 수 있도록 제한 NFS (Network File System): 원격 컴퓨터의 파일 시스템을 로컬 시스템에 마운트하여 사용할 수 있게 하는 서비스
U-26	automountd 제거	로컬 공격자가 automountd를 이용하여 RPC (Remote Procedure Call)를 보낼 수 있는 취약점이 존재하기 때문에 서비스 중지 automountd: 클라이언트에서 자동으로 서버에 마운트하고 일정 시간 사용하지 않으면 언마운트하는 기능 제공
U-27	RPC 서비스 확인	일부 RPC 서비스는 원격 실행 등의 취약점을 가지고 있으므로 서비스 비활성화 RPC (Remote Procedure Call): 별도의 원격 제어를 위한 코딩 없이 다른 주소 공간에서 함수나 프로시저를 실행할 수 있게 하는 프로세스 간의 프로토콜 사용 금지 권고 RPC 서비스: rpc.cmsd, rpc.ttdbserverd, sadmind, rusersd, walld, sprayd, rstatd, rpc.nisd, rexd, rpc.pcnfsd, rpc.statd, rpc.ypupdated, rpc.rquotad, kcms_server, cachefsd
U-28	NIS , NIS+ 점검	NIS 서비스는 가급적 사용하지 않아야 하며, 필요한 경우에는 NIS+를 사용 NIS (Network Information Service): 동일한 도메인에 위치한 컴퓨터에 사용자명, 비밀번호와 다른 기밀 정보를 배포
U-29	tftp, talk 서비스 비활성화	tftp, talk, ntalk 서비스는 보안상 취약하므로 비활성화
U-30	Sendmail 버전 점검	대부분의 버전에서 많은 취약점이 보고되므로 불필요할 경우 사용 중지 사용이 필요하다면 최신 버전 사용
U-31	스팸 메일 릴레이 제한	SMTP 서버의 릴레이 기능 제한
U-32	일반 사용자의 Sendmail 실행 방지	SMTP 서비스 제공 시 일반 사용자는 q 옵션을 사용할 수 없도록 제한 q 옵션을 사용하면, sendmail 설정을 임의로 변경하거나 메일 큐를 강제로 drop 할 수 있음
U-33	DNS 보안 버전 패치	BIND 사용 시 최신 버전 사용 BIND (Berkeley Internet Name Domain): BSD 기반의 유닉스 시스템을 위해 설계된 DNS로 서버와 resolver 라이브러리로 구성
U-34	DNS Zone Transfer 설정	Zone 정보를 Secondary Name Server로만 전송하도록 제한 DNS Zone Transfer: Primary Name Server와 Secondary Name Server 간에 Zone 정보를 일관성 있게 유지하기 위하여 사용하는 기능
U-35	Apache 디렉터리 리스팅 제거	디렉터리 검색 기능 비활성화 디렉터리 검색 (Directory Listing): 디렉터리에 기본 문서가 존재하지 않을 경우, 디렉터리 내 모든 파일의 목록을 보여주는 기능
U-36	Apache 웹 프로세스 권한 제한	Apache는 root 권한이 아닌 별도의 권한으로 실행
U-37	Apache 상위 디렉터리 접근 금지	AllowOverride 옵션에서 상위 디렉터리로 이동하는 것을 제한
U-38	Apache 불필요한 파일 제거	Apache 설치 시 기본으로 생성되는 불필요한 파일을 삭제하였는지 점검 기본 생성 파일: /[Apache_home]/htdocs/manual, /[Apache_home]/manual
U-39	Apache 링크 사용 금지	심볼릭 링크(Symbolic link)의 사용 제한
U-40	Apache 파일 업로드 및 다운로드 제한	원칙적으로 파일 업로드 및 다운로드를 금지하고, 불가피하게 필요 시 용량 크기 제한
U-41	Apache 웹 서비스 영역의 분리	DocumentRoot를 기본 설정(htdocs 디렉터리)이 아닌 별도의 경로로 변경
U-42	최신 보안 패치 및 벤더 권고사항 적용	주기적인 보안 패치를 통해 시스템이 안전하게 관리되는지 확인
U-43	로그의 정기적 검토 및 보고	정기적인 로그 점검을 통해 안정적인 시스템 상태를 유지하고 있는지 확인
U-44	root 이외의 UID가 '0' 금지	root 계정 외에 UID 값이 0인 계정(root와 권한이 동일)이 존재하는지 점검
U-45	root 계정 su 제한	시스템 사용자 계정 그룹 설정 파일(/etc/group)에 su 관련 그룹이 존재하는지 점검 su 명령어가 su 관련 그룹에서만 허용되도록 설정되어 있는지 점검
U-46	패스워드 최소 길이 설정	최소 비밀번호 길이를 8자 이상으로 설정
U-47	패스워드 최대 사용 기간 설정	주기적으로 비밀번호를 변경할 수 있도록 최대 사용 기간을 적절하게 제한
U-48	패스워드 최소 사용기간 설정	비밀번호를 변경할 수 있기 전까지 경과해야 하는 최소 날짜를 설정
U-49	불필요한 계정 제거	시스템 계정 중 불필요한 계정이 존재하는지 점검 다음 기본 계정 삭제: adm, lp, sync, shutdown, halt, news, uucp, operator, games, gopher, nfsnobody, squid
U-50	관리자 그룹에 최소한의 계정 포함	시스템 관리자 그룹에 최소한의 계정만 존재하는지 점검
U-51	계정이 존재하지 않는 GID 금지	그룹 설정 파일에 불필요한 그룹(계정이 존재하지 않고 시스템 관리나 운용에 사용되지 않는 그룹, 계정이 존재하고 시스템 관리나 운용에 사용되지 않는 그룹 등)이 존재하는지 점검
U-52	동일한 UID 금지	UID가 동일한 사용자 계정 존재 여부 점검
U-53	사용자 shell 점검	로그인이 필요하지 않은 계정에 /bin/false 쉘을 부여해 로그인 제한
U-54	Session Timeout 설정	일정 시간 동안 어떠한 이벤트도 발생하지 않으면 연결을 강제 종료하도록 Session Timeout 설정
U-55	hosts.lpd 파일 소유자 및 권한 설정	중요 시스템 파일의 소유자 및 권한 설정 /etc/hosts.lpd: 로컬 프린트 서비스를 사용할 수 있는 허가된 호스트(사용자) 정보를 담고 있는 파일
U-56	UMASK 설정 관리	UMASK 값이 적절한지 점검 UMASK 값: 시스템 내에서 사용자가 새로 생성하는 파일의 접근 권한을 지정
U-57	홈 디렉터리 소유자 및 권한 설정	사용자 홈 디렉터리의 소유자 이외의 일반 사용자들이 해당 홈 디렉터리를 수정할 수 없도록 제한
U-58	홈 디렉터리로 지정한 디렉터리의 존재 관리	사용자 계정과 홈 디렉터리의 일치 여부를 점검
U-59	숨겨진 파일 및 디렉터리 검색 및 제거	숨김 파일 및 디렉터리 내 의심스러운 파일 존재 여부 점검
U-60	ssh 원격접속 허용	원격 접속 시 사용자와 시스템과의 모든 통신을 암호화하는 SSH (Secure Shell) 서비스 사용 SSH 사용 시 사용 포트를 기본 포트(TCP/22번 포트)에서 변경하는 것을 권장
U-61	ftp 서비스 확인	FTP 서비스 활성화 여부 점검
U-62	ftp 계정 shell 제한	FTP 서비스 설치 시 기본으로 생성되는 ftp 계정에 /bin/false 쉘을 부여하여 해당 계정으로의 시스템 접근을 차단
U-63	Ftpusers 파일 소유자 및 권한 설정	중요 파일의 소유자 및 권한 설정 ftpusers 파일: FTP 접근제어 설정 파일로써 해당 파일에 등록된 계정은 FTP에 접속할 수 없음
U-64	Ftpusers 파일 설정	FTP 서비스 비활성화 권장 불가피하게 FTP 서비스를 사용하는 경우, ftpusers 파일을 설정하여 root 계정의 직접 접속 제한 ftpusers 파일: FTP 접근제어 설정 파일로써 해당 파일에 등록된 계정은 FTP에 접속할 수 없음
U-65	at 파일 소유자 및 권한 설정	중요 시스템 파일의 소유자 및 권한 설정 /etc/at.deny, /etc/at.allow: 등록한 사용자의 at 명령어 사용을 허용 또는 차단하는 파일
U-66	SNMP 서비스 구동 점검	불필요한 SNMP 서비스 사용 중지
U-67	SNMP 서비스 커뮤니티스트링의 복잡성 설정	커뮤니티 스트링을 유추할 수 없는 값으로 변경 커뮤니티 스트링: SNMP에서 인증 과정에 사용하는 일종의 비밀번호
U-68	로그온 시 경고 메시지 제공	서버 및 서비스에 로그온 시 불필요한 정보 차단 설정 및 불법적인 사용에 대한 경고 메시지 출력
U-69	NFS설정파일접근권한	NFS 접근 제어 설정 파일을 일반 사용자들이 수정할 수 없도록 제한하고 있는지 점검
U-70	expn, vrfy 명령어 제한	불가피하게 SMTP를 사용하는 경우, Sendmail Abuse를 방지하기 위해 Sendmail의 기본 서비스인 VRFY, EXPN을 사용할 수 없도록 제한 VRFY: SMTP 클라이언트가 SMTP 서버에 특정 아이디에 대한 메일이 있는지 검증하기 위해 보내는 명령어 EXPN(메일링 리스트 확장): 메일 전송 시 포워딩하기 위한 명령어
U-71	Apache 웹 서비스 정보 숨김	웹 페이지의 오류 발생 시 지나치게 자세한 메시지가 노출되지 않도록 설정
U-72	정책에 따른 시스템 로깅 설정	내부 정책에 따른 시스템 로깅 설정 적용 여부 점검

Check ID

점검 항목

점검 항목 설명

U-01

root 계정 원격 접속 제한

root 계정의 원격 접속 차단 설정 여부를 점검하여 외부 비인가자의 root 계정 접근 시도를 원천적으로 차단하는지 점검

사용자는 별도의 사용자 계정으로 로그인한 뒤 su 명령을 이용하여 root 권한으로 변경 후 작업 권장

U-02

패스워드 복잡성 설정

시스템 정책에 사용자 계정(root 및 일반 계정 모두 해당) 비밀번호 복잡성 관련 설정이 되어 있는지 점검

U-03

계정 잠금 임계값 설정

시스템 정책에 사용자 로그인 실패 임계값이 설정되어 있는지 점검

U-04

패스워드 파일 보호

시스템의 사용자 계정 정보가 저장된 /etc/passwd 파일에 사용자 계정 비밀번호가 암호화되어 저장되어 있는지 점검

U-05

root 홈 패스 디렉터리 권한 및 패스 설정

root 계정의 PATH 환경 변수에 "."(현재 디렉터리 지칭)가 포함되어 있는지 점검

U-06

파일 및 디렉터리 소유자 설정

소유자가 존재하지 않는 파일 및 디렉터리가 존재하는지 점검

U-07

/etc/passwd 파일 소유자 및 권한 설정

중요 시스템 파일의 소유자 및 권한 설정

/etc/passwd: 사용자의 ID, 비밀번호(보안상 'x'로 표시), UID, GID, 홈 디렉터리, 쉘 정보를 담고 있는 파일

U-08

/etc/shadow 파일 소유자 및 권한 설정

중요 시스템 파일의 소유자 및 권한 설정

/etc/shadow: 시스템에 등록된 모든 계정의 비밀번호를 암호화된 형태로 저장 및 관리하는 파일

U-09

/etc/hosts 파일 소유자 및 권한 설정

중요 시스템 파일의 소유자 및 권한 설정

/etc/hosts: IP 주소와 호스트 네임을 매핑하기 위해 사용되는 파일

U-10

/etc/(x)inetd.conf 파일 소유자 및 권한 설정

중요 시스템 파일의 소유자 및 권한 설정

/etc/(x)inetd.conf: 인터넷 슈퍼데몬의 서비스 설정 파일

U-11

/etc/syslog.conf 파일 소유자 및 권한 설정

중요 시스템 파일의 소유자 및 권한 설정

/etc/syslog.conf: 시스템 운영 중 발생하는 주요 로그 기록을 설정하는 파일

U-12

/etc/services 파일 소유자 및 권한 설정

중요 시스템 파일의 소유자 및 권한 설정

/etc/services: 서비스 관리를 위해 사용하는 파일

U-13

SUID, SGID, Stick bit 설정 파일 점검

파일에 불필요한 SUID, SGID 속성 제거

SUID (Set User-ID): 설정된 파일 실행 시, 특정 작업을 수행할 수 있도록 일시적으로 파일 소유자의 권한을 얻게 됨

SGID (Set Group-ID): 설정된 파일 실행 시, 특정 작업을 수행할 수 있도록 일시적으로 파일 소유 그룹의 권한을 얻게 됨

U-14

사용자, 시스템 시작 파일 및 환경 파일 소유자 및 권한 설정

홈 디렉터리 내의 사용자 파일 및 사용자별 시스템 시작 파일 등과 같은 환경 변수 파일의 접근 권한 제한

환경 변수 파일 종류 : ".profile", ".kshrc", ".cshrc", ".bashrc", ".bash_profile", ".login", ".exrc", ".netrc" 등

U-15

world writable 파일 점검

불필요한 world writable 파일 존재 여부 점검

world writable: 모든 사용자에 대해 파일의 내용을 쓰기 허용

U-16

/dev에 존재하지 않는 device 파일 점검

실제 존재하지 않는 디바이스 파일 존재 여부 점검

U-17

$HOME/.rhosts, hosts.equiv 사용 금지

rlogin, rsh, rexec 등과 같은 r command 권한 제한

r command: 인증 없이 관리자의 원격 접속이 가능한 명령어

U-18

접속 IP 및 포트 제한

제한된 호스트만이 서비스를 사용할 수 있도록 설정하여 외부 공격을 사전에 방지

관련 설정 파일: hosts.allow, hosts.deny

U-19

finger 서비스 비활성화

비인가자에게 사용자 정보가 조회되는 것을 방지하기 위해 Finger 서비스 비활성화

Finger(사용자 정보 확인 서비스): 네트워크 외부에서 해당 시스템에 등록된 사용자 정보 확인 가능

U-20

Anonymous FTP 비활성화

Anonymous FTP 접속을 차단하여 권한이 없는 사용자의 FTP 사용을 제한

Anonymous FTP (익명 FTP): 누구든지 anonymous 또는 ftp라는 로그인명과 임의의 비밀번호를 사용하여 FTP 실행 가능

U-21

r 계열 서비스 비활성화

rlogin, rsh, rexec 등과 같은 r command 비활성화

r command: 인증 없이 관리자의 원격 접속이 가능한 명령어

U-22

cron 파일 소유자 및 권한설정

중요 시스템 파일의 소유자 및 권한 설정

/etc/cron.allow, /etc/cron.deny: 등록한 사용자의 crontab 명령어 사용을 허용 또는 차단하는 파일

U-23

Dos 공격에 취약한 서비스 비활성화

사용하지 않는 DoS 공격 등에 취약한 서비스 비활성화

사용 금지 권고 대상 서비스: echo, discard, daytime, chargen

U-24

NFS 서비스 비활성화

NFS (Network File System): 원격 컴퓨터의 파일 시스템을 로컬 시스템에 마운트하여 사용할 수 있게 하는 서비스

불가피하게 사용해야 할 경우, U-25 항목에 따라 관리

U-25

NFS 접근 통제

NFS 사용 시 허가된 사용자만 접근할 수 있도록 제한

NFS (Network File System): 원격 컴퓨터의 파일 시스템을 로컬 시스템에 마운트하여 사용할 수 있게 하는 서비스

U-26

automountd 제거

로컬 공격자가 automountd를 이용하여 RPC (Remote Procedure Call)를 보낼 수 있는 취약점이 존재하기 때문에 서비스 중지

automountd: 클라이언트에서 자동으로 서버에 마운트하고 일정 시간 사용하지 않으면 언마운트하는 기능 제공

U-27

RPC 서비스 확인

일부 RPC 서비스는 원격 실행 등의 취약점을 가지고 있으므로 서비스 비활성화

RPC (Remote Procedure Call): 별도의 원격 제어를 위한 코딩 없이 다른 주소 공간에서 함수나 프로시저를 실행할 수 있게 하는 프로세스 간의 프로토콜

사용 금지 권고 RPC 서비스: rpc.cmsd, rpc.ttdbserverd, sadmind, rusersd, walld, sprayd, rstatd, rpc.nisd, rexd, rpc.pcnfsd, rpc.statd, rpc.ypupdated, rpc.rquotad, kcms_server, cachefsd

U-28

NIS , NIS+ 점검

NIS 서비스는 가급적 사용하지 않아야 하며, 필요한 경우에는 NIS+를 사용

NIS (Network Information Service): 동일한 도메인에 위치한 컴퓨터에 사용자명, 비밀번호와 다른 기밀 정보를 배포

U-29

tftp, talk 서비스 비활성화

tftp, talk, ntalk 서비스는 보안상 취약하므로 비활성화

U-30

Sendmail 버전 점검

대부분의 버전에서 많은 취약점이 보고되므로 불필요할 경우 사용 중지

사용이 필요하다면 최신 버전 사용

U-31

스팸 메일 릴레이 제한

SMTP 서버의 릴레이 기능 제한

U-32

일반 사용자의 Sendmail 실행 방지

SMTP 서비스 제공 시 일반 사용자는 q 옵션을 사용할 수 없도록 제한

q 옵션을 사용하면, sendmail 설정을 임의로 변경하거나 메일 큐를 강제로 drop 할 수 있음

U-33

DNS 보안 버전 패치

BIND 사용 시 최신 버전 사용

BIND (Berkeley Internet Name Domain): BSD 기반의 유닉스 시스템을 위해 설계된 DNS로 서버와 resolver 라이브러리로 구성

U-34

DNS Zone Transfer 설정

Zone 정보를 Secondary Name Server로만 전송하도록 제한

DNS Zone Transfer: Primary Name Server와 Secondary Name Server 간에 Zone 정보를 일관성 있게 유지하기 위하여 사용하는 기능

U-35

Apache 디렉터리 리스팅 제거

디렉터리 검색 기능 비활성화

디렉터리 검색 (Directory Listing): 디렉터리에 기본 문서가 존재하지 않을 경우, 디렉터리 내 모든 파일의 목록을 보여주는 기능

U-36

Apache 웹 프로세스 권한 제한

Apache는 root 권한이 아닌 별도의 권한으로 실행

U-37

Apache 상위 디렉터리 접근 금지

AllowOverride 옵션에서 상위 디렉터리로 이동하는 것을 제한

U-38

Apache 불필요한 파일 제거

Apache 설치 시 기본으로 생성되는 불필요한 파일을 삭제하였는지 점검

기본 생성 파일: /[Apache_home]/htdocs/manual, /[Apache_home]/manual

U-39

Apache 링크 사용 금지

심볼릭 링크(Symbolic link)의 사용 제한

U-40

Apache 파일 업로드 및 다운로드 제한

원칙적으로 파일 업로드 및 다운로드를 금지하고, 불가피하게 필요 시 용량 크기 제한

U-41

Apache 웹 서비스 영역의 분리

DocumentRoot를 기본 설정(htdocs 디렉터리)이 아닌 별도의 경로로 변경

U-42

최신 보안 패치 및 벤더 권고사항 적용

주기적인 보안 패치를 통해 시스템이 안전하게 관리되는지 확인

U-43

로그의 정기적 검토 및 보고

정기적인 로그 점검을 통해 안정적인 시스템 상태를 유지하고 있는지 확인

U-44

root 이외의 UID가 '0' 금지

root 계정 외에 UID 값이 0인 계정(root와 권한이 동일)이 존재하는지 점검

U-45

root 계정 su 제한

시스템 사용자 계정 그룹 설정 파일(/etc/group)에 su 관련 그룹이 존재하는지 점검

su 명령어가 su 관련 그룹에서만 허용되도록 설정되어 있는지 점검

U-46

패스워드 최소 길이 설정

최소 비밀번호 길이를 8자 이상으로 설정

U-47

패스워드 최대 사용 기간 설정

주기적으로 비밀번호를 변경할 수 있도록 최대 사용 기간을 적절하게 제한

U-48

패스워드 최소 사용기간 설정

비밀번호를 변경할 수 있기 전까지 경과해야 하는 최소 날짜를 설정

U-49

불필요한 계정 제거

시스템 계정 중 불필요한 계정이 존재하는지 점검

다음 기본 계정 삭제: adm, lp, sync, shutdown, halt, news, uucp, operator, games, gopher, nfsnobody, squid

U-50

관리자 그룹에 최소한의 계정 포함

시스템 관리자 그룹에 최소한의 계정만 존재하는지 점검

U-51

계정이 존재하지 않는 GID 금지

그룹 설정 파일에 불필요한 그룹(계정이 존재하지 않고 시스템 관리나 운용에 사용되지 않는 그룹, 계정이 존재하고 시스템 관리나 운용에 사용되지 않는 그룹 등)이 존재하는지 점검

U-52

동일한 UID 금지

UID가 동일한 사용자 계정 존재 여부 점검

U-53

사용자 shell 점검

로그인이 필요하지 않은 계정에 /bin/false 쉘을 부여해 로그인 제한

U-54

Session Timeout 설정

일정 시간 동안 어떠한 이벤트도 발생하지 않으면 연결을 강제 종료하도록 Session Timeout 설정

U-55

hosts.lpd 파일 소유자 및 권한 설정

중요 시스템 파일의 소유자 및 권한 설정

/etc/hosts.lpd: 로컬 프린트 서비스를 사용할 수 있는 허가된 호스트(사용자) 정보를 담고 있는 파일

U-56

UMASK 설정 관리

UMASK 값이 적절한지 점검

UMASK 값: 시스템 내에서 사용자가 새로 생성하는 파일의 접근 권한을 지정

U-57

홈 디렉터리 소유자 및 권한 설정

사용자 홈 디렉터리의 소유자 이외의 일반 사용자들이 해당 홈 디렉터리를 수정할 수 없도록 제한

U-58

홈 디렉터리로 지정한 디렉터리의 존재 관리

사용자 계정과 홈 디렉터리의 일치 여부를 점검

U-59

숨겨진 파일 및 디렉터리 검색 및 제거

숨김 파일 및 디렉터리 내 의심스러운 파일 존재 여부 점검

U-60

ssh 원격접속 허용

원격 접속 시 사용자와 시스템과의 모든 통신을 암호화하는 SSH (Secure Shell) 서비스 사용

SSH 사용 시 사용 포트를 기본 포트(TCP/22번 포트)에서 변경하는 것을 권장

U-61

ftp 서비스 확인

FTP 서비스 활성화 여부 점검

U-62

ftp 계정 shell 제한

FTP 서비스 설치 시 기본으로 생성되는 ftp 계정에 /bin/false 쉘을 부여하여 해당 계정으로의 시스템 접근을 차단

U-63

Ftpusers 파일 소유자 및 권한 설정

중요 파일의 소유자 및 권한 설정

ftpusers 파일: FTP 접근제어 설정 파일로써 해당 파일에 등록된 계정은 FTP에 접속할 수 없음

U-64

Ftpusers 파일 설정

FTP 서비스 비활성화 권장

불가피하게 FTP 서비스를 사용하는 경우, ftpusers 파일을 설정하여 root 계정의 직접 접속 제한

ftpusers 파일: FTP 접근제어 설정 파일로써 해당 파일에 등록된 계정은 FTP에 접속할 수 없음

U-65

at 파일 소유자 및 권한 설정

중요 시스템 파일의 소유자 및 권한 설정

/etc/at.deny, /etc/at.allow: 등록한 사용자의 at 명령어 사용을 허용 또는 차단하는 파일

U-66

SNMP 서비스 구동 점검

불필요한 SNMP 서비스 사용 중지

U-67

SNMP 서비스 커뮤니티스트링의 복잡성 설정

커뮤니티 스트링을 유추할 수 없는 값으로 변경

커뮤니티 스트링: SNMP에서 인증 과정에 사용하는 일종의 비밀번호

U-68

로그온 시 경고 메시지 제공

서버 및 서비스에 로그온 시 불필요한 정보 차단 설정 및 불법적인 사용에 대한 경고 메시지 출력

U-69

NFS설정파일접근권한

NFS 접근 제어 설정 파일을 일반 사용자들이 수정할 수 없도록 제한하고 있는지 점검

U-70

expn, vrfy 명령어 제한

불가피하게 SMTP를 사용하는 경우, Sendmail Abuse를 방지하기 위해 Sendmail의 기본 서비스인 VRFY, EXPN을 사용할 수 없도록 제한

VRFY: SMTP 클라이언트가 SMTP 서버에 특정 아이디에 대한 메일이 있는지 검증하기 위해 보내는 명령어

EXPN(메일링 리스트 확장): 메일 전송 시 포워딩하기 위한 명령어

U-71

Apache 웹 서비스 정보 숨김

웹 페이지의 오류 발생 시 지나치게 자세한 메시지가 노출되지 않도록 설정

U-72

정책에 따른 시스템 로깅 설정

내부 정책에 따른 시스템 로깅 설정 적용 여부 점검

Linux 점검 항목(금융보안원 전자금융기반시설 기준)

금융보안원 전자금융기반시설 기준의 Linux 보안 설정 점검 항목과 그에 대한 설명은 다음과 같습니다.

Check ID	점검 항목	점검 항목 설명
SRV-001	SNMP 서비스 커뮤니티스트링의 복잡성 설정	SNMP(Simple Network Management Protocol) 서비스는 TCP/IP 기반 네트워크상의 각 호스트에서 정기적으로 여러 정보를 자동으로 수집하여 네트워크 관리를 하기 위한 프로토콜. SNMP는 MIB라는 정보를 주고받기 위해 인증 과정에서 일종의 비밀번호인 Community String을 사용. Community String은 Default로 public, private로 설정된 경우가 많으며, 이를 변경하지 않으면 이 String을 악용하여 시스템의 주요 정보 및 설정을 파악할 수 있는 취약점이 있음. Community String을 유추할 수 없는 값으로 변경해야 함
SRV-004	불필요한 SMTP 서비스 실행	SMTP 서비스는 인터넷에서 메일을 전송하는 SMTP 프로토콜을 기반으로 하는 서비스. 악의적인 공격자는 SMTP 서비스를 이용하여 SMTP 서비스를 실행 중인 컴퓨터의 정보를 획득하거나 다양한 공격이 가능하므로, 불필요한 SMTP 서비스가 가동되는지 점검해야 함
SRV-005	expn, vrfy 명령어 제한	"SMTP (Simple Mail Transfer Protocol)는 인터넷상에서 전자우편(E-mail)을 전송할 때 이용하게 되는 표준 통신 규약. 그러나 많은 취약성을 갖고 있어 서비스를 위해 꼭 필요한 경우가 아니라면, 사용하지 않는 것을 권장. 반드시 필요한 경우라면 Sendmail Abuse를 방지하기 위해 Sendmail의 기본적인 서비스인 VRFY, EXPN를 사용할 수 없도록 제한해는 것을 권고함. VRFY: SMTP 클라이언트가 SMTP 서버에 특정 아이디에 대한 메일이 있는지 검증하기 위해 보내는 명령어를 말함. EXPN(메일링 리스트 확장): 메일 전송 시 포워딩하기 위한 명령어를 말함."
SRV-006	SMTP 서비스 로그 수준 설정 미흡	Sendmail은 널리 사용되는 MTA (Mail Transfer Agent)로써 유닉스에 기본적으로 포함되어 있는 서비스. 서비스 가용성 확보 및 지속적인 보안 취약점에 대한 모니터링 해야 함. Sendmail의 loglevel은 서비스 운영상의 이벤트에 대한 로그를 남기는 구분을 위하여 loglevel 설정의 적절성을 점검해야 함
SRV-007	Sendmail 버전 점검	Sendmail 서비스의 경우, 대부분의 버전에서 많은 취약점이 보고되고 있음. 서비스에 불필요할 경우 사용하지 않은 것을 권장하며, 사용이 필요하다면 최신 버전을 사용하는 것을 권장함
SRV-008	SMTP 서비스의 DoS 방지 기능 미설정	네트워크 회선 용량 및 서버 처리 용량 초과로 인한 메일 서비스 거부 및 시스템 다운을 방지하기 위해 보안 설정의 적정성 여부를 점검해야 함
SRV-009	스팸 메일 릴레이 제한	SMTP (Simple Mail Transfer Protocol)는 인터넷 상에서 전자우편을 전송할 때 이용하는 표준 통신규약. SMTP 서버를 통해 전자우편을 발신하는 서비스를 제공해야 한다면 적절한 보안 설정이 필요함. 릴레이 기능을 제한하지 않으면 악의적인 목적의 스팸 메일 서버로 도용되거나 DoS 공격의 대상이 될 위험이 있음.
SRV-010	일반 사용자의 Sendmail 실행 방지	SMTP 서비스 사용시 q 옵션을 사용하면, sendmail 설정을 임의로 변경하거나 메일큐를 강제로 drop 할 수 있음. 그러므로 일반 사용자는 q 옵션을 사용할 수 없도록 제한해야 함
SRV-011	Ftpusers 파일 설정	FTP 서비스는 아이디 및 패스워드가 암호화되지 않은 채로 전송되어 간단한 스니퍼에 의해서도 아이디 및 패스워드가 노출될 수 있음. 반드시 필요한 경우를 제외하고는 FTP 서비스 사용하지 않는 것을 권장함. 불가피하게 FTP 서비스를 사용해야 하는 경우, root 계정의 직접 접속을 제한하여 root 계정의 패스워드 정보가 노출되지 않도록 조치해야 함.
SRV-012	.netrc 파일 내 호스트 정보 노출	.netrc 파일은 ftp에서 자동으로 파일 송/수신을 위해 사용. .netrc 파일에는 FTP 접근 IP와 비밀번호를 평문으로 보관하도록 되어 있어 보안에 취약. . 적절한 권한 설정이 되어 있는지 점검이 필요함
SRV-013	Anonymous FTP 비활성화	실행중인 FTP 서비스에 익명 FTP 접속이 허용되고 있는지 확인하고, 접속을 차단하는 것을 권고함.
SRV-014_1	NFS 접근 통제	NFS 사용 시 허가된 사용자만 접근할 수 있도록 제한해야 함. 비인가자의 접근을 차단하기 위하여 everyone 공유는 반드시 제한해야 함
SRV-014_2	NFS 설정 파일 접근 권한	NFS (Network File System)는 원격 컴퓨터의 파일 시스템을 로컬 시스템에 마운트하여 마치 로컬 파일 시스템처럼 사용할 수 있는 서비스. NFS 접근 제어 설정 파일을 관리자가 아닌 일반 사용자들도 접근 및 변경이 가능하면, 이를 통해 인가되지 않은 사용자를 등록하고 파일 시스템을 마운트하여 불법적인 변조를 시도할 수 있음. 따라서 NFS 접근 제어 설정 파일을 일반 사용자가 수정할 수 없도록 제한하고 있는지 점검해야 함
SRV-015	NFS 서비스 비활성화	NFS (Network File System)는 원격 컴퓨터의 파일 시스템을 로컬 시스템에 마운트하여 사용할 수 있는 서비스. 비인가 서비스에서 악용하여 NFS 마운트로 시스템 접근 및 변조 등의 위험이 높아 사용 금지. 불가피하게 사용해야 할 경우, 25번 통제 항목에 따라 관리되어야 함
SRV-016	RPC 서비스 확인	"RPC (Remote Procedure Call)은 별도의 원격 제어를 위한 코딩 없이 다른 주소 공간에서 함수나 프로시져를 실행할 수 있는 프로세스 간의 프로토콜. 일부 RPC 서비스는 원격 실행 등의 취약점을 가지고 있어서 사용하지 않는 것을 권고함. 사용 금지 권고 RPC 서비스: rpc.cmsd, rpc.ttdbserverd, sadmind, rusersd, walld, sprayd, rstatd, rpc.nisd, rexd, rpc.pcnfsd, rpc.statd, rpc.ypupdated, rpc.rquotad, kcms_server, cachefsd"
SRV-022	계정의 비밀번호 미설정, 빈 암호 사용 관리 미흡	각 계정의 비밀번호가 설정되어 있지 않은 경우, 공격자에 의해 계정이 도용될 위협이 존재하므로 적절한 비밀번호가 설정되어 있는지 점검해야 함. 로그인이 필요한 모든 계정에 대하여 반드시 적절한 수준의 비밀번호를 설정하는 것을 권고함.
SRV-025	$HOME/.rhosts, hosts.equiv 사용 금지	rlogin, rsh, rexec 등과 같은 'r' command는 인증 없이 관리자의 원격 접속이 가능한 명령어. 적절한 보안 설정이 적용되지 않은 경우, 원격지의 공격자가 관리자 권한으로 시스템에 임의의 명령을 실행시킬 수 있는 위험이 있음. 보안상 매우 취약한 구조이므로 사용이 불가피한 경우에는 권한을 제한해야 함. /etc/hosts.equiv 파일 및 .rhosts 파일 사용자를 root 또는, 해당 계정으로 설정한 뒤 권한을 600으로 설정하고 해당 파일 설정에 ‘+’ 설정(모든 호스트 허용)이 포함되지 않도록 제한해야 함.
SRV-026	root 계정 원격 접속 제한	"root 계정의 원격 접속 차단 설정 여부를 점검하여 외부 비인가자의 root 계정 접근 시도를 원천적으로 차단하는지 점검. /etc/securetty: Telnet 접속 시 root 접근 제한 설정 파일 “/etc/securetty” 파일 내 *pts/x 관련 설정이 존재하는 경우 PAM 모듈 설정과 관계없이 root 계정 접속을 허용하므로 반드시 "securetty" 파일에서 pts/x 관련 설정 제거 필요 tty (terminal-teletype): 서버와 연결된 모니터, 키보드 등을 통해 사용자가 콘솔로 직접 로그인함 pts (pseudo-terminal, 가상터미널): Telnet, SSH, 터미널 등을 이용하여 접속함"
SRV-027	접속 IP 및 포트 제한	"제한된 호스트만이 서비스를 사용할수 있도록 설정하여 외부 공격을 사전에 방지해야 함. 기본적으로 모든 호스트에 대하여 deny 설정을 하고, 서비스에 반드시 필요한 호스트만을 allow 설정에 추가해야 함. 관련 설정 파일: hosts.allow, hosts.deny"
SRV-028	Session Timeout 설정	Session timeout 값이 설정되지 않은 경우, 유휴 시간 내에 비인가자의 시스템 접근으로 인한 보안 위협이 있음. 사용자 쉘에 대한 환경 설정 파일에서 Session timeout 설정해야 함.
SRV-034	automountd 제거	automountd는 클라이언트에서 자동으로 서버에 마운트를 시키고 일정 시간 사용하지 않으면 unmount 시켜주는 기능을 제공. 로컬 공격자가 automountd를 이용하여 RPC (Remote Procedure Call)를 보낼 수 있는 취약점이 존재하기 때문에 사용하는 것을 금지함
SRV-035_1	tftp, talk 서비스 비활성화	tftp, talk, ntalk 서비스는 보안상 취약하므로 사용하지 않는 것을 권장함
SRV-035_2	finger 서비스 비활성화	Finger (사용자 정보 확인 서비스)를 통해서 네트워크 외부에서 해당 시스템에 등록된 사용자 정보를 확인할 수 있음. 비인가자에게 사용자 정보가 조회되는 것을 방지하기 위해서 서비스의 사용 금지를 권고함
SRV-035_3	r 계열 서비스 비활성화	rlogin, rsh, rexec 등과 같은 'r' command는 인증 없이 관리자의 원격 접속이 가능한 명령어. 적절한 보안 설정이 적용되지 않은 경우, 원격지의 공격자가 관리자 권한으로 시스템에 임의의 명령을 실행시킬 수 있는 위험이 있음. 서비스에 사용하지 않을 경우 비활성화하는 것을 권고함.
SRV-035_4	Dos 공격에 취약한 서비스 비활성화	"DoS 공격 등에 취약한 서비스를 사용하지 않는다면 비활성화 하는 것을 권고함. 사용금지 권고 대상 서비스: echo, discard, daytime, chargen"
SRV-035_5	NIS, NIS+ 점검	NIS (Network Information Service)는 ypserv라고 불리우는 RPC 서비스로서 portmap 및 다른 관련 서비스들과 함께 사용되어 동일한 도메인에 위치한 컴퓨터에 사용자명, 암호와 다른 기밀 정보를 배포하는 기능. 네트워크상에서 기밀 정보를 암호화되지 않은 상태에서 전달하기 때문에 보안상 취약. NIS 서비스는 가급적 사용하지 않아야 하며, 필요할 경우에는 NIS+ 를 사용하는 것을 권장함
SRV-037	ftp 서비스 확인	FTP 서비스는 아이디 및 패스워드가 암호화되지 않은 채로 전송되어 스니핑이 가능. 가급적 FTP를 사용하지 않는 것을 권고함.
SRV-040	웹 서비스 디렉터리 리스팅 제거	디렉터리 검색(Directory Listing) 기능은 디렉터리에 기본 문서가 존재하지 않을 경우, 디렉터리 내 모든 파일의 목록을 보여주는 기능. 디렉터리 검색 기능이 활성화되어 있으면 외부에서 디렉터리 내의 모든 파일에 대한 접근이 가능하여, WEB 서버 구조 노출뿐만 아니라 백업 파일이나 소스 파일 등 공개되어서는 안 되는 중요 파일 노출될 위험이 있음
SRV-042	웹 서비스 상위 디렉터리 접근 금지	AllowOverride 옵션에서 상위 디렉터리로 이동하는 것을 제한하는지 점검. ".."와 같은 문자를 이용하여 상위 디렉터리로 이동할 수 있으면, 접근하면 안되는 경로까지 공격자에게 노출될 위험이 있음
SRV-043	웹 서비스 불필요한 파일 제거	"Apache 설치 시 기본으로 생성되는 불필요한 파일을 삭제하였는지 점검. 기본 생성 파일: (/[Apache_home]/htdocs/manual, /[Apache_home]/manual)"
SRV-044	웹 서비스 파일 업로드 및 다운로드 제한	기반 시설 특성상 원칙적으로 파일 업로드 및 다운로드를 금지하고 있지만, 불가피하게 필요시 용량 크기를 제한해야 함. 서버의 과부하 예방 및 자원을 효율적으로 사용하기 위하여, 업로드 및 다운로드 파일이 5M를 넘지 않도록 설정하는 것을 권고함
SRV-045	웹 서비스 웹 프로세스 권한 제한	Apache 데몬이 root 권한으로 운영될 경우 Web Application의 취약점 등으로 권한이 탈취 당하였을 때, 공격자가 root 권한을 획득할 수 있음. 따라서 Apache는 root 권한이 아닌 별도의 권한으로 실행되어야 함
SRV-046	웹 서비스 영역의 분리	Apache 설치시 기본 설정으로 htdocs 디렉터리를 DocumentRoot로 사용.htdocs 디렉터리는 공개되어서는 안 될(또는, 공개될 필요가 없는) Apache 문서뿐만 아니라 공격에 이용될 수 있는 시스템 관련 정보도 포함하고 있으로 별도의 경로로 변경하는 것을 권고함
SRV-047	웹 서비스 링크 사용 금지	시스템의 root 디렉터리(/)에 심볼릭 링크(Symbolic link)를 걸게 되면, 웹 서버 구동 사용자 권한(nobody)으로 모든 파일 시스템의 파일에 접근할 수 있어 위험. 잘못된 심볼릭 링크 때문에 서버의 중요 정보가 노출될 수 있으므로, 심볼릭 링크의 사용을 제한해야 함
SRV-048	불필요한 웹 서비스 실행	"시스템 구동 시 불필요한 서비스가 디폴트로 설치되어 실행되면, 잠재적인 보안 취약점이 발생할 수 있음. 실제 필요하지 않은 서비스는 시스템의 성능 저하를 야기하거나, 공격에 악용될 수 있으므로 주기적으로 점검해야 함. (평가 예시) - Tmax WebtoB 웹 서버에 대한 취약점(OpenSSL 등)들이 다양하게 보고되고 있으므로, 해당 서비스의 이용 여부를 점검"
SRV-060	웹 서비스 기본 계정(아이디 또는 비밀번호) 미변경	Tomcat은 Apache 웹 서버에 JSP와 자바 서블릿을 실행시킬 수 있는 기능을 제공하는 자바 어플리케이션 서버. Tomcat이 설치될 때 기본적으로 설정되는 계정을 변경하지 않을 경우, 비인가자에 대한 시스템 접근이 위험이 있음. 기본 계정에 대하여 적절한 보안설정이 되었는지 점검해야 함
SRV-062	DNS 서비스 정보 노출	DNS 서버 종류 및 버전 등의 정보가 노출될 경우 공격자가 기타 공격에 활용할 가능성이 있으므로, 적절한 보안 설정이 되었는지 점검해야 함
SRV-063	DNS Recursive Query 설정 미흡	공격자가 Spoofed IP (Victim) 주소로 다량의 DNS 요청을 보내는 공격 위협(DNS Cache Poisoning-DNS 캐쉬에 거짓 정보가 들어가게 하는 공격) 공격 시도가 가능. 이에 대응 가능한 보안 설정의 적절성 여부를 점검해야 함
SRV-064	DNS 보안 버전 패치	BIND (Berkeley Internet Name Domain)는 BSD 기반의 유닉스 시스템을 위해 설계된 DNS 서버와 resolver 라이브러리로 구성되어 있음. 거의 모든 버전에서 다양한 취약점이 보고되어 있어서 가급적 최신 버전을 설치하여 사용하는 것을 권장함
SRV-066	DNS Zone Transfer 설정	DNS Zone Transfer는 Primary Name Server와 Secondary Name Server 간에 Zone 정보를 일관성 있게 유지하기 위하여 사용하는 기능. Zone 정보는 Secondary Name Server로만 전송하도록 제한해야 함. 만약 허가되지 않는 사용자에게 Zone Transfer를 허용할 경우 공격자는 전송받은 Zone 정보를 이용하여 호스트 정보, 시스템 정보, 네트워크 구성 형태 등의 많은 정보를 파악할 수 있게 됨
SRV-069_1	패스워드 복잡성 설정	시스템 정책에 사용자 계정(root 및 일반 계정 모두 해당) 패스워드 복잡성 관련 설정이 되어 있는지 점검
SRV-069_2	패스워드 최소 길이 설정	패스워드의 길이가 짧으면 무작위 대입 공격(Brute Force Attack)이나 패스워드 추측 공격(Password Guessing)에 의해 쉽게 비밀번호가 유출될 수 있음. 패스워드의 최소 길이를 정책적으로 설정하여, 공격에 의해 비밀번호가 유출될 위험을 줄일 수 있음
SRV-069_3	패스워드 최대 사용 기간 설정	패스워드 최대 사용 기간을 설정하지 않은 경우 비인가자의 각종 공격(무작위 대입공격, 사전 대입 공격 등)을 시도할 수 있는 기간의 제한이 없음. 또한 탈취된 패스워드를 이용하여 오랜 시간동안 시스템을 장악할 수 있는 위험이 있음. 주기적으로 패스워드를 변경할 수 있도록 최대 사용기간을 적절하게 제한해야 함
SRV-069_4	패스워드 최소 사용 기간 설정	패스워드 최소 사용 기간을 설정하지 않은 경우, 사용자에게 익숙한 패스워드로 변경 가능. 패스워드의 정기적으로 변경하는 정책의 효과가 크게 저해될 수 있음. 이전 암호를 그대로 재사용하는 것을 방지하기 위해 최근 암호 기억 설정을 함께 적용하여 패스워드를 보호하는 것을 권장함
SRV-070	패스워드 파일 보호	일부 오래된 시스템의 경우 패스워드 정책이 적용되지 않아 /etc/passwd 파일에 평문으로 암호가 저장되는 경우가 있음. 사용자 계정의 비밀번호가 암호화되어 저장하는지 점검
SRV-073	관리자 그룹에 최소한의 계정 포함	시스템 관리자 그룹에 최소한(root 계정과 시스템 관리에 허용된 계정)의 계정만 존재하는지 점검해야 함.
SRV-074	불필요한 계정 제거	"불필요한 계정이 존재하는지 점검하여, 관리되지 않는 계정에 의한 침입을 방지해야 함. 시스템 계정 중 불필요한 계정(퇴직, 전직, 휴직 등)이 있는지 점검해야 함. adm, lp, sync, shutdown, halt, news, uucp, operator, games, gopher, nfsnobody(제외), squid"
SRV-075	유추 가능한 계정 비밀번호 존재	패스워드 설정 시 문자/숫자/특수문자를 모두 포함하여 강력한 패스워드가 설정될 수있도록 암호 복잡성을 설정해야 함. 영/숫자만으로 이루어진 암호는 현재 공개된 패스워드 크랙 유틸리티 및 무작위 공격에 의해 쉽게 유추할 수 될 수 있으므로 회사에서 정한 비밀번호 관리 정책 준수 여부를 점검해야 함
SRV-081_1	cron 파일 소유자 및 권한 설정	root 이외의 일반 사용자가 crontab 명령어를 사용할 수 있을 경우, 고의 또는 실수로 불법적인 예약 파일 실행될 위험이 있음. Cron 관련 파에 인가되지 않은 사용자가 접근할 수 없도록 관리해야 함
SRV-081_2	at 파일 소유자 및 권한 설정	at 데몬(일회성 작업 예약)은 지정한 시간에 어떠한 작업이 실행될 수 있도록 작업 스케줄 관리. /etc/at.allow 파일에 등록된 사용자만이 at 명령을 사용할 수 있으므로 해당 파일에 적절한 권한을 설정해야 함. 만약 at 접근제한 파일의 권한이 잘못되어 있을 경우, 권한을 획득한 사용자 계정을 등록하여 불법적인 예약 파일 실행하는 등의 시스템 피해를 발생할 위험이
SRV-081_3	Crontab 설정 파일 권한 설정 미흡	Crontab은 주기적인 작업이 필요할 때 사용하는 파일. Crontab의 작업 설정 파일의 others 권한에 쓰기 및 읽기 권한이 있는 경우는 파일 내용을 수정하거나 내용을 읽을 수 있음. 중요 정보가 유출될 수 있으므로 관련 파일에 적절할 권한이 부여되어 있는지 점검이 필요함
SRV-082	시스템 주요 디렉터리 권한 설정 미흡	시스템 주요 디렉터리에 대한 권한 설정을 올바르게 하지 않으면, 트로이 목마와 같은 악성 프로그램 설치 및 중요 파일에 대한 변조 가능. 스템 침입에 악용 또는 서비스 거부 공격 가능하므로 시스템 디렉터리 권한의 적절성 여부를 점검해야 함.
SRV-083	시스템 스타트업 스크립트 권한 설정 미흡	시스템 스타트업 스크립트의 소유권 및 권한 설정 오류로 인하여 임의의 공격자가 스크립트의 내용 변경 등을 통해 시스템 침입에 악용 가능성이 있으므로 이에 대한 권한 설정의 적절성 여부를 점검해야 함
SRV-084_1	/etc/passwd 파일 소유자 및 권한 설정	"/etc/passwd" 파일은 사용자의 ID, 패스워드(보안상 ‘x’로 표시), UID, GID, 홈 디렉터리, 쉘 정보를 담고 있는 중요 파일. 관리자(root) 이외의 사용자가 "/etc/passwd" 파일의 수정이 가능할 경우, Shell 변조, 사용자 추가/삭제, 권한 상승 시도 등의 악의적인 행위가 가능하므로 파일의 권한을 적절하게 관리해야 함
SRV-084_2	/etc/shadow 파일 소유자 및 권한 설정	"/etc/shadow" 파일은 시스템에 등록된 모든 계정의 패스워드를 암호화된 형태로 저장 및 관리하고 있는 중요 파일. 해당 파일에 대한 권한 관리가 이루어지지 않을 경우, 계정 및 패스워드 정보가 외부로 노출될 수 있는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고함
SRV-084_3	/etc/hosts 파일 소유자 및 권한 설정	"/etc/hosts" 파일은 IP 주소와 호스트 네임을 매핑하는 데 사용되는 파일. 해당 파일에 대한 권한 관리가 이루어지지 않을 경우, hosts 파일에 악의적인 시스템을 등록하여 DNS 우회한 파밍 공격에 악용될 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고함
SRV-084_4	/etc/(x)inetd.conf 파일 소유자 및 권한 설정	인터넷 슈퍼데몬은 서비스 설정 파일(/etc/(x)inetd.conf)에 등록된 내부 프로그램을 외부 네트워크에서 요청시에 데몬을 실행시켜주는 역할. inetd.conf(xinetd.d)의 접근 권한이 잘못 설정되어 있을 경우, 비인가자가 악의적인 프로그램을 등록하고 root 권한으로 서비스를 실행시켜 기존 서비스에 영향을 줄 수 있는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고함
SRV-084_5	/etc/syslog.conf 파일 소유자 및 권한 설정	"/etc/syslog.conf" 파일은 시스템 운영 중 발생하는 주요 로그 기록을 설정하는 파일. 만약, 해당 파일의 접근 권한이 적절하지 않을 경우, 공격자에 의해 파일이 변조될 수 있음. 침입자의 흔적 또는 시스템 오류 사항 등의 시스템 로그가 정확히 기록되지 않는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 쓰기 권한을 제한하는 것을 권고함
SRV-084_6	/etc/services 파일 소유자 및 권한 설정	"/etc/services" 파일은 서비스 관리를 위해 사용. 일반 사용자에 의해 접근 및 변경이 가능하면, 정상적인 서비스를 제한하거나 허용되지 않은 서비스를 악의적으로 실행시켜 침해 사고를 유발하는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 쓰기 권한을 제한하는 것을 권고함
SRV-084_7 hosts.lpd 파일 소유자 및 권한 설정	비인가자의 임의적인 hosts.lpd 변조를 막기 위해서, hosts.lpd 파일을 삭제하거나 소유자/권한을 관리해야 함
SRV-087	C 컴파일러 존재 및 권한 설정 미흡	공격자가 시스템에 침입 후 공격 코드가 들어있는 소스 파일을 컴파일하여, 실행 파일을 생성하면 시스템 공격(관리자 권한 획득, 서비스 거부 유발 등)에 악용 가능. 시스템에 C 컴파일러 존재 여부 및 이용의 적절성 여부를 점검해야 함.
SRV-091	SUID, SGID, Stick bit 설정 파일 점검	SUID (Set User-ID)와 SGID (Set Group-ID)가 설정된 파일은 (특히, root 소유의 파일인 경우) 특정 명령어를 실행하여 root 권한 획득 및 정상 서비스 장애를 발생시킬 수 있음. root 소유의 SUID 파일의 경우에는 꼭 필요한 파일을 제외하고는 SUID, SGID 속성을 제거하고, 잘못 설정되어 보안 위협이 되고 있는지 주기적인 진단 및 관리가 요구됨. SUID (Set User-ID): 설정된 파일 실행 시, 특정 작업 수행을 위하여 일시적으로 파일 소유자의 권한을 얻게 됨 SGID (Set Group-ID): 설정된 파일 실행 시, 특정 작업 수행을 위하여 일시적으로 파일 소유 그룹의 권한을 얻게 됨
SRV-092_1	홈디렉터리 소유자 및 권한 설정	사용자 홈 디렉터리 내 설정 파일이 비인가자에 의해 변조되면, 정상적인 사용자 서비스가 제한될 위험이 있음. 해당 홈 디렉터리의 소유자 외 일반 사용자들이 해당 홈 디렉터리를 수정할 수 없도록 제한하고 있는지 점검해야 함.
SRV-092_2	홈디렉터리로 지정한 디렉터리의 존재 관리	사용자 홈 디렉터리는 사용자가 shell 로그인 후 작업을 수행하는 디렉터리. 로그인한 사용자 홈 디렉터리에 존재하는 사용자 환경 설정 파일에 의해 사용자 환경이 구성되며, 홈 디렉터리가 올바르지 않을 경우 다음의 보안상 문제가 발생될 수 있음. 1) 홈 디렉터리가 존재하지 않는 경우 - root 계정이 아닌 일반 사용자의 홈 디렉터리가 /로 되어있을 경우 로그인 시 사용자 현재 디렉터리가 /로 로그인 되므로 관리∙보안상 문제가 발생 2) 홈 디렉터리 내에 숨겨진 디렉터리가 존재하는 경우 - 정당하지 못한 사용자가 파일을 숨길 목적으로 만들어 놓은 것일 수 있음 3) 홈 디렉터리 내에 시스템 명령의 이름을 가진 불법적인 실행 파일이 존재하는 경우 - 상대 경로와 시스템 명령을 입력하여 불법적인 파일이 실행되게 함
SRV-093	world writable 파일 점검	시스템 파일과 같은 중요 파일에 world writable 설정이 될 경우, 악의적인 사용자가 해당 파일을 변조할 수 있음. 시스템의 무단 접근 및 장애를 유발할 위험이 있으므로 일반 사용자의 쓰기 권한을 제한해야 함
SRV-094	Crontab 참조 파일 권한 설정 오류	Crontab의 작업 설정 파일의 others 권한에 쓰기 권한이 있는 경우, 파일 내용을 수정하여 악의적인 작업 수행이 가능. Crontab과 관련된 파일의 보안 설정이 적절한지 점검해야 함
SRV-095	파일 및 디렉터리 소유자 설정	소유자가 존재하는 않는 파일 및 디렉터리가 존재하는지 점검하고, 임의의 사용자에 의한 불법적 행위를 사전에 차단하기 위하여 삭제해야 함. 삭제된 소유자의 UID와 동일한 사용자가 해당 파일/디렉터리에 접근 가능하여 정보 노출의 위험이 있음. 해당 위협은 퇴직자 관련 파일이 삭제되지 않거나, 해킹에 의해 악의적인 파일이 생성되었을 가능성 높음
SRV-096	사용자, 시스템 시작 파일 및 환경 파일 소유자 및 권한 설정	홈 디렉터리 내의 사용자 파일 및 사용자별 시스템 시작 파일 등과 같은 환경 변수 파일의 접근 권한 적절하게 제한해야 함. 비인가자가 환경 변수 파일을 변조하여 정상적인 서비스의 장애를 유발할 위험이 있음. 관리자(root) 계정과 해당 사용자를 제외한 모든 사용자의 쓰기 권한을 제한하는 것을 권고함 환경 변수 파일 종류: ".profile", ".kshrc", ".cshrc", ".bashrc", ".bash_profile", ".login"", ".exrc", ".netrc" 등"
SRV-108	로그에 대한 접근통제 및 관리 미흡	시스템 로그 파일의 권한 설정을 올바르게 하지 않으면, 임의의 사용자가 로그 기록(침입 시도 및 침입한 흔적 등의 기록 조작 가능)을 위변조 할 수 있음. 로그 파일 권한 설정의 적절한지 점검해야 함
SRV-109	정책에 따른 시스템 로깅 설정	보안 사고 발생 시 원인 파악 및 각종 침해 사실에 대한 확인을 위해, 내부 정책에 따른 시스템 로깅을 해야 함. 로깅이 되지 않는 경우, 사고에 대한 원인 규명이 어려우며 법적 대응을 위한 충분한 증거를 제공할 수 없음
SRV-115	로그의 정기적 검토 및 보고	정기적인 로그 점검을 통해 안정적인 시스템 상태를 유지하고 있는지 확인. 로그의 검토 및 보고 절차가 없는 경우, 외부 침입 시도에 대한 식별이 누락될 수 있음. 그리고 침입 시도가 의심되는 사례 발견 시 관련 자료를 분석하여 해당 장비에 대한 접근을 차단하는 등의 추가 조치가 어려워질 수 있음
SRV-118	최신 보안 패치 및 벤더 권고사항 적용	주기적인 보안 패치를 통해 시스템이 안전하게 관리되는지 확인. 알려진 취약점을 이용한 공격을 사전에 차단하기 위하여 최신버전의 보안 패치를 적용하는 것을 권고함
SRV-121	root 홈 패스 디렉터리 권한 및 패스 설정	PATH 환경변수에 "."(현재 디렉터리 지칭)가 변수의 앞이나 중간에 포함되어 있다면 일반적인 명령어(예: ls, mv, ps 등)를 실행했을 때, 원래의 명령이 아닌 현재 디렉터리의 파일이 우선적으로 실행됨. 악의적인 사용자에 의해 비정상 파일이 실행될 수 있으로, root 계정의 PATH 환경 변수를 점검
SRV-122	UMASK 설정 관리	UMASK는 파일 및 디렉터리 생성시 기본 퍼미션을 지정해 주는 명령어. UMASK 값을 적절하게 설정하여 신규로 생성되는 파일에 과도한 권한이 부여되지 않도록 해야 함
SRV-127	계정 잠금 임계값 설정	시스템 정책에 사용자 로그인 실패 임계값이 설정되어 있는지 점검. 무작위 대입 공격 등으로 시스템에 로그인 시도에 대한 차단을 위하여 임계값 설정을 하는 것을 권고함
SRV-131	root 계정 su 제한	su 관련 그룹만 su 명령어 사용 권한이 부여되어야 함. su 그룹에 포함되지 않는 일반 사용자의 su 명령 사용을 원천적으로 차단해야 함. 시스템 사용자 계정 그룹 설정 파일(/etc/group)에 su 관련 그룹이 존재하는지 점검하고, 해당 그룹만 su 명령을 사용할 수 있도록 설정되어 있는지 점검해야 함
SRV-133	Cron 서비스 사용 계정 제한 미비	cron은 일정한 시간에 맞추어 정해진 명령을 수행시키는 데몬으로 cron 서비스에 대한 접근 통제가 필요함. 주기적인 명령어 실행으로 침입에 악용되거나 정보가 노출될 위협이 존재할 수 있으므로 cron 파일 내 적절한 계정 설정이 되어 있는지 점검해야 함
SRV-142_1	root 이외의 UID가 '0' 금지	사용자의 계정 정보가 저장된 파일(/etc/passwd)에 root(UID=0) 계정과 동일한 UID(User Identification)를 가진 계정이 있는지 점검. root 계정과 동일한 UID를 가진 계정은 root와 동일한 권한을 가지게 되어 시스템에 중대한 위험을 초래할 수 있음
SRV-142_2	동일한 UID 금지	UNIX 시스템은 모든 사용자 계정에 UID를 부여하여 해당 UID로 사용자 이름, 패스워드, 홈 디렉터리 등과 같은 사용자 정보 관리. 만약 중복된 UID가 존재할 경우, 시스템에서 동일한 사용자로 인식하여 문제가 발생할 수 있음. 공격자에 의한 개인 정보 및 관련 데이터 유출 발생 시에도 감사 추적이 어렵게 되므로, 동일한 UID가 없도록 관리해야 함
SRV-144	/dev에 존재하지 않는 device 파일 점검	디바이스가 존재하지 않거나 이름이 잘못 입력된 경우 시스템은 /dev 디렉터리에 계속해서 심볼릭 링크 파일을 생성하여 에러를 발생시킬 수 있음. 예를 들어 rmt0를 rmto로 잘못 입력한 경우, rmto 파일이 새로 생성되는 것과 같이 디바이스 이름 입력 오류 시 root 파일 시스템이 에러를 일으킬 때까지 /dev 디렉터리에 계속해서 파일을 생성하는 위험이 있음. 실제 존재하지 않는 디바이스를 사전에 찾아 제거해야 함
SRV-147	SNMP 서비스 구동 점검	SNMP (Simple Network Management Protocol) 서비스는 TCP/IP 기반 네트워크상의 각 호스트에서 정기적으로 여러 정보를 자동으로 수집하여 네트워크 관리를 하기 위한 프로토콜. 시스템 상태를 실시간으로 파악하거나 설정하기 위하여 사용. SNMP 서비스로 인하여 시스템의 주요 정보 유출 및 정보의 불법수정이 발생할 수 있으므로 SNMP 서비스를 사용하지 않을 경우 중지시키는 것을 권장
SRV-148	Apache 웹 서비스 정보 숨김	웹 페이지의 오류 발생 시 지나치게 자세한 메시지가 노출되지 않도록 설정해야 함. 에러 페이지, 웹 서버 종류, OS 정보, 사용자 계정 이름 등 웹 서버와 관련된 불필요한 정보가 노출되지 않아야 함. 불필요한 정보가 노출될 경우 해당 정보를 이용하여 시스템의 취약점을 수집하여 공격에 활용한 가능성이 높습니다
SRV-158	ssh 원격 접속 허용	Telnet, FTP 등은 암호화되지 않은 상태로 데이터를 전송하기 때문에 ID/패스워드 및 중요 정보가 외부로 유출될 위험성이 높음. 따라서 원격 접속 시 사용자와 시스템과의 모든 통신을 암호화하는 SSH (Secure Shell) 서비스를 사용할 것을 권장함 SSH 사용시에는 TCP/22번 포트를 기본 포트로 사용하기 때문에 공격자가 기본 포트로 공격을 시도할 수 있으므로 포트를 변경하여 사용하는 것을 권고함
SRV-158_1	불필요한 Telnet 서비스 실행	Telnet 서비스는 Password 인증 방식 사용시 데이터를 평문으로 송수신하기 때문에, 인증 아이디/패스워드가 외부로 노출될 수 있음. Telnet 서비스는 사용하지 않는 것이 바람직하며, 사용 여부를 점검해야 함
SRV-161	Ftpusers 파일 소유자 및 권한 설정	ftpusers 파일은 FTP 접근제어 설정 파일로서 해당 파일에 등록된 계정은 ftp에 접속할 수 없음. 파일에 적절한 권한 설정하여 비인가자가 ftpusers 파일을 수정할 수 없도록 제한해야 함
SRV-163	로그온 시 경고 메시지 제공	비인가자에게 서버에 대한 불필요한 정보를 제공하지 않고, 서버 접속 시 관계자만 접속해야 한다는 경각심을 주기 위해서 경고 메시지 설정이 필요
SRV-164	계정이 존재하지 않는 GID 금지	그룹 설정 파일에 불필요한 그룹(계정이 존재하지 않고 시스템 관리나 운용에 사용되지 않는 그룹, 계정이 존재하고 시스템 관리나 운용에 사용되지 않는 그룹 등)이 존재하는지 점검
SRV-165_1	사용자 shell 점검	OS 설치시에 기본적으로 생성되는 불필요한 계정의 로그인 쉘을 제한해야 함. 일반적으로 로그인이 불필요한 계정(adm, sys, daemon 등)에는 /sbin/nologin 등으로 쉘 설정을 변경해야 함
SRV-165_2	ftp 계정 shell 제한	FTP 서비스 설치 시 기본으로 생성되는 ftp 계정은 로그인이 필요하지 않은 기본 계정으로 쉘을 제한하여 해당 계정으로의 시스템 접근을 차단해야 함. 로그인이 불필요한 기본 계정에 쉘(Shell)을 부여할 경우 공격자에게 해당 계정이 노출되어 시스템 불법 침투가 발생할 위험이 있음
SRV-166	숨겨진 파일 및 디렉터리 검색 및 제거	숨겨진 파일 및 디렉터리 중 의심스러운 내용은 정상 사용자가 아닌 공격자에 의해 생성되었을 가능성이 있음. 숨겨진 파일/디렉터리에 대하여 주기적으로 확인해야 함
SRV-174	불필요한 DNS 서비스 실행	DNS (Domain Name Service)는 도메인 이름과 IP간의 변환을 위한 서비스로, 불필요하게 운영할 경우 잠재적인 보안 취약점으로 인한 공격의 경로가 될 수 있음. 해당 서비스가 업무와 관계없이 활성화되어 있는지 점검해야 함

Check ID

점검 항목

점검 항목 설명

SRV-001

SNMP 서비스 커뮤니티스트링의 복잡성 설정

SNMP(Simple Network Management Protocol) 서비스는 TCP/IP 기반 네트워크상의 각 호스트에서 정기적으로 여러 정보를 자동으로 수집하여 네트워크 관리를 하기 위한 프로토콜. SNMP는 MIB라는 정보를 주고받기 위해 인증 과정에서 일종의 비밀번호인 Community String을 사용. Community String은 Default로 public, private로 설정된 경우가 많으며, 이를 변경하지 않으면 이 String을 악용하여 시스템의 주요 정보 및 설정을 파악할 수 있는 취약점이 있음. Community String을 유추할 수 없는 값으로 변경해야 함

SRV-004

불필요한 SMTP 서비스 실행

SMTP 서비스는 인터넷에서 메일을 전송하는 SMTP 프로토콜을 기반으로 하는 서비스. 악의적인 공격자는 SMTP 서비스를 이용하여 SMTP 서비스를 실행 중인 컴퓨터의 정보를 획득하거나 다양한 공격이 가능하므로, 불필요한 SMTP 서비스가 가동되는지 점검해야 함

SRV-005

expn, vrfy 명령어 제한

"SMTP (Simple Mail Transfer Protocol)는 인터넷상에서 전자우편(E-mail)을 전송할 때 이용하게 되는 표준 통신 규약. 그러나 많은 취약성을 갖고 있어 서비스를 위해 꼭 필요한 경우가 아니라면, 사용하지 않는 것을 권장. 반드시 필요한 경우라면 Sendmail Abuse를 방지하기 위해 Sendmail의 기본적인 서비스인 VRFY, EXPN를 사용할 수 없도록 제한해는 것을 권고함.

*VRFY: SMTP 클라이언트가 SMTP 서버에 특정 아이디에 대한 메일이 있는지 검증하기 위해 보내는 명령어를 말함.
*EXPN(메일링 리스트 확장): 메일 전송 시 포워딩하기 위한 명령어를 말함."

SRV-006

SMTP 서비스 로그 수준 설정 미흡

Sendmail은 널리 사용되는 MTA (Mail Transfer Agent)로써 유닉스에 기본적으로 포함되어 있는 서비스. 서비스 가용성 확보 및 지속적인 보안 취약점에 대한 모니터링 해야 함. Sendmail의 loglevel은 서비스 운영상의 이벤트에 대한 로그를 남기는 구분을 위하여 loglevel 설정의 적절성을 점검해야 함

SRV-007

Sendmail 버전 점검

SRV-008

SMTP 서비스의 DoS 방지 기능 미설정

네트워크 회선 용량 및 서버 처리 용량 초과로 인한 메일 서비스 거부 및 시스템 다운을 방지하기 위해 보안 설정의 적정성 여부를 점검해야 함

SRV-009

스팸 메일 릴레이 제한

SMTP (Simple Mail Transfer Protocol)는 인터넷 상에서 전자우편을 전송할 때 이용하는 표준 통신규약. SMTP 서버를 통해 전자우편을 발신하는 서비스를 제공해야 한다면 적절한 보안 설정이 필요함. 릴레이 기능을 제한하지 않으면 악의적인 목적의 스팸 메일 서버로 도용되거나 DoS 공격의 대상이 될 위험이 있음.

SRV-010

일반 사용자의 Sendmail 실행 방지

SMTP 서비스 사용시 q 옵션을 사용하면, sendmail 설정을 임의로 변경하거나 메일큐를 강제로 drop 할 수 있음. 그러므로 일반 사용자는 q 옵션을 사용할 수 없도록 제한해야 함

SRV-011

Ftpusers 파일 설정

FTP 서비스는 아이디 및 패스워드가 암호화되지 않은 채로 전송되어 간단한 스니퍼에 의해서도 아이디 및 패스워드가 노출될 수 있음. 반드시 필요한 경우를 제외하고는 FTP 서비스 사용하지 않는 것을 권장함. 불가피하게 FTP 서비스를 사용해야 하는 경우, root 계정의 직접 접속을 제한하여 root 계정의 패스워드 정보가 노출되지 않도록 조치해야 함.

SRV-012

.netrc 파일 내 호스트 정보 노출

.netrc 파일은 ftp에서 자동으로 파일 송/수신을 위해 사용. .netrc 파일에는 FTP 접근 IP와 비밀번호를 평문으로 보관하도록 되어 있어 보안에 취약. . 적절한 권한 설정이 되어 있는지 점검이 필요함

SRV-013

Anonymous FTP 비활성화

실행중인 FTP 서비스에 익명 FTP 접속이 허용되고 있는지 확인하고, 접속을 차단하는 것을 권고함.

SRV-014_1

NFS 접근 통제

NFS 사용 시 허가된 사용자만 접근할 수 있도록 제한해야 함. 비인가자의 접근을 차단하기 위하여 everyone 공유는 반드시 제한해야 함

SRV-014_2

NFS 설정 파일 접근 권한

NFS (Network File System)는 원격 컴퓨터의 파일 시스템을 로컬 시스템에 마운트하여 마치 로컬 파일 시스템처럼 사용할 수 있는 서비스.
NFS 접근 제어 설정 파일을 관리자가 아닌 일반 사용자들도 접근 및 변경이 가능하면, 이를 통해 인가되지 않은 사용자를 등록하고 파일 시스템을 마운트하여 불법적인 변조를 시도할 수 있음. 따라서 NFS 접근 제어 설정 파일을 일반 사용자가 수정할 수 없도록 제한하고 있는지 점검해야 함

SRV-015

NFS 서비스 비활성화

SRV-016

RPC 서비스 확인

"RPC (Remote Procedure Call)은 별도의 원격 제어를 위한 코딩 없이 다른 주소 공간에서 함수나 프로시져를 실행할 수 있는 프로세스 간의 프로토콜. 일부 RPC 서비스는 원격 실행 등의 취약점을 가지고 있어서 사용하지 않는 것을 권고함.
사용 금지 권고 RPC 서비스: rpc.cmsd, rpc.ttdbserverd, sadmind, rusersd, walld, sprayd, rstatd, rpc.nisd, rexd, rpc.pcnfsd, rpc.statd, rpc.ypupdated, rpc.rquotad, kcms_server, cachefsd"

SRV-022

계정의 비밀번호 미설정, 빈 암호 사용 관리 미흡

각 계정의 비밀번호가 설정되어 있지 않은 경우, 공격자에 의해 계정이 도용될 위협이 존재하므로 적절한 비밀번호가 설정되어 있는지 점검해야 함. 로그인이 필요한 모든 계정에 대하여 반드시 적절한 수준의 비밀번호를 설정하는 것을 권고함.

SRV-025

$HOME/.rhosts, hosts.equiv 사용 금지

SRV-026

root 계정 원격 접속 제한

"root 계정의 원격 접속 차단 설정 여부를 점검하여 외부 비인가자의 root 계정 접근 시도를 원천적으로 차단하는지 점검.
/etc/securetty: Telnet 접속 시 root 접근 제한 설정 파일
“/etc/securetty” 파일 내 *pts/x 관련 설정이 존재하는 경우 PAM 모듈 설정과 관계없이 root 계정 접속을 허용하므로 반드시 "securetty" 파일에서 pts/x 관련 설정 제거 필요
tty (terminal-teletype): 서버와 연결된 모니터, 키보드 등을 통해 사용자가 콘솔로 직접 로그인함
pts (pseudo-terminal, 가상터미널): Telnet, SSH, 터미널 등을 이용하여 접속함"

SRV-027

접속 IP 및 포트 제한

"제한된 호스트만이 서비스를 사용할수 있도록 설정하여 외부 공격을 사전에 방지해야 함. 기본적으로 모든 호스트에 대하여 deny 설정을 하고, 서비스에 반드시 필요한 호스트만을 allow 설정에 추가해야 함.
관련 설정 파일: hosts.allow, hosts.deny"

SRV-028

Session Timeout 설정

Session timeout 값이 설정되지 않은 경우, 유휴 시간 내에 비인가자의 시스템 접근으로 인한 보안 위협이 있음. 사용자 쉘에 대한 환경 설정 파일에서 Session timeout 설정해야 함.

SRV-034

automountd 제거

automountd는 클라이언트에서 자동으로 서버에 마운트를 시키고 일정 시간 사용하지 않으면 unmount 시켜주는 기능을 제공. 로컬 공격자가 automountd를 이용하여 RPC (Remote Procedure Call)를 보낼 수 있는 취약점이 존재하기 때문에 사용하는 것을 금지함

SRV-035_1

tftp, talk 서비스 비활성화

tftp, talk, ntalk 서비스는 보안상 취약하므로 사용하지 않는 것을 권장함

SRV-035_2

finger 서비스 비활성화

SRV-035_3

r 계열 서비스 비활성화

rlogin, rsh, rexec 등과 같은 'r' command는 인증 없이 관리자의 원격 접속이 가능한 명령어. 적절한 보안 설정이 적용되지 않은 경우, 원격지의 공격자가 관리자 권한으로 시스템에 임의의 명령을 실행시킬 수 있는 위험이 있음. 서비스에 사용하지 않을 경우 비활성화하는 것을 권고함.

SRV-035_4

Dos 공격에 취약한 서비스 비활성화

"DoS 공격 등에 취약한 서비스를 사용하지 않는다면 비활성화 하는 것을 권고함.
사용금지 권고 대상 서비스: echo, discard, daytime, chargen"

SRV-035_5

NIS, NIS+ 점검

NIS (Network Information Service)는 ypserv라고 불리우는 RPC 서비스로서 portmap 및 다른 관련 서비스들과 함께 사용되어 동일한 도메인에 위치한 컴퓨터에 사용자명, 암호와 다른 기밀 정보를 배포하는 기능. 네트워크상에서 기밀 정보를 암호화되지 않은 상태에서 전달하기 때문에 보안상 취약. NIS 서비스는 가급적 사용하지 않아야 하며, 필요할 경우에는 NIS+ 를 사용하는 것을 권장함

SRV-037

ftp 서비스 확인

FTP 서비스는 아이디 및 패스워드가 암호화되지 않은 채로 전송되어 스니핑이 가능. 가급적 FTP를 사용하지 않는 것을 권고함.

SRV-040

웹 서비스 디렉터리 리스팅 제거

디렉터리 검색(Directory Listing) 기능은 디렉터리에 기본 문서가 존재하지 않을 경우, 디렉터리 내 모든 파일의 목록을 보여주는 기능. 디렉터리 검색 기능이 활성화되어 있으면 외부에서 디렉터리 내의 모든 파일에 대한 접근이 가능하여, WEB 서버 구조 노출뿐만 아니라 백업 파일이나 소스 파일 등 공개되어서는 안 되는 중요 파일 노출될 위험이 있음

SRV-042

웹 서비스 상위 디렉터리 접근 금지

AllowOverride 옵션에서 상위 디렉터리로 이동하는 것을 제한하는지 점검. ".."와 같은 문자를 이용하여 상위 디렉터리로 이동할 수 있으면, 접근하면 안되는 경로까지 공격자에게 노출될 위험이 있음

SRV-043

웹 서비스 불필요한 파일 제거

"Apache 설치 시 기본으로 생성되는 불필요한 파일을 삭제하였는지 점검.
기본 생성 파일: (/[Apache_home]/htdocs/manual, /[Apache_home]/manual)"

SRV-044

웹 서비스 파일 업로드 및 다운로드 제한

기반 시설 특성상 원칙적으로 파일 업로드 및 다운로드를 금지하고 있지만, 불가피하게 필요시 용량 크기를 제한해야 함. 서버의 과부하 예방 및 자원을 효율적으로 사용하기 위하여, 업로드 및 다운로드 파일이 5M를 넘지 않도록 설정하는 것을 권고함

SRV-045

웹 서비스 웹 프로세스 권한 제한

Apache 데몬이 root 권한으로 운영될 경우 Web Application의 취약점 등으로 권한이 탈취 당하였을 때, 공격자가 root 권한을 획득할 수 있음. 따라서 Apache는 root 권한이 아닌 별도의 권한으로 실행되어야 함

SRV-046

웹 서비스 영역의 분리

Apache 설치시 기본 설정으로 htdocs 디렉터리를 DocumentRoot로 사용.htdocs 디렉터리는 공개되어서는 안 될(또는, 공개될 필요가 없는) Apache 문서뿐만 아니라 공격에 이용될 수 있는 시스템 관련 정보도 포함하고 있으로 별도의 경로로 변경하는 것을 권고함

SRV-047

웹 서비스 링크 사용 금지

시스템의 root 디렉터리(/)에 심볼릭 링크(Symbolic link)를 걸게 되면, 웹 서버 구동 사용자 권한(nobody)으로 모든 파일 시스템의 파일에 접근할 수 있어 위험. 잘못된 심볼릭 링크 때문에 서버의 중요 정보가 노출될 수 있으므로, 심볼릭 링크의 사용을 제한해야 함

SRV-048

불필요한 웹 서비스 실행

"시스템 구동 시 불필요한 서비스가 디폴트로 설치되어 실행되면, 잠재적인 보안 취약점이 발생할 수 있음. 실제 필요하지 않은 서비스는 시스템의 성능 저하를 야기하거나, 공격에 악용될 수 있으므로 주기적으로 점검해야 함.
(평가 예시)
- Tmax WebtoB 웹 서버에 대한 취약점(OpenSSL 등)들이 다양하게 보고되고 있으므로, 해당 서비스의 이용 여부를 점검"

SRV-060

웹 서비스 기본 계정(아이디 또는 비밀번호) 미변경

Tomcat은 Apache 웹 서버에 JSP와 자바 서블릿을 실행시킬 수 있는 기능을 제공하는 자바 어플리케이션 서버. Tomcat이 설치될 때 기본적으로 설정되는 계정을 변경하지 않을 경우, 비인가자에 대한 시스템 접근이 위험이 있음. 기본 계정에 대하여 적절한 보안설정이 되었는지 점검해야 함

SRV-062

DNS 서비스 정보 노출

DNS 서버 종류 및 버전 등의 정보가 노출될 경우 공격자가 기타 공격에 활용할 가능성이 있으므로, 적절한 보안 설정이 되었는지 점검해야 함

SRV-063

DNS Recursive Query 설정 미흡

공격자가 Spoofed IP (Victim) 주소로 다량의 DNS 요청을 보내는 공격 위협(DNS Cache Poisoning-DNS 캐쉬에 거짓 정보가 들어가게 하는 공격) 공격 시도가 가능. 이에 대응 가능한 보안 설정의 적절성 여부를 점검해야 함

SRV-064

DNS 보안 버전 패치

SRV-066

DNS Zone Transfer 설정

SRV-069_1

패스워드 복잡성 설정

시스템 정책에 사용자 계정(root 및 일반 계정 모두 해당) 패스워드 복잡성 관련 설정이 되어 있는지 점검

SRV-069_2

패스워드 최소 길이 설정

패스워드의 길이가 짧으면 무작위 대입 공격(Brute Force Attack)이나 패스워드 추측 공격(Password Guessing)에 의해 쉽게 비밀번호가 유출될 수 있음. 패스워드의 최소 길이를 정책적으로 설정하여, 공격에 의해 비밀번호가 유출될 위험을 줄일 수 있음

SRV-069_3

패스워드 최대 사용 기간 설정

SRV-069_4

패스워드 최소 사용 기간 설정

패스워드 최소 사용 기간을 설정하지 않은 경우, 사용자에게 익숙한 패스워드로 변경 가능. 패스워드의 정기적으로 변경하는 정책의 효과가 크게 저해될 수 있음. 이전 암호를 그대로 재사용하는 것을 방지하기 위해 최근 암호 기억 설정을 함께 적용하여 패스워드를 보호하는 것을 권장함

SRV-070

패스워드 파일 보호

SRV-073

관리자 그룹에 최소한의 계정 포함

시스템 관리자 그룹에 최소한(root 계정과 시스템 관리에 허용된 계정)의 계정만 존재하는지 점검해야 함.

SRV-074

불필요한 계정 제거

"불필요한 계정이 존재하는지 점검하여, 관리되지 않는 계정에 의한 침입을 방지해야 함. 시스템 계정 중 불필요한 계정(퇴직, 전직, 휴직 등)이 있는지 점검해야 함.

adm, lp, sync, shutdown, halt, news, uucp, operator, games, gopher, nfsnobody(제외), squid"

SRV-075

유추 가능한 계정 비밀번호 존재

패스워드 설정 시 문자/숫자/특수문자를 모두 포함하여 강력한 패스워드가 설정될 수있도록 암호 복잡성을 설정해야 함. 영/숫자만으로 이루어진 암호는 현재 공개된 패스워드 크랙 유틸리티 및 무작위 공격에 의해 쉽게 유추할 수 될 수 있으므로 회사에서 정한 비밀번호 관리 정책 준수 여부를 점검해야 함

SRV-081_1

cron 파일 소유자 및 권한 설정

SRV-081_2

at 파일 소유자 및 권한 설정

at 데몬(일회성 작업 예약)은 지정한 시간에 어떠한 작업이 실행될 수 있도록 작업 스케줄 관리. /etc/at.allow 파일에 등록된 사용자만이 at 명령을 사용할 수 있으므로 해당 파일에 적절한 권한을 설정해야 함. 만약 at 접근제한 파일의 권한이 잘못되어 있을 경우, 권한을 획득한 사용자 계정을 등록하여 불법적인 예약 파일 실행하는 등의 시스템 피해를 발생할 위험이

SRV-081_3

Crontab 설정 파일 권한 설정 미흡

Crontab은 주기적인 작업이 필요할 때 사용하는 파일. Crontab의 작업 설정 파일의 others 권한에 쓰기 및 읽기 권한이 있는 경우는 파일 내용을 수정하거나 내용을 읽을 수 있음. 중요 정보가 유출될 수 있으므로 관련 파일에 적절할 권한이 부여되어 있는지 점검이 필요함

SRV-082

시스템 주요 디렉터리 권한 설정 미흡

시스템 주요 디렉터리에 대한 권한 설정을 올바르게 하지 않으면, 트로이 목마와 같은 악성 프로그램 설치 및 중요 파일에 대한 변조 가능. 스템 침입에 악용 또는 서비스 거부 공격 가능하므로 시스템 디렉터리 권한의 적절성 여부를 점검해야 함.

SRV-083

시스템 스타트업 스크립트 권한 설정 미흡

시스템 스타트업 스크립트의 소유권 및 권한 설정 오류로 인하여 임의의 공격자가 스크립트의 내용 변경 등을 통해 시스템 침입에 악용 가능성이 있으므로 이에 대한 권한 설정의 적절성 여부를 점검해야 함

SRV-084_1

/etc/passwd 파일 소유자 및 권한 설정

SRV-084_2

/etc/shadow 파일 소유자 및 권한 설정

"/etc/shadow" 파일은 시스템에 등록된 모든 계정의 패스워드를 암호화된 형태로 저장 및 관리하고 있는 중요 파일. 해당 파일에 대한 권한 관리가 이루어지지 않을 경우, 계정 및 패스워드 정보가 외부로 노출될 수 있는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고함

SRV-084_3

/etc/hosts 파일 소유자 및 권한 설정

"/etc/hosts" 파일은 IP 주소와 호스트 네임을 매핑하는 데 사용되는 파일. 해당 파일에 대한 권한 관리가 이루어지지 않을 경우, hosts 파일에 악의적인 시스템을 등록하여 DNS 우회한 파밍 공격에 악용될 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고함

SRV-084_4

/etc/(x)inetd.conf 파일 소유자 및 권한 설정

인터넷 슈퍼데몬은 서비스 설정 파일(/etc/(x)inetd.conf)에 등록된 내부 프로그램을 외부 네트워크에서 요청시에 데몬을 실행시켜주는 역할. inetd.conf(xinetd.d)의 접근 권한이 잘못 설정되어 있을 경우, 비인가자가 악의적인 프로그램을 등록하고 root 권한으로 서비스를 실행시켜 기존 서비스에 영향을 줄 수 있는 위험이 있음. 관리자(root) 계정을 제외한 모든 사용자의 접근을 제한하는 것을 권고함

SRV-084_5

/etc/syslog.conf 파일 소유자 및 권한 설정

SRV-084_6

/etc/services 파일 소유자 및 권한 설정

SRV-084_7 hosts.lpd 파일 소유자 및 권한 설정

비인가자의 임의적인 hosts.lpd 변조를 막기 위해서, hosts.lpd 파일을 삭제하거나 소유자/권한을 관리해야 함

SRV-087

C 컴파일러 존재 및 권한 설정 미흡

공격자가 시스템에 침입 후 공격 코드가 들어있는 소스 파일을 컴파일하여, 실행 파일을 생성하면 시스템 공격(관리자 권한 획득, 서비스 거부 유발 등)에 악용 가능. 시스템에 C 컴파일러 존재 여부 및 이용의 적절성 여부를 점검해야 함.

SRV-091

SUID, SGID, Stick bit 설정 파일 점검

SUID (Set User-ID)와 SGID (Set Group-ID)가 설정된 파일은 (특히, root 소유의 파일인 경우) 특정 명령어를 실행하여 root 권한 획득 및 정상 서비스 장애를 발생시킬 수 있음. root 소유의 SUID 파일의 경우에는 꼭 필요한 파일을 제외하고는 SUID, SGID 속성을 제거하고, 잘못 설정되어 보안 위협이 되고 있는지 주기적인 진단 및 관리가 요구됨.

*SUID (Set User-ID): 설정된 파일 실행 시, 특정 작업 수행을 위하여 일시적으로 파일 소유자의 권한을 얻게 됨
*SGID (Set Group-ID): 설정된 파일 실행 시, 특정 작업 수행을 위하여 일시적으로 파일 소유 그룹의 권한을 얻게 됨

SRV-092_1

홈디렉터리 소유자 및 권한 설정

사용자 홈 디렉터리 내 설정 파일이 비인가자에 의해 변조되면, 정상적인 사용자 서비스가 제한될 위험이 있음. 해당 홈 디렉터리의 소유자 외 일반 사용자들이 해당 홈 디렉터리를 수정할 수 없도록 제한하고 있는지 점검해야 함.

SRV-092_2

홈디렉터리로 지정한 디렉터리의 존재 관리

사용자 홈 디렉터리는 사용자가 shell 로그인 후 작업을 수행하는 디렉터리. 로그인한 사용자 홈 디렉터리에 존재하는 사용자 환경 설정 파일에 의해 사용자 환경이 구성되며, 홈 디렉터리가 올바르지 않을 경우 다음의 보안상 문제가 발생될 수 있음.
1) 홈 디렉터리가 존재하지 않는 경우
- root 계정이 아닌 일반 사용자의 홈 디렉터리가 /로 되어있을 경우 로그인 시 사용자 현재 디렉터리가 /로 로그인 되므로 관리∙보안상 문제가 발생
2) 홈 디렉터리 내에 숨겨진 디렉터리가 존재하는 경우
- 정당하지 못한 사용자가 파일을 숨길 목적으로 만들어 놓은 것일 수 있음
3) 홈 디렉터리 내에 시스템 명령의 이름을 가진 불법적인 실행 파일이 존재하는 경우
- 상대 경로와 시스템 명령을 입력하여 불법적인 파일이 실행되게 함

SRV-093

world writable 파일 점검

SRV-094

Crontab 참조 파일 권한 설정 오류

Crontab의 작업 설정 파일의 others 권한에 쓰기 권한이 있는 경우, 파일 내용을 수정하여 악의적인 작업 수행이 가능. Crontab과 관련된 파일의 보안 설정이 적절한지 점검해야 함

SRV-095

파일 및 디렉터리 소유자 설정

소유자가 존재하는 않는 파일 및 디렉터리가 존재하는지 점검하고, 임의의 사용자에 의한 불법적 행위를 사전에 차단하기 위하여 삭제해야 함. 삭제된 소유자의 UID와 동일한 사용자가 해당 파일/디렉터리에 접근 가능하여 정보 노출의 위험이 있음. 해당 위협은 퇴직자 관련 파일이 삭제되지 않거나, 해킹에 의해 악의적인 파일이 생성되었을 가능성 높음

SRV-096

사용자, 시스템 시작 파일 및 환경 파일 소유자 및 권한 설정

홈 디렉터리 내의 사용자 파일 및 사용자별 시스템 시작 파일 등과 같은 환경 변수 파일의 접근 권한 적절하게 제한해야 함. 비인가자가 환경 변수 파일을 변조하여 정상적인 서비스의 장애를 유발할 위험이 있음. 관리자(root) 계정과 해당 사용자를 제외한 모든 사용자의 쓰기 권한을 제한하는 것을 권고함
환경 변수 파일 종류: ".profile", ".kshrc", ".cshrc", ".bashrc", ".bash_profile", ".login"", ".exrc", ".netrc" 등"

SRV-108

로그에 대한 접근통제 및 관리 미흡

시스템 로그 파일의 권한 설정을 올바르게 하지 않으면, 임의의 사용자가 로그 기록(침입 시도 및 침입한 흔적 등의 기록 조작 가능)을 위변조 할 수 있음. 로그 파일 권한 설정의 적절한지 점검해야 함

SRV-109

정책에 따른 시스템 로깅 설정

보안 사고 발생 시 원인 파악 및 각종 침해 사실에 대한 확인을 위해, 내부 정책에 따른 시스템 로깅을 해야 함. 로깅이 되지 않는 경우, 사고에 대한 원인 규명이 어려우며 법적 대응을 위한 충분한 증거를 제공할 수 없음

SRV-115

로그의 정기적 검토 및 보고

SRV-118

최신 보안 패치 및 벤더 권고사항 적용

주기적인 보안 패치를 통해 시스템이 안전하게 관리되는지 확인. 알려진 취약점을 이용한 공격을 사전에 차단하기 위하여 최신버전의 보안 패치를 적용하는 것을 권고함

SRV-121

root 홈 패스 디렉터리 권한 및 패스 설정

PATH 환경변수에 "."(현재 디렉터리 지칭)가 변수의 앞이나 중간에 포함되어 있다면 일반적인 명령어(예: ls, mv, ps 등)를 실행했을 때, 원래의 명령이 아닌 현재 디렉터리의 파일이 우선적으로 실행됨. 악의적인 사용자에 의해 비정상 파일이 실행될 수 있으로, root 계정의 PATH 환경 변수를 점검

SRV-122

UMASK 설정 관리

UMASK는 파일 및 디렉터리 생성시 기본 퍼미션을 지정해 주는 명령어. UMASK 값을 적절하게 설정하여 신규로 생성되는 파일에 과도한 권한이 부여되지 않도록 해야 함

SRV-127

계정 잠금 임계값 설정

SRV-131

root 계정 su 제한

su 관련 그룹만 su 명령어 사용 권한이 부여되어야 함. su 그룹에 포함되지 않는 일반 사용자의 su 명령 사용을 원천적으로 차단해야 함. 시스템 사용자 계정 그룹 설정 파일(/etc/group)에 su 관련 그룹이 존재하는지 점검하고, 해당 그룹만 su 명령을 사용할 수 있도록 설정되어 있는지 점검해야 함

SRV-133

Cron 서비스 사용 계정 제한 미비

cron은 일정한 시간에 맞추어 정해진 명령을 수행시키는 데몬으로 cron 서비스에 대한 접근 통제가 필요함. 주기적인 명령어 실행으로 침입에 악용되거나 정보가 노출될 위협이 존재할 수 있으므로 cron 파일 내 적절한 계정 설정이 되어 있는지 점검해야 함

SRV-142_1

root 이외의 UID가 '0' 금지

사용자의 계정 정보가 저장된 파일(/etc/passwd)에 root(UID=0) 계정과 동일한 UID(User Identification)를 가진 계정이 있는지 점검. root 계정과 동일한 UID를 가진 계정은 root와 동일한 권한을 가지게 되어 시스템에 중대한 위험을 초래할 수 있음

SRV-142_2

동일한 UID 금지

UNIX 시스템은 모든 사용자 계정에 UID를 부여하여 해당 UID로 사용자 이름, 패스워드, 홈 디렉터리 등과 같은 사용자 정보 관리. 만약 중복된 UID가 존재할 경우, 시스템에서 동일한 사용자로 인식하여 문제가 발생할 수 있음. 공격자에 의한 개인 정보 및 관련 데이터 유출 발생 시에도 감사 추적이 어렵게 되므로, 동일한 UID가 없도록 관리해야 함

SRV-144

/dev에 존재하지 않는 device 파일 점검

디바이스가 존재하지 않거나 이름이 잘못 입력된 경우 시스템은 /dev 디렉터리에 계속해서 심볼릭 링크 파일을 생성하여 에러를 발생시킬 수 있음. 예를 들어 rmt0를 rmto로 잘못 입력한 경우, rmto 파일이 새로 생성되는 것과 같이 디바이스 이름 입력 오류 시 root 파일 시스템이 에러를 일으킬 때까지 /dev 디렉터리에 계속해서 파일을 생성하는 위험이 있음. 실제 존재하지 않는 디바이스를 사전에 찾아 제거해야 함

SRV-147

SNMP 서비스 구동 점검

SNMP (Simple Network Management Protocol) 서비스는 TCP/IP 기반 네트워크상의 각 호스트에서 정기적으로 여러 정보를 자동으로 수집하여 네트워크 관리를 하기 위한 프로토콜. 시스템 상태를 실시간으로 파악하거나 설정하기 위하여 사용. SNMP 서비스로 인하여 시스템의 주요 정보 유출 및 정보의 불법수정이 발생할 수 있으므로 SNMP 서비스를 사용하지 않을 경우 중지시키는 것을 권장

SRV-148

Apache 웹 서비스 정보 숨김

웹 페이지의 오류 발생 시 지나치게 자세한 메시지가 노출되지 않도록 설정해야 함. 에러 페이지, 웹 서버 종류, OS 정보, 사용자 계정 이름 등 웹 서버와 관련된 불필요한 정보가 노출되지 않아야 함. 불필요한 정보가 노출될 경우 해당 정보를 이용하여 시스템의 취약점을 수집하여 공격에 활용한 가능성이 높습니다

SRV-158

ssh 원격 접속 허용

Telnet, FTP 등은 암호화되지 않은 상태로 데이터를 전송하기 때문에 ID/패스워드 및 중요 정보가 외부로 유출될 위험성이 높음. 따라서 원격 접속 시 사용자와 시스템과의 모든 통신을 암호화하는 SSH (Secure Shell) 서비스를 사용할 것을 권장함 SSH 사용시에는 TCP/22번 포트를 기본 포트로 사용하기 때문에 공격자가 기본 포트로 공격을 시도할 수 있으므로 포트를 변경하여 사용하는 것을 권고함

SRV-158_1

불필요한 Telnet 서비스 실행

Telnet 서비스는 Password 인증 방식 사용시 데이터를 평문으로 송수신하기 때문에, 인증 아이디/패스워드가 외부로 노출될 수 있음. Telnet 서비스는 사용하지 않는 것이 바람직하며, 사용 여부를 점검해야 함

SRV-161

Ftpusers 파일 소유자 및 권한 설정

ftpusers 파일은 FTP 접근제어 설정 파일로서 해당 파일에 등록된 계정은 ftp에 접속할 수 없음. 파일에 적절한 권한 설정하여 비인가자가 ftpusers 파일을 수정할 수 없도록 제한해야 함

SRV-163

로그온 시 경고 메시지 제공

비인가자에게 서버에 대한 불필요한 정보를 제공하지 않고, 서버 접속 시 관계자만 접속해야 한다는 경각심을 주기 위해서 경고 메시지 설정이 필요

SRV-164

계정이 존재하지 않는 GID 금지

SRV-165_1

사용자 shell 점검

OS 설치시에 기본적으로 생성되는 불필요한 계정의 로그인 쉘을 제한해야 함. 일반적으로 로그인이 불필요한 계정(adm, sys, daemon 등)에는 /sbin/nologin 등으로 쉘 설정을 변경해야 함

SRV-165_2

ftp 계정 shell 제한

FTP 서비스 설치 시 기본으로 생성되는 ftp 계정은 로그인이 필요하지 않은 기본 계정으로 쉘을 제한하여 해당 계정으로의 시스템 접근을 차단해야 함. 로그인이 불필요한 기본 계정에 쉘(Shell)을 부여할 경우 공격자에게 해당 계정이 노출되어 시스템 불법 침투가 발생할 위험이 있음

SRV-166

숨겨진 파일 및 디렉터리 검색 및 제거

숨겨진 파일 및 디렉터리 중 의심스러운 내용은 정상 사용자가 아닌 공격자에 의해 생성되었을 가능성이 있음. 숨겨진 파일/디렉터리에 대하여 주기적으로 확인해야 함

SRV-174

불필요한 DNS 서비스 실행

DNS (Domain Name Service)는 도메인 이름과 IP간의 변환을 위한 서비스로, 불필요하게 운영할 경우 잠재적인 보안 취약점으로 인한 공격의 경로가 될 수 있음. 해당 서비스가 업무와 관계없이 활성화되어 있는지 점검해야 함

Windows 점검 항목

Windows 보안 설정 점검 항목과 그에 대한 설명은 다음과 같습니다.

Check ID	점검 항목	점검 항목 설명
W-01	Administrator 계정 이름 바꾸기	일반적으로 관리자 계정을 Administrator로 설정한 경우 로그인 시도 실패 횟수의 제한이 없는 점을 이용해 악의적인 사용자가 패스워드 유추 공격을 끊임없이 시도할 수 있음. 공격자가 관리자 패스워드뿐만 아니라 계정이름을 쉽게 유추하지 못하도록 Administrator 계정 이름을 변경해야 함
W-02	Guest 계정 상태	Guest 계정은 시스템 임시 접근을 허용하는 취약한 계정으로써, 사용 제한 필요. 불특정 다수의 접근이 필요할 경우 Guest 계정이 아닌 일반 사용자 계정을 생성해 사용하도록 해야 함
W-03	불필요한 계정 제거	사용하지 않는 계정, 불필요한 계정, 의심스러운 계정이 존재하는지 점검. 관리되지 않은 불필요한 계정은 장기간 패스워드가 변경되지 않아 *무작위 대입 공격(Brute Force Attack)이나 패스워드 추측 공격(Password Guessing)에 의해 계정 정보가 유출될 위험이 있음 무작위 대입 공격(Brute Force Attack):　컴퓨터로 암호를 해독하기 위해 조합 가능한 모든 경우의 수를 다 대입해보는 것 '불필요한 계정'에 대한 정의는 각 고객/서비스 별로 다르므로, Active User에 대해서 고객이 직접 확인 필요 명확하게 파악되지 않은 계정을 삭제하는 경우, 해당 계정과 관련된 업무에 장애 발생 가능성이 존재함
W-04	계정 잠금 임계값 설정	자동화된 방법을 이용하여 공격자는 모든 사용자 계정에 대해 암호조합 공격을 시도할 수 있으므로, 계정 잠금 임계값 설정을 적용하여 사용자 계정이 잠기는 로그온 실패 횟수를 지정해야 함
W-05	패스워드 최대 사용 기간 설정	오랫동안 변경하지 않은 패스워드를 지속적으로 사용하는 경우 암호 추측 공격에 의해 유출될 수 있으므로 사용자가 암호를 자주 바꾸도록 하면 유효한 암호가 공격당하는 위험을 줄일 수 있음. 암호가 유효한 최대 날짜를 설정하여 이 날짜가 경과된 사용자는 암호를 변경하도록 하여 암호 크래킹의 가능성을 낮추고, 불법으로 획득한 암호의 무단 사용을 방지해야 함
W-06	암호 사용 기간 제한없음 제거	'암호 사용 기간 제한 없음'으로 설정을 하면 변경되지 않은 암호로 인하여 패스워드 크랙 공격을 받을 수 있음. 기본적으로 로컬 사용자의 암호를 일정 주기마다 변경하도록 해야 함
W-07	해독 가능한 암호화를 사용하여 암호 저장	인증을 위해 사용자 암호를 알아야 하는 응용 프로그램 프로토콜이 지원될 경우 해독 가능한 방식으로 암호를 저장하기 때문에 암호공격을 이용한 공격자가 노출된 계정을 사용하여 네트워크 리소스에 로그온할 수 있음. '해독 가능한 암호화를 사용하여 암호 저장' 정책이 설정되어 사용자 계정 비밀번호가 해독 가능한 텍스트 형태로 저장되는 것을 차단해야 함
W-08	관리자 그룹에 최소한의 사용자 포함	일반 사용자 권한으로부터 받을 수 있는 시스템 피해를 줄이기 위해서 관리 업무를 위한 계정과 일반 업무를 위한 계정을 분리하여 사용하는 것이 바람직함. 시스템 관리를 위해서는 각각 두 개의 계정을 가져야 하며 관리자 그룹에는 가능한 최소한의 사용자만 포함하도록 해야 함. '불필요한 관리자 계정'에 대한 정의는 각 고객/서비스 별로 다르므로, 고객이 직접 확인 필요 Administrator 그룹에 있는 계정을 삭제하는 경우, 해당 업무에 장애 발생 가능성이 존재함
W-09	공유 권한 및 사용자 그룹 설정	Everyone이 공유계정에 포함되어 있을 경우, 익명 사용자의 접근이 가능하므로 디폴트 공유인 C, Admin 등을 제외한 공유 폴더에 everyone 그룹으로 공유 금지 여부를 점검
W-10	하드디스크 기본 공유 제거	시스템의 기본공유 항목이 제거되지 않게 되면 모든 시스템 자원에 접근할 수 있는 위험한 상황이 발생할 수 있음. 예전에 발생한 Nimda 바이러스도 여러 가지 방법 중에서 이러한 공유기능을 침투의 한 경로로 이용한 것으로 기본공유를 제거해야 함
W-11	불필요한 서비스 제거	시스템에 기본적으로 설치되는 불필요한 취약 서비스들이 제거되지 않은 경우, 해당 서비스의 취약점으로 인한 공격이 가능하며, 네트워크 서비스의 경우 열린 포트를 통한 외부 침입의 가능성이 존재함. 사용자 환경에 필요하지 않은 서비스 및 실행 파일을 제거하거나 비활성 처리하여 이를 통한 악의적인 공격을 차단해야 함 [불필요한 서비스 목록] Alerter(서버에서 클라이언트로 경고 메시지를 보냄) Clipbook(서버 내 Clipbook을 다른 클라이언트와 공유) Messenger(net send 명령어를 이용하여 클라이언트에 메시지 보냄) Simple TCP/IP Services(Echo, Discard, Character Generator, Daytime, Quote of the Day)
W-12	NetBIOS 바인딩 서비스 구동 점검	인터넷에 직접 연결되어 있는 윈도우 시스템에서 NetBIOS TCP/IP 바인딩이 활성화 되어 있을 경우 공격자가 네트워크 공유자원을 사용할 우려가 존재함. NetBIOS와 TCP/IP 바인딩을 제거하여 TCP/IP를 거치게 되는 파일 공유서비스를 제공하지 못하도록 하고, 인터넷에서의 공유자원에 대한 접근 시도를 방지해야 함
W-13	FTP 서비스 구동 점검	기본적인 FTP 서비스는 계정과 패스워드가 암호화되지 않은 채로 전송되므로 간단한 Sniffer에 의해서도 스니핑이 가능하기 때문에 보안이 취약한 FTP 서비스 사용을 지양
W-14	FTP 디렉터리 접근 권한 설정	FTP 홈디렉토리에 과도한 권한(예. Everyone Full Control)이 부여된 경우 임의의 사용자가 쓰기, 수정이 가능하여 정보유출, 파일 위‧변조 등의 위험 존재하므로, FTP 서비스 디렉토리의 접근 권한을 적절하게 설정하여 의도치 않은 정보 유출을 막아야 함
W-15	Anonymouns FTP 금지	FTP 익명 접속이 허용된 경우 핵심 기밀자료나 내부 정보의 불법 유출가능성이 존재하므로, FTP 익명 접속을 제한하여 중요 정보의 불법 유출을 차단해야 함
W-16	FTP 접근 제어 설정	FTP 프로토콜은 로그온에 지정된 자격 증명이나 데이터 자체가 암호화 되지 않고 모든 자격 증명을 일반 텍스트로 네트워크를 통해 전송되는 특성상 서버 클라이언트간 트래픽 스니핑을 통해 인증정보가 쉽게 노출되므로 접속 허용된 사용자 IP를 지정하여 접속자를 제한해야 함. 기반시설 시스템은 FTP 서비스를 사용하지 않는 것이 원칙이나, 조직 내에서 해당 서 비스를 부득이 사용해야 하는 경우 관련 보호 대책을 수립 및 적용하여 활용해야 함 관련 점검 항목 : W-26(상), W-27(상)
W-17	DNS Zone Transfer 설정	DNS Zone Transfer 차단 설정이 적용되지 않은 경우 DNS 서버에 저장되어 있는 도메인 정보를 승인된 DNS 서버가 아닌 외부로 유출 위험이 존재하므로, DNS Zone Transfer 차단 설정을 적용하여 도메인 정보의 불법 외부 유출을 막아야 함. one-transfer: zone(영역) 전송이라고 하며 master와 slave간에 또는 primary와 secondary DNS간에 zone 파일을 동기화하기 위한 용도로 사용되는 기술
W-18	RDS(Remote Data Services) 제거	취약한 플랫폼의 RDS가 사용되는 경우 서비스 거부 공격이나 원격에서 관리자 권한으로 임의의 명령을 실행할 수 있는 위험이 존재하므로, 취약한 RDS 서비스를 제거하여 불법적인 원격 공격을 차단해야 함. MDAC 2.7 미만의 버전에서 웹 서버와 웹 클라이언트는 모두 이 취약점으로 인해 위 험해질 수 있으므로 RDS가 불필요할 경우 제거하는 것이 안전함 RDS(Remote Data Services): MDAC(Microsoft Data Access Components)의 한 컴포넌트로 클라이언트에 있는 데이터를 다룰 수 있도록 하는 서비스
W-19	최신 서비스팩 적용	보안 업데이트를 적용하지 않은 경우 시스템 및 응용프로그램의 취약성으로 인해 권한 상승, 원격 코드 실행, 보안 기능 우회 등의 문제를 일으킬 수 있음. 시스템을 최신 버전으로 유지하여 새로운 위협 및 진행 중인 위협으로부터 중요 정보와 시스템을 보호해야 함. 서비스팩: Windows의 안정성을 높이기 위해 응용프로그램, 서비스, 실행 파일 등 여러 수정 파일들을 모아 놓은 업데이트 프로그램
W-20	최신 Hot Fix 적용	최신 Hot Fix가 적용되지 않은 경우 알려진 취약점으로 인한 시스템 공격 가능성이 존재. 시스템 및 응용 프로그램의 취약성을 제거하기 위하여 최신 Hot Fix를 최근 1개월 이내에 적용하는 것이 필요. 주요정보통신기반시설 가이드 기준 최근 3개월 / CSAP 기준 최근 1개월 Hot Fix보다 취약성을 이용한 공격 도구가 먼저 출현할 수 있으므로 Hot Fix는 발표 후 가능한 한 빨리 설치할 것을 권장 Hot Fix: 즉시 교정되어야만 하는 주요한 취약점(주로 보안과 관련된)을 패치하기 위해 배 포되는 프로그램. 서비스팩이 발표된 이후 패치가 추가될 필요가 있을 때 별도로 발표됨
W-21	백신 프로그램 업데이트	백신이 지속적, 주기적으로 업데이트 되지 않은 경우 계속되는 신종 바이러스의 출현으로 인한 시스템 공격의 우려가 존재. 백신의 최신 업데이트 상태를 유지해야 함
W-22	로그의 정기적 검토 및 보고	로그의 검토 및 보고 절차가 없는 경우 외부 침입 시도에 대한 식별이 누락 될 수 있고, 침입 시도가 의심되는 사례 발견 시 관련 자료를 분석하여 해당 장비에 대한 접근을 차단하는 등의 추가 조치가 어려움. 정기적인 로그 점검을 통해 안정적인 시스템 상태 유지 및 외부 공격 여부 파악
W-23	원격으로 접근할 수 있는 레지스트리 경로	원격 레지스트리 서비스는 액세스에 대한 인증이 취약하여 관리자 계정 외 다른 계정들에게도 원격 레지스트리 액세스를 허용할 우려가 있으며, 레지스 트리에 대한 권한설정이 잘못되어 있는 경우 원격에서 레지스트리를 통해 임의의 파일을 실행 할 우려가 있음. 원격 레지스트리 서비스를 비활성화 하여 레지스트리에 대한 원격 접근을 차단해야 함.
W-24	백신 프로그램 설치	백신 프로그램이 설치되지 않은 경우 웜, 트로이목마 등의 악성 바이러스로 인한 시스템 피해 위험이 있음. 백신 프로그램을 설치하여 바이러스 감염 여부 진단, 치료 및 파일 보호를 통한 예방 조치가 필요 네트워크 망이 격리된 기반보호 시설의 경우, 시스템에 설치된 백신의 최신 업데이트 상태 유지를 위해 적절한 업데이트 절차 및 적용 방법 수립이 필요함 웜: 악의적인 목적을 가지고 자기 자신을 복제해 전파시키며 주로 네트워크 공유 폴더나 메일로 전파됨 트로이목마: 고의적으로 악의적 목적이 있는 파일, 주로 다른 악성코드나 위장된 프로 그램으로 전파되거나 인터넷을 통해 다운로드 됨
W-25	SAM 파일 접근 통제 설정	SAM(Security Account Manager) 파일은 사용자와 그룹 계정의 패스워드를 관리하고, LSA(Local Security Authority)를 통한 인증 제공. 따라서 SAM 파일에 대한 패스워드 공격 시도로 인해 패스워드 데이터베이스 정보가 노출될 수 있으므로 Administrator 및 System 그룹 외에는 SAM 파일에 대한 접근을 제한해야 함.
W-26	화면보호기 설정 (2024년 가이드 개정시 삭제)	화면보호기 설정을 하지 않은 경우 사용자가 자리를 비운 사이에 임의의 사용자가 해당 시스템에 접근하여 중요 정보를 유출하거나, 악의적인 행위를 통해 시스템 운영에 악영향을 미칠 수 있음. 사용자가 일정 시간 동안 아무런 작업을 수행하지 않을 경우 자동으로 로그오프 되거나 워크스테이션이 잠기도록 설정하여, 유휴 시간 내 불법적인 시스템 접근을 차단해야 함.
W-27	로그온하지 않고 시스템 종료 허용	로그온 창에 "시스템 종료" 버튼이 활성화 되어 있으면 로그인을 하지 않고도 불법적인 시스템 종료가 가능하여 정상적인 서비스 운영에 영향을 주게 됩니다. 시스템 로그온 창의 종료 버튼을 비활성화 시킴으로써 허가되지 않은 사용자를 통한 불법적인 시스템 종료 방지.
W-28	원격 시스템에서 강제로 시스템 종료	원격 시스템 강제 종료 설정이 부적절한 경우 서비스 거부 공격 등에 악용될 수 있음. 원격에서 네트워크를 통하여 운영 체제를 종료할 수 있는 사용자나 그룹을 설정하여 특정 사용자만 시스템 종료를 허용해야 함.
W-29	보안 감사를 로그할 수 없는 경우 시스템 종료	보안 감사를 로그할 수 없는 경우 즉시 시스템 종료' 정책이 활성화 되어 있는 경우, 악의적인 목적으로 시스템 종료를 유발하여 서비스 거부 공격에 악용될 수 있으며, 비정상적인 시스템 종료로 인하여 시스템 및 데이터에 손상을 입힐 수 있음. 해당 정책을 비활성화하여 로그 용량 초과 등의 이유로 이벤트를 기록할 수 없는 경우, 해당 정책으로 인해 시스템이 비정상적으로 종료되는 것을 방지해야 함. 일반적으로 보안 감사 로그가 꽉 찼을 때 보안 로그에 대한 보존 방법이 [이벤트를 덮어쓰지 않음] 또는 [매일 이벤트 덮어쓰기]인 경우 이벤트가 로그되지 않음. 보안 로그가 꽉 차고 기존 항목을 덮어쓸 수 없을 때 해당 정책을 사용하는 경우 다음과 같은 중지 오류가 나타남
W-30_1	SAM 계정과 공유의 익명 열거 허용 안함 (RestrictAnonymousSAM)	Windows에서는 익명의 사용자가 도메인 계정(사용자, 컴퓨터 및 그룹)과 네트워크 공유 이름의 열거 작업을 수행할 수 있으므로 SAM(보안계정관리자) 계정과 공유의 익명 열거가 허용될 경우 악의적인 사용자가 계정 이름 목록을 확인하고 이 정보를 사용하여 암호를 추측하거나 사회 공학적 공격기법을 수행할 수 있음. 익명 사용자에 의한 악의적인 계정 정보 탈취를 방지하기 위하여 설정이 필요. 방화벽과 라우터에서 135~139(TCP, UDP)포트 차단을 통해 외부로부터의 위협을 차단함 네트워크 및 전화 접속 연결 > 로컬 영역 > 등록 정보 > 고급 > 고급 설정 > Microsoft 네트워크 파일 및 프린트 공유를 해제해야 함
W-30_2	SAM 계정과 공유의 익명 열거 허용 안함 (RestrictAnonymous)	Windows에서는 익명의 사용자가 도메인 계정(사용자, 컴퓨터 및 그룹)과 네트워크 공유 이름의 열거 작업을 수행할 수 있으므로 SAM(보안계정관리자) 계정과 공유의 익명 열거가 허용될 경우 악의적인 사용자가 계정 이름 목록을 확인하고 이 정보를 사용하여 암호를 추측하거나 사회 공학적 공격 기법을 수행할 수 있음. 익명 사용자에 의한 악의적인 계정 정보 탈취를 방지하기 위하여 설정 필요 방화벽과 라우터에서 135~139(TCP, UDP)포트 차단을 통해 외부로부터의 위협을 차단함 네트워크 및 전화 접속 연결> 로컬 영역> 등록 정보> 고급> 고급 설정 > Microsoft 네트워크 파일 및 프린트 공유를 해제해야 함
W-31	Autologon 기능 제어	Autologon 기능을 사용하면 침입자가 해킹 도구를 이용하여 레지스트리에서 로그인 계정 및 암호를 확인할 수 있으므로 Autologon 기능을 사용하지 않도록 설정 필요 *Autologon: 레지스트리에 암호화 되어 저장된 대체 증명을 사용하여 자동으로 로그인하는 기능
W-32	이동식 미디어 포맷 및 꺼내기 허용	이동식 미디어의 NTFS 포맷 및 꺼내기가 허용되는 사용자를 제한함으로써 사용자가 관리 권한을 갖고 있는 임의의 컴퓨터로만 이동식 디스크의 데이터를 이동하고, 파일에 대한 소유권을 얻어 파일을 보거나 수정할 수 있도록 함. 해당 보안 설정은 이동식 NTFS 미디어를 포맷하거나 꺼낼 수 있는 사용자를 결정하는 옵션으로 Administrators, Administrators 및 Power Users, Administrators 및 Interactive Users 그룹에 이 기능을 허용할 수 있음"

Check ID

점검 항목

점검 항목 설명

W-01

Administrator 계정 이름 바꾸기

일반적으로 관리자 계정을 Administrator로 설정한 경우 로그인 시도 실패 횟수의 제한이 없는 점을 이용해 악의적인 사용자가 패스워드 유추 공격을 끊임없이 시도할 수 있음. 공격자가 관리자 패스워드뿐만 아니라 계정이름을 쉽게 유추하지 못하도록 Administrator 계정 이름을 변경해야 함

W-02

Guest 계정 상태

Guest 계정은 시스템 임시 접근을 허용하는 취약한 계정으로써, 사용 제한 필요. 불특정 다수의 접근이 필요할 경우 Guest 계정이 아닌 일반 사용자 계정을 생성해 사용하도록 해야 함

W-03

불필요한 계정 제거

사용하지 않는 계정, 불필요한 계정, 의심스러운 계정이 존재하는지 점검. 관리되지 않은 불필요한 계정은 장기간 패스워드가 변경되지 않아 *무작위 대입 공격(Brute Force Attack)이나 패스워드 추측 공격(Password Guessing)에 의해 계정 정보가 유출될 위험이 있음

무작위 대입 공격(Brute Force Attack):　컴퓨터로 암호를 해독하기 위해 조합 가능한 모든 경우의 수를 다 대입해보는 것

'불필요한 계정'에 대한 정의는 각 고객/서비스 별로 다르므로, Active User에 대해서 고객이 직접 확인 필요

명확하게 파악되지 않은 계정을 삭제하는 경우, 해당 계정과 관련된 업무에 장애 발생 가능성이 존재함

W-04

계정 잠금 임계값 설정

자동화된 방법을 이용하여 공격자는 모든 사용자 계정에 대해 암호조합 공격을 시도할 수 있으므로, 계정 잠금 임계값 설정을 적용하여 사용자 계정이 잠기는 로그온 실패 횟수를 지정해야 함

W-05

패스워드 최대 사용 기간 설정

오랫동안 변경하지 않은 패스워드를 지속적으로 사용하는 경우 암호 추측 공격에 의해 유출될 수 있으므로 사용자가 암호를 자주 바꾸도록 하면 유효한 암호가 공격당하는 위험을 줄일 수 있음. 암호가 유효한 최대 날짜를 설정하여 이 날짜가 경과된 사용자는 암호를 변경하도록 하여 암호 크래킹의 가능성을 낮추고, 불법으로 획득한 암호의 무단 사용을 방지해야 함

W-06

암호 사용 기간 제한없음 제거

'암호 사용 기간 제한 없음'으로 설정을 하면 변경되지 않은 암호로 인하여 패스워드 크랙 공격을 받을 수 있음. 기본적으로 로컬 사용자의 암호를 일정 주기마다 변경하도록 해야 함

W-07

해독 가능한 암호화를 사용하여 암호 저장

인증을 위해 사용자 암호를 알아야 하는 응용 프로그램 프로토콜이 지원될 경우 해독 가능한 방식으로 암호를 저장하기 때문에 암호공격을 이용한 공격자가 노출된 계정을 사용하여 네트워크 리소스에 로그온할 수 있음. '해독 가능한 암호화를 사용하여 암호 저장' 정책이 설정되어 사용자 계정 비밀번호가 해독 가능한 텍스트 형태로 저장되는 것을 차단해야 함

W-08

관리자 그룹에 최소한의 사용자 포함

일반 사용자 권한으로부터 받을 수 있는 시스템 피해를 줄이기 위해서 관리 업무를 위한 계정과 일반 업무를 위한 계정을 분리하여 사용하는 것이 바람직함. 시스템 관리를 위해서는 각각 두 개의 계정을 가져야 하며 관리자 그룹에는 가능한 최소한의 사용자만 포함하도록 해야 함.

'불필요한 관리자 계정'에 대한 정의는 각 고객/서비스 별로 다르므로, 고객이 직접 확인 필요

Administrator 그룹에 있는 계정을 삭제하는 경우, 해당 업무에 장애 발생 가능성이 존재함

W-09

공유 권한 및 사용자 그룹 설정

Everyone이 공유계정에 포함되어 있을 경우, 익명 사용자의 접근이 가능하므로 디폴트 공유인 C

, Admin

등을 제외한 공유 폴더에 everyone 그룹으로 공유 금지 여부를 점검

W-10

하드디스크 기본 공유 제거

시스템의 기본공유 항목이 제거되지 않게 되면 모든 시스템 자원에 접근할 수 있는 위험한 상황이 발생할 수 있음. 예전에 발생한 Nimda 바이러스도 여러 가지 방법 중에서 이러한 공유기능을 침투의 한 경로로 이용한 것으로 기본공유를 제거해야 함

W-11

불필요한 서비스 제거

시스템에 기본적으로 설치되는 불필요한 취약 서비스들이 제거되지 않은 경우, 해당 서비스의 취약점으로 인한 공격이 가능하며, 네트워크 서비스의 경우 열린 포트를 통한 외부 침입의 가능성이 존재함. 사용자 환경에 필요하지 않은 서비스 및 실행 파일을 제거하거나 비활성 처리하여 이를 통한 악의적인 공격을 차단해야 함
[불필요한 서비스 목록]
Alerter(서버에서 클라이언트로 경고 메시지를 보냄)
Clipbook(서버 내 Clipbook을 다른 클라이언트와 공유)
Messenger(net send 명령어를 이용하여 클라이언트에 메시지 보냄)
Simple TCP/IP Services(Echo, Discard, Character Generator, Daytime, Quote of the Day)

W-12

NetBIOS 바인딩 서비스 구동 점검

인터넷에 직접 연결되어 있는 윈도우 시스템에서 NetBIOS TCP/IP 바인딩이 활성화 되어 있을 경우 공격자가 네트워크 공유자원을 사용할 우려가 존재함. NetBIOS와 TCP/IP 바인딩을 제거하여 TCP/IP를 거치게 되는 파일 공유서비스를 제공하지 못하도록 하고, 인터넷에서의 공유자원에 대한 접근 시도를 방지해야 함

W-13

FTP 서비스 구동 점검

기본적인 FTP 서비스는 계정과 패스워드가 암호화되지 않은 채로 전송되므로 간단한 Sniffer에 의해서도 스니핑이 가능하기 때문에 보안이 취약한 FTP 서비스 사용을 지양

W-14

FTP 디렉터리 접근 권한 설정

FTP 홈디렉토리에 과도한 권한(예. Everyone Full Control)이 부여된 경우 임의의 사용자가 쓰기, 수정이 가능하여 정보유출, 파일 위‧변조 등의 위험 존재하므로, FTP 서비스 디렉토리의 접근 권한을 적절하게 설정하여 의도치 않은 정보 유출을 막아야 함

W-15

Anonymouns FTP 금지

FTP 익명 접속이 허용된 경우 핵심 기밀자료나 내부 정보의 불법 유출가능성이 존재하므로, FTP 익명 접속을 제한하여 중요 정보의 불법 유출을 차단해야 함

W-16

FTP 접근 제어 설정

FTP 프로토콜은 로그온에 지정된 자격 증명이나 데이터 자체가 암호화 되지 않고 모든 자격 증명을 일반 텍스트로 네트워크를 통해 전송되는 특성상 서버 클라이언트간 트래픽 스니핑을 통해 인증정보가 쉽게 노출되므로 접속 허용된 사용자 IP를 지정하여 접속자를 제한해야 함.

기반시설 시스템은 FTP 서비스를 사용하지 않는 것이 원칙이나, 조직 내에서 해당 서 비스를 부득이 사용해야 하는 경우 관련 보호 대책을 수립 및 적용하여 활용해야 함

관련 점검 항목 : W-26(상), W-27(상)

W-17

DNS Zone Transfer 설정

DNS Zone Transfer 차단 설정이 적용되지 않은 경우 DNS 서버에 저장되어 있는 도메인 정보를 승인된 DNS 서버가 아닌 외부로 유출 위험이 존재하므로, DNS Zone Transfer 차단 설정을 적용하여 도메인 정보의 불법 외부 유출을 막아야 함.

one-transfer: zone(영역) 전송이라고 하며 master와 slave간에 또는 primary와 secondary DNS간에 zone 파일을 동기화하기 위한 용도로 사용되는 기술

W-18

RDS(Remote Data Services) 제거

취약한 플랫폼의 RDS가 사용되는 경우 서비스 거부 공격이나 원격에서 관리자 권한으로 임의의 명령을 실행할 수 있는 위험이 존재하므로, 취약한 RDS 서비스를 제거하여 불법적인 원격 공격을 차단해야 함.

MDAC 2.7 미만의 버전에서 웹 서버와 웹 클라이언트는 모두 이 취약점으로 인해 위 험해질 수 있으므로 RDS가 불필요할 경우 제거하는 것이 안전함

RDS(Remote Data Services): MDAC(Microsoft Data Access Components)의 한 컴포넌트로 클라이언트에 있는 데이터를 다룰 수 있도록 하는 서비스

W-19

최신 서비스팩 적용

보안 업데이트를 적용하지 않은 경우 시스템 및 응용프로그램의 취약성으로 인해 권한 상승, 원격 코드 실행, 보안 기능 우회 등의 문제를 일으킬 수 있음. 시스템을 최신 버전으로 유지하여 새로운 위협 및 진행 중인 위협으로부터 중요 정보와 시스템을 보호해야 함.

서비스팩: Windows의 안정성을 높이기 위해 응용프로그램, 서비스, 실행 파일 등 여러 수정 파일들을 모아 놓은 업데이트 프로그램

W-20

최신 Hot Fix 적용

최신 Hot Fix가 적용되지 않은 경우 알려진 취약점으로 인한 시스템 공격 가능성이 존재. 시스템 및 응용 프로그램의 취약성을 제거하기 위하여 최신 Hot Fix를 최근 1개월 이내에 적용하는 것이 필요.

주요정보통신기반시설 가이드 기준 최근 3개월 / CSAP 기준 최근 1개월

Hot Fix보다 취약성을 이용한 공격 도구가 먼저 출현할 수 있으므로 Hot Fix는 발표 후 가능한 한 빨리 설치할 것을 권장

Hot Fix: 즉시 교정되어야만 하는 주요한 취약점(주로 보안과 관련된)을 패치하기 위해 배 포되는 프로그램. 서비스팩이 발표된 이후 패치가 추가될 필요가 있을 때 별도로 발표됨

W-21

백신 프로그램 업데이트

백신이 지속적, 주기적으로 업데이트 되지 않은 경우 계속되는 신종 바이러스의 출현으로 인한 시스템 공격의 우려가 존재. 백신의 최신 업데이트 상태를 유지해야 함

W-22

로그의 정기적 검토 및 보고

로그의 검토 및 보고 절차가 없는 경우 외부 침입 시도에 대한 식별이 누락 될 수 있고, 침입 시도가 의심되는 사례 발견 시 관련 자료를 분석하여 해당 장비에 대한 접근을 차단하는 등의 추가 조치가 어려움. 정기적인 로그 점검을 통해 안정적인 시스템 상태 유지 및 외부 공격 여부 파악

W-23

원격으로 접근할 수 있는 레지스트리 경로

원격 레지스트리 서비스는 액세스에 대한 인증이 취약하여 관리자 계정 외 다른 계정들에게도 원격 레지스트리 액세스를 허용할 우려가 있으며, 레지스 트리에 대한 권한설정이 잘못되어 있는 경우 원격에서 레지스트리를 통해 임의의 파일을 실행 할 우려가 있음. 원격 레지스트리 서비스를 비활성화 하여 레지스트리에 대한 원격 접근을 차단해야 함.

W-24

백신 프로그램 설치

백신 프로그램이 설치되지 않은 경우 웜, 트로이목마 등의 악성 바이러스로 인한 시스템 피해 위험이 있음. 백신 프로그램을 설치하여 바이러스 감염 여부 진단, 치료 및 파일 보호를 통한 예방 조치가 필요

네트워크 망이 격리된 기반보호 시설의 경우, 시스템에 설치된 백신의 최신 업데이트 상태 유지를 위해 적절한 업데이트 절차 및 적용 방법 수립이 필요함

웜: 악의적인 목적을 가지고 자기 자신을 복제해 전파시키며 주로 네트워크 공유 폴더나 메일로 전파됨

트로이목마: 고의적으로 악의적 목적이 있는 파일, 주로 다른 악성코드나 위장된 프로 그램으로 전파되거나 인터넷을 통해 다운로드 됨

W-25

SAM 파일 접근 통제 설정

SAM(Security Account Manager) 파일은 사용자와 그룹 계정의 패스워드를 관리하고, LSA(Local Security Authority)를 통한 인증 제공. 따라서 SAM 파일에 대한 패스워드 공격 시도로 인해 패스워드 데이터베이스 정보가 노출될 수 있으므로 Administrator 및 System 그룹 외에는 SAM 파일에 대한 접근을 제한해야 함.

W-26

화면보호기 설정
(2024년 가이드 개정시 삭제)

화면보호기 설정을 하지 않은 경우 사용자가 자리를 비운 사이에 임의의 사용자가 해당 시스템에 접근하여 중요 정보를 유출하거나, 악의적인 행위를 통해 시스템 운영에 악영향을 미칠 수 있음. 사용자가 일정 시간 동안 아무런 작업을 수행하지 않을 경우 자동으로 로그오프 되거나 워크스테이션이 잠기도록 설정하여, 유휴 시간 내 불법적인 시스템 접근을 차단해야 함.

W-27

로그온하지 않고 시스템 종료 허용

로그온 창에 "시스템 종료" 버튼이 활성화 되어 있으면 로그인을 하지 않고도 불법적인 시스템 종료가 가능하여 정상적인 서비스 운영에 영향을 주게 됩니다. 시스템 로그온 창의 종료 버튼을 비활성화 시킴으로써 허가되지 않은 사용자를 통한 불법적인 시스템 종료 방지.

W-28

원격 시스템에서 강제로 시스템 종료

원격 시스템 강제 종료 설정이 부적절한 경우 서비스 거부 공격 등에 악용될 수 있음. 원격에서 네트워크를 통하여 운영 체제를 종료할 수 있는 사용자나 그룹을 설정하여 특정 사용자만 시스템 종료를 허용해야 함.

W-29

보안 감사를 로그할 수 없는 경우 시스템 종료

보안 감사를 로그할 수 없는 경우 즉시 시스템 종료' 정책이 활성화 되어 있는 경우, 악의적인 목적으로 시스템 종료를 유발하여 서비스 거부 공격에 악용될 수 있으며, 비정상적인 시스템 종료로 인하여 시스템 및 데이터에 손상을 입힐 수 있음. 해당 정책을 비활성화하여 로그 용량 초과 등의 이유로 이벤트를 기록할 수 없는 경우, 해당 정책으로 인해 시스템이 비정상적으로 종료되는 것을 방지해야 함.

일반적으로 보안 감사 로그가 꽉 찼을 때 보안 로그에 대한 보존 방법이 [이벤트를 덮어쓰지 않음] 또는 [매일 이벤트 덮어쓰기]인 경우 이벤트가 로그되지 않음. 보안 로그가 꽉 차고 기존 항목을 덮어쓸 수 없을 때 해당 정책을 사용하는 경우 다음과 같은 중지 오류가 나타남

W-30_1

SAM 계정과 공유의 익명 열거 허용 안함 (RestrictAnonymousSAM)

Windows에서는 익명의 사용자가 도메인 계정(사용자, 컴퓨터 및 그룹)과 네트워크 공유 이름의 열거 작업을 수행할 수 있으므로 SAM(보안계정관리자) 계정과 공유의 익명 열거가 허용될 경우 악의적인 사용자가 계정 이름 목록을 확인하고 이 정보를 사용하여 암호를 추측하거나 사회 공학적 공격기법을 수행할 수 있음. 익명 사용자에 의한 악의적인 계정 정보 탈취를 방지하기 위하여 설정이 필요.

방화벽과 라우터에서 135~139(TCP, UDP)포트 차단을 통해 외부로부터의 위협을 차단함

네트워크 및 전화 접속 연결 > 로컬 영역 > 등록 정보 > 고급 > 고급 설정 > Microsoft 네트워크 파일 및 프린트 공유를 해제해야 함

W-30_2

SAM 계정과 공유의 익명 열거 허용 안함 (RestrictAnonymous)

Windows에서는 익명의 사용자가 도메인 계정(사용자, 컴퓨터 및 그룹)과 네트워크 공유 이름의 열거 작업을 수행할 수 있으므로 SAM(보안계정관리자) 계정과 공유의 익명 열거가 허용될 경우 악의적인 사용자가 계정 이름 목록을 확인하고 이 정보를 사용하여 암호를 추측하거나 사회 공학적 공격 기법을 수행할 수 있음. 익명 사용자에 의한 악의적인 계정 정보 탈취를 방지하기 위하여 설정 필요

방화벽과 라우터에서 135~139(TCP, UDP)포트 차단을 통해 외부로부터의 위협을 차단함

네트워크 및 전화 접속 연결> 로컬 영역> 등록 정보> 고급> 고급 설정 > Microsoft 네트워크 파일 및 프린트 공유를 해제해야 함

W-31

Autologon 기능 제어

Autologon 기능을 사용하면 침입자가 해킹 도구를 이용하여 레지스트리에서 로그인 계정 및 암호를 확인할 수 있으므로 Autologon 기능을 사용하지 않도록 설정 필요
*Autologon: 레지스트리에 암호화 되어 저장된 대체 증명을 사용하여 자동으로 로그인하는 기능

W-32

이동식 미디어 포맷 및 꺼내기 허용

이동식 미디어의 NTFS 포맷 및 꺼내기가 허용되는 사용자를 제한함으로써 사용자가 관리 권한을 갖고 있는 임의의 컴퓨터로만 이동식 디스크의 데이터를 이동하고, 파일에 대한 소유권을 얻어 파일을 보거나 수정할 수 있도록 함.

해당 보안 설정은 이동식 NTFS 미디어를 포맷하거나 꺼낼 수 있는 사용자를 결정하는 옵션으로 Administrators, Administrators 및 Power Users, Administrators 및 Interactive Users 그룹에 이 기능을 허용할 수 있음"

OS Security Checker