Login
      내용 x
      WAS Security Checker
        • 인쇄
        • PDF
        내용

        WAS Security Checker

          • 인쇄
          • PDF
          기사 요약

          Classic/VPC 환경에서 이용 가능합니다.

          WAS Security Checker

          참고

          Web Application Server (WAS)의 보안 설정을 점검하는 서비스입니다. 각각의 WAS에 특화된 보안 설정을 점검하고 보안성 향상을 위한 가이드를 제공합니다.

          점검 가능한 WAS

          • Apache (httpd) 2.4.x 기준
          • Tomcat 9.x기준
          • Nginx

          WAS 과금 정책

          • WAS 취약점 진단의 경우, 최초 진단 후 30일 내 동일한 대상을 다시 진단할 시, 추가 1회까지는 별도의 비용이 발생하지 않습니다.

            • 동일한 대상이라 함은 최초 진단한 서버(Instance ID 기준)와 WAS 타입이 동일한 경우를 의미합니다.
            • 재진단 가능 기간이나 횟수를 초과한 경우, 신규 진단 기준으로 요금이 발생합니다.
            • OS 취약점 진단의 경우, 별도의 무료 재진단 정책이 적용되지 않습니다.

            security-9-115_ko.png

          • 상세 과금 예시

          No.진단 구분서버WAS점검 일시비고
          1최초 진단cent75 (InstanceNo:123456)apache2019-01-26cent75 서버에 대한 apache 점검
          2재진단cent75 (InstanceNo:123456)apache2019-01-301번 점검 이후 30일 이내, 동일 서버/WAS 재점검
          3최초 진단cent75 (InstanceNo:123456)apache2019-01-3030일 이내 재점검은 1회만 무료로 제공
          4최초 진단cent75 (InstanceNo:123456)tomcat2019-01-3030일 이내 동일 서버에서 점검했으나 다른 WAS(Tomcat)를 점검
          5재진단cent75 (InstanceNo:123456)tomcat2019-02-024번 점검 이후 30일 이내 동일 서버/WAS 재점검
          6최초 진단ubuntu1204 (InstanceNo:456789)apache2019-02-04ubuntu1204 서버에 대한 apache 점검
          7최초 진단ubuntu1204 (InstanceNo:456789)nginx2019-02-07ubuntu1204 서버에 대한 nginx 점검
          8최초 진단cent75 (InstanceNo:123456)apache2019-03-153번 점검 이후 30일을 초과

          WAS 보안 설정 점검 항목

          점검하는 WAS 종류에 따른 보안 설정 점검 항목을 확인해 주십시오.

          Apache 점검 항목

          Apache 보안 설정 점검 항목과 그에 대한 설명은 다음과 같습니다.

          Check ID점검 항목점검 항목 설명
          AP-01웹 서비스 영역의 분리Apache 설치 시 기본적으로 htdocs 디렉터리를 DocumentRoot로 사용합니다. htdocs 디렉터리에는 Apache 관련 문서 및 시스템 관련 정보도 포함하고 있으므로, 외부에 노출되는 것은 바람직하지 않습니다. 기본 설정을 변경하여 서비스 하는 것을 권고합니다.
          AP-02불필요한 파일 제거Sample/Manual 디렉토리 자체에는 취약점이 없으나 불필요하므로 삭제하는 것을 권고합니다. 불필요한 파일을 통해 공격자에게 서비스의 정보를 노출될 위험이 있습니다.
          AP-03링크 사용금지"일부 서버는 심볼릭 링크(Symbolic link)를 이용하여 기존의 웹 문서 이외의 파일시스템 접근이 가능하도록 하고 있습니다. 이러한 방법은 편의성을 제공하는 반면, 일반 사용자들도 시스템 중요 파일에 접근할 수 있게 하는 보안 문제를 유발할 수 있습니다. 예를 들어, 시스템 자체의 root 디렉터리(/)에 링크를 걸게 되면 웹 서버 구동 사용자 권한으로 모든 파일 시스템의 파일에 접근할 수 있게 되어 ""/etc/passwd"" 파일과 같은 민감한 파일이 외부에 노출될 수 있습니다."
          AP-04파일 업로드 및 다운로드 제한파일 업로드 및 다운로드의 사이즈를 제한하지 않으면, 대량의 업로드/다운로드로 인한 서비스 장애가 발생할 위험이 있습니다. 따라서 파일의 크기를 제한하도록 설정하여야 합니다.
          AP-05디렉토리 리스팅 제거"해당 취약점이 존재할 경우 브라우저를 통해 특정 디렉토리 내 파일 리스트를 노출하여 응용 시스템의 구조가 외부에 노출될 수 있습니다. 민감한 정보가 포함된 설정 파일 등이 노출될 경우 보안상 심각한 위험을 초래할 수 있습니다.
          디렉토리 인덱싱이란? 특정 디렉토리에 초기 페이지의 파일(index.html, home.html, default.asp 등)이 존재하지 않을 때, 자동으로 디렉토리 리스트를 출력하는 취약점입니다."
          AP-06웹 프로세스 권한 제한Unix 시스템의 경우, Web 서버 데몬이 root 권한으로 운영될 경우 Web Application의 취약점이나 Buffer Overflow시 공격자가 root 권한을 획득할 수 있습니다. 서버 데몬이 root 권한으로 운영되지 않도록 운영하는 것을 권고합니다.
          AP-07안정화 버전 및 패치 적용주기적으로 보안 패치를 적용하지 않으면, 알려진 취약점 등으로 서버 침해가 발생할 위험이 높아집니다. 주기적으로 보안이 향상된 버전으로 업데이트 하는 것을 권고합니다.

          Tomcat 점검 항목

          Tomcat 보안 설정 점검 항목과 그에 대한 설명은 다음과 같습니다.

          Check ID점검 항목점검 항목 설명
          TO-01Default 관리자 계정명 변경WAS 설치 시 web 관리자 콘솔 계정으로 Default 값인 Tomcat[admin]을 사용하는 경우가 존재합니다. Default 값을 그대로 사용하는 경우 패스워드 유추 공격의 위험에 노출되므로, 타인이 유추하기 불가능한 계정명으로 변경하는 것을 권고합니다.
          TO-02취약한 패스워드 사용제한관리자 계정의 패스워드를 취약하게 설정하여 사용하는 경우, 비인가 사용자가 패스워드 유추 공격을 시도하여, 관리자 권한을 획득할 수 있는 위험이 있습니다.
          관리자 계정의 패스워드를 유추하기 어렵게 설정하는 것을 권고합니다.
          (영문, 숫자 포함 9자 이상, 동일 문자 연속 5회 사용 금지)
          TO-03패스워드 파일 권한 관리관리자 콘솔용 패스워드, 파일, Role 파일의 default 퍼미션이 644(rw-r—r--)로 설정되어 있다면 일반 사용자에게 패스워드가 노출될 수 있습니다.
          이 파일 내에는 계정과 패스워드가 평문으로 저장되어 있어서 일반 계정이 읽을 경우, 관리 콘솔용 패스워드가 쉽게 노출될 수 있습니다.
          TO-04_1홈디렉토리 쓰기 권한 관리 (가)가. Default Document Root 권한 확인

          일반 사용자가 웹 서버 홈 디렉토리 등의 중요 디렉토리에 쓰기 권한이 있다면, 임의의 파일을 생성하거나 삭제/변조하여 홈페이지 변조, 중요 파일 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
          TO-04_2홈디렉토리 쓰기 권한 관리 (나)나. 관리서버 홈 디렉터리 권한 확인

          일반 사용자가 웹 서버 홈 디렉토리 등의 중요 디렉토리에 쓰기 권한이 있다면, 임의의 파일을 생성하거나 삭제/변조하여 홈페이지 변조, 중요파일 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
          TO-04_3홈디렉토리 쓰기 권한 관리 (다)다. 웹 소스 홈 디렉터리 권한 확인

          일반 사용자가 웹 서버 홈 디렉토리 등의 중요 디렉토리에 쓰기 권한이 있다면 임의의 파일을 생성하거나 삭제/변조하여 홈페이지 변조, 중요파일 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
          TO-04_4홈디렉토리 쓰기 권한 관리 (라)라. server.xml 파일 설정 확인

          일반 사용자가 웹 서버 홈 디렉토리 등의 중요 디렉토리에 쓰기 권한이 있다면, 임의의 파일을 생성하거나 삭제/변조하여 홈페이지 변조, 중요 파일 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
          TO-05_1환경설정 파일 권한 관리 (가)가. 환경설정 파일 권한 확인

          일반 사용자가 웹 사이트 소스파일을 삭제, 변경할 수 있으면, 홈페이지 변조,작업 실수로 인한 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
          이로 인해 시스템이 오작동하여 사용 불능 상태에 빠질 위험이 있습니다.
          TO-05_2환경 설정 파일 권한 관리 (나)나. Default 소스 파일 권한 확인

          일반 사용자가 웹 사이트 소스 파일을 삭제, 변경할 수 있으면, 홈페이지 변조,작업 실수로 인한 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
          이로 인해 시스템이 오작동하여 사용 불능 상태에 빠질 위험이 있습니다.
          TO-06디렉토리 리스팅 설정 제한디렉토리 검색 기능(Directory Indexing)이 설정되어 있는 경우, Web 서버 구조 노출 및 설치 파일의 유출 가능성이 있습니다.
          TO-07에러 메시지 관리공격자가 대상 시스템의 정보를 획득하기 위해 고의적으로 다양한 에러를 유발하여 돌아오는 에러 메시지를 통해 웹 프로그램의 구조 및 환경 설정을 추정할 수 있습니다.
          TO-08로그 파일 주기적 백업침해 사고 등의 이슈 발생 시 원인을 파악하기 위해서는 서버에서 발생하는 각종 이벤트들을 주기적으로 백업해 두어야 합니다. 공격자는 자신의 행위를 감추기 위해 로그 파일을 삭제/변조하기도 하므로 원격지에 주기적으로 백업하는 것을 권장합니다.
          TO-09최신 패치 적용주기적으로 보안 패치를 적용하지 않으면 알려진 취약점 등으로 서버 침해가 발생할 위험이 높아집니다. 주기적으로 보안이 향상된 버전으로 업데이트하는 것을 권고합니다.

          Nginx 점검 항목

          Nginx 보안 설정 점검 항목과 그에 대한 설명은 다음과 같습니다.

          Check ID점검 항목점검 항목 설명
          NG-01웹 서비스 영역의 분리Nginx 서비스를 위한 root 디렉토리를 변경하여 사용하는 것을 권고합니다.
          NG-02불필요한 파일 제거Sample/Manual 디렉토리 자체에는 취약점이 없으나 불필요하므로 삭제하는 것을 권고합니다. 불필요한 파일을 통해 공격자에게 서비스의 정보를 노출될 위험이 있습니다.
          NG-03링크 사용금지일부 서버는 심볼릭 링크(Symbolic link)를 이용하여 기존의 웹 문서 이외의 파일 시스템 접근이 가능하도록 하고 있습니다. 이러한 방법은 편의성을 제공하는 반면, 일반 사용자들도 시스템 중요 파일에 접근할 수 있게 하는 보안 문제를 유발할 수 있습니다.
          예를 들어, 시스템 자체의 root 디렉터리(/)에 링크를 걸게 되면 웹 서버 구동 사용자 권한으로 모든 파일 시스템의 파일에 접근할 수 있게 되어 "/etc/passwd" 파일과 같은 민감한 파일이 외부에 노출될 수 있습니다.
          NG-04파일 업로드 및 다운로드 제한파일 업로드 및 다운로드의 사이즈를 제한하지 않으면, 대량의 업로드/다운로드로 인한 서비스 장애가 발생할 위험이 있습니다. 따라서 파일의 크기를 제한하도록 설정하여야 합니다.
          NG-05디렉토리 리스팅 제거해당 취약점이 존재할 경우 브라우저를 통해 특정 디렉토리 내 파일 리스트를 노출하여 응용 시스템의 구조가 외부에 노출될 수 있습니다. 민감한 정보가 포함된 설정 파일 등이 노출될 경우 보안상 심각한 위험을 초래할 수 있습니다.
          디렉토리 인덱싱이란? 특정 디렉토리에 초기 페이지의 파일(index.html, home.html, default.asp 등)이 존재하지 않을 때, 자동으로 디렉토리 리스트를 출력하는 취약점입니다.
          NG-06웹 프로세스 권한 제한Unix 시스템의 경우, Web 서버 데몬이 root 권한으로 운영될 경우 Web Application의 취약점이나 Buffer Overflow 시 공격자가 root 권한을 획득할 수 있습니다. 서버 데몬이 root 권한으로 운영되지 않도록 운영하는 것을 권고합니다.
          NG-07안정화 버전 및 패치 적용주기적으로 보안 패치를 적용하지 않으면 알려진 취약점 등으로 서버 침해가 발생할 위험이 높아집니다. 주기적으로 보안이 향상된 버전으로 업데이트 하는 것을 권고합니다.
          이 문서가 도움이 되었습니까?
          What's Next
          Change password!
          Changing your password will log you out immediately. Use the new password to log back in.
          Change profile
          Success!
          First name must have atleast 2 characters. Numbers and special characters are not allowed.
          Last name must have atleast 1 characters. Numbers and special characters are not allowed.
          Enter a valid email
          Enter a valid password
          Your profile has been successfully updated.
          Logout