WAS Security Checker

Prev Next

Classic/VPC 환경에서 이용 가능합니다.

참고

Web Application Server (WAS)의 보안 설정을 점검하는 서비스입니다. 각각의 WAS에 특화된 보안 설정을 점검하고 보안성 향상을 위한 가이드를 제공합니다.

점검 가능한 WAS

  • Apache (httpd) 2.4.x 기준
  • Tomcat 9.x기준
  • Nginx

  • WAS 취약점 진단의 경우, 최초 진단 후 30일 내 동일한 대상을 다시 진단할 시, 추가 1회까지는 별도의 비용이 발생하지 않습니다.

    • 동일한 대상이라 함은 최초 진단한 서버(Instance ID 기준)와 WAS 타입이 동일한 경우를 의미합니다.
    • 재진단 가능 기간이나 횟수를 초과한 경우, 신규 진단 기준으로 요금이 발생합니다.
    • OS 취약점 진단의 경우, 별도의 무료 재진단 정책이 적용되지 않습니다.

    security-9-115_ko.png

  • 상세 과금 예시

No. 진단 구분 서버 WAS 점검 일시 비고
1 최초 진단 cent75 (InstanceNo:123456) apache 2019-01-26 cent75 서버에 대한 apache 점검
2 재진단 cent75 (InstanceNo:123456) apache 2019-01-30 1번 점검 이후 30일 이내, 동일 서버/WAS 재점검
3 최초 진단 cent75 (InstanceNo:123456) apache 2019-01-30 30일 이내 재점검은 1회만 무료로 제공
4 최초 진단 cent75 (InstanceNo:123456) tomcat 2019-01-30 30일 이내 동일 서버에서 점검했으나 다른 WAS(Tomcat)를 점검
5 재진단 cent75 (InstanceNo:123456) tomcat 2019-02-02 4번 점검 이후 30일 이내 동일 서버/WAS 재점검
6 최초 진단 ubuntu1204 (InstanceNo:456789) apache 2019-02-04 ubuntu1204 서버에 대한 apache 점검
7 최초 진단 ubuntu1204 (InstanceNo:456789) nginx 2019-02-07 ubuntu1204 서버에 대한 nginx 점검
8 최초 진단 cent75 (InstanceNo:123456) apache 2019-03-15 3번 점검 이후 30일을 초과

점검하는 WAS 종류에 따른 보안 설정 점검 항목을 확인해 주십시오.

Apache 보안 설정 점검 항목과 그에 대한 설명은 다음과 같습니다.

Check ID 점검 항목 점검 항목 설명
AP-01 웹 서비스 영역의 분리 Apache 설치 시 기본적으로 htdocs 디렉터리를 DocumentRoot로 사용합니다. htdocs 디렉터리에는 Apache 관련 문서 및 시스템 관련 정보도 포함하고 있으므로, 외부에 노출되는 것은 바람직하지 않습니다. 기본 설정을 변경하여 서비스 하는 것을 권고합니다.
AP-02 불필요한 파일 제거 Sample/Manual 디렉토리 자체에는 취약점이 없으나 불필요하므로 삭제하는 것을 권고합니다. 불필요한 파일을 통해 공격자에게 서비스의 정보를 노출될 위험이 있습니다.
AP-03 링크 사용금지 "일부 서버는 심볼릭 링크(Symbolic link)를 이용하여 기존의 웹 문서 이외의 파일시스템 접근이 가능하도록 하고 있습니다. 이러한 방법은 편의성을 제공하는 반면, 일반 사용자들도 시스템 중요 파일에 접근할 수 있게 하는 보안 문제를 유발할 수 있습니다. 예를 들어, 시스템 자체의 root 디렉터리(/)에 링크를 걸게 되면 웹 서버 구동 사용자 권한으로 모든 파일 시스템의 파일에 접근할 수 있게 되어 ""/etc/passwd"" 파일과 같은 민감한 파일이 외부에 노출될 수 있습니다."
AP-04 파일 업로드 및 다운로드 제한 파일 업로드 및 다운로드의 사이즈를 제한하지 않으면, 대량의 업로드/다운로드로 인한 서비스 장애가 발생할 위험이 있습니다. 따라서 파일의 크기를 제한하도록 설정하여야 합니다.
AP-05 디렉토리 리스팅 제거 "해당 취약점이 존재할 경우 브라우저를 통해 특정 디렉토리 내 파일 리스트를 노출하여 응용 시스템의 구조가 외부에 노출될 수 있습니다. 민감한 정보가 포함된 설정 파일 등이 노출될 경우 보안상 심각한 위험을 초래할 수 있습니다.
디렉토리 인덱싱이란? 특정 디렉토리에 초기 페이지의 파일(index.html, home.html, default.asp 등)이 존재하지 않을 때, 자동으로 디렉토리 리스트를 출력하는 취약점입니다."
AP-06 웹 프로세스 권한 제한 Unix 시스템의 경우, Web 서버 데몬이 root 권한으로 운영될 경우 Web Application의 취약점이나 Buffer Overflow시 공격자가 root 권한을 획득할 수 있습니다. 서버 데몬이 root 권한으로 운영되지 않도록 운영하는 것을 권고합니다.
AP-07 안정화 버전 및 패치 적용 주기적으로 보안 패치를 적용하지 않으면, 알려진 취약점 등으로 서버 침해가 발생할 위험이 높아집니다. 주기적으로 보안이 향상된 버전으로 업데이트 하는 것을 권고합니다.

Tomcat 보안 설정 점검 항목과 그에 대한 설명은 다음과 같습니다.

Check ID 점검 항목 점검 항목 설명
TO-01 Default 관리자 계정명 변경 WAS 설치 시 web 관리자 콘솔 계정으로 Default 값인 Tomcat[admin]을 사용하는 경우가 존재합니다. Default 값을 그대로 사용하는 경우 패스워드 유추 공격의 위험에 노출되므로, 타인이 유추하기 불가능한 계정명으로 변경하는 것을 권고합니다.
TO-02 취약한 패스워드 사용제한 관리자 계정의 패스워드를 취약하게 설정하여 사용하는 경우, 비인가 사용자가 패스워드 유추 공격을 시도하여, 관리자 권한을 획득할 수 있는 위험이 있습니다.
관리자 계정의 패스워드를 유추하기 어렵게 설정하는 것을 권고합니다.
(영문, 숫자 포함 9자 이상, 동일 문자 연속 5회 사용 금지)
TO-03 패스워드 파일 권한 관리 관리자 콘솔용 패스워드, 파일, Role 파일의 default 퍼미션이 644(rw-r—r--)로 설정되어 있다면 일반 사용자에게 패스워드가 노출될 수 있습니다.
이 파일 내에는 계정과 패스워드가 평문으로 저장되어 있어서 일반 계정이 읽을 경우, 관리 콘솔용 패스워드가 쉽게 노출될 수 있습니다.
TO-04_1 홈디렉토리 쓰기 권한 관리 (가) 가. Default Document Root 권한 확인

일반 사용자가 웹 서버 홈 디렉토리 등의 중요 디렉토리에 쓰기 권한이 있다면, 임의의 파일을 생성하거나 삭제/변조하여 홈페이지 변조, 중요 파일 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
TO-04_2 홈디렉토리 쓰기 권한 관리 (나) 나. 관리서버 홈 디렉터리 권한 확인

일반 사용자가 웹 서버 홈 디렉토리 등의 중요 디렉토리에 쓰기 권한이 있다면, 임의의 파일을 생성하거나 삭제/변조하여 홈페이지 변조, 중요파일 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
TO-04_3 홈디렉토리 쓰기 권한 관리 (다) 다. 웹 소스 홈 디렉터리 권한 확인

일반 사용자가 웹 서버 홈 디렉토리 등의 중요 디렉토리에 쓰기 권한이 있다면 임의의 파일을 생성하거나 삭제/변조하여 홈페이지 변조, 중요파일 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
TO-04_4 홈디렉토리 쓰기 권한 관리 (라) 라. server.xml 파일 설정 확인

일반 사용자가 웹 서버 홈 디렉토리 등의 중요 디렉토리에 쓰기 권한이 있다면, 임의의 파일을 생성하거나 삭제/변조하여 홈페이지 변조, 중요 파일 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
TO-05_1 환경설정 파일 권한 관리 (가) 가. 환경설정 파일 권한 확인

일반 사용자가 웹 사이트 소스파일을 삭제, 변경할 수 있으면, 홈페이지 변조,작업 실수로 인한 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
이로 인해 시스템이 오작동하여 사용 불능 상태에 빠질 위험이 있습니다.
TO-05_2 환경 설정 파일 권한 관리 (나) 나. Default 소스 파일 권한 확인

일반 사용자가 웹 사이트 소스 파일을 삭제, 변경할 수 있으면, 홈페이지 변조,작업 실수로 인한 파일 삭제, 백도어 삽입 등의 피해가 발생할 수 있습니다.
이로 인해 시스템이 오작동하여 사용 불능 상태에 빠질 위험이 있습니다.
TO-06 디렉토리 리스팅 설정 제한 디렉토리 검색 기능(Directory Indexing)이 설정되어 있는 경우, Web 서버 구조 노출 및 설치 파일의 유출 가능성이 있습니다.
TO-07 에러 메시지 관리 공격자가 대상 시스템의 정보를 획득하기 위해 고의적으로 다양한 에러를 유발하여 돌아오는 에러 메시지를 통해 웹 프로그램의 구조 및 환경 설정을 추정할 수 있습니다.
TO-08 로그 파일 주기적 백업 침해 사고 등의 이슈 발생 시 원인을 파악하기 위해서는 서버에서 발생하는 각종 이벤트들을 주기적으로 백업해 두어야 합니다. 공격자는 자신의 행위를 감추기 위해 로그 파일을 삭제/변조하기도 하므로 원격지에 주기적으로 백업하는 것을 권장합니다.
TO-09 최신 패치 적용 주기적으로 보안 패치를 적용하지 않으면 알려진 취약점 등으로 서버 침해가 발생할 위험이 높아집니다. 주기적으로 보안이 향상된 버전으로 업데이트하는 것을 권고합니다.

Nginx 보안 설정 점검 항목과 그에 대한 설명은 다음과 같습니다.

Check ID 점검 항목 점검 항목 설명
NG-01 웹 서비스 영역의 분리 Nginx 서비스를 위한 root 디렉토리를 변경하여 사용하는 것을 권고합니다.
NG-02 불필요한 파일 제거 Sample/Manual 디렉토리 자체에는 취약점이 없으나 불필요하므로 삭제하는 것을 권고합니다. 불필요한 파일을 통해 공격자에게 서비스의 정보를 노출될 위험이 있습니다.
NG-03 링크 사용금지 일부 서버는 심볼릭 링크(Symbolic link)를 이용하여 기존의 웹 문서 이외의 파일 시스템 접근이 가능하도록 하고 있습니다. 이러한 방법은 편의성을 제공하는 반면, 일반 사용자들도 시스템 중요 파일에 접근할 수 있게 하는 보안 문제를 유발할 수 있습니다.
예를 들어, 시스템 자체의 root 디렉터리(/)에 링크를 걸게 되면 웹 서버 구동 사용자 권한으로 모든 파일 시스템의 파일에 접근할 수 있게 되어 "/etc/passwd" 파일과 같은 민감한 파일이 외부에 노출될 수 있습니다.
NG-04 파일 업로드 및 다운로드 제한 파일 업로드 및 다운로드의 사이즈를 제한하지 않으면, 대량의 업로드/다운로드로 인한 서비스 장애가 발생할 위험이 있습니다. 따라서 파일의 크기를 제한하도록 설정하여야 합니다.
NG-05 디렉토리 리스팅 제거 해당 취약점이 존재할 경우 브라우저를 통해 특정 디렉토리 내 파일 리스트를 노출하여 응용 시스템의 구조가 외부에 노출될 수 있습니다. 민감한 정보가 포함된 설정 파일 등이 노출될 경우 보안상 심각한 위험을 초래할 수 있습니다.
디렉토리 인덱싱이란? 특정 디렉토리에 초기 페이지의 파일(index.html, home.html, default.asp 등)이 존재하지 않을 때, 자동으로 디렉토리 리스트를 출력하는 취약점입니다.
NG-06 웹 프로세스 권한 제한 Unix 시스템의 경우, Web 서버 데몬이 root 권한으로 운영될 경우 Web Application의 취약점이나 Buffer Overflow 시 공격자가 root 권한을 획득할 수 있습니다. 서버 데몬이 root 권한으로 운영되지 않도록 운영하는 것을 권고합니다.
NG-07 안정화 버전 및 패치 적용 주기적으로 보안 패치를 적용하지 않으면 알려진 취약점 등으로 서버 침해가 발생할 위험이 높아집니다. 주기적으로 보안이 향상된 버전으로 업데이트 하는 것을 권고합니다.