웹 취약점 2

취약한 파일 존재 취약점

취약점 설명

웹 서버 구성 시 기본 설치 파일, 테스트용 파일 등 웹 서버 운영에 사용되지 않은 불필요한 파일들이 외부로 노출되어 해당 파일을 통해 공격자가 내부 구성 정보수집, 테스트용 파일 조작 등 2차 공격에 악용될 수 있는 취약점

 

 

 

대응 방안

1) 설치 시 자동 배포되는 샘플 파일 삭제

     - 사용하지 않는 파일 및 테스트 용도 디렉토리/파일 삭제 후 배포

 

2) 파일 대체 버전 발견 조치방안

      - 가상 웹 서버 루트 아래에 존재하는 파일의 대체 버전 조회 후 삭제

 

3) 서버에서 test/temporary 스크립트를 삭제

 

4) 웹 서버 운영상에 필요한 파일인 경우, 웹 서버에서 직접 접근이 불가능하도록 외부 디렉터리로 이동

 

5) 백업파일 및 로그파일 삭제 조치

 

 

 

 

 

계정 관리 취약점

취약점 설명

회원가입 시에 안전한 패스워드 규칙이 적용되지 않아서 취약한 패스워드로 회원 가입이 가능할 경우 무차별 대입 공격을 통해 패스워드가 누출 될 수 있는 취약점

계정 관리 취약점에 관한 점검 항목

 

 

대응 방안

1) 계정 잠금 정책 설정

 

2) 오류 메시지 노출 설정

 

3) 2단계 인증

 

 

 

 

 

실명 인증 취약점

취약점 설명

사용자 본인 확인 과정 상에서 취약한 프로그램을 악용하여 사용자 정보를 변조하는 취약점

 

 

대응방안

1) 중요한 정보가 있는 홈페이지는 재 인증 적용하고 안전하다고 확인된 라이브러리나 프레임워크를 사용

 

2) 시스템, 소프트웨어, 애플리케이션, 네트워크 및 운영 체제를 최신 상태로 유지하여 보호

 

3) 바이러스 백신 프로그램을 설치하고 모든 취약점을 패치

 

4) 조직에 강력하고 안전한 인증 정책이 있어야 한다

 

5) 모든 시스템, 애플리케이션 및 폴더가 암호로 보호되어 있는지 확인

 

 

 

 

 

전송 시 중요정보 노출 취약점

취약점 설명

프로그램이 보안과 관련된 민감한 데이터를 평문으로 통신채널을 통해서 송수신 할 경우, 통신채널 스니핑을 통해 인가되지 않은 사용자에게 민감한 데이터가 노출될 수 있는 취약점

 

 

대응 방안

1) 웹 서버 내에서의 조치

     - 웹 서버는 전자서명인증서, SSL을 이용하여 사용자 식별 및 data 전송 시 암호화 통신으로

       데이터 전송의 안정성을 확보

     - 조치 완료 후 인증과정 등의 주요 정보 노출 여부를 재점검

 

2) 홈페이지 개발 보안 조치

     - 홈페이지는 중요정보와 관련된 민감한 데이터 전송 시 통신 채널 암호화 적용