정보보안 / 개인정보보안

취약한 패스워드(비밀번호) 저장 방식 사용 1. 정의shadow 파일은 리눅스 시스템에서 사용자 계정의 암호화 된 비밀번호와 관련 된 정보를 저장하는 파일임해당 파일이 root사용자가 아닌 자가 읽기권한이 있을 경우 발생2. 위험데이터 유출 및 계정 탈취- 해커가 취약한 암호화 알고리즘을 통해 저장 된 패스워드를 쉽게 파악 가능- Brute Force 공격에 취약해저 사용자의 계정 탈취 위험 증가전사 시스템 보안 위협- 여러 계정에서 동일한 비밀번호를 사용하는 경우가 많기 때문에, 한 계정의 유출로 인해 다른 계정들도 위험해 질 수 있음- 관리자 계정이 탈취 될 경우 시스템의 통제권이 비인가자에게 넘어갈 수 있음3. 대응 방안올바른 권한 설정- /etc/shadow 파일의 소유자를 root로 설정하고 파..

인프라 보안 취약점 2025. 2. 24. 14:09

웹 서비스 경로 내 불필요한 링크 파일 존재 1. 정의웹 서버에 설정 된 웹 서비스 루트 경로를 벗어나는 외부 링크 파일이 존재할 경우, 공격자에 의한 비인가 접근 가능성이 존재2. 위험시스템 권한 탈취- 무분별한 심볼릭 링크 및 ailases 사용으로 시스템 권한 탈취 가능성 존재중요 파일 노출- 웹 루트 디렉토리상의 root 디렉토리리(/)를 링크하는 파일이 있을 경우, 디렉토리 인덱싱 기능을 차단하였더라도 root 디렉토리 조회가 가능함민감한 정보 노출- 웹 서버 구동 사용자 권한으로 모든 파일 시스템 파일에 접근 가능 (/etc/passwd 등)3. 대응 방안링크 파일 식별- 웹 서비스 경로 내의 모든 심볼릭 링크 및 ailases 식별- la-l 등의 명령어를 사용하여 링크 파일 확인

인프라 보안 취약점 2025. 2. 24. 14:02

웹 서비스 파일 업로드 및 파일 다운로드 용량 제한 미흡 1. 정의웹 서버상의 파일 업로드 혹은 파일 다운로드 용량을 제한하는 기능으로 불필요한 대량의 업로드 및 다운로드에 대한 통제 관리가 이루어져야 함2. 위험서비스 불가- 대량의 파일 업로드 및 다운로드로 인한 서버 부하중요 정보 유출악성 파일 업로드시스템 자원 고갈3. 대응 방안서버 환경 확인- 사용중인 웹 서버별 맞는 설정 방법을 적용적정한 용량 제한 설정- 업무 요구사항을 고려하여 파일 업로드 및 다운로드 용량을 제한

인프라 보안 취약점 2025. 2. 24. 13:33

웹 서비스 경로 내 불필요한 파일 존재 1. 정의웹 서버 설치 시 기본으로 생성되는 설명 파일 또는 불필요한 테스트페이지, 파일의 노출2. 위험정보 노출- 백업파일, 로그파일, 압축 파일 등이 루트경로에 존재할 경우 공격자가 직접 요청 가능내부 로직 유출시스템 구조 노출추가적인 공격 벡터 노출 가능성3. 대응 방안웹 서버 내에 있는 모든 환경 및 파일 식별필요한 파일과 불필요한 파일을 분류하여, 불필요한 파일을 노출되지 않도록 설정

인프라 보안 취약점 2025. 2. 24. 13:30

웹 서비스 디렉토리 리스팅 방지 설정 미흡 1. 정의디렉토리 리스팅이랑 웹 서버의 특정 경로에 있는 파일들을 웹 서비스를 통해 디렉토리 형식으로 볼 수 있게 하는 기능임디렉토리에 대한 요청 시 해당 디렉토리에 대한 기본 문서가 존재하지 않을 경우 디렉토리 내에 존재하는 모든 파일들의 목록을 노출 함2. 정의악용정보 노출보안 취약점 악용소스코드 유출- 웹 서버 내에 java파일, 플러그인 파일 등이 노출되어 공격자가 취약점을 분석할 수 있음시스템 구조 노출3. 조치방법 단계적 허용- 최상단 페이지에서 전역 설정을 하기 보다 각각의 하위 페이지에서 단계적으로 적용하고 서비스 하는 것을 권고

인프라 보안 취약점 2025. 2. 24. 13:28

Root 계정 원격 접속 제한 미비 1. 취약점 정의root 계정은 시스템의 모든 권한을 가진 특별 계정임시스템 관리자(super user)가 root 계정으로 서버에 직접 로그인 하는 경우 발생혹은, 일반 사용자 계정으로 로그인 후 권한 상승(su, sudo) 등의 경우 발생 2. 위험시스템 장악 위협- brute force 공격 혹은 dictionary attack 등의 방법을 통해 root계쩡이 탈취될 수 있음- 공격자가 root 권한을 획득 할 경우 시스템 장악 위험 존재데이터 유출 및 변조- root 계정은 시스템의 모든 기능, 파일 등에 접근할 수 있음- 관련하여 중요 정보 유출, 시스템 설정 변경, 파일 조작 및 삭제등 무결성이 침해될 수 있음시스템 무결성 손상 3. 고려사항/etc/ssh/..

인프라 보안 취약점 2025. 2. 24. 13:23

취약점의 정의 및 유형1. CVE (Common Vulnerabilites and Exposures)정의 : 컴퓨터 HW 및 SW상의 결함, 체계 및 설계상의 허점 등의 취약점코드 정의 : CVE-연도-식별번호심각도 평가 방식 : CVSS 평가 방식진단 방법 : 어프리케이션 (Microsoft, edge, chrome, java, Open SSL) 등 응용프로그램 진단조치 방법 : 제조사의 공식 패치를 통해 조치 - 설계 상의 허점으로 자체 개선이 불가능2. CCE정의 : 정보 열람, 변조, 유출 등을 가능하게 하는 시스템 상의 취약점코드 정의 : CCE-식별번호-버전진단 방법 : 정보시스템 설정 값 진단조치 방법 : 운영자 및 관리자가 취약한 환경 설정 값 등을 수정3. CWE소프트웨어 언어, 아키텍처..

인프라 보안 취약점 2025. 2. 24. 10:28