U-52(상) Apache 디렉토리 리스팅 제거

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 Unix 점검 항목

■ 취약점 개요

○ 점검개요 : 디렉터리 검색 기능의 활성화 여부 점검

○ 점검목적 : 외부에서 디렉터리 내의 모든 파일에 대한 접근 및 열람을 제한

○ 보안위협 : 디렉터리 검색 기능이 활성화 되어 있을 경우, WEB 서버 구조 노출뿐만 아니라 백업 파일이나 소스파일, 공개되어서는 안되는 파일 등이 노출 가능

○ 점검대상 : SOLARIS, LINUX, AIX, HP-UX 등

○ 판단기준

- 양호 : 디렉터리 검색 기능을 사용하지 않는 경우

- 취약 : 디렉터리 검색 기능을 사용하는 경우

 

■ 점검방법

○ LINUX, AIX, HP-UX, SOLARIS

Indexes 옵션 사용 여부 확인

#vi /[Apache home]/conf/httpd.conf

  Options Indexes FollowSymLinks

※ 위에 제시한 파일에 "Indexes" 옵션이 설정된 경우 조치방안에 따라 옵션 설정 변경한다.

 

■ 조치방안

○ LINUX, AIX, HP-UX, SOLARIS

1. vi 편집기를 이용하여 /[Apache_home]/conf/httpd.conf 파일 열기

 #vi /[Apache_home]/conf/httpd.conf

2. 설정된 모든 디렉터리의 Options 지시자에서 Indexes 옵션 제거

(수정 전)Option 지시자에 Indexes 옵션이 설정

<Directory />

 Options Indexes FollowSymLinks

 AllowOverride None

 Order allow, deny

 Allow from all

</Directory>

(수정 후)Option 지시자에 None 변경 후 저장

<Directory />

 Options None

 AllowOverride None

 Order allow, deny

 Allow from all

</Directory>

 

■ 조치 시 영향

일반적으로 무관