U-70(중) Apache 웹 서비스 정보 숨김

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 Unix 점검 항목

■ 취약점 개요

○ 점검개요 : 웹페이지에서 오류 발생 시 출력되는 메시지 내용 점검

○ 점검목적 : HTTP 헤더, 에러페이지에서 웹 서버 버전 및 종류, 0S 정보 등 웹 서버와 관련된 불필요한 정보가 노출되지 않도록 하기 위한 목적

○ 보안위협 : 불필요한 정보가 노출될 경우 해당 정보를 이용하여 시스템의 취약점을 수집

○ 점검대상 : SOLARIS, LINUX, AIX, HP-UX 등

○ 판단기준

- 양호 : ServerTokens Prod, ServerSignature Off로 설정되어있는 경우

- 취약 : ServerTokens Prod, ServerSignature Off로 설정되어있지 않은 경우

 

■ 점검방법

○ LINUX, AIX, HP-UX, SOLARIS

ServerTokens, ServerSignature 옵션 설정 여부 확인

 # vi /[Apache Home]/conf/httpd.conf

  ServerTokens Prod

  ServerSignature off

※ “httpd.conf” 파일 내에 ServerTokens, ServerSignature 지시자가 위와 같이 설정되어 있지 않은 경우 조치방안에 따라 옵션을 추가한다.

 

■ 조치방안

○ LINUX, AIX, HP-UX, SOLARIS

1. vi 편집기를 이용하여 /[Apache_home]/conf/httpd.conf 파일을 연 후

 #vi /[Apache_home]/conf/httpd.conf

 

2. 설정된 모든 디렉터리의 ServerTokens 지시자에서 Prod 옵션 설정 및 ServerSignature Off 지시자에 Off 옵션 설정(없으면 신규 삽입)

 <Directory/>

   Options Indexes FollowSymlinks

   ServerTokens Prod

   ServerSignature Off

   -이하 생략 -

  </Directory>

○ ServerTokens 지시자 옵션

키워드	제공하는 정보	예문
Prod	웹 서버 종류	Apache
Min	웹 서버 버전	Apache/2.2.3
OS	웹 서버 버전 + 운영체제	Apache/2.2.3(CentOS)(기본값)
Full	웹 서버의 모든 정보	Apache/2.2.3(CentOS) DAV/2 PHP/5.16

 

■ 조치 시 영향

일반적인 경우 무관