주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.
주요정보통신기반시설 취약점 Windows 서버 점검 항목
■ 취약점 개요
○ 점검개요 : 웹서버 디렉토리 리스팅 차단 설정 여부 점검
○ 점검목적 : 웹서버 특정 폴더에 대한 디렉토리 리스팅 취약점을 제거하여, 불필요한 파일 정보 노출을 차단하기 위함
○ 보안위협 : 웹서버에 디렉토리 리스팅이 제거되지 않은 경우 외부에서 디렉토리 내에 보유하고 있는 모든 파일 목록 확인 및 파일에 대한 접근이 가능하여 주요 정보의 유출의 가능성이 있음
○ 점검대상 : Windows 2000, 2003, 2008, 2012, 2016 등
○ 판단기준
- 양호 : "디렉토리 검색" 체크하지 않음
- 취약 : "디렉토리 검색" 체크함
※ 조치 시 마스터 속성과 모든 사이트에 적용함
■ 점검방법
○ Window 2000(IIS 5.0), 2003(IIS 6.0)
|
Step 1 |
아래 경로를 참고하여 설정 확인 시작> 실행> INETMGR> 웹 사이트> 속성> 홈 디렉토리 |
○ Window 2008(IIS 7.0), 2012(IIS 8.0)
|
Step 1 |
아래 경로를 참고하여 설정 확인 제어판> 관리도구> 인터넷 정보 서비스(IIS) 관리 |
■ 조치방안
○ Window 2000(IIS 5.0), 2003(IIS 6.0)
|
Step 1 |
아래 경로를 참고하여 설정 확인 시작> 실행> INETMGR> 웹 사이트> 속성> 홈 디렉토리 |
|
Step 2 |
"디렉토리 검색" 체크 해제  |
○ Window 2008(IIS 7.0), 2012(IIS 8.0)
|
Step 1 |
아래 경로를 참고하여 설정 확인 제어판> 관리도구> 인터넷 정보 서비스(IIS) 관리 |
|
Step 2 |
“디렉토리 검색” 선택 후 "사용 안 함" 선택   |
■ 조치 시 영향
일반적인 경우 무관
■ 디렉토리 리스팅 취약점 : 디렉토리에 대한 요청 시 기본 페이지가 호출되어 사용자에게 전송하지만, 기본 페이지가 존재하지 않는 경우 디렉토리 내에 존재하는 모든 파일의 목록 을 보여주는 취약점
'취약점 진단 가이드 > WINDOWS 서버 진단 가이드' 카테고리의 다른 글
| W-25(상) IIS 상위 디렉토리 접근 금지 (0) | 2021.03.03 |
|---|---|
| W-24(상) IIS CGI 실행 제한 (0) | 2021.03.03 |
| W-22(상) IIS 서비스 구동 점검 (0) | 2021.03.02 |
| W-21(상) 불필요한 서비스 제거 (0) | 2021.03.01 |
| W-20(상) 하드디스크 기본 공유 제거 여부 점검 (3) | 2021.02.28 |