W-29(상) IIS 파일 업로드 및 다운로드 제한

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 Windows 서버 점검 항목

■ 취약점 개요

○ 점검개요 : IIS 파일 업로드 및 다운로드 제한 설정 여부 점검

○ 점검목적 : 기반시설 시스템은 파일의 업로드 및 다운로드를 원칙적으로 금지하나, 부득이 파일의 업로드 및 다운로드 기능을 활용해야 하는 경우, 파일의 용량 제한을 설정하여 보안성 유지 및 안정적인 웹서버 자원관리를 할 수 있도록 하기 위함

○ 보안위협 : 대용량 파일 업로드 및 다운로드가 가능한 경우 서버 리소스에 영향을 주어 서비스 장애가 발생할 수 있음

○ 점검대상 : Windows NT, 2000, 2003, 2008, 2012, 2016 등

○ 판단기준

- 양호 : 웹 프로세스의 서버 자원 관리를 위해 업로드 및 다운로드 용량을 제한하는 경우

- 취약 : 웹 프로세스의 서버 자원을 관리하지 않는 경우 (업로드 및 다운로드 용량 미 제한)

 

■ 점검방법

○ Window NT, 2000, 2003

Step 1

아래 경로를 참고하여 설정 수정 시작> 실행> SERVICES.MSC> IISADMIN> 속성 > [일반] 탭에서 서 서비스 확인

○ Window 2008, 2012, 2016 등

Step 1

등록된 웹 사이트의 루트 디렉터리 디렉토리에 있는 web.config 파일 내“requestLimits” 설정 확인

 

■ 조치방안

○ Window NT, 2000, 2003

Step 1	아래 경로를 참고하여 설정 수정 시작> 실행> SERVICES.MSC> IISADMIN> 속성 > [일반] 탭에서 서 서비스 확인 후 서비스 중지
Step 2	%systemroot%Wsystem32WinetsrvWMetaBase.xml 파일을 찾아 편집기로 OPEN
Step 3	AspMaxRequestEntityAllowed 값을 찾아 파일 업로드 용량을 최소 범위로 제한
Step 4	AspBufferingLimit 값을 찾아 파일 다운로드 용량을 최소 범위로 제한
Step 5	아래 경로를 참고하여 설정 수정 시작> 실행> SERVICES.MSO IISADMIN> 속성> [일반] 탭에서 서비스 시작

○ Window 2008, 2012, 2016 등

Step 1	등록된 웹 사이트의 루트 디렉터리 디렉토리에 있는 web.config 파일 내“requestLimits” 항목 추가 (web.config 파일이 없으면 사이트 홈 디렉토리에 새로 생성)
Step 2	%systemroot% Wsystem32 Winetsrv Wconfig WapplicationHost.config 파일 내 아래 항목 추가 ■ Default 설정 값 ○ maxAllowedContentLength (콘텐츠 용량) => Default: 30MB ○ MaxRequestEntityAllowed (파일 업로드 용량) => Default: 200000 byte ○ bufferingLimit (파일 다운로드 용량) => Default: 4MB(4194304 byte)

 

■ 조치 시 영향

일반적인 경우 무관

 

■ IIS에서는 파일의 업로드 및 다운로드 기능을 직접적으로 차단하는 기능이 없어, 웹사이트 내 파일의 업로드 및 다운로드 기능의 구현 여부의 병행 점검이 필요