W-39(상) Anonymous FTP 금지

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 Windows 서버 점검 항목

■ 취약점 개요

○ 점검개요 : FTP 서비스의 Anonymous(익명) 접속 허용 여부 점검

○ 점검목적 : FTP 익명 접속을 제한하여, 중요 정보의 불법 유출을 차단 하고자 함

○ 보안위협 : FTP 익명 접속이 허용된 경우 헥심 기밀 자료나 내부 정보의 불법 유출 가능성이 존재함

○ 점검대상 : Windows NT, 2000

○ 판단기준

- 양호 : FTP 서비스를 사용하지 않거나, "익명 연결 허용"이 체크되지 않은 경우

- 취약 : FTP 서비스를 사용하거나, "익명 연결 허용"이 체크되어 있는 경우

 

■ 점검방법

○ Window NT(IIS 4.0), 2000(IIS 5.0), 2003(IIS 6.0)

Step 1

아래 경로를 참고하여 설정 확인 인터넷 정보 서비스(IIS) 관리> FTP 사이트> 속성 > [보안 계정] 탭에서 "익명 연결 허용" 설정 확인

○ Window 2008(IIS 7.0), 2012(IIS 8.0)

Step 1

아래 경로를 참고하여 설정 확인 제어판> 관리도구> 인터넷 정보 서비스(IIS) 관리 > 해당 웹사이트> 마우스 우클릭

  ※ IIS 7.0 이상 버전에서는 FTP 사이트를 별도로 생성하지 않고 기존 웹 사이트에 FTP 사이트를 바인딩하여 사용함(관리 도구> 인터넷 정보 서비스(IIS) 6.0 관리자에서 FTP 설정 가능)

 

■ 조치방안

○ Window NT(IIS 4.0), 2000(IIS 5.0), 2003(IIS 6.0)

Step 1	아래 경로를 참고하여 설정 확인 인터넷 정보 서비스(IIS) 관리> FTP 사이트> 속성 > [보안 계정] 탭에서 "익명 연결 허용" 설정 확인
Step 2	[보안 계정] 탭에서 "익명 연결 허용" 체크박스 해제 (만약 개별 FTP 사이트에 적용할 경우 해당 사이트에만 설정이 적용되고, 기본 설정은 적용 받지 않음)

○ Window 2008(IIS 7.0), 2012(IIS 8.0)

Step 1	아래 경로를 참고하여 설정 확인 제어판> 관리도구> 인터넷 정보 서비스(IIS) 관리> 해당 웹사이트> 마우스 우클릭> FTP 게시 추가
Step 2	이후 진행 과정에서 인증 화면의 익명 체크 박스 해제

 

■ 조치 시 영향

애플리케이션에서 익명 연결을 사용할 경우를 제외하고, 일반적으로 무관

■ 만약 익명 접속이 허용된 FTP 서버에 익명 사용자에 대해 쓰기 권한이 부여된 경우, 정상적으로 업로드한 파일들의 변조가 가능하므로 공개한 디렉토리 내 중요 데이터가 보관되어 있는지 여부를 추가적으로 확인하여야 함