N-18(상) SNMP ACL 설정

※ 해당 가이드는 2017년 기준입니다.

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 네트워크 장비 점검 항목

■ 취약점 개요

○ 점검개요 : SNMP 서비스 사용 시 네트워크 장비 ACL(Access list)을 설정하여 SNMP 접속 대상 호스트를 지정하여 접근이 가능한 IP를 제한하였는지 점검

○ 점검목적 : SNMP ACL 설정을 함으로써 임의의 호스트에서 SNMP 접근을 차단하여 네트워크 정보의 노출을 제한

○ 보안위협 : 비인가자의 SNMP 접근을 차단하지 않을 경우, 공격자가 Community String 추측 공격 후 MIB 정보를 수정하여 라우팅 정보를 변경하거나 터 널링 설정을 하여 내부망에 침투할 수 있는 위험이 존재

○ 점검대상 : CISCO, Passport, Juniper, Piolink 등

○ 판단기준

- 양호 : SNMP 서비스를 사용하지 않거나, SNMP 접근에 대한 ACL을 적용한 경우

- 취약 : SNMP 접근에 대한 ACL을 적용 하지 않은 경우

 

■ 점검방법

○ 장비별 점검방법 예시

CISCO	Router# show running-config SNMP 설정 확인 Access-List 설정 확인
Passport	config snmp-v3에서 접근목록 설정 확인
Juniper	edit snmp에서 접근목록 설정 확인
Piolink	configuration 모드에서 snmp 접근목록 설정 확인

 

■ 조치방안

○ CISCO

Step 1	access-list를 이용하여 특정 호스트만 열어 주기(port:161,162)
Step 2	Router# config terminal
Step 3	Router(config)# access-list 100 permit ip host 100.100.100.100 any
Step 4	Router(config)# access-list 100 deny udp any any eq snmp
Step 5	Router(config)# access-list 100 deny udp any any eq snmp trap
Step 6	Router(config)# access-list 100 permit ip any any
Step 7	Router(config)# interface serial 0 (해당 인터페이스에 설정)
Step 8	Router(config-if)# ip access-group 100 in
Step 9	시스코 스위치 장비인 경우 vlan 에 설정   Router(config)# interface vlan1 Router(config-if)# ip access-group 100 in

○ Passport

Step 1	switch로 접속
Step 2	# config snmp-v3 community create <Comm Idx> <name> <security> [tag <value>]
Step 3	# config snmp-v3 group-member create <user name> <model> [<group name>]
Step 4	# config snmp-v3 group-access create <group name> <prefix> <model> <level>
Step 5	# config snmp-v3 group-access view <group name> <prefix> <model> <level> [read <value>][write <value>] [notify <value>]

○ Juniper

Step 1	해당 인터페이스에서만 접속가능   [edit snmp] snmp { interface [ so-0/0/0.0 so-0/0/0.1 at-1/0/1.0 at-1/0/1.1 ]; }
Step 2	203.235.xxx.xxx에서만 해당 네트워크 장비로 접속가능   [edit snmp community] clients { default restrict; 203.235.xxx.xxx <restrict>;

○ Piolink

Step 1	관리자 모드로 접속
Step 2	configuration
Step 3	snmp <agent-address> <ip-addr> <port>

 

■ 조치 시 영향

일반적인 경우 무관