N-19(상) SNMP 커뮤니티 권한 설정

※ 해당 가이드는 2017년 기준입니다.

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 네트워크 장비 점검 항목

■ 취약점 개요

○ 점검개요 : SNMP 서비스 사용 시 Community String 권한이 불필요하게 RW로 설정 되어 있는지를 점검

○ 점검목적 : 불필요한 SNMP Community String의 RW 권한을 제거함으로써 공격자의 SNMP를 통한 라우터 정보 수정을 막기 위한 목적

○ 보안위협 : SNMP Community String 권한이 불필요하게 RW로 설정되어 있으면, 공격자가 Community String 추측 공격을 통해 Community String을 탈취했을 시 SNMP를 이용하여 네트워크 설정 정보를 변경하여 내부망 침투가 가능

○ 점검대상 : CISCO, Alteon, Passport, Juniper 등

○ 판단기준

- 양호 : SNMP Community String 권한이 RO인 경우

- 취약 : SNMP Community String 권한이 불필요하게 RW로 설정된 경우

 

■ 점검방법

○ 장비별 점검방법 예시

CISCO	Router# show running-config SNMP 설정 확인
Passport	config snmp 에서 SNMP community 권한 확인
Juniper	user@juniper> configure [edit] user@juniper# show root authentication 설정을 이용하여 [edit system] 레벨에서 SNMP community 권한 확인

 

■ 조치방안

○ CISCO

Step 1

SNMP Community String 권한 설정 방법 (RW 권한 삭제 권고)   Router# config terminal Router(config)# snmp-server community <스트링명> RO Router(config)# snmp-server community <스트링명> RW

○ Passport

Step 1

SNMP Community String 권한 설정 방법 (RW 권한 삭제 권고) switch로 접속   # config snmp-v3 community create <Conun Idx> <name> <security> [tag <value>]   # config snmp-v3 group-member create <user name> <model> [<group name>]   # config snmp-v3 group-access create <group name> <prefix> <model> <level>   # config snmp-v3 group-access view <group name> <prefix> <model> <level> [read <value>] [write <value>] [notify <value>]

 

■ 조치 시 영향

쓰기 권한 설정 시에 라우터 정보의 변경까지 가능하므로 주의 필요

■ SNMP Community String 권한

○ SNMP Community String 권한에는 RO(Read Only)와 RW(Read Write) 모드가 있으며 RO 모드의 경우 네트워크 설정 값에 대한 열람만 가능하고 RW 모드는 열람 및 수정 가능