N-37(중) mask-reply 차단

※ 해당 가이드는 2017년 기준입니다.

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 네트워크 장비 점검 항목

■ 취약점 개요

○ 점검개요 : mask-reply 서비스 차단 여부 점검

○ 점검목적 : mask-reply 서비스를 차단하여 신뢰할 수 없는 네트워크에 netmask 정보를 제공하지 않도록 하기 위한 목적

○ 보안위협 : mask-reply 서비스를 차단하지 않을 경우, 비인가자에게 네트워크 구성 정보가 노출될 가능성이 존재

○ 점검대상 : CISCO, Juniper 등

○ 판단기준

- 양호 : mask-reply가 차단되어 있는 경우

- 취약 : mask-reply가 차단되어 있지 않은 경우

 

■ 점검방법

○ 장비별 점검방법 예시

CISCO

serial interface 1/0 에 no ip mask-reply 설정을 한 경우   Router# config terminal Router(config)# show ip interface serial 1/0 (아래의 config를 볼 수 있지만 브로드 캐스트 포워딩이 상이) ! Directed broadcast forwarding is * disabled * <- 변경후 ICMP redirects are never sent ICMP unreachables are never sent ICMP mask replies are never sent ! Directed broadcast forwarding is * enable * <- 변경전 ICMP redirects are never sent ICMP unreachables are never sent ICMP mask replies are never sent !

Juniper

user@juniper> configure [edit] user@juniper# show interface terse

 

■ 조치방안

○ CISCO

Step 1

reply 설정 차단   Router# config terminal Router(config)# interface serial 1/0 Router(config)# no ip mask-reply

○ Juniper

Step 1

user@juniper> configure [edit] user@juniper# no ip mask-reply

 

■ 조치 시 영향

일반적인 경우 무관

 

■ mask-reply 서비스

○ 인터페이스를 통해 netmask를 요청하는 ICMP 패킷 발송 시 응답해주는 역할