S-24(상) SNMP Community String 복잡성 설정

※ 해당 가이드는 2017년 기준입니다.

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 네트워크 장비 점검 항목

■ 취약점 개요

○ 점검개요 : SNMP Community String 이 유추하기 어렵게 설정되어 있는지 점검

○ 점검목적 : SNMP Community String 을 유추하기 어렵도록 설정하여 네트워크상에서 시스템 정보가 비인가자에게 노출되지 않도록 함

○ 보안위협 : SNMP의 Public, Private과 같은 디폴트 Community String이 변경되지 않고 그대로 사용될 경우, 악의적인 사용자가 장비 설정을 쉽게 변경(RW)하여 중요 시스템 정보가 노출될 수 있는 위험이 존재함

○ 점검대상 : 방화벽, IPS, VPN 등

○ 판단기준

- 양호 : SNMP 서비스를 사용하지 않거나, 유추하기 어려운 community string을 설정한 경우

- 취약 : 디폴트 community string을 변경하지 않거나, 유추하기 쉬운 community string을 설정한 경우

 

■ 점검방법

Step 1

보안장비의 SNMP 설정 메뉴에서 커뮤니티 스트링 확인

 

■ 조치방안

○ 유추하기 어려운 community string을 설정

Step 1	보안 장비는 SNMP 취약성이 존재하므로 누구나 추측하기 어렵고 의미가 없는 문자열, 영문자 혼합으로 변경 권고
Step 2	보안장비의 SNMP 설정에서 커뮤니티 이름 변경

 

■ 조치 시 영향

일반적인 경우 무관

 

■ SNMP 버전

○ vl, v2 ,v3 이 존재하는데 vl, v2 는 community string을 평문 전송하지만 v3 은 암호화가 설정되어 해쉬 값으로 전송함