- 전체
- 보안뉴스
- 제로데이취약점
- 해킹프로그래밍
- 웹해킹
- 해킹기법
- 정보보호
- 정보보안기사 - 국가기술자격
- 악성코드분석_리버싱
- 시큐어코딩_개발보안진단원
- CISSP
- CISA
- 모의해킹_penetration-test
- deepweb / tor network
- Kali Linux
모의해킹_penetration-test 웹취약점 분석 및 진단 [템플릿]
2017.11.18 06:04
웹취약점 분석 및 진단
행안부 28종 웹취약점 점검, 국정원 10대 웹취약점, OWASP Top10, CVE…
개요
통상적으로 웹취약점 분석에는 크게 나눠서 동적분석(CVE)과 정적분석(CWE) 두가지로 구분할 수 있습니다.
동적분석에는 웹모의해킹 등을 통하여 웹의 보안 취약한 서비스를 찾는 과정을 말하며, 정적분석에는 시큐어코딩SW 등을 활용하여 웹 프로그램의 보안상 취약한 코딩내역을 찾는 과정을 말합니다.
분석툴 또는 웹모의해킹 등으로 취약한 웹페이지 또는 웹서비스를 찾고, 분석된 보안취약점에 대하여 시큐어코딩 조치를 통해 안전한 WEB SITE를 운영하여야 합니다.
(주)시큐러스는 다년간의 웹취약점 분석 노하우와 소프트웨어 보안진단 자격증을 보유한 전문적인 수행인력으로 고객님의 안전한 웹사이트 운영과 소중한 IT자산을 지켜 드립니다.
문제점 및 필요성
일반적으로 웹 기반의 침해사고가 발생하는 이유는 웹 어플리케이션의 설계시에 데이타베이스 접근, 관리자 인증 및 사용자 인증, 웹 응용프로그램의 설계방식에 대한 보안성 검토가 이루어지지 않기 때문입니다.
웹 서비스에 대한 제어 및 통제는 기존 보안 솔루션인 침입탐지(IDS)/차단시스템(IPS)에서는 불가능합니다.
따라서 최근 웹 어플리케이션의 취약점을 이용한 공격이 폭팔적으로 증가하는 이유는 웹 어플리케이션에 존재하는 취약점의 보안성 검토를 수행하지 못하기 때문이며 웹 어플리케이션 취약점이 존재할 경우 현재의 보안 인프라로는 방어가 어렵습니다.
웹 취약성의 대책은 기본적으로 웹 보안 프로그래밍 기술에 의한 구현이 최고의 정책이라고 할 수 있으나,
전문 웹 보안 개발자의 절대적 부족과 지속적인 웹 서비스 개편에 따른 수정시 지속적으로 보안 문제가 발생되기 때문에
정기적인 웹취약점 점검에 따른 방어대책이 필요로 합니다.
점검사항
# 국내 기준안 및 가이드
행정안전부 (http://www.mois.go.kr)
: 국내 공공기관 웹취약점 점검 28종 항목(주요정보통신기반시설 취약점 분석‧평가 기준)
KISA (한국인터넷진흥원) http://www.kisa.or.kr/public/laws/laws3.jsp
: 국내 IT인프라에 맞도록 정리한 시큐어코딩 가이드 수록
: 국내 공공기관 웹취약점 점검 21종 항목
국가 사이버 안전센터 ( http://service1.nis.go.kr/)
: 국내 각 기관에서 홈페이지 해킹에 많이 악용되었던 ‘국정원 10대 웹보안 취약점’을 선정.
Web Sever – IIS, Apache, Tomcat, Jeus, WebSphere, WebLogic 등.
– 불필요한 파일 진단
– 부적절 에러 처리 진단
– 샘플 페이지 검색
– 디렉터리 인덱싱 기능 진단
– 디폴트 관리자 환경
– 취약한 환경설정
– 취약한 서버 버전 진단
– 불필요한 메소드 진단
Web Application – ASP, dotNet, PHP, Java&JSP
※ 위는 행정안전부의 ‘주요정보통신기반시설 취약점 분석‧평가 기준’ 웹취약점 28종 점검 항목 기준임.
# 그 외 국제 기준안 및 가이드
OWASP Top10 (Open Web Application Security Project) https://www.owasp.org
: 국제 웹 보안 표준기구로 정기적으로 웹 해킹 위협의 동향을 발표
CWE/SANS 25 (https://www.sans.org/top25-software-errors/)
: SANS와 미국방성 산하 MITRE 그리고 그 외 미국 및 유럽의 여러 소프트웨어 보안 전문가에 의해
CWE/SANS 25 라는 이름으로 소프트웨어 개발자가 가장 범하기 쉬운 코드 취약점에 대해 발표
740여 가지의 다양한 언어에 대한 취약점을 권고하고 관리하고 있음
CERT SecureCoding (https://www.securecoding.cert.org/)
: 미국 국토안보부 산하 컴퓨터 긴급대응팀, 국가 사이버 경보 시스템, 취약 정보 등 제공
CWE (Common Weakness Enumeration) http://cwe.mitre.org
: 발견된 정적분석 취약점을 CWE-ID로 넘버링 포맷이 되어 있는 DB 수록.
점검 절차 – 일반
점검 절차 – 이행점검 포함
기대효과
– 기존에 구축되어 있는 소프트웨어 내부의 당면 보안 문제 해결
– 자체 개발 소프트웨어 또는 외주 개발 소프트웨어의 시스템 리스크(Systemic Risk) 감소
– SW보안 자격증 소지한 전문인력의 취약점 분석수행으로 취약점 결과의 신뢰
– 시스템 안정성 및 유연성 확보, 체계적인 시스템 개발 및 운영 가능
– 소프트웨어 취약성을 파악하고 해결하는 데 소요되는 시간을 단축
– 보안 운영 관련 비용 절감
– 보안과 관련된 지연을 최소화함으로써 보안업무 효율성 증대
– 최신 국내/국제 SW보안 반영
광고 클릭에서 발생하는 수익금은 모두 웹사이트 서버의 유지 및 관리, 그리고 기술 콘텐츠 향상을 위해 쓰여집니다.
