- 전체
- 보안뉴스
- 제로데이취약점
- 해킹프로그래밍
- 웹해킹
- 해킹기법
- 정보보호
- 정보보안기사 - 국가기술자격
- 악성코드분석_리버싱
- 시큐어코딩_개발보안진단원
- CISSP
- CISA
- 모의해킹_penetration-test
- deepweb / tor network
- Kali Linux
시큐어코딩_개발보안진단원 시큐어코딩 수행 [템플릿]
2017.11.18 06:05
시큐어코딩 수행
행안부 47종 분석, OWASP TOP10, CWE-SANS 25, CERT SecureCoding
개요
소프트웨어 개발시 시큐어 코딩이 적용되야할 취약점 유형은 다음과 같습니다.
입력데이터 검증 및 표현
보안기능
시간 및 상태
에러 처리
코드 오류
캡슐화
API 오용
위의 취약점 유형을 기준으로 행안부 47종 보안약점 세부 항목이 있으며, 이에 대한 조치 및 적용을 하여야
웹시스템 운영에 보안상 안전할 수 있습니다.
시큐어코딩을 수행함에 있어 개발자가 임의로 시큐어코딩을 할 수는 있으나, 보다 확실하고 전문적으로 하기 위해서는
보안전문가(행안부 인증 소프트웨어 보안진단원)의 도움을 받거나, 시큐어코딩 전문툴을 활용하는 방법이 좋습니다.
(주)시큐러스는 다년간의 시큐어코딩 수행 경험과 소프트웨어 보안진단 자격증을 보유한 전문적인 수행인력을 바탕으로
최고의 품질을 제공하여 고객님의 안전한 웹사이트 운영과 소중한 IT자산을 지켜 드립니다.
필요성
# 행안부 47종 항목 기준표
| 구분 | N0 | 보안약점 항목 | CWE ID |
| 입력 데이터 검증 및 표현 |
1 | SQL 사입 | 89 |
| 2 | 자원 삽입 | 99 | |
| 3 | 크로스사이트스크립트 | 80 | |
| 4 | 운영체제 명령어 삽입 | 78 | |
| 5 | 위험한 형식 파일 업로드 | 434 | |
| 6 | 신뢰되지 않는 URL 주소로 자동 접속 연결 | 601 | |
| 7 | XQuery 삽입 | 652 | |
| 8 | XPath 삽입 | 643 | |
| 9 | LDAP 삽입 | 90 | |
| 10 | 크로스사이트 요청 위조 | 352 | |
| 11 | 디렉토리 경로 조작 | 22 | |
| 12 | HTTP 응답분할 | 113 | |
| 13 | 정수 오버플로우 | 190 | |
| 14 | 보호메커니즘을 우회할 수 있는 입력값 변조 | 807 | |
| 15 | 스택 오버플로우(Stack Overflow) | 121 | |
| 16 | 힙 오버플로우(Heap Overflow) | 122 | |
| 보안 기능 | 1 | 적절한 인증 없는 중요기능 허용 | 306 |
| 2 | 부적절한 인가 | 285 | |
| 3 | 중요한 자원에 대한 잘못된 권한설정 | 732 | |
| 4 | 취약한 암호화 알고리즘 사용 | 327 | |
| 5 | 사용자 중요정보 평문 저장(또는 전송) | 311 | |
| 6 | 하드코드된 패스워드 | 259 | |
| 7 | 충분하지 않은 키 길이 사용 | 310 | |
| 8 | 적절하지 않은 난수 값 사용 | 330 | |
| 9 | 패스워드 평문 저장 | 256 | |
| 10 | 하드코드된 암호화 키 | 321 | |
| 11 | 취약한 패스워드 허용 | 521 | |
| 12 | 사용자 하드디스크에 저장되는 쿠키를 통한 정보노출 | 539 | |
| 13 | 보안속성 미적용으로 인한 쿠키 노출 | 614 | |
| 14 | 주석문 안에 포함된 패스워드 등 시스템 주요정보 | 615 | |
| 15 | 솔트 없이 일방향 해쉬함수 사용 | 759 | |
| 16 | 무결성 검사없는 코드 다운로드 | 494 | |
| 시간 및 상태 | 1 | 경쟁조건: 검사시점과 사용시점(TOCTOU) | 367 |
| 2 | 제어문을 사용하지 않는 재귀함수 | 674 | |
| 에러 처리 | 1 | 오류메시지통한 정보노출 | 209 |
| 2 | 오류상황 대응 부재 | 390 | |
| 3 | 적절하지 않은 예외처리 | 754 | |
| 코드 오류 | 1 | 널(Null) 포인터 역참조 | 476 |
| 2 | 부적절한 자원 해제 | 404 | |
| 3 | 메모리 누수(Memory Leak) | 401 | |
| 4 | 이중 해제(Double Free) | 415 | |
| 5 | 해제 후 사용(Use After Free) | 416 | |
| 6 | 초기화되지 않은 변수(Uninitialized Variable) | 457 | |
| 캡슐화 | 1 | 잘못된 세션에 의한 데이터 정보 노출 | 488 |
| 2 | 제거되지 않고 남은 디버그 코드 | 489 | |
| 3 | 시스템 데이터 정보노출 | 497 | |
| 4 | Public 메소드부터 반환된 Private 배열 | 495 | |
| 5 | Private 배열에 Public 데이터 할당 | 496 | |
| API 악용 | 1 | DNS lookup에 의존한 보안결정 | 247 |
# 그 외 기준안 및 가이드
KISA (한국인터넷진흥원) http://www.kisa.or.kr/public/laws/laws3.jsp
: 국내 IT인프라에 맞도록 정리한 시큐어코딩 가이드 수록
국가 사이버 안전센터 ( http://service1.nis.go.kr/)
: 국내 각 기관에서 홈페이지 해킹에 많이 악용되었던 ‘국정원 10대 웹보안 취약’점을 선정.
OWASP Top10 (Open Web Application Security Project) https://www.owasp.org
: 국제 웹 보안 표준기구로 정기적으로 웹 해킹 위협의 동향을 발표
CWE/SANS 25 (https://www.sans.org/top25-software-errors/)
: SANS와 미국방성 산하 MITRE 그리고 그 외 미국 및 유럽의 여러 소프트웨어 보안 전문가에 의해
CWE/SANS 25 라는 이름으로 소프트웨어 개발자가 가장 범하기 쉬운 코드 취약점에 대해 발표
740여 가지의 다양한 언어에 대한 취약점을 권고하고 관리하고 있음
CERT SecureCoding (https://www.securecoding.cert.org/)
: 미국 국토안보부 산하 컴퓨터 긴급대응팀, 국가 사이버 경보 시스템, 취약 정보 등 제공
CWE (Common Weakness Enumeration) http://cwe.mitre.org
: 발견된 정적분석 취약점을 CWE-ID로 넘버링 포맷이 되어 있는 DB 수록.
기대효과
기존에 구축되어 있는 소프트웨어 내부의 당면 보안 문제 해결
자체 개발 소프트웨어 또는 외주 개발 소프트웨어의 시스템 리스크(Systemic Risk) 감소
행자부의 SW보안약점 진단원 자격증 소지한 전문인력의 시큐어코딩 수행으로 취약점 결과의 신뢰
시큐어코딩과 관련된 지연을 최소화함으로써 SW보안업무 효율성 증대
최신 국내/국제 시큐어코딩 기술 적용
광고 클릭에서 발생하는 수익금은 모두 웹사이트 서버의 유지 및 관리, 그리고 기술 콘텐츠 향상을 위해 쓰여집니다.
