침해대응 & CERT_7(실무에서 중요하게 다루는 취약점(2))

저번 시간에 이어 실무에서 중요하게 다루는 취약점을 조금 더 살펴보는 시간을 가졌습니다.

 

취약한 파일 존재 취약점, 계정 관리 취약점, 실명 인증 취약점, 전송 시 주요정보 노출 취약점 이렇게 4가지 경우로 나눠 정의, 위협, 사례, 대응방안을 정리하여 발표를 진행했습니다.

 

[발표 자료]

[31주차] 침해대응_CERT_7.pdf

1.09MB

 

 

[4줄 요약]

 

1. 취약점 파일 존재 취약점

정의 : 웹서버에 불필요하거나 관리되지 않는 백업 파일, 설정 파일, 디버깅 파일이 남아 있는 경우 발생합니다.

위협 : 공격자는 URL 추측이나 디렉토리 브루트포싱을 통해 접근하여 내부 소스코드, DB  접속 정보, 계정정보 등을 획득할 수 있습니다.

대응방안 : 

• 운영 환경에서 불필요한 파일은 반드시 삭제
• .git, .svn 등 VCS 디렉토리 접근 차단
• 웹 서버(WAS) 레벨에서 하이트리스트 기반 접근제어 적용
• 정기적으로 취약점 점검 툴을 통해 노출 파일 확인

2. 계정 관리 취약점

정의 : 사용자 계정 및 관리자 계정에 대해 비밀번호 정책이 약하거나, 공용 계정 사용, 세션 만료 미적용, 계정 잠금 미비 등이 존재할 경우 발생합니다.

위협 : 공격자는 브루트포스, 세션 하이재킹 등을 통해 쉽게 계정을 탈취할 수 있습니다.

대응방안 : 

• 비밀번호 정책 강화
• 계정 잠금 정책 적용
• 세션 타임아웃 설정
• 관리자 계정 분리 및 공용 계정 사용 금지

3. 실명 인증 취약점

정의 : 회원가입이나 본인 인증 시 주민등록번호, 이름/생년월일, 휴대폰 번호 등을 단순히 클라이언트에서만 검증하거나, 서버 검증이 미흡할 경우 발생합니다.

위협 : 공격자는 우회 입력으로 타인의 정보로 계정을 생성하거나, 인증 과정을 우회할 수 있습니다.

대응방안:

• 실명 인증은 반드시 공식 대행사 모듈을 통해 처리
• 서버 사이드에서 중복 가입 여부 및 위변조 검증 수행
• 민감정보는 반드시 암호화 및 최소한의 보관 원칙 적용

4. 전송 시 주요정보 노출 취약점

정의 : 로그인 정보 입력시 HTTP(비암호화)로 전송하는 경우 발생합니다. 또는 HTTPS가 적용되어 있지만, payload에서는 평문으로 보여지는 경우가 있습니다.

위협 : 네트워크 스니핑 공격을 통해 아이디, 비밀번호, 카드번호 등이 노출될 수 있습니다.

대응방안 :

• 모든 구간에서 HTTPS (TLS 1.2 이상) 강제 사용
• 주요정보는 추가 암호화(AES, RSA 등) 후 전송
• 보안 헤더 적용
• 인증서 주기적 갱신 및 강력한 암호화 알고리즘 사용

---

 

오늘은 이렇게 실무에서 중요하게 다루는 취약점에 대해 추가적으로 정리해보는 시간을 가졌습니다.

 

이전 시간에 정리했던 취약점과 마찬가지로 취약점 간의 경계가 모호한 면이 있었습니다.

 

이는 회사 별 정의를 어떻게 내리냐에 따라 경계 기준이 정리가 됩니다.