주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드

과학기술정보통신부 , 한국인터넷진흥원 지음

진한엠앤비 2025년 04월 07일 출간 국내도서 : 2025년 03월 13일 출간

작품소개

책소개

본 가이드는 기술적 취약점 분석·평가 항목 별 점검 방법의 이해를 돕기 위해 발간된 것으로, 수록된 점검 방법은 취약점 분석·평가 수행 중 활용할 수 있는 참조의 대상일 뿐, 절대적이지 않습니다. 더욱이 점검 대상의 세부 버전, 패치 내용 등에 따라 점검 방법은 언제든지 변경될 수 있습니다. 따라서 본 가이드에 수록된 내용 이외에도 다양한 점검 방법을 사용하여 취약점 분석평가를 수행하시기 바랍니다.본 가이드의 수록된 판단기준은 일반적으로 통용되는 권고사항으로, 양호 혹은 취약을 가르는 실제 판단기준은 각 주요정보통신기반시설 현업에 적용되고 있는 다양한 정책 및 운용 상황을 고려하여 취약점 분석·평가 수행자가 최종적으로 결정해야 합니다. 예를 들어 본 가이드에 수록된 판단기준에 의하여 취약 판단을 받게 되어도 그 위험을 부담할 수 있는 합당한 보안조치와 근거를 수반하고 있다면 양호로 판단할 수 있습니다.

목차

01. Unix 서버
1. 계정 관리
2. 파일 및 디렉터리 관리
3. 서비스 관리
4. 패치 관리
5. 로그 관리

02. 윈도우즈 서버
1. 계정 관리
2. 서비스 관리
3. 패치 관리
4. 로그 관리
5. 보안 관리
6. DB 관리

03. 보안장비
1. 계정 관리
2. 접근 관리
3. 패치 관리
4. 로그 관리
5. 기능 관리

04. 네트워크장비
1. 계정 관리
2. 접근 관리
3. 패치 관리
4. 로그 관리
5. 기능 관리

05. 제어시스템
1. 계정 관리
2. 서비스 관리
3. 패치 관리
4. 네트워크 접근통제
5. 물리적 접근통제
6. 보안위협 탐지
7. 복구대응
8. 보안 관리
9. 교육훈련

06. PC
1. 계정 관리
2. 서비스 관리
3. 패치 관리
4. 보안 관리

07. DBMS
1. 계정 관리
2. 접근 관리
3. 옵션 관리
4. 패치 관리
5. 로그 관리

08. Web(웹)
1. 버퍼 오버플로우
2. 포맷스트링
3. LDAP 인젝션
4. 운영체제 명령 실행
5. SQL 인젝션
6. SSI 인젝션
7. XPath 인젝션
8. 디렉터리 인덱싱
9. 정보 누출
10. 악성 콘텐츠
11. 크로스사이트 스크립팅
12. 약한 문자열 강도
13. 불충분한 인증
14. 취약한 패스워드 복구
15. 크로스사이트 리퀘스트 변조(CSRF)
16. 세션 예측
17. 불충분한 인가
18. 불충분한 세션 만료
19. 세션 고정
20. 자동화 공격
21. 프로세스 검증 누락
22. 파일 업로드
23. 파일 다운로드
24. 관리자 페이지 노출
25. 경로 추적
26. 위치 공개
27. 데이터 평문 전송
28. 쿠키 변조

09. 이동통신
운영 관리

10. 클라우드
1. 접근통제
2. 보안 관리

인물정보

저자(글) 과학기술정보통신부

저자(글) 한국인터넷진흥원