Tistory

[ISMS-P] 1.4.3 관리체계 개선 : "법적 요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계 상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립‧이행하고 있는가?"

안녕하세요 IT몽상가입니다. ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 점검 항목 중 관리체계 점검 및 개선에 세 번째 항목인 관리체계 개선에 대해서 알아보도록 하겠습니다. 정보보호관리체계를 점검하는 것으로 관리체계를 잘 관리하고 있는가를 확인하는 것입니다. 1.4.3 관리체계 개선 법적 요구사항 준수 검토 및 관리체계 점검을 통해 식별된 관리체계상의 문제점에 대한 원인을 분석하고 재발방지 대책을 수립·이행하여야 하며, 경영진은 개선 결과의 정확성과 효과성 여부를 확인하여야 한다. 상세점검항목 법적 요구사항 준수 검토 및 관리체계 점검을 통해 식별된 관리체계 상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립‧이행하고 있는가? 재발방지 및 개선 결과의 정확성 및 효과성 여부..

원문보기 내부링크

Tistory

[ISMS-P] 1.3.3 운영현황 관리 : "관리체계 운영을 위해 주기적 또는 상시적으로 수행해야 하는 정보보호 및 개인정보보호 활동을 문서화하여 관리하고 있는가?

안녕하세요 IT몽상가입니다. ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 점검 항목 중 관리체계 운영에 세 번째 항목인 운영현황 관리에 대해서 알아보도록 하겠습니다. 정보보호 운영 체제 관리 항목이라고 생각하면 됩니다. 1.3.3 운영현황 관리 조직이 수립한 관리체계에 따라 상시적 또는 주기적으로 수행하여야 하는 운영 활동 및 수행 내역은 식별 및 추적이 가능하도록 기록하여 관리하고, 경영진은 주기적으로 운영 활동의 효과성을 확인하여 관리하여야 한다. 상세점검항목 관리체계 운영을 위해 주기적 또는 상시적으로 수행해야 하는 정보보호 및 개인정보보호 활동을 문서화하여 관리하고 있는가? 경영진은 주기적으로 관리체계 운영 활동의 효과성을 확인하고 이를 관리하고 있는가? 첫 번째 항목인 "관리체계 운영을..

원문보기 내부링크

Tistory

원문보기 내부링크

Tistory

[OC/상] 4.운영체제 명령 실행

안녕하세요 IT몽상가입니다. 오늘은 주요 통신 기반시설 취약점 진단 항목 중 Web(웹) 보안 "운영체제 명령 실행"에 대해서 설명드리도록 하겠습니다. 운영체제란 경우 웹서비스가 동작하고 있는 서버의 운영체제를 이야기하는 것으로 결국 웹을 통하여 서버에게 명령을 내리는 것인데요 먼저 가이드를 확인해 보도록 하겠습니다. 웹을 통하여 운영체제에 명령어를 실행시키는 취약점으로 웹에서 직접 서버에 명령을 내릴 수 있는 권한과 취약한 소스가 존재하여야만 가능한 취약점입니다. 소스코드 진단 항목에서 해당 점검 항목이 존재합니다. 하지만 조치 방법은 아주 간단한데요. 서버에 명령을 내릴 수 있는 소스를 작성하지 말라는 것으로 웹을 통하여 서버에 직접 명령을 내릴 필요가 없기에 서버에 명령어를 내릴 수 있는 것을 개발..

원문보기 내부링크

Tistory

[SI/상] 5.SQL 인젝션

안녕하세요 IT몽상가입니다. 오늘은 주요 통신 기반시설 취약점 진단 항목 중 Web(웹) 보안 "SQL 인젝션"에 대해서 설명드리도록 하겠습니다. 전 세계에서 가장 많이 시도되고 가장 위협적인 취약점인 SQL 인젝션인데요. OWASP에서 항상 SQL 인젝션은 상위에 존재합니다. 먼저 가이드를 확인해 보도록 하겠습니다. 웹 취약점이다 하면 가장 먼저 이야기 나오는 것이 SQL인 젠션입니다. 가장 많이 시도되고 가장 파급력이 큰 취약점 이죠 OWASP TOP10에서도 항상 상위에 존재하는 취약점입니다. 그리고 국정원 8대 취약점에서도 소스코드 진단에서도 대부분의 보안 관련 서적에서 SQL 인젝션을 다루지 않는 곳은 없고 대부분 앞부분에서 중요하게 다루고 있는 것이 바로 SQL 인젝션이죠 그 이유는 간단합니다..

원문보기 내부링크

Tistory

[W-04/상] 1. 계정관리 1.4 계정 잠금 임계값 설정

안녕하세요 IT몽상가입니다. 오늘은 주요 통신 기반시설 취약점 진단 항목 중 Windows진단항목 "계정 잠금 임계값 설정"에 대해서 설명드리도록 하겠습니다. 계정을 탈취하기 위한 가장 대표적인 공격은 무차별 대입 공격인 BF공격으로 해당 공격은 차단하기 위한 설정 여부를 확인하는 점검항목입니다. 먼저 가이드를 확인해 보도록 하겠습니다. 계정 정보가 노출되는 경우 해당 계정 정보를 이용한 대표적인 공격은 BF공격인 무차별 대입 공격인데요. 사실 해당 공격을 통해 로그인되는 것은 시간문제입니다. 이러한 공격을 효율적으로 차단하기 위한 방법이 바로 임계값 설정입니다. 임계값을 설정하여 패스워드가 일정 횟수 이상 틀렸을 경우에는 해당 계정에 대한 로그인을 차단하여 무차별 대입 공격에 대하여 방어하는 방법입니다..

원문보기 내부링크

Tistory

[ISMS-P] 1.2.3 위험 평가 : "조직에서 수용 가능한 목표 위험수준을 정하고 그 수준을 초과하는 위험을 식별하고 있는가?"

안녕하세요 IT몽상가입니다. ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 점검 항목 중 위험관리에 두 번째 항목인 현황 및 흐름 분석에 대해서 알아보도록 하겠습니다. 정보보안은 기업에 전반적인 절차사 프로세스를 확인해야 하는데요 이러한 부분을 파악하고 있는지 확인하는 항목이 바로 현황 및 흐름 분석입니다. 1.2.3 위험 평가 조직의 대내외 환경 분석을 통해 유형별 위협정보를 수집하고 조직에 적합한 위험 평가 방법을 선정하여 관리체계 전 영역에 대하여 연 1회 이상 위험을 평가하며, 수용할 수 있는 위험은 경영진의 승인을 받아 관리하여야 한다. 상세점검항목 조직 또는 서비스의 특성에 따라 다양한 측면에서 발생할 수 있는 위험을 식별하고 평가할 수 있는 방법을 정의하고 있는가? 위험관리 방법 및 ..

원문보기 내부링크

Tistory

원문보기 내부링크

Tistory

[ISMS-P] 1.2.3 위험 평가 : "위험관리 방법 및 절차(수행인력, 기간, 대상, 방법, 예산 등)를 구체화한 위험관리계획을 매년 수립하고 있는가?"

원문보기 내부링크

Tistory

원문보기 내부링크

Tistory

원문보기 내부링크

Tistory

[ISMS-P] 1.2.1 정보자산 식별 : "식별된 정보자산에 대해 법적 요구사항 및 업무에 미치는 영향 등을 고려하여 중요도를 결정하고 보안등급을 부여하고 있는가?"

원문보기 내부링크

Tistory

[U-49/중] 1. 계정관리 1.10 불필요한 계정 제거

안녕하세요 IT몽상가입니다. 주요 정보통신 기반시설 기술적 취약점 점검 항목 중 관리적인 측면으로 계정에 대한 관리로 불필요한 경우 사용하지 못하게 하는 항목으로 "불필요한 계정 제거"에 대하여 알아보도록 하겠습니다. 계정 관리 차원으로 더 이상 사용하지 않는 계정이나 불필요하게 생성되어 있는 계정 그리고 혹시 악의 적인 계정에 대하여 점검하여 삭제하는 것입니다. 일단 가이드를 보도록 하겠습니다. 판단기준이 불필요한 계정 존재 여부입니다. 그렇다면 불필요 계정에 대한 기준이 어떻게 되면 어떻게 확인하는지가 가장 중요합니다. UNIX에서는 계정을 UID로 구분하고 있습니다. 앞서 확인했던 부분에서 UID는 시스템이 확인하는 계정 정보라고 이야기했었는데요 UNIX를 새로 설치하면 수많은 계정이 생성됩니다. ..

원문보기 내부링크

it-stargazer의 등록된 링크

[ISMS-P] 1.4.1 법적 요구사항 준수 검토 : &quot;법적 요구사항의 준수여부를 연 1회 이상 정기적으로 검토하고 있는가?&quot;

[ISMS-P] 1.4.2 관리체계 점검 : &quot;법적 요구사항 및 수립된 정책에 따라 정보보호 및 개인정보보호 관리체계가 효과적으로 운영되는지를 점검하기 위한 관리체계 점검기준, 범위, 주기, 점검인력 ..

[ISMS-P] 1.4.2 관리체계 점검 : 관리체계 점검 계획에 따라 독립성, 객관성 및 전문성이 확보된 인력을 구성하여 연 1회 이상 점검을 수행하고 발견된 문제점을 경영진에게 보고하고 있는가?&quot;

[ISMS-P] 1.4.3 관리체계 개선 : &quot;법적 요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계 상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립‧이행하고 있는가?&quot;

[ISMS-P] 1.3.3 운영현황 관리 : &quot;관리체계 운영을 위해 주기적 또는 상시적으로 수행해야 하는 정보보호 및 개인정보보호 활동을 문서화하여 관리하고 있는가?

[ISMS-P] 1.3.3 운영현황 관리 : &quot;경영진은 주기적으로 관리체계 운영활동의 효과성을 확인하고 이를 관리하고 있는가?&quot;

[IL/상] 9. 정보 노출

[W-46/중] 1. 계정관리 1.7 Everyone 사용 권한을 익명 사용자에 적용 해제

[ISMS-P] 1.3.1 보호대책 구현 : &quot;이행계획에 따라 보호대책을 효과적으로 구현하고 이행결과의 정확성 및 효과성 여부를 경영진이 확인할 수 있도록 보고하고 있는가?&quot;

[ISMS-P] 1.3.1 보호대책 구현 : &quot;관리체계 인증기준 별로 보호대책 구현 및 운영 현황을 기록한 운영명세서를 구체적으로 작성하고 있는가?&quot;

[W-06/상] 1. 계정관리 1.6 관리자 그룹에 최소한의 사용자 포함

[ISMS-P] 1.3.2 보호대책 공유 : &quot;구현된 보호대책을 운영 또는 시행할 부서 및 담당자를 명확하게 파악하고 있는가?&quot;

[ISMS-P] 1.3.2 보호대책 공유 : &quot;구현된 보호대책을 운영 또는 시행할 부서 및 담당자에게 관련 내용을 공유 또는 교육하고 있는가?&quot;

[W-05/상] 1. 계정관리 1.5 해독 가능한 암호화를 사용하여 암호 저장 해제

[SS/상] 6.SSI 인젝션

[XI/상] 7.XPath 인젝션

[DI/상] 8.디렉터리 인덱싱

[ISMS-P] 1.2.4 보호대책 선정 : &quot;식별된 위험에 대한 처리 전략(감소, 회피, 전가, 수용 등)을 수립하고 위험처리를 위한 보호대책을 선정하고 있는가?&quot;

[ISMS-P] 1.2.4 보호대책 선정 : &quot;보호대책의 우선순위를 고려하여 일정, 담당부서 및 담당자, 예산 등의 항목을 포함한 보호대책 이행계획을 수립하고 경영진에 보고하고 있는가?&quot;

[OC/상] 4.운영체제 명령 실행

[SI/상] 5.SQL 인젝션

[W-04/상] 1. 계정관리 1.4 계정 잠금 임계값 설정

[ISMS-P] 1.2.3 위험 평가 : &quot;조직에서 수용 가능한 목표 위험수준을 정하고 그 수준을 초과하는 위험을 식별하고 있는가?&quot;

[ISMS-P] 1.2.3 위험 평가 : &quot;위험식별 및 평가 결과를 경영진에게 보고하고 있는가?&quot;

[LI/상] 3.LDAP 인젝션

[W-03/상] 1. 계정관리 1.3 불필요한 계정 제거

[FS/상] 2.포맷 스트링

[W-02/상] 1. 계정관리 1.2 Guest 계정 비활성화

[ISMS-P] 1.2.3 위험 평가 : &quot;조직 또는 서비스의 특성에 따라 다양한 측면에서 발생할 수 있는 위험을 식별하고 평가할 수 있는 방법을 정의하고 있는가?&quot;

[ISMS-P] 1.2.3 위험 평가 : &quot;위험관리 방법 및 절차(수행인력, 기간, 대상, 방법, 예산 등)를 구체화한 위험관리계획을 매년 수립하고 있는가?&quot;

[ISMS-P] 1.2.3 위험 평가 : &quot;위험관리계획에 따라 연 1회 이상 정기적으로 또는 필요한 시점에 위험평가를 수행하고 있는가?&quot;

[U-72/하] 5. 로그 관리 5.2 정책에 따른 시스템 로깅 설정

[BO/상] 1.버퍼 오버플로우

[주요통신기반시설]시스템(Windows) 취약점 점검 항목

[W-01/상] 1. 계정관리 1.1 Administrator 계정 이름 변경 또는 보안성 강화

[U-69/중] 3. 서비스 관리 3.33 NFS 설정파일 접근권한

[U-70/중] 3. 서비스 관리 3.34 expn, vrfy 명령어 제한

[U-71/중] 3. 서비스 관리 3.35 Apache 웹 서비스 정보 숨

[U-42/상] 4. 패치 관리 4.1 최신 보안패치 및 벤더 권고사항 적용

[U-43/상] 5. 로그 관리 5.1 로그의 정기적 검토 및 보고

[U-64/중] 3. 서비스 관리 3.28 ftpusers 파일 설정(FTP 서비스 root 계정 접근제한)

[U-65/중] 3. 서비스 관리 3.29 at 서비스 권한 설정

[U-66/중] 3. 서비스 관리 3.30 SNMP 서비스 구동 점검

[U-67/중] 3. 서비스 관리 3.31 SNMP 서비스 Community String의 복잡성 설정

[U-68/하] 3. 서비스 관리 3.32 로그온 시 경고 메시지 제공

[U-60/중] 3. 서비스 관리 3.24 ssh 원격접속 허용

[U-61/하] 3. 서비스 관리 3.25 ftp 서비스 확인

[U-62/중] 3. 서비스 관리 3.26 ftp 계정 shell제한

[U-63/하] 3. 서비스 관리 3.27 ftpusers 파일 소유자 및 권한 설정

[U-37/상] 3. 서비스 관리 3.19 웹서비스 상위 디렉토리 접근 금지

[U-38/상] 3. 서비스 관리 3.20 웹서비스 불필요한 파일 제거

[U-39/상] 3. 서비스 관리 3.21 웹 서비스 링크 사용금지

[U-40/상] 3. 서비스 관리 3.22 웹서비스 파일 업로드 및 다운로드 제한

[U-41/상] 3. 서비스 관리 3.23 웹 서비스 영역의 분리

[U-33/상] 3. 서비스 관리 3.15 DNS 보안 버전 패치

[U-34/상] 3. 서비스 관리 3.16 DNS Zone Transfer 설정

[U-35/상] 3. 서비스 관리 3.17 웹서비스 디렉토리 리스팅 제거

[U-36/상] 3. 서비스 관리 3.18 웹서비스 웹 프로세스 권한 제한

[U-28/상] 3. 서비스 관리 3.10 NIS, NIS+ 점검

[U-29/상] 3. 서비스 관리 3.11 tftp, talk 서비스 비활성화

[U-30/상] 3. 서비스 관리 3.12 Sendmail 버전 점검

[U-31/상] 3. 서비스 관리 3.13 스팸 메일 릴레이 제한

[U-32/상] 3. 서비스 관리 3.14 일반사용자의 Sendmail 실행방지

[U-24/상] 3. 서비스 관리 3.6 NFS 서비스 비활성화

[U-25/상] 3. 서비스 관리 3.7 NFS 접근 통제

[U-26/상] 3. 서비스 관리 3.8 automountd 제거

[U-27/상] 3. 서비스 관리 3.9 RPC 서비스 확인

[U-19/상] 3. 서비스 관리 3.1 Finger 서비스 비활성화

[U-20/상] 3. 서비스 관리 3.2 Anonymous FTP 비활성화

[U-21/상] 3. 서비스 관리 3.3 r 계열 서비스 비활성화

[U-22/상] 3. 서비스 관리 3.4 crond 파일 소유자 및 권한 설정

[U-23/상] 3. 서비스 관리 3.5 DoS 공격에 취약한 서비스 비활성화

[U-55/하] 2. 파일 및 디렉토리 관리 2.15 hosts.lpd 파일 소유자 및 권한 설정

[U-56/중] 2. 파일 및 디렉토리 관리 2.17 UMASK 설정 관리

[U-57/중] 2. 파일 및 디렉토리 관리 2.18 홈디렉토리 소유자 및 권한 설정

[U-58/중] 2. 파일 및 디렉토리 관리 2.19 홈디렉토리로 지정한 디렉토리의 존재 관리

[U-59/하] 2. 파일 및 디렉토리 관리 2.20 숨겨진 파일 및 디렉토리 검색 및 제거

[U-15/상] 2. 파일 및 디렉토리 관리 2.11 world writable 파일 점검

[U-16/상] 2. 파일 및 디렉토리 관리 2.12 /dev에 존재하지 않는 device 파일 점검

[ISMS-P] 1.4.1 법적 요구사항 준수 검토 : "법적 요구사항의 준수여부를 연 1회 이상 정기적으로 검토하고 있는가?"

[ISMS-P] 1.4.2 관리체계 점검 : "법적 요구사항 및 수립된 정책에 따라 정보보호 및 개인정보보호 관리체계가 효과적으로 운영되는지를 점검하기 위한 관리체계 점검기준, 범위, 주기, 점검인력 ..

[ISMS-P] 1.4.2 관리체계 점검 : 관리체계 점검 계획에 따라 독립성, 객관성 및 전문성이 확보된 인력을 구성하여 연 1회 이상 점검을 수행하고 발견된 문제점을 경영진에게 보고하고 있는가?"

[ISMS-P] 1.4.3 관리체계 개선 : "법적 요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계 상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립‧이행하고 있는가?"

[ISMS-P] 1.3.3 운영현황 관리 : "관리체계 운영을 위해 주기적 또는 상시적으로 수행해야 하는 정보보호 및 개인정보보호 활동을 문서화하여 관리하고 있는가?

[ISMS-P] 1.3.3 운영현황 관리 : "경영진은 주기적으로 관리체계 운영활동의 효과성을 확인하고 이를 관리하고 있는가?"

[ISMS-P] 1.3.1 보호대책 구현 : "이행계획에 따라 보호대책을 효과적으로 구현하고 이행결과의 정확성 및 효과성 여부를 경영진이 확인할 수 있도록 보고하고 있는가?"

[ISMS-P] 1.3.1 보호대책 구현 : "관리체계 인증기준 별로 보호대책 구현 및 운영 현황을 기록한 운영명세서를 구체적으로 작성하고 있는가?"

[ISMS-P] 1.3.2 보호대책 공유 : "구현된 보호대책을 운영 또는 시행할 부서 및 담당자를 명확하게 파악하고 있는가?"

[ISMS-P] 1.3.2 보호대책 공유 : "구현된 보호대책을 운영 또는 시행할 부서 및 담당자에게 관련 내용을 공유 또는 교육하고 있는가?"

[ISMS-P] 1.2.4 보호대책 선정 : "식별된 위험에 대한 처리 전략(감소, 회피, 전가, 수용 등)을 수립하고 위험처리를 위한 보호대책을 선정하고 있는가?"

[ISMS-P] 1.2.4 보호대책 선정 : "보호대책의 우선순위를 고려하여 일정, 담당부서 및 담당자, 예산 등의 항목을 포함한 보호대책 이행계획을 수립하고 경영진에 보고하고 있는가?"

[ISMS-P] 1.2.3 위험 평가 : "조직에서 수용 가능한 목표 위험수준을 정하고 그 수준을 초과하는 위험을 식별하고 있는가?"

[ISMS-P] 1.2.3 위험 평가 : "위험식별 및 평가 결과를 경영진에게 보고하고 있는가?"

[ISMS-P] 1.2.3 위험 평가 : "조직 또는 서비스의 특성에 따라 다양한 측면에서 발생할 수 있는 위험을 식별하고 평가할 수 있는 방법을 정의하고 있는가?"

[ISMS-P] 1.2.3 위험 평가 : "위험관리 방법 및 절차(수행인력, 기간, 대상, 방법, 예산 등)를 구체화한 위험관리계획을 매년 수립하고 있는가?"

[ISMS-P] 1.2.3 위험 평가 : "위험관리계획에 따라 연 1회 이상 정기적으로 또는 필요한 시점에 위험평가를 수행하고 있는가?"

[ISMS-P] 1.2.1 정보자산 식별 : "정기적으로 정보자산 현황을 조사하여 정보자산목록을 최신으로 유지하고 있는가?"

[ISMS-P] 1.2.2 현황 및 흐름분석 : "관리체계 전 영역에 대한 정보서비스 현황을 식별하고 업무 절차와 흐름을 파악하여 문서화하고 있는가?"

[ISMS-P] 1.2.2 현황 및 흐름분석 : "관리체계 범위 내 개인정보 처리 현황을 식별하고 개인정보의 흐름을 파악하여 개인정보 흐름도 등으로 문서화하고 있는가?"

[ISMS-P] 1.2.2 현황 및 흐름분석 : "서비스 및 업무, 정보자산 등의 변화에 따른 업무절차 및 개인정보 흐름을 주기적으로 검토하여 흐름도 등 관련 문서의 최신성을 유지하고 있는가?"

[ISMS-P] 1.2.1 정보자산 식별 : "정보자산의 분류기준을 수립하고 정보보호 및 개인정보보호 관리체계 범위 내의 모든 자산을 식별하여 목록으로 관리하고 있는가?"

[ISMS-P] 1.2.1 정보자산 식별 : "식별된 정보자산에 대해 법적 요구사항 및 업무에 미치는 영향 등을 고려하여 중요도를 결정하고 보안등급을 부여하고 있는가?"