웹하드 업체 보안실태 점검

점검대상
일 시
점검자	(서명 or 인)
담당자	(서명 or 인)

□ 기술적 보호조치 점검결과

구분	점검 결과
2.1.1. 트래픽 모니터링
2.1.2. 무선서비스 보안
2.1.3. 정보보호시스템 설치·운영
2.1.4 정보보호를 위한 모니터링
2.2.1 웹서버 보안
2.2.2. DNS서버 보안
2.2.3. DHCP서버 보안
2.2.4. DB서버 보안
2.2.5. 라우터/스위치 보안
2.2.6. 정보보호시스템 보안
2.2.7. 취약점 점검
2.2.8. 접근통제 및 보안설정 관리
2.2.9. 관리자 계정의 비밀번호 관리
2.2.10. 로그 관리
2.2.11. 보안패치 관리
2.2.12. 백업 및 복구
2.2.13. 중요정보의 암호화
2.2.14. 관리용 단말 보안

□ 기술적 보호조치 이행항목

점검항목	2.1.1. 트래픽 모니터링 ․네트워크 모니터링 도구를 이용하여 백본망, 주요노드 및 외부망과 연계되는 주요회선의 트래픽 소통량을 24시간 모니터링 【증빙자료 예시】 ․트래픽 모니터링 담당자 지정 여부(업무분장내역) ․[자체운영 경우] 네트워크 모니터링 구축 현황 (실시간 감시 가능 여부) ․[위탁운영 경우] 위탁운영자로부터 받은 모니터링 결과
조치내용	[ 예시 ] ㅇ 운영중인 서버들은 OOOO IDC내에 입주해 있으며, OOOO 업체와 외주 계약을 체결하여 운영중에 있음 ㅇ 외주 계약을 맺은 OOOO 업체에서 24시간 트래픽 모니터링을 수행하고 있으며, 제공받은 MRTG 모니터링 페이지를 통해 지정된 담당 직원이 일일 단위로 체크하고 있음 ㅇ 비상연락망을 구축하여 트래픽 이상징후 및 장비장애 발생시 즉각적인 대응을 할 수 있도록 하고 있음
권고사항
증적자료	[ 예시 ] ㅇ 모니터링 담당자 지정 - 담당자 : 홍길동 사원 ㅇ NMS 시스템 접속 화면 ㅇ MRTG 모니터링 화면 ㅇ 비상연락망

점검항목	2.1.2. 무선서비스 보안 ․무선랜서비스, 무선인터넷서비스를 제공할 경우에는 사용자인증, 데이터암호화 등 보안조치를 마련 【증빙자료 예시】 ․무선랜 구성도 ․무선서비스 보안 관련 지침 및 절차서 ․무선공유기 정기 점검 보고서
조치내용	[ 예시 ] ㅇ 무선랜서비스, 무선인터넷서비스는 제공하고 있지 않음 ㅇ 사무실내 무선AP 접속시에는 안전한 암호설정을 통해 사용자 인증 및 접근제어를 하고 있음
권고사항
증적자료	[ 예시 ] ㅇ 사무실 내 무선 AP 보안 설정

점검항목	2.1.3. 정보보호시스템 설치·운영 ․외부망과 연계되는 구간에 침입차단시스템, 침입탐지시스템 등 네트워크의 안전성을 제고할 수 있는 정보보호시스템을 설치 · 운영 【증빙자료 예시】 ․침입차단시스템(방화벽), 웹방화벽, 웹쉘탐지제품 등 정보보호시스템 목록 및 네트워크 구성도 ․방화벽, 웹방화벽, 웹쉘탐지제품 등의 업데이트 현황 ※ 특히, 웹방화벽 및 웹쉘탐지제품의 경우 최신 패턴에 대한 업데이트 이력
조치내용	[ 예시 ] ㅇ 방화벽으로 Secureworks를 설치하여 운영하고 있음 - 서비스에 필요한 포트만 오픈하고 있으며, 출발지(any), 목적지(any), 서비스(all), 정책(Allow)는 적용하고 있지 않음 - 원격 접속을 위한 포트는 접속이 필요한 곳에서만 접속할 수 있도록 IP 제한 설정을 하고 있음 ㅇ 웹쉘 탐지 시스템으로 KISA에서 제공하는 휘슬을 설치하여 운영하고 있음 ㅇ 웹 방화벽으로 공개 웹방화벽(WebKnight, Modsecurity)을 설치하여 운영하고 있음
권고사항
증적자료	[ 예시 ] ㅇ 네트워크 구성도 ㅇ 방화벽 장비 네트워크 설정 ㅇ 방화벽 오브젝트 설정 ㅇ 방화벽 주소 변환(NAT) 규칙 ㅇ 방화벽 정책 설정 ㅇ 웹 방화벽(WebKnight) 운영 ㅇ 웹 방화벽(WebKnight) 접속 화면

점검항목	2.1.4. 정보보호를 위한 모니터링 ․주요시스템․네크워크 사용 및 접근이 명확하게 허용된 범위 안에 있는지를 확인하기 위한 모니터링 시스템 구축 또는 위탁운영을 통하여 침해사고 탐지․대응 체계 운영 【증빙자료 예시】 ․정보보호시스템 운영지침 ․모니터링 정기정검 보고서(위탁운영의 경우 위탁업체로부터 수신한 정기점검 보고서) ․침해사고 대응 결과 및 재발방지를 위한 조치내역 ․비상연락망
조치내용	[ 예시 ] ㅇ 정보보호시스템 운영 관리 지침을 수립하여 내부 직원 뿐만이 아니라 위탁운영업체에서도 준수하도록 하고 있음 ㅇ 위탁운영업체에서 방화벽 로그 및 웹방화벽 로그를 모니터링을 수행하고 있으며, 월 1회 정기점검 보고서를 통해 보안로그 분석 결과를 수신받고 있음 ㅇ 침해사고 대응 매뉴얼을 수립하여 침해사고 발생 유형에 따라 대응할 수 있도록 하고 있으며, 침해사고 발생시 대외 기관 및 위탁운영 업체의 연락처를 마련하여 관리하고 있음
권고사항
증적자료	[ 예시 ] ㅇ 방화벽 운영지침 ㅇ 방화벽 로그 모니터링 ㅇ WebKnight 로그 모니터링 ㅇ 정기점검 보고서 및 침해사고 대응 지침 ㅇ 비상연락망

점검항목	2.2.1. 웹서버 보안 ․외부에 서비스를 제공하는 웹서버는 단독서버로 운영하고 DMZ에 설치 【증빙자료 예시】 ․네트워크 구성도 ․웹서버 목록(웹서버 식별자 또는 IP 포함)
조치내용	[ 예시 ] ㅇ 웹 서버는 OOOO 서비스를 위한 단독 서버로 운영하고 있음 ㅇ 웹 서버는 DB 서버와 분리된 네트워크에 설치・운영하고 있음 ㅇ 웹 서버의 불필요한 서비스는 비활성화 되어 있으며, 방화벽 정책을 통해 외부로부터의 접근통제를 적용하고 있음
권고사항
증적자료	[ 예시 ] ㅇ IDC내 네트워크 구성도 ㅇ 웹 서버 IP 설정 현황 ㅇ 웹 서버에서 활성화된 서비스 포트 ㅇ 웹 서버에 대한 방화벽 정책 ㅇ 웹 서버 목록

점검항목	2.2.2. DNS 서버 보안 ․과부하에 대비한 부하분산 대책 마련 ․설정파일 백업 실시 【증빙자료 예시】 ․DNS 서버 용량 및 사용도 점검 결과 ․네트워크 구성도 ․DNS 서버 백업정책 및 백업일지
조치내용	[ 예시 ] ㅇ DNS 서버의 하드웨어 성능을 일일 점검을 통해 모니터링하고 있음 ㅇ DNS 서버는 이중화 구성하고 있으며, DNS 설정파일은 월 1회 정기백업을 실시하고 있음
권고사항
증적자료	[ 예시 ] ㅇ DNS 서버 하드웨어 성능 점검 결과 ㅇ DNS 서버 이중화 구성 ㅇ DNS 서버 백업 관리 대장

점검항목	2.2.3. DHCP서버 보안 ․과부하에 대비한 부하분산 대책 마련 ․설정파일 백업 실시 ․IP 할당 상황 등에 대한 로그기록 유지·관리 【증빙자료 예시】 ․DHCP 서버 용량 및 사용도 점검 결과 ․네트워크 구성도 ․DHCP 서버 백업정책 및 백업일지 ․DHCP 서버 감사로그 최근 1개월 현황(일부 발췌)
조치내용	[ 예시 ] ㅇ DHCP 서버의 하드웨어 성능을 일일 점검을 통해 모니터링하고 있음 ㅇ DHCP 서버는 이중화 구성하고 있으며, DNS 설정파일은 월 1회 정기백업을 실시하고 있음
권고사항
증적자료	[ 예시 ] ㅇ DHCP 서버 하드웨어 성능 점검 결과 ㅇ DHCP 서버 이중화 ㅇ DHCP 서버 백업 관리 대장

점검항목	2.2.4. DB서버 보안 ․내부망에 설치 ․외부망에서 직접 접속할 수 없도록 네트워크 구성 【증빙자료 예시】 ․네트워크 구성도 ․DB서버 목록(DB서버 식별자 또는 IP포함)
조치내용	[ 예시 ] ㅇ DB 서버는 웹 서버와 분리된 네트워크에 설치・운영하고 있으며, 외부에서의 직접 접속이 불가능하도록 사설 IP로만 구성되어 있음 ㅇ DB 서버는 방화벽을 통하여 접근통제가 이루어지고 있음
권고사항
증적자료	[ 예시 ] ㅇ IDC내 네트워크 구성도 ㅇ DB서버 IP 설정 현황 ㅇ DB서버에서 활성화된 서비스 포트 ㅇ 방화벽 DB 서버 오브젝트 ㅇ DB 서버에 대한 방화벽 정책 ㅇ DB 서버 목록

점검항목	2.2.5. 라우터/스위치 보안 ․ACL(Access Control List) 등의 접근제어 기능을 적용할 수 있는 설비를 사용 【증빙자료 예시】 ․네트워크장비 목록 ․네트워크장비 관리자IP 관리대장 ․[위탁 관리의 경우] 네트워크 장비 관리에 대한 주기적인 점검기록
조치내용	[ 예시 ] ㅇ 네트워크 장비는 ACL을 적용하여 비인가 IP에서의 접근은 차단하고 있음 ㅇ SNMP Community String는 추측하기 어려운 값으로 설정하였으며, SNMP ACL을 설정하여 접근이 필요한 IP에서만 SNMP 통신이 가능하도록 설정하였음
권고사항
증적자료	[ 예시 ] ㅇ 네트워크 장비 목록 ㅇ 라우터/스위치 원격접속 ACL 설정화면 ㅇ SNMP Community String 및 ACL 설정

점검항목	2.2.6. 정보보호시스템 보안 ․이상징후 탐지를 알리는 경고 기능을 설정하여 운영 ․정보보호시스템 보안기능(비정상 트래픽 차단 등)의 정상 작동 여부를 주기적으로 점검(월 1회 이상) 【증빙자료 예시】 ․정보보호시스템 목록 ․통보기능이 없는 경우 주기적인 모니터링 기록 ․정보보호시스템 정기점검 보고서 ․업데이트를 위한 유지보수 계약
조치내용	[ 예시 ] ㅇ 정보보호시스템은 위탁업체에서 운영을 하고 있으며, 위탁업체에서 24시간 모니터링을 수행하고 있음 ㅇ 월 1회 정기점검을 수행하고 있음
권고사항
증적자료	[ 예시 ] ㅇ 위탁운영 계약서 ㅇ 정보보호시스템 하드웨어 성능 점검

점검항목	2.2.7. 취약점 점검 ․연 1회 이상 취약점 점검을 실시하고 발견된 취약점을 보완 【증빙자료 예시】 ․정보통신설비 목록(서버 네트워크 장비, 정보보호시스템, DB, 관리용PC, 개발용PC, 웹 어플리케이션 등) ※ <서식> 정보통신설비 목록 참고 ․취약점 점검 결과보고서 ․취약점 보완조치 완료보고서
조치내용	[ 예시 ] ㅇ 201x년도 웹 취약점 점검은 KISA에서 제공하는 “원격 웹 취약점 점검” 서비스를 신청하여 수행하였으며, 발견된 취약점에 대해 보완 조치를 완료하였음 ㅇ 201y년도 웹 취약점 점검은 하반기에 실시할 예정에 있음 ㅇ 201x년도 시스템 취약점 점검은 중앙전파관리소 홈페이지 > 행정 > 방송통신사업 등록관리 > 특수부가통신 메뉴를 클릭하여 화면 하단의 "취약성 점검항목 및 가이드"를 토대로 취약점 점검을 수행하였으며, 발견된 취약점에 대해 보완조치를 완료하였음 ㅇ 201y년도 시스템 취약점 점검은 하반기에 실시할 예정에 있음
권고사항
증적자료	[ 예시 ] ㅇ 웹 취약점 점검 결과 보고서 ㅇ 시스템 취약점 점검 계획서 ㅇ 시스템 취약점 점검 결과 보고서 ㅇ 웹 취약점 보완조치 결과보고서

점검항목	2.2.8. 접근통제 및 보안설정 관리 ․인가된 자만 시스템에 접속할 수 있도록 설정하고, 인터넷 등을 통해 외부에서 접속할 경우 일회용 비밀번호 사용 등 인가 절차를 강화 ․불필요한 프로토콜 및 서비스 제거 등 보안설정 【증빙자료 예시】 ․정보통신설비 목록 ․계정/비밀번호 관리대장 ․서버별(웹서버, DB서버, 백업서버, 웹어플리케이션 서버 등) 서비스 포트 현황
조치내용	[ 예시 ] ㅇ 시스템 원격 접속은 1차적으로 방화벽 정책을 통하여 인가된 IP에서만 접근할 수 있도록 통제하고 있으며, 2차적으로 OS의 IPTables 설정을 통하여 접근 IP를 제한하고 있음 ㅇ 시스템의 불필요한 서비스 포트는 활성화 되어 있지 않음
권고사항
증적자료	[ 예시 ] ㅇ 방화벽 접근통제 설정 ㅇ 웹 서버에서 활성화된 서비스 포트 ㅇ DB서버에서 활성화된 서비스 포트

점검항목	2.2.9. 관리자 계정의 비밀번호 관리 ․관리자 계정의 비밀번호는 8자리 이상으로 설정. 단, 설정 가능한 자리수가 8자리 미만일 때는 설정 가능한 최대의 자리수로 설정 ․최소 3개월에 1회 이상 비밀번호 변경 【증빙자료 예시】 ․계정/비밀번호 관리지침 ․계정/비밀번호 관리대장(비밀번호 변경이력 포함)
조치내용	[ 예시 ] ㅇ 관리자 계정 비밀번호는 영문 대/소문자, 숫자, 특수기호 등을 이용하여 9자리 이상으로 설정하고 있으며, 90일마다 변경하도록 하고 있음
권고사항
증적자료	[ 예시 ] ㅇ 비밀번호 관리지침 ㅇ 관리자 계정 비밀번호 관리대장 ㅇ 관리자 계정 비밀번호 변경일자 및 변경주기 확인

점검항목	2.2.10. 로그 관리 ․최소 1개월 이상 로그기록 유지·관리(정보보호시스템은 3개월) 【증빙자료 예시】 ․로그분석 수행 결과 기록 ․식별된 중요로그 목록 ․로그분류를 위한 기준 또는 지침
조치내용	[ 예시 ] ㅇ 정보보호시스템 로그는 최소 3개월 이상 보관하고 있음 ㅇ 정보시스템(OS, 웹 및 DBMS 등)의 로그는 최소 1개월 이상 보관하고 있음
권고사항
증적자료	[ 예시 ] ㅇ 로그 관리 지침 ㅇ 방화벽 로그 현황 ㅇ OS 로그 현황 ㅇ 웹 로그 현황 ㅇ DBMS 로그 현황

점검항목	2.2.11. 보안패치 관리 ․보안패치 정보를 주기적으로 입수하고 적용 ․주요 보안패치에 대해서는 적용일 등 패치정보를 기록·관리 【증빙자료 예시】 ․보안패치 절차서 또는 매뉴얼 ․보안패치가 중단된 운영체제(ex: Windows XP, Windows Server2003, 리눅스 CentOS 5 등) 교체 계획 수립·이행 현황 ․패치현황
조치내용	[ 예시 ] ㅇ 보안패치 정보는 OOOO 사이트를 통해 주기적으로 확인하고 검토하고 있음 ㅇ 보안패치는 테스트 환경에서 호환성 등을 테스트 한 후에 운영서버에 적용하고 있음
권고사항
증적자료	[ 예시 ] ㅇ 패치 관리대장 ㅇ OS 버전 확인 ㅇ WEB 서버 버전 확인 - RPM 설치의 경우 - 소스 설치의 경우 ㅇ DBMS 버전 확인 - RPM 설치의 경우 - 소스 설치의 경우

점검항목	2.2.12. 백업 및 복구 ․주요정보를 주기적으로 백업 ․백업 담당자, 백업 및 복구 방법·절차·주기 등을 기록·관리 【증빙자료 예시】 ․백업 일지 ․[오프라인 백업 경우] 백업 매체 및 백업매체 관리 대장 ․[온라인 백업 경우] 네트워크 구성도 ․백업 지침 또는 매뉴얼
조치내용	[ 예시 ] ㅇ 백업 관련 규정을 수립하여 백업 담당자, 백업 및 복구 방법·절차·주기를 수립하여 운영하고 있음 ㅇ 웹 서버 백업은 월 1회 실시하고 있음 ㅇ DB 백업은 일/주/월 단위로 주기적으로 실시하고 있음
권고사항
증적자료	[ 예시 ] ㅇ 백업 관리 규정 ㅇ 백업 주기 및 보관주기 ㅇ 백업 관리대장 ㅇ 복구 관리대장

점검항목	2.2.13. 중요정보의 암호화 ․비밀번호는 복호화 되지 않도록 일방향 암호화하여 저장 ․신용카드번호 및 계좌번호, 정보자산현황 등은 안전한 암호알고리즘으로 암호화하여 저장 【증빙자료 예시】 ․암호화에 적용된 알고리즘 목록 ․암호화 대상 목록
조치내용	[ 예시 ] ㅇ 비밀번호는 SHA-256 해시 알고리즘으로 일방향 암호화 하여 저장하고 있음 ㅇ 신용카드번호 및 계좌번호 등은 저장하고 있지 않음
권고사항
증적자료	[ 예시 ] ㅇ 암호 지침 ㅇ 비밀번호 단방향 암호화 저장 ㅇ 비밀번호 저장시 사용된 암호화 알고리즘(SHA-256)

점검항목	2.2.14. 관리용 단말 보안 ․일반적인 업무 및 개인적인 용도의 사용을 금지하고 DB서버, 웹서버 등 주요 정보통신설비의 접속에만 사용 ․전용 또는 인터넷과 격리된 환경(필요시 접근통제 정책을 수립하고 제한적 접속 허용)에서 인가된 이용자만 이용할 수 있도록 통제 ․관리용 단말로의 외부접속 차단, 주기적 보안패치 및 악성소프트웨어 예방·탐지 활동 실시 【증빙자료 예시】 ․관리용 단말 목록 ․네트워크 구성도 ․패치 사이트 관리 목록 ․패치 현황, 패치현황은 안전한 채널을 위한 패치에 대한 기록만 보유해도 됨, 단, 백신, 운영체제는 제품에서 패치여부를 확인할 수 있어야 함.
조치내용	[ 예시 ] ㅇ 관리용 단말 PC 사용시 책임자의 승인을 받고 사용하고 있으며, 관리대장을 통해 기록을 남기고 있음 ㅇ 관리용 단말 PC에서는 개인용도의 사용을 금지하고 있으며, DB서버 및 웹 서버 등 시스템 원격 접속시에만 사용하고 있음 ㅇ 일반 인터넷은 차단되어 있으며 인가된 이용자만 이용할 수 있도록 하고 있음 ㅇ 백신 프로그램을 설치하여 바이러스 감염을 예방하고 있으며, 최신 패턴 업데이트를 주기적으로 실시하고 있음
권고사항
증적자료	[ 예시 ] ㅇ 관리용 단말 PC 사용 기록 대장 ㅇ 일반 인터넷 차단 적용 ㅇ 보안 패치 설치 ㅇ 백신 프로그램 설치 및 최진 패턴 적용