[붙임4]

홈페이지 보안 취약점 점검 방법

□ 점검 전 확인 사항

○ 웹 취약점 점검을 위해서는 홈페이지 접속이 가능해야 하며

○ 웹 접근 시 아래와 같은 증상이 발생 할 경우 점검을 할 수 없으므로 홈페이지 구축 완료 후 웹 취약점 점검을 하시기 바랍니다.

① "페이지를 표시할 수 없습니다."라고 나오는 경우

② "HelloWorld" 또는 "Itworks!" 등의 메시지만 보이는 경우

③ Apache, Mediawiki 등의 기본 프로그램만 설치된 경우

□ 취약점 점검 및 조치 방법

1단계		2단계		3단계		4단계		5단계
계정 신청하기		로그인 하기		홈페이지 취약점 점검		결과 확인		취약점 조치

○ 1단계 - 웹 취약점 점검 도구(Webscan) 사용자 계정 신청하기

①	웹 취약점 점검 도구(Webscan)를 처음 이용하는 사용자는 계정과 비밀번호를 생성해야 합니다.

② 신청방법 : ☏ 880-6288, snucert@snu.ac.kr로 연락하여 계정 신청

※ 웹 취약점 점검 도구 사용자 계정을 보유한 경우에는 해당 계정 및 비밀번호로 로그인

○ 2단계 - 웹 취약점 점검 도구(Webscan) 로그인하기

① http://webscan.snu.ac.kr에 접속합니다.(※ 주의 학내에서만 접속 가능)

②　1단계에서 생성한 계정과 비밀번호를 이용하여 로그인 합니다.

○ 3단계 - 홈페이지 취약점 점검하기

① [점검의뢰]탭에서 [일반점검]또는 [고급점검]을 선택하여 점검 시작합니다.
- [일반점검]은 로그인을 하지 않고 간단한 조작으로 점검을 시작하는 기능이며, - [고급점검]은 로그인을 수행해야 하거나, 점검 옵션에 대한 상세한 설정이 필요한 경우에 사용하는 기능입니다.

② 성공적으로 점검 작업이 등록되면 [진행상황] 탭에서 점검 작업의 진행상황을 확인할 수 있습니다.

※ 점검 시 주의사항
- 웹 애플리케이션 삭제/추가/수정 등의 처리 로직이 단순 URL로 실행되는 구조 등의 이유로 웹 취약점 점검에 의해 데이터가 삭제될 가능성이 있으니 반드시 백업 후 점검하시기 바랍니다.(백업 대상 데이터 : 데이터베이스, 파일 데이터, 웹 어플리케이션 소스 코드 전체)

※ 홈페이지 내 개별 경로(계정)을 두어 홈페이지를 운영하는 경우 점검방법

- http://도메인(또는 IP)/~개별경로(계정)

- 참고자료 : http://webscan.snu.ac.kr → 공지사항 → 특정 디렉토리, 특정 페이지만 점검하는 방법 (고급점검-Include옵션 설정 방법)(게시글 20번)

※ 웹 취약점 점검 도구 관련 도움말
- 모든 페이지의 물음표(?)를 클릭하면 해당 페이지별 자세한 설명을 확인하실 수 있습니다.

※ 참고사항

- 계정 발급정책 : 홈페이지 담당자의 불규칙적인 변경으로 인하여 홈페이지 당 계정을 발급합니다. 따라서 관리하는 홈페이지가 여러 개인 경우 개별 로그인하여 결과를 조회하여야 합니다.

- 홈페이지 담당자가 변경된 경우 변경 신청방법 : http://webscansnu.ac.kr → 공지사항 → 홈페이지 관리자 변경 시 신청 방법(게시글 13번)

- ID/PW 분실 시 변경요청 : ☏ 880-6288, snucert@snu.ac.kr로 변경요청

○ 4단계 - 결과 확인하기

① [결과조회] 탭에서 점검 결과를 확인합니다.
- [검색]버튼을 눌러야 검색 결과를 확인할 수 있으며, 검색 기간을 선택하면 선택한 기간의 점검 결과 목록을 확인할 수 있습니다.

② [상세보기]의 [보기]를 클릭하면 취약점 목록 및 취약점 설명을 확인 할 수 있습니다.

③ [총평]에서는 점검결과에 대한 요약정보를 확인할 수 있으며, [상세보기]에서는 ‘위험도별’, ‘ 취약점 종류별’ 항목을 볼 수 있습니다.

④ [상세결과]에 보고된 취약점 내역 및 처리방법 등이 소개된 내용을 보고서PDF 형태로 다운로드 할 수 있습니다.
- [그림] 상단 오른쪽의 [보고서 다운로드]를 클릭하면 다운로드 가능합니다.

※ 주의사항
- 다운로드한 보고서에는 관리하는 홈페이지에 대한 주요 취약점 정보들이 들어 있으므로, 외부에 노출(예:보고서 파일을 게시판에 게시, 공용PC에 저장)하는 등 부주의한 관리로 인해 보안사고가 발생되지 않도록 주의를 기울여야 합니다.

- [관련 도움말] : 웹 취약점 점검 도구(webscan.snu.ac.kr) → [온라인도움말] → [점검위험성안내] → [보고서관리]에서 보다 자세한 정보를 확인할 수 있습니다.

○ 5단계 - 웹 취약점 조치하기

① 필수 처리해야 하는 웹 취약점 목록

- SQL Injection, SQL Injection가능성 노출

- XSS(Cross Site Scripting)

- 파일 다운로드를 통한 시스템정보 또는 웹 관련 소스 노출

- 파일 업로드 가능

- 내부 서버 에러 존재, 내부 서버 에러에 중요정보노출

- 백업파일노출

- 디렉토리 인덱싱 취약점

※ 위에 나열된 취약점 이외의 단순 취약점만이 존재하는 사이트의 경우 홈페이지 담당자가 판단 및 조치하시기 바랍니다.

※ 참고사항

- 웹애플리케이션 보안템플릿 설명 및 참고 소스파일 : 공지사항 → 10번 게시글

- 홈페이지 개발보안가이드 : 공지사항 → 게시글 11번

- 디렉토리 인덱싱 취약점 개선방법 : 공지사항 → 게시글 12번

② 공개용 게시판 보안 업데이트(필수)

- zeroboard, gnuboard, technote등 공개용 게시판을 사용하는 경우에는 해당 사이트에서 제공하는 보안패치를 적용하면 대부분의 웹 취약점은 해결됩니다. 따라서 해당 게시판 사이트를 방문하여 보안패치를 반드시 받으시기 바랍니다.

- 공개용 게시판 보안가이드 : 공지사항 → 게시글 24번

③ ‘취약점 수정’⇔ ‘취약점 점검’의 반복 작업 진행

- 1, 2단계(단, 2단계는 해당되는 경우에만 적용)를 통해 취약점 보완 후, 재점검을 하고 재점검에서 미처리된 취약점이 발견되면 [취약점 수정]⇔ [취약점 점검]작업을 반복합니다.

□ 문의 : 서울대학교 정보보안팀(snucert@snu.ac.kr, 02-880-6288)