[붙임2]

취약점 분석‧평가 기본항목

□ 관리적 분야

분류	번호	취약점 점검 항목	등급
정보 보호정책	A-1	조직 전반에 적용하고 있는 정보보호 정책/지침 또는 규정이 수립되었는가?	상
	A-2	정기적으로 정보보호정책의 타당성을 검토, 평가하여 수정 보완하고 있는가?	상
	A-3	연도별 정보보안업무 세부추진 계획을 수립·시행하고 그 추진결과에 대한 심사분석·평가를 실시하는가	상
	A-4	최근 1년간 기관장에게 연간 보호대책 등의 주요 정보보안 관련 사항을 보고하였는가?	상
정보 보호조직	A-5	보안활동을 계획, 실행, 검토하는 보안 전담조직 및 전담 보안 담당자가 구성되어 있는가?	상
인적 보안	A-6	신원조회(민간기관 제외)가 수행되고 비밀유지서약서를 작성하고 있으며 주기적으로 갱신되고 있는가?	상
	A-7	계약직 및 임시직원은 물론 정식직원 채용 시 신원, 업무능력, 교육정도, 경력 등에 대한 적격심사가 이루어지고 있는가?	상
외부자 보안	A-8	제3자(외부유지보수직원, 외부용역자포함)에 의한 정보자산 접근과 관련한 보안요구사항을 계약에 포함하고 있는가?	상
	A-9	위탁 기관(업체) 또는 용역사업 참여 업체의 보안관련사항 위반이나 침해사고 발생 시 조치를 수행하는가?	상
자산 분류	A-10	조직의 중요한 자산(인력, 시설, 장비 등)에 대한 자산분류기준이 있는가?	상
	A-11	정보자산을 보안등급과 중요도 등에 따라 분류하여 관리하고 있는가?	상
	A-12	정보자산별로 책임자가 지정되어 있으며 소유자, 관리자, 사용자들이 확인되고 있는가?	상
매체 관리	A-13	미디어 장치의 사용 및 반출입에 대한 관리절차나 문서가 있는가?	상
	A-14	정보나 매체가 용도 폐기되기 위한 폐기 방법이 수립되고 적절하게 이행되는가?	상
교육 및 훈련	A-15	교육 훈련 대상은 관련된 모든 내외 임직원 및 외부 인력을 포함하고 있으며 정보자산에 간접적으로 접근하는 일반 외부 용역 직원에 대해서도 정보보호교육훈련을 수행하는가?	상
접근 통제	A-16	업무 요구사항에 따라 접근통제의 방법과 범위 등을 정의하고 문서화하고 있는가?	상
	A-17	허가된 원격작업내용, 작업시간, 접근 허가된 내부 시스템 및 서비스 등의 내용을 포함한 재택근무 등의 원격작업에 대한 정책, 절차가 존재하는가?	상
	A-18	스마트폰·개인휴대단말기(PDA)·전자제어장비 등 첨단 정보통신기기를 활용하는 경우, 업무자료 등 중요정보 보호 및 안전한 전송을 위한 방안이 마련되어 있는가?	상
	A-19	정보통신망에 비인가 PC․노트북 등을 연결시 차단하는가?	상
	A-20	정보시스템 및 정보보호시스템 접근기록의 비인가 열람, 훼손 등을 방지하기 위한 대책이 있는가?	상
	A-21	무선랜(Wi-Fi 등)은 국가정보원장의 보안성 검토를 필하거나 암호키 설정 등의 적절한 보안조치를 적용하였는가?	상
	A-22	무선랜 무단 사용 여부, 비인가 무선 중계기(AP) 설치 여부, 우회 정보통신망 사용 차단 여부 등을 주기적으로 점검하는가?	상

운영 관리	A-23	개발 테스트 설비는 실제 운영설비와 분리되어 있는가?	상
	A-24	시스템을 도입하기 전에 보안성 검토 및 호환성 검토를 실시하는가?	상
	A-25	시스템 및 사용 장비에 대한 보안 취약점에 대한 주기적 검토 및 보완 프로세스가 있는가?	상
	A-26	바이러스, 악성코드 등에 대한 대비책을 가지고 있는가?	상
	A-27	보안규정의 이행여부를 확인하는 주기적인 보안점검 및 불시 보안점검이 이루어지고 있는가?	상
	A-28	시스템 및 패스워드 관리지침을 제공하고 시스템 및 패스워드 관리책임을 주지시키고 있는가?	상
	A-29	전자기록 보관을 위한 별도의 방법(아카이빙)이 존재하고, 이를 통한 관리를 하고 있는가?	상
	A-30	‘사이버보안진단의 날’ 등과 같이 월별 보안 중점점검사항에 대해 매월 점검하고 조치하는가?	상
	A-31	비밀(대외비 포함)을 비밀관리기록부에 등재하여 관리하는가?	상
	A-32	출력된 비밀문서의 경우 비밀합동보관소 등에 안전하게 보관되어 있는가?	상
	A-33	비밀 등 중요 정보의 안전한 처리를 위한 시스템을 도입하여 사용하고 있거나 이를 계획하고 있는가?	상
	A-34	정보통신망 세부 구성현황 등을 대외비 이상으로 관리하는가?	상
	A-35	정보보호시스템은 국내용 CC인증을 받았거나, 보안적합성 검증을 받았는가?	상
업무 연속성	A-36	업무복구목표와 요구사항에 적합한 업무연속성 전략을 수립하였는가?	상
사고 대응	A-37	침해사고 발생시 신속한 보안사고 보고를 위한 절차가 문서화되어 있고 이에 따라 신속한 보고가 이루어지고 있는가?	상
	A-38	DDoS 대응체계를 수립하고 주기적인 훈련을 실시하고 있는가?	상
	A-39	개인정보보호를 위해 DB암호화등 개인정보유출에 대한 방안이 마련 되어 있는가?	상

□ 물리적 분야

분류	번호	취약점 점검 항목	등급
접근 통제	P-1	주요 시스템에 대한 별도의 출입통제를 실시하거나 이중의 보호장치를 설치하고 있는가?	상
	P-2	보호구역의 출입에 관한 정책과 절차가 수립되어 있으며 이에 따라 출입통제가 되고 있는가?	상
감시 통제	P-3	주요시설의 출입구와 전산실 및 통신장비실 내부에 CCTV를 설치하고 있는가?	상
	P-4	CCTV 운용 시 중계·관제서버, 관리용 PC, 정보통신망 등에 대해 보안대책을 수립하는가?	상
	P-5	주요시설에 대한 출입기록은 출입일로부터 일정기간 이상 보관하고 있는가?	상
	P-6	외부인에 대해서 출입증을 발급하고, 출입권한은 출입목적이 필요한 구역내로 한정하는가?	상
전력 보호	P-7	전원공급 이상이나 기타 전기관련 사고로부터 장비가 보호되고 있는가? (UPS, 비상발전기, 이중전원선 등의 설비)	상

□ 기술적 분야

분류	번호	취약점 점검 항목	등급
계정 관리	U-1	root 계정 원격 접속 제한	상
	U-2	패스워드 복잡성 설정	상
	U-3	계정 잠금 임계값 설정	상
	U-4	패스워드 파일 보호	상
파일 및 디렉토리 관리	U-5	root 홈, 패스 디렉터리 권한 및 패스 설정	상
	U-6	파일 및 디렉터리 소유자 설정	상
	U-7	/etc/passwd 파일 소유자 및 권한 설정	상
	U-8	/etc/shadow 파일 소유자 및 권한 설정	상
	U-9	/etc/hosts 파일 소유자 및 권한 설정	상
	U-10	/etc/(x)inetd.conf 파일 소유자 및 권한 설정	상
	U-11	/etc/syslog.conf 파일 소유자 및 권한 설정	상
	U-12	/etc/services 파일 소유자 및 권한 설정	상
	U-13	SUID, SGID, Sticky bit 설정 파일 점검	상
	U-14	사용자, 시스템 시작파일 및 환경파일 소유자 및 권한 설정	상
	U-15	world writable 파일 점검	상
	U-16	/dev에 존재하지 않는 device 파일 점검	상
	U-17	$HOME/.rhosts, hosts.equiv 사용 금지	상
	U-18	접속 IP 및 포트 제한	상
서비스 관리	U-19	Finger 서비스 비활성화	상
	U-20	Anonymous FTP 비활성화	상
	U-21	r 계열 서비스 비활성화	상
	U-22	cron 파일 소유자 및 권한 설정	상
	U-23	DoS 공격에 취약한 서비스 비활성화	상
	U-24	NFS 서비스 비활성화	상
	U-25	NFS 접근통제	상
	U-26	automountd 제거	상
	U-27	RPC 서비스 확인	상
	U-28	NIS, NIS+ 점검	상
	U-29	tftp, talk 서비스 비활성화	상
	U-30	Sendmail 버전 점검	상
	U-31	스팸 메일 릴레이 제한	상
	U-32	일반사용자의 Sendmail 실행 방지	상
	U-33	DNS 보안 버전 패치	상
	U-34	DNS ZoneTransfer 설정	상
	U-35	Apache 디렉토리 리스팅 제거	상
	U-36	Apache 웹 프로세스 권한 제한	상
	U-37	Apache 상위 디렉토리 접근 금지	상
	U-38	Apache 불필요한 파일 제거	상
	U-39	Apache 링크 사용금지	상
	U-40	Apache 파일 업로드 및 다운로드 제한	상
	U-41	Apache 웹 서비스 영역의 분리	상
패치관리	U-42	최신 보안패치 및 벤더 권고사항 적용	상
로그관리	U-43	로그의 정기적 검토 및 보고	상

가. 유닉스

나. 윈도우즈

점검분류	번호	취약점 점검 항목	등급
계정 관리	W-1	Administrator 계정 이름 바꾸기	상
	W-2	Guest 계정 상태	상
	W-3	불필요한 계정 제거	상
	W-4	계정 잠금 임계값 설정	상
	W-5	해독 가능한 암호화를 사용하여 암호 저장	상
	W-6	관리자 그룹에 최소한의 사용자 포함	상
서비스 관리	W-7	공유 권한 및 사용자 그룹 설정	상
	W-8	하드디스크 기본 공유 제거	상
	W-9	불필요한 서비스 제거	상
	W-10	IIS 서비스 구동 점검	상
	W-11	IIS 디렉토리 리스팅 제거	상
	W-12	IIS CGI 실행 제한	상
	W-13	IIS 상위 디렉토리 접근 금지	상
	W-14	IIS 불필요한 파일 제거	상
	W-15	IIS 웹 프로세스 권한 제한	상
	W-16	IIS 링크 사용금지	상
	W-17	IIS 파일 업로드 및 다운로드 제한	상
	W-18	IIS DB 연결 취약점 점검	상
	W-19	IIS 가상 디렉토리 삭제	상
	W-20	IIS 데이터 파일 ACL 적용	상
	W-21	IIS 미사용 스크립트 매핑 제거	상
	W-22	IIS Exec 명령어 쉘 호출 진단	상
	W-23	IIS WebDAV 비활성화	상
	W-24	NetBIOS 바인딩 서비스 구동 점검	상
	W-25	FTP 서비스 구동 점검	상
	W-26	FTP 디렉토리 접근권한 설정	상
	W-27	Anonymouse FTP 금지	상
	W-28	FTP 접근 제어 설정	상
	W-29	DNS Zone Transfer 설정	상
	W-30	RDS(RemoteDataServices)제거	상
	W-31	최신 서비스팩 적용	상
패치 관리	W-32	최신 HOT FIX 적용	상
	W-33	백신 프로그램 업데이트	상
로그 관리	W-34	로그의 정기적 검토 및 보고	상
	W-35	원격으로 액세스할 수 있는 레지스트리 경로	상
보안 관리	W-36	백신 프로그램 설치	상
	W-37	SAM 파일 접근 통제 설정	상
	W-38	화면보호기 설정	상
	W-39	로그온하지 않고 시스템 종료 허용	상
	W-40	원격 시스템에서 강제로 시스템 종료	상
	W-41	보안 감사를 로그할 수 없는 경우 즉시 시스템 종료	상
	W-42	SAM 계정과 공유의 익명 열거 허용 안 함	상
	W-43	Autologon 기능 제어	상
	W-44	이동식 미디어 포맷 및 꺼내기 허용	상
	W-45	디스크볼륨 암호화 설정	상

다. 보안 장비

점검분류	번호	취약점 점검 항목	등급
계정 관리	S-1	보안장비 Default 계정 변경	상
	S-2	보안장비 Default 패스워드 변경	상
	S-3	보안장비 계정별 권한 설정	상
	S-4	보안장비 계정 관리	상
접근 관리	S-5	보안장비 원격 관리 접근 통제	상
	S-6	보안장비 보안 접속	상
	S-7	Session timeout 설정	상
패치관리	S-8	벤더에서 제공하는 최신 업데이트 적용	상
기능 관리	S-9	정책 관리	상
	S-10	NAT 설정	상
	S-11	DMZ 설정	상
	S-12	최소한의 서비스만 제공	상
	S-13	이상징후 탐지 경고 기능 설정	상
	S-14	장비 사용량 검토	상
	S-15	SNMP 서비스 확인	상
	S-16	SNMP community string 복잡성 설정	상

라. 네트워크 장비

점검분류	번호	취약점 점검 항목	등급
계정 관리	N-1	패스워드 설정	상
	N-2	패스워드 복잡성 설정	상
	N-3	암호화된 패스워드 사용	상
접근 관리	N-4	VTY 접근(ACL) 설정	상
	N-5	Session Timeout 설정	상
패치관리	N-6	최신 보안 패치 및 벤더 권고사항 적용	상
기능 관리	N-7	SNMP 서비스 확인	상
	N-8	SNMP community string 복잡성 설정	상
	N-9	SNMP ACL 설정	상
	N-10	SNMP 커뮤니티 권한 설정	상
	N-11	TFTP 서비스 차단	상
	N-12	Spoofing 방지 필터링 적용	상
	N-13	DDoS 공격 방어 설정	상
	N-14	사용하지 않는 인터페이스의 shutdown 설정	상

마. 제어시스템

점검분류	번호	취약점 점검 항목	등급
계정 관리	C-1	제어시스템 운영, 관리를 위한 계정이 타 사용자와 공유되지 않음	상
	C-2	ID/PW, 접속경로, 인증서 등이 하드코딩되지 않음	상
	C-3	제어시스템 운영, 관리를 위한 계정의 로그인, 사용 기록 저장	상
패치 관리	C-4	제어시스템에 대한 최신 업데이트, 보안패치를 안전하게 적용하기 위한 테스트 등의 절차 수립	상
접근 통제	C-5	제어시스템 운영자의 운영 권한은 제한된 범위 및 명령으로 제한	상
	C-6	제어시스템은 업무망, 인터넷 망과 물리적으로 분리	상
	C-7	제어 네트워크 외부와 자료연계시 물리적 일방향 환경을 구축하여 제어 네트워크로의 침입을 근본적으로 차단	상
	C-8	제어 네트워크에 무선인터넷, 테더링, 외부 유선망 연결 등의 외부망 연결을 제한하고 점검	상
	C-9	제어 네트워크에 비인가된 시스템에 대한 연결 및 접속 차단	상
보안 관리	C-10	제어시스템 구성도, 운용 매뉴얼, 비상조치 절차서 등을 작성하고 최신으로 관리	상
	C-11	제어시스템에서의 USB 사용을 금지하고, 사용시 USB 등의 이동형 저장매체 사용 통제	상
	C-12	제어명령에 대한 위변조 방지 대책 적용	상
	C-13	제어명령 replay 공격에 대한 방지 대책 적용	상
	C-14	제어시스템 개발자, 운영자, 관리자에 대한 접근권한 분리	상
	C-15	제어시스템, 제어기기에 (vendor default) 은닉서비스 및 취약한서비스가 없도록 설정	상
	C-16	제어프로그램의 입력창에 비정상적인 특정값을 입력할 시 사전에 정의한 에러 메시지가 출력되도록 하여 시스템 중요정보가 노출되지 않도록 설정	상

바. PC

점검분류	번호	취약점 점검 항목	등급
계정 관리	PC-1	패스워드의 주기적 변경	상
	PC-2	패스워드 정책이 해당기관의 보안정책에 적합하게 설정	상
서비스 관리	PC-3	공유폴더 제거	상
	PC-4	불필요한 서비스 제거	상
	PC-5	Windows Messenger(MSN, .NET 메신저 등)와 같은 상용 메신저의 사용 금지	상
패치 관리	PC-6	HOT FIX 등 최신 보안패치 적용	상
	PC-7	최신 서비스팩 적용	상
	PC-8	MS-Office, □글, 어도브 아크로뱃 등의 응용 프로그램에 대한 최신 보안 패치 및 벤더 권고사항 적용	상
보안 관리	PC-9	바이러스 백신 프로그램 설치 및 주기적 업데이트	상
	PC-10	바이러스 백신 프로그램에서 제공하는 실시간 감시 기능 활성화	상
	PC-11	OS에서 제공하는 침입차단 기능 활성화	상
	PC-12	화면보호기 대기 시간을 5~10분으로 설정 및 재시작시 암호로 보호하도록 설정	상
	PC-13	CD, DVD, USB메모리 등과 같은 미디어의 자동실행 방지 등 이동식 미디어에 대한 보안대책 수립	상
	PC-14	PC 내부의 미사용(3개월) ActiveX 제거	상

사. 데이터베이스

점검분류	번호	취약점 점검 항목	등급
계정 관리	D-1	기본 계정의 패스워드, 정책 등을 변경하여 사용	상
	D-2	scott 등 Demonstration 및 불필요 계정을 제거하거나 잠금설정 후 사용	상
	D-3	패스워드의 사용기간 및 복잡도를 기관의 정책에 맞도록 설정	상
	D-4	데이터베이스 관리자 권한을 꼭 필요한 계정 및 그룹에 대해서만 허용	상
접근 관리	D-5	원격에서 DB 서버로의 접속 제한	상
	D-6	DBA이외의 인가되지 않은 사용자가 시스템 테이블에 접근할 수 없도록 설정	상
	D-7	오라클 데이터베이스의 경우 리스너의 패스워드를 설정하여 사용	상
옵션 관리	D-8	응용프로그램 또는 DBA 계정의 Role이 Public으로 설정되지 않도록 조정	상
	D-9	OS_ROLES, REMOTE_OS_AUTHENTICATION, REMOTE_OS_ROLES를 FALSE로 설정	상
패치 관리	D-10	데이터베이스에 대해 최신 보안패치와 밴더 권고사항을 모두 적용	상
	D-11	데이터베이스의 접근, 변경, 삭제 등의 감사기록이 기관의 감사기록 정책에 적합하도록 설정	상

아. 웹(Web)

코드	취약점명	설 명	등급
BO	버퍼오버플로우	메모리나 버퍼의 블록 크기보다 더 많은 데이터를 넣음으로써 결함을 발생시키는 취약점	상
FS	포맷스트링	스트링을 처리하는 부분에서 메모리 공간에 접근할 수 있는 문제를 이용하는 취약점	상
LI	LDAP인젝션	LDAP(Lightweight Directory Access Protocol) 쿼리를 주입함으로서 개인정보 등의 내용이 유출될 수 있는 문제를 이용하는 취약점	상
OC	운영체제명령실행	웹사이트의 인터페이스를 통해 웹서버를 운영하는 운영체제 명령을 실행하는 취약점	상
SI	SQL인젝션	SQL문으로 해석될 수 있는 입력을 시도하여 데이터베이스에 접근할 수 있는 취약점	상
SS	SSI인젝션	SSI(Server-side Include)는 “Last modified"와 같이 서버가 HTML 문서에 입려갛는 변수 값으로, 웹서버상에 있는 파일을 include 시키고, 명령문이 실행되게 하여 데이터에 접근할 수 있는 취약점	상
XI	XPath인젝션	조작된 XPath(XML Path Language) 쿼리를 보냄으로써 비정상적인 데이터를 쿼리해 올 수 있는 취약점	상
DI	디렉토리인덱싱	요청 파일이 존재하지 않을 때 자동적으로 디렉토리 리스트를 출력하는 취약점	상
IL	정보누출	웹 사이트 데이터가 노출되는 것으로 개발과정의 코멘트나 오류 메시지 등에서 중요한 정보가 노출되어 공격자에게 2차 공격을 하기 위한 중요한 정보를 제공할 수 있는 취약점	상
CS	악성콘텐츠	웹애플리케이션에 정상적인 컨텐츠 대신에 악성 컨텐츠를 주입하여 사용자에게 악의적인 영항을 미치는 취약점	상
XS	크로스사이트스크립팅	웹애플리케이션을 사용해서 다른 최종 사용자의 클라이언트에서 임의의 스크립트가 실행되는 취약점	상
BF	약한문자열강도	사용자의 이름이나 패스워드, 신용카드 정보나 암호화 키 등을 자동으로 대입하여 여러 시행착오 후에 맞는 값이 발견되는 취약점	상
IA	불충분한 인증	민감한 데이터에 접근할 수 있는 곳에 취약한 인증 메커니즘으로 구현된 취약점	상
PR	취약한 패스워드 복구	취약한 패스워드 복구 메커니즘(패스워드 찾기 등)에 대해 공격자가 불법적으로 다른 사용자의 패스워드를 획득, 변경, 복구할 수 있는 취약점	상
CF	크로스사이트 리퀘스트변조(CSRF)	CSRF 공격은 로그온한 사용자 브라우저로 하여금 사용자의 세션 쿠키와 기타 인증 정보를 포함하는 위조된 HTTP 요청을 취약한 웹애플리케이션에 전송하는 취약점	상
SE	세션 예측	단순히 숫자가 증가하는 방법 등의 취약한 특정 세션의 식별자(ID)를 예측하여 세션을 가로챌 수 있는 취약점	상
IN	불충분한 인가	민감한 데이터 또는 기능에 대한 접근권한 제한을 두지 않은 취약점	상
SC	불충분한 세션만료	세션의 만료 기간을 정하지 않거나, 만료일자를 너무 길게 설정하여 공격자가 만료되지 않은 세션 활용이 가능하게 되는 취약점	상
SF	세션고정	세션값을 고정하여 명확한 세션 식별자(ID) 값으로 사용자가 로그인하여 정의된 세션 식별자(ID)가 사용 가능하게 되는 취약점	상
AU	자동화공격	웹애플리케이션에 정해진 프로세스에 자동화된 공격을 수행함으로써 자동으로 수많은 프로세스가 진행되는 취약점	상
PV	프로세스검증누락	공격자가 응용의 계획된 플로우 통제를 우회하는 것을 허가하는 취약점	상
FU	파일업로드	파일을 업로드 할 수 있는 기능을 이용하여 시스템 명령어를 실행할 수 있는 웹 프로그램을 업로드 할 수 있는 취약점	상
FD	파일다운로드	파일 다운로드 스크립트를 이용하여 첨부된 주요 파일을 다운로드 할 수 있는 취약점	상
AE	관리자페이지 노출	단순한 관리자 페이지 이름(admin, manager 등)이나 설정, 프로그램 설계상의 오류로 인해 관리자 메뉴에 직접 접근할 수 있는 취약점	상
PT	경로추적	공격자에게 외부에서 디렉터리에 접근할 수 있는 것이 허가되는 문제점으로 웹 루트 디렉터리에서 외부의 파일까지 접근하고 실핼할 수 있는 취약점	싱
PL	위치공개	예측 가능한 디렉토리나 파일명을 사용하여 해당 위치가 쉽게 노출되어 공격자가 이를 악용하여 대상에 대한 정보와 민감한 정보가 담긴 데이터에 접근이 가능하게 되는 취약점	상
SN	데이터평문전송	서버와 클라이언트간 통신 시 암호화하여 전송을 하지 않아 중요 정보 등이 평문으로 전송되는 취약점	상
CC	쿠키변조	적절히 보호되지 않은 쿠키를 사용하여 쿠키 인젝션 등과 같은 쿠키 값 변조를 통한 다른 사용자로의 위장 및 권한 상승 등이 가능한 취약점	상

※ 중요도 등급 “중”, “하”는 참고자료[취약점 분석‧평가 선택점검 항목]를 활용