제 11강
2012학년도 1학기
컴퓨터보안
1. 기술적 대응방안
o DDoS 대응장비ㆍIPSㆍ웹 방화벽 등 보안장비의 설정 값은 도입 시 설 정한 초기 임계값이 아닌 각급기관 상황 (평시 대역폭, 웹서버 성능, 평시 세션 개수 등 )에 맞춰 자체 시험한 임계값으로 재설정
o 트래픽 처리용량이 부족한 네트워크 장비(라우터, 스위치, 방화벽 등) 에 대한 성능 개선
* 1G급 장비로 도입했다 할지라도 보안 룰 설정 등으로 인해 1G 성능을 보장 할 수 없는 경우가 많으므로 자체 시험결과를 반영 , 장비 교체 및 성능 업그레 이드
o 시스템 자원을 고갈시키는 DDoS 공격에 대응하기 위해서 운영 중인 웹서버의 OS 및 환경변수를 최적화
* 각 기관에서 운영 중인 웹서버의 성능 및 접속 대역폭 등에 따라 가변적이므 로 자체 시험 후 해당기관에 맞는 적절한 값으로 설정
DDOS공격 대비 보안강화 대책
정보보안지침 , 건국대학교 2012
(예 시 1) Windows 서버설정 사례
DDOS공격 대비 보안강화 대책 정보보안지침 , 건국대학교 2012
환경 변수 설 명 공격징후
탐지 시
서비스장애 발생 시 TcpMaxHalfOpen 허용Half Open 세션수 512 1,024 TcpMaxHalfOpenRetried 현재Half Open 세션수 128 256
KeepAliveTime 유효한연결확인시간 60,000 30,000 EnableDynamicBacklog Backlog 동적기능사용 1 1 MinimumDynamicBacklo
g 사용가능Backlog 최소값 40 80
MaximumDynamicBackl
최대 세션 개수 20,000 40,000
(예 시 2) Solaris 서버설정 사례
DDOS공격 대비 보안강화 대책 정보보안지침 , 건국대학교 2012
환경 변수 설 명 공격징후
탐지 시
서비스장애 발생 시 Tcp_time_wait_interval time wait 상태시간 30,000 2,000
Tcp_conn_req_max_q Complete 큐 갯수 16,384 32,768 Tcp_conn_req_max_q0 Incomplete 큐 갯수 20,480 40,960 Tcp_ip_abort_cinterval Incomplete 상태의연결시간 20,000 3,000
Tcp_ip_abort_interval 송수신없는상태의연결유지 60,000 30,000
(예 시 2) Linux 서버설정 사례
DDOS공격 대비 보안강화 대책 정보보안지침 , 건국대학교 2012
환경 변수 설 명 공격징후
탐지 시
서비스장애 발생 시 Tcp_max_syn_backlo
g 서버 연결대기 큐 크기 8,192 16,384
* 설정 방법 : echo 8192 > /proc/sys/net/ipv4/tcp_max_syn_backlog
URL Redirection 구축 방법
DDoS공격이 발생하여 서비스 거부 현상이 발견되는 경우, 좀비 PC가 웹서버로 부터의 응답을 처리하지 않는 특징을 이용하여 DDoS 공격 대상 URL을 다른 페이지로 Redirection 되도록 구성
DDOS공격 대비 보안강화 대책
정보보안지침 , 건국대학교 2012
기관별 준비 사항
① Redirect용 서버 (유휴 서버 및 다수의 PC로도 구성 가능)
☞ 웹서버 하나에서 Index 페이지만 새로 작성ㆍ운영할 경우 서버는 불필요
② Redirect 안내페이지(HTML) 사전 작성
o SQL Query Attack을 방지하기 위해 와일드카드ㆍ특수문자 등 DB 과부하를 유발하는 불필요한 검 색어 입력을 차단
DDOS공격 대비 보안강화 대책 정보보안지침 , 건국대학교 2012
</head><body> <p> 죄송합니다, 지금 접속요청이 많아 서비스가 원활하지 않습니다.
아 래 주 소 를 클 릭 시 즉 시 다 른 페 이 지 로 이 동 합 니 다 . <br><br> <a href="http://www.example.com/redirect_index.html"></a> </p></body></html>
관리적 대응방안
o 각급기관은 전산망을 일제 점검하고 해당기관의 전산망 구성, 정보보호시스템 및 서버현황 등을 참조하여 DDoS 대응절차를 자체 매뉴얼로 작성
※ 교육과학기술부「DDoS 공격 대응 매뉴얼」을 참조하여 모니터링, 공격탐지, 초동조 치, 분석, 차단조치 등 단계별로 DDoS 공격대응 절차 마련
o DDoS 공격 발생 시 신속한 대응조치 수행을 위해 비상연락체계를 구성ㆍ운영하고 수시로 연락체계 점검
※ 기 구축된「사이버공격 상황전파체계」와 연계하여 자체 상황전파 훈련을 병행 실시 하고 상황전파 책임자 및 연락처 변동 시 우리부로 통보(소속기관, 시도교육청, 국․공립 대 해당)
o 기관별 자체 DDoS 대응 실전훈련을 지속 실시하고 훈련결과를 반영하여 자체 대응 매뉴얼 및 대응체계 지속 개선
o 가용대역폭 이상의 공격 발생 시 긴급대응체계 구축을 위해 ISP와 협조, 유사 시 긴 급 대역폭 증설 방안 구축
o 주요 시스템의 경우 DDoS 트래픽 우회 서비스(DDoS 대피소) 및 CDN서비스(웹가속 서비스) 등 보완대책 마련
※ CDN서비스 : 동일한 데이터를 가진 다수의 서버가 여러 ISP에 분산 설치되어 DDoS 공격에 의해 접속자가 폭주하거나 장애가 발생하더라도 즉시 다른 서버에서 서비스를 제공
o 공격 차단조치로 인해 공격이 진화되면 서비스 정상화 조치와 함께 피해복구 절차 를 수행하고 재발방지를 위한 예방책 수립DDOS공격 대비 보안강화 대책
정보보안지침 , 건국대학교 2012
백신관리서버 보안취약점 및 개선방안
백신관리서버 운용 시 보안관리 강화 대책 정보보안지침 , 건국대학교 2012
취 약 점 보 안 대 책
SQL Injection 취약점을 통한 관리자 권한 획득
o 백신관리서버 및 응용 S/W 최신 보안패치 설치 o 관리자 네트워크 대역에서만 관리서버 접속 허용 o 서버에 접속 가능한 사용자 IP 및 MAC주소 제한 o 모든 DB입력 데이터에 대한 유효성을 검증하여 차단 o 관리자 인증에 성공한 IP에서 전송된 명령만 실행 o 관리자 권한인증은 반드시 인증된 관리서버에서 수행 o 불필요한 응용 소프트웨어 설치 금지 및 삭제 o 응용 소프트웨어에서 사용하는 통신 포트 제한 백신업데이트 서버로 위장,
해킹프로그램 배포 업데이트 파일 조작을 통한
해킹프로그램 배포 디폴트 계정을 이용한
백신관리서버 해킹 인증 우회를 통한 관리자 권한 획득
