# 주요정보통신기반시설 취약점 분석·평가 기준
(행정규칙구분=고시, 공포일자=20211228, 시행일자=20211228, 소관부처=과학기술정보통신부)
행정규칙번호: 2021-103
출처: 국가법령정보센터

행정규칙명: 주요정보통신기반시설 취약점 분석·평가 기준
행정규칙종류: 고시
발령일자: 20211228
발령번호: 2021-103
시행일자: 20211228
소관부처: 과학기술정보통신부
담당부서기관: 과학기술정보통신부(사이버침해대응과)
현행여부: Y

조문내용:
 1. 취약점 분석ㆍ평가 개요o 취약점 분석ㆍ평가란, 악성코드 유포, 해킹 등 사이버 위협에 대한 주요정보통신기반시설의 취약점을 종합적으로 분석 및 평가ㆍ개선하는 일련의 과정을 말함- 주요정보통신기반시설 관리기관은 주요정보통신기반시설의 안정적 운영을 위하여 사이버보안 점검항목과 항목별 세부 점검항목을 도출하여 취약점 분석을 실시- 취약점 분석 결과 발견된 취약점에 대해 위험등급 부여, 개선방향을 수립하는 등의 유기적인 평가 수행　2. 취약점 분석ㆍ평가 수행 주체 및 주기□ 수행 주체o 취약점 분석ㆍ평가는 주요정보통신기반시설의 관리기관이 직접 수행하거나 외부기관에 위탁하여 실시할 수 있음- 관리기관이 직접 수행할 경우, 정보통신기반 보호법 시행령 [별표1]에 따라 자체 전담반 구성- 관리기관이 외부기관에 위탁할 경우, 정보통신기반 보호법 제9조제3항에 따른 전문기관(한국인터넷진흥원, 정보공유ㆍ분석센터, 한국전자통신연구원, 정보보호 전문서비스 기업 등)에 위탁※ 정보보호 전문서비스 기업 : 정보보호산업의 진흥에 관한 법률 제23조에 따라 과학기술정보통신부 장관이 지정한 기업□ 수행 주기o 주요정보통신기반시설로 지정된 때에는 지정 후 6개월 이내에 취약점 분석ㆍ평가를 실시- 6개월 이내 취약점 분석ㆍ평가를 수행치 못할 경우, 관할 중앙행정기관의 장의 승인을 얻어 3개월 연장가능 (총 9개월)- 주요정보통신기반시설로 최초 지정일로부터 6개월 이전 취약점 분석ㆍ평가를 하였을 경우 수행한 것으로 간주※ 단, 6개월 이내의 취약점 분석ㆍ평가 수행 내용이 본 기준에 부합할 경우에 한하여 인정o 주요정보통신기반시설에 대한 최초의 취약점 분석ㆍ평가를 한 후에는 매년 정기적으로 취약점 분석ㆍ평가 실시- 취약점 분석ㆍ평가를 수행할 때에는 취약점 분석ㆍ평가 계획 수립, 가용자원과 대상 시설의 식별, 자산의 중요도 산정, 해당 시스템에 대한 정밀분석 실시- 주요정보통신기반시설에 중대한 변화가 있거나, 관리기관의 장이 필요하다고 판단하는 경우, 1년이 되지 않아도 취약점 분석ㆍ평가를 실시할 수 있음　3. 취약점 분석ㆍ평가의 범위 및 항목□ 분석ㆍ평가 대상 범위o 주요정보통신기반시설의 세부시설로 정의된 정보보호 대상 자산(정보시스템, 제어시스템)o 정보보호 대상 자산과 직ㆍ간접적으로 연계되어 기반시설에 영향을 미치는 타 시스템 등 물리적/관리적/기술적 분야※ 연계된 타 시스템이란 내부 시스템과 외부 기관과의 연계전용망, 원격 접속을 위한 VPN 망, 인터넷 연결망 등의 접속구간과 정보시스템을 의미□ 분석ㆍ평가 항목o 취약점 분석ㆍ평가 기본항목은 ①관리적, ②물리적, ③기술적으로 구분- 기본항목은 3단계(상ㆍ중ㆍ하)로 중요도를 분리- 기본 항목의 중요도 "상"인 점검항목은 매년 1회 필수적으로 점검 [붙임2]- 기본 항목의 중요도 "중", "하" 인 항목은 기관의 사정에 따라 선택 점검 [붙임3]※ 점검결과 사용되지 않거나, 불필요한 항목은 안전한 설정값 변환 등 보호대책 마련　4. 수행 절차 및 방법□ 수행절차 : 4단계 구성□ 1단계 : 취약점 분석ㆍ평가 계획 수립o 주요정보통신기반시설 관리기관은 취약점 분석ㆍ평가 수행주체(자체ㆍ외부위탁), 수행절차, 소요예산, 산출물 등을 포함한 자체 세부계획 수립□ 2단계 : 취약점 분석ㆍ평가 대상 선별o 주요정보통신기반시설의 정보시스템, 제어시스템 등 자산을 식별하고, 유형별(네트워크, 보안, 시스템)로 그룹화하여, 취약점 분석ㆍ평가 대상 목록 작성o 식별된 대상목록의 각 자산에 대하여 중요도를 산정※ 주요정보통신기반시설의 특성을 고려하여 상ㆍ중ㆍ하, 1∼3등급 등으로 구분□ 3단계 : 취약점 분석 수행o 취약점 분석ㆍ평가를 위한 관리적/물리적/기술적 세부 점검항목표 작성- [붙임2]에 제시된 취약점 점검항목을 기본으로 하며, 기관의 주요 취약 분야에 따라 추가 보완하여 점검표를 작성- 특정 시스템(특정OS, 특정DB 등)에 대해서는 [붙임2]의 점검항목을 기반으로 일부 항목을 조정하여 점검표 마련※ 예) VMS, OS/2 등의 특정OS 시스템은 [붙임2]의 유닉스 점검항목을 기반으로 점검을 수행하고 시스템 상황에 따라 일부 항목을 가감o 취약점 분석요령은 세부 점검항목표에 따라 관리적/물리적/기술적으로 구분하여 확인- 관리적 점검 요령은 정보보호 정책/지침 등 관련 문서 확인과 정보보호 담당자, 시스템 관리자, 사용자 등과의 면담으로 확인- 물리적 점검 요령은 전산실, 현관, 발전실 등의 통제구역을 실사하여 확인- 기술적 점검 요령은 점검도구(툴), 수동점검 모의해킹 등을 통해 확인※ 직전년도에 발견된 취약점에 대해서는 중점적으로 확인□ 4단계 : 취약점 평가 수행o 취약점 분석 결과에 대해 세부내용을 서술하고 발견된 취약점별 위험등급 표시 및 개선방향 수립을 원칙으로 함- 위험등급은 상ㆍ중ㆍ하 등 3단계로 표시※ 비밀성, 무결성, 가용성을 고려하여 위험등급(상ㆍ중ㆍ하)을 정의하고 구분- 취약점별 개선방향 수립 시 위험등급 "상"은 조기, "중", "하"는 중기 또는 장기로 구분하고, 기간 내 완료가 가능한 개선계획을 수립ㆍ실행o 취약점 분석ㆍ평가 결과는 [붙임4]의 산출식 예시를 참고하여 정량적인 점수(100점 만점)로 산출ㆍ관리할 수 있다.o 다만, 아래의 경우 해당 취약점을 ‘조치불가 취약점‘으로 분류하여, 조치불가 증빙자료와 보완대책을 주요정보통신기반시설 보호대책에 반영ㆍ관리- 기술적 분야 취약점에 대한 보호조치 방안이 존재하지 않는 경우- 기술적 분야 취약점을 조치 시 주요정보통신기반시설 서비스 중단, 장애 등으로 서비스 운영이 불가능 한 경우o 취약점 분석ㆍ평가 결과는 [붙임4]의 산출식 예시를 참고하여 정량적인 점수(100점 만점)로 산출ㆍ관리할 수 있다.　5. 기타사항o 취약점 분석ㆍ평가에서 발견된 위험요소(취약점)는 주요정보통신기반시설 보호대책에 반영- 차년도 주요정보통신기반시설 보호대책 추진 과제 중 "예방계획" 또는 "대응복구계획"에 기재o 취약점 분석ㆍ평가 결과의 유출 방지를 위한 관리강화- 취약점 분석ㆍ평가 결과(물)는 해당 기관이 대외비 또는 영업비밀 수준으로 관리하고, 수행업체의 저장매체(노트북, USB 등)에 저장된 자료는 폐기ㆍ확인- 수행업체로 인한 외부유출 방지를 위하여 벌칙조항이 포함된 서약서 징구o 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2023년 1월 1일을 기준으로 매 2년이 되는 시점(매 2년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.o 과학기술정보통신부장관은 「행정규제기본법」에 따라 이 고시에 대하여 2022년 1월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.o 이 고시는 고시한 날부터 시행한다.


별표

별표 0001: 취약점 분석·평가 전담반 구성 기준

[붙임1] 취약점 분석ㆍ평가 전담반 구성 기준

━━━━━━━━━━━┯━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

  구성원              │역할 또는 경력?자격 기준                                     

───────────┼───────────────────────────────

  반장                │ 취약점 분석·평가 시행의 총괄                                

  (정보보호책임자)    │                                                              

───────────┼───────────────────────────────

  관리기술 담당       │ 관리적·물리적 정보보호 등 조직의 정보보호관리체계의 관리·  

                      │운영경력 소유자, 정보시스템 감리 경력자                       

───────────┼───────────────────────────────

  응용프로그램 담당   │ 해당기관의 주요정보통신기반시설에 대한 핵심 프로그램         

                      │ 개발·유지보수 경력자                                        

───────────┼───────────────────────────────

  서버 담당           │ 유닉스, 리눅스, 윈도우 등 각종 서버관련 기술 보유자          

───────────┼───────────────────────────────

  정보보호 담당       │ 정보보호시스템 평가 및 운영자, 정보보호정책·위험분석 또는   

                      │취약점 점검·평가 등의 보안관리기술 경력자                    

───────────┼───────────────────────────────

  네트워크 담당       │ WAN, LAN, NMS 및 무선통신 등에 관한 기술 및 각종             

                      │ 통신 프로토콜 기술 보유자                                    

━━━━━━━━━━━┷━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

※ 비고 : 관리기관은 소관 주요정보통신기반시설의 특성에 따라 전담반 구성요건을 고려하여 취약점 분석?평가를 수행할 수 있는 적정인원의 전문인력을 확보하여야 한다.

별표 0002: 취약점 분석·평가 기준 ‘상’ 항목

[붙임2] 취약점 분석ㆍ평가 기준 ‘상’ 항목

□ 관리적 분야

┌────┬──┬──────────────────────────────────────────────┬──┐

│분류    │번호│취약점 점검 항목                                                                            │등급│

├────┼──┼──────────────────────────────────────────────┼──┤

│정보    │A-1 │조직 전반에 적용하고 있는 정보보호 정책/지침 또는 규정의 수립                               │상  │

│보호정책├──┼──────────────────────────────────────────────┼──┤

│        │A-2 │정기적으로 정보보호정책의 타당성을 검토, 평가하여 수정 및 보완                              │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-3 │연도별 정보보안업무 세부추진 계획을 수립·시행                                              │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-4 │최근 1년간 기관장에게 연간 보호대책 등의  주요 정보보안 관련 사항 보고                      │상  │

├────┼──┼──────────────────────────────────────────────┼──┤

│정보    │A-5 │보안활동을  계획, 실행, 검토하는 보안 전담조직 및 전담 보안 담당자 구성                     │상  │

│보호조직│    │                                                                                            │    │

├────┼──┼──────────────────────────────────────────────┼──┤

│인적    │A-6 │보안 담당자 지정시 보안 서약서나 비밀유지각서를 작성하고 있는가?                            │상  │

│보안    ├──┼──────────────────────────────────────────────┼──┤

│        │A-7 │계약직  및 임시직원은 물론 정식직원 채용 시 신원, 업무능력, 교육정도, 경력 등에 대한        │상  │

│        │    │적격심사 수행                                                                               │    │

├────┼──┼──────────────────────────────────────────────┼──┤

│외부자  │A-8 │제3자(외부유지보수직원,  외부 용역 등)에 의한 정보자산 접근과 관련한 보안요구사항을         │상  │

│보안    │    │계약에 반영                                                                                 │    │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-9 │위탁 기관(업체) 또는 용역사업 참여 업체의 보안관련사항 위반이나 침해사고 발생 시 조치       │상  │

│        │    │수행                                                                                        │    │

├────┼──┼──────────────────────────────────────────────┼──┤

│자산    │A-10│조직의  중요한 자산(인력, 시설, 장비 등)에 대한 자산분류기준 문서화                         │상  │

│분류    ├──┼──────────────────────────────────────────────┼──┤

│        │A-11│정보자산을  보안등급과 중요도 등에 따라 분류하여 관리                                       │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-12│정보자산별로  책임자가 지정되어 있으며 소유자, 관리자, 사용자들을 명시                      │상  │

├────┼──┼──────────────────────────────────────────────┼──┤

│매체    │A-13│미디어 장치(노트북, 태블릿, 이동식저장매체 등)의 사용 및 반출입에 대한 관리절차나           │상  │

│관리    │    │문서보유                                                                                    │    │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-14│정보나  매체가 용도 폐기되기 위한 폐기 방법이 수립되고 적절하게 이행                        │상  │

├────┼──┼──────────────────────────────────────────────┼──┤

│교육 및 │A-15│교육  훈련 대상은 관련된 모든 내외 임직원 및 외부 인력을 포함하고 있으며 정보자산에         │상  │

│훈련    │    │간접적으로 접근하는 일반 외부 용역 직원에 대해서도  정보보호교육훈련 수행                   │    │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-16│정보보호 인식제고를 위한 교육 및 훈련 계획을 종합적으로 수립하여 정기적으로 실시            │상  │

├────┼──┼──────────────────────────────────────────────┼──┤

│접근    │A-17│담당업무(조직)에 따라 접근통제의 방법과 범위 등을 정의하고 문서화                           │상  │

│통제    ├──┼──────────────────────────────────────────────┼──┤

│        │A-18│외부 네트워크를 통한 원격작업(재택근무, 장애대응 등)에 대한 책임자 승인, 작업내용 및 범위,  │상  │

│        │    │기간 설정, 접근 로그 기록/검토 등이 포함된 정책(절차)가 존재하며, 원격작업 허용 시 이를 준수│    │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-19│스마트폰·개인휴대단말기(PDA)·전자제어장비 등 첨단 정보통신기기를 활용하는 경우,           │상  │

│        │    │업무자료 등 중요정보 보호 및 안전한 전송을 위한 방안 마련                                   │    │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-20│정보통신망에 비인가 PC?노트북 등을 연결시 차단                                             │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-21│정보시스템 및 정보보호시스템 접근기록의 비인가 열람, 훼손 등을 방지하기 위한                │상  │

│        │    │보호대책 운영                                                                               │    │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-22│무선랜(Wi-Fi 등)은 상급기관장의 보안성 검토를 필하거나 암호키 설정 등의 적절한              │상  │

│        │    │보안조치를 적용                                                                             │    │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-23│무선랜 무단 사용 여부, 비인가 무선 중계기(AP) 설치 여부, 우회 정보통신망 사용 차단          │상  │

│        │    │여부 등을 주기적으로 점검                                                                   │    │

├────┼──┼──────────────────────────────────────────────┼──┤

│운영    │A-24│개발 및 테스트 설비는 실제 운영설비와 분리하여 운영                                         │상  │

│관리    ├──┼──────────────────────────────────────────────┼──┤

│        │A-25│시스템을 도입하기 전에 보안성 검토 및 호환성 검토 수행                                      │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-26│시스템 및 사용 장비에 대한 보안 취약점에 대한 주기적 검토 및 보완 프로세스 운영             │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-27│바이러스, 악성코드 등을 대비한 보호대책 운영                                                │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-28│보안규정의  이행여부를 확인하는 주기적인 보안점검 및 불시 보안점검 수행                     │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-29│시스템  및 패스워드 관리지침을 제공하고 시스템 및 패스워드 관리책임 상기                    │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-30│전자기록  보관을 위한 별도의 방법(아카이빙)이 존재하고, 이를 통해 관리                      │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-31│‘사이버보안진단의 날’ 등과 같이 월별 보안 중점점검사항에 대해 매월 보안점검과 조치활동    │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-32│비밀(대외비 포함)을 비밀관리기록부 등에 등재하여 관리                                       │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-33│출력된 비밀문서의 경우 잠금장치가 있는 캐비넷 등에 안전하게 보관                            │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-34│비밀 등 중요 정보의 안전한 처리를 위한 보호대책을 마련했거나 시스템을 도입하여 사용         │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-35│정보통신망 세부 구성현황(IP 정보 등)등을 대외비 이상으로 관리                               │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-36│정보보호시스템은 국내용 CC인증을 받았거나, 보안적합성 검증 수행                             │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-37│제품 및 서비스의 구매 시 내부 정보보안 요구사항을 정의하여 보안성을 검토                    │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-38│제품 및 서비스에서 계약 등으로 협의된 사항 이외 이상행위가 발생하는지 모니터링              │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-39│기반시설에서 운영 중인 운영체제, 소프트웨어 등이 개발사로부터 보안 지원이 되지 않           │상  │

│        │    │을 경우 해당 제품을 교체하거나 보안대책을 마련                                              │    │

├────┼──┼──────────────────────────────────────────────┼──┤

│업무    │A-40│업무복구목표와 요구사항에  적합한 업무연속성 전략을 수립                                    │상  │

│연속성  │    │                                                                                            │    │

├────┼──┼──────────────────────────────────────────────┼──┤

│사고    │A-41│침해사고 발생시 신속한 보안사고 보고를 위한 절차가 문서화되어 있고 이에 따라                │상  │

│대응    │    │신속한 보고 수행                                                                            │    │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-42│DDoS 대응체계를  수립하고 주기적인 훈련을 실시                                              │상  │

│        ├──┼──────────────────────────────────────────────┼──┤

│        │A-43│개인정보보호를 위해 DB암호화등 개인정보유출에 대한 방안이 마련                              │상  │

└────┴──┴──────────────────────────────────────────────┴──┘

┌──┬──┬───────────────────────────────────────┬──┐

│분류│번호│취약점 점검 항목                                                              │등급│

├──┼──┼───────────────────────────────────────┼──┤

│접근│P-1 │주요 시스템에 대한 별도의 출입통제를 실시하거나 이중의 보호장치 설치          │상  │

│통제├──┼───────────────────────────────────────┼──┤

│    │P-2 │보호구역의 출입에 관한 정책과 절차가 수립되어 있으며 이에 따라 출입통제 수행  │상  │

├──┼──┼───────────────────────────────────────┼──┤

│감시│P-3 │주요시설의 출입구와 전산실 및 통신장비실 내부에 CCTV를 설치                   │상  │

│통제├──┼───────────────────────────────────────┼──┤

│    │P-4 │CCTV 운용 시 중계·관제서버, 관리용 PC, 정보통신망 등에 대해 보안대책을 수립  │상  │

│    ├──┼───────────────────────────────────────┼──┤

│    │P-5 │주요시설에 대한 출입기록은 출입일로부터 일정기간 이상 보관                    │상  │

│    ├──┼───────────────────────────────────────┼──┤

│    │P-6 │외부인에 대해서 출입증을 발급하고, 출입권한은 출입목적이 필요한 구역내로 한정 │상  │

├──┼──┼───────────────────────────────────────┼──┤

│전력│P-7 │전원공급  이상이나 기타 전기관련 사고로부터 장비 보호                         │상  │

│보호│    │(UPS, 비상발전기, 이중전원선 등의 설비)                                       │    │

└──┴──┴───────────────────────────────────────┴──┘

□ 물리적 분야

□ 기술적 분야

┌─────┬──┬────────────────────────────┬──┐

│분류      │번호│취약점 점검 항목                                        │등급│

├─────┼──┼────────────────────────────┼──┤

│계정      │U-1 │root 계정 원격 접속 제한                                │상  │

│관리      ├──┼────────────────────────────┼──┤

│          │U-2 │패스워드 복잡성 설정                                    │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-3 │계정 잠금 임계값 설정                                   │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-4 │패스워드 파일 보호                                      │상  │

├─────┼──┼────────────────────────────┼──┤

│파일      │U-5 │root 홈, 패스 디렉터리 권한 및  패스 설정               │상  │

│및        ├──┼────────────────────────────┼──┤

│디렉토리  │U-6 │파일 및 디렉터리 소유자 설정                            │상  │

│관리      ├──┼────────────────────────────┼──┤

│          │U-7 │/etc/passwd 파일 소유자 및  권한 설정                   │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-8 │/etc/shadow 파일 소유자 및  권한 설정                   │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-9 │/etc/hosts 파일 소유자 및  권한 설정                    │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-10│/etc/(x)inetd.conf 파일  소유자 및 권한 설정            │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-11│/etc/syslog.conf 파일  소유자 및 권한 설정              │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-12│/etc/services 파일 소유자  및 권한 설정                 │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-13│SUID, SGID, Sticky  bit 설정 파일 점검                  │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-14│사용자, 시스템 시작파일 및 환경파일  소유자 및 권한 설정│상  │

│          ├──┼────────────────────────────┼──┤

│          │U-15│world writable 파일 점검                                │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-16│/dev에 존재하지 않는 device 파일 점검                   │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-17│$HOME/.rhosts, hosts.equiv 사용 금지                    │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-18│접속 IP 및 포트 제한                                    │상  │

├─────┼──┼────────────────────────────┼──┤

│서비스    │U-19│Finger 서비스 비활성화                                  │상  │

│관리      ├──┼────────────────────────────┼──┤

│          │U-20│Anonymous FTP 비활성화                                  │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-21│r 계열 서비스 비활성화                                  │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-22│cron 파일 소유자 및 권한 설정                           │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-23│DoS 공격에 취약한 서비스 비활성화                       │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-24│NFS 서비스 비활성화                                     │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-25│NFS 접근통제                                            │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-26│automountd 제거                                         │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-27│RPC 서비스 확인                                         │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-28│NIS, NIS+ 점검                                          │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-29│tftp, talk 서비스 비활성화                              │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-30│Sendmail 버전 점검                                      │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-31│스팸 메일 릴레이 제한                                   │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-32│일반사용자의  Sendmail 실행 방지                        │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-33│DNS 보안 버전 패치                                      │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-34│DNS ZoneTransfer 설정                                   │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-35│웹서비스 디렉토리 리스팅 제거                           │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-36│웹서비스 프로세스 권한 제한                             │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-37│웹서비스 상위 디렉토리 접근 금지                        │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-38│웹서비스  불필요한 파일 제거                            │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-39│웹서비스 링크 사용금지                                  │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-40│웹서비스 파일 업로드 및 다운로드  제한                  │상  │

│          ├──┼────────────────────────────┼──┤

│          │U-41│웹 서비스 영역의 분리                                   │상  │

├─────┼──┼────────────────────────────┼──┤

│패치관리  │U-42│최신 보안패치 및 벤더 권고사항 적용                     │상  │

├─────┼──┼────────────────────────────┼──┤

│로그관리  │U-43│로그의 정기적 검토 및 보고                              │상  │

└─────┴──┴────────────────────────────┴──┘

  가. 유닉스

┌───┬──┬─────────────────────────┬──┐

│분류  │번호│취약점 점검 항목                                  │등급│

├───┼──┼─────────────────────────┼──┤

│계정  │W-1 │Administrator 계정 이름 변경 등 보안성 강화       │상  │

│관리  ├──┼─────────────────────────┼──┤

│      │W-2 │Guest 계정 비활성화                               │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-3 │불필요한 계정 제거                                │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-4 │계정 잠금 임계값 설정                             │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-5 │해독 가능한 암호화를 사용하여 암호 저장           │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-6 │관리자 그룹에 최소한의 사용자 포함                │상  │

├───┼──┼─────────────────────────┼──┤

│서비스│W-7 │공유 권한 및 사용자 그룹 설정                     │상  │

│관리  ├──┼─────────────────────────┼──┤

│      │W-8 │하드디스크  기본 공유 제거                        │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-9 │불필요한 서비스 제거                              │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-10│IIS 서비스 구동 점검                              │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-11│IIS 디렉토리 리스팅 제거                          │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-12│IIS CGI 실행 제한                                 │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-13│IIS 상위 디렉토리 접근 금지                       │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-14│IIS 불필요한 파일 제거                            │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-15│IIS 웹 프로세스 권한 제한                         │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-16│IIS 링크 사용금지                                 │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-17│IIS 파일 업로드 및 다운로드 제한                  │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-18│IIS DB 연결 취약점 점검                           │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-19│IIS 가상 디렉토리 삭제                            │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-20│IIS 데이터 파일 ACL 적용                          │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-21│IIS 미사용 스크립트 매핑 제거                     │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-22│IIS Exec 명령어 쉘 호출 진단                      │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-23│IIS WebDAV 비활성화                               │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-24│NetBIOS 바인딩 서비스 구동 점검                   │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-25│FTP 서비스 구동 점검                              │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-26│FTP 디렉토리 접근권한 설정                        │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-27│Anonymouse FTP 금지                               │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-28│FTP 접근 제어 설정                                │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-29│DNS Zone Transfer 설정                            │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-30│RDS(RemoteDataServices)제거                       │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-31│최신 서비스팩 적용                                │상  │

├───┼──┼─────────────────────────┼──┤

│패치  │W-32│최신 HOT FIX 적용                                 │상  │

│관리  ├──┼─────────────────────────┼──┤

│      │W-33│백신 프로그램 업데이트                            │상  │

├───┼──┼─────────────────────────┼──┤

│로그  │W-34│로그의 정기적 검토 및 보고                        │상  │

│관리  ├──┼─────────────────────────┼──┤

│      │W-35│원격으로 액세스할 수 있는 레지스트리  경로        │상  │

├───┼──┼─────────────────────────┼──┤

│보안  │W-36│백신 프로그램 설치                                │상  │

│관리  ├──┼─────────────────────────┼──┤

│      │W-37│SAM 파일 접근 통제 설정                           │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-38│화면보호기 설정                                   │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-39│로그온하지 않고 시스템 종료 허용                  │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-40│원격 시스템에서 강제로 시스템 종료                │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-41│보안 감사를 로그할 수 없는 경우 즉시  시스템 종료 │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-42│SAM 계정과 공유의 익명 열거 허용  안 함           │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-43│Autologon 기능 제어                               │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-44│이동식 미디어 포맷 및 꺼내기 허용                 │상  │

│      ├──┼─────────────────────────┼──┤

│      │W-45│디스크볼륨 암호화 설정                            │상  │

└───┴──┴─────────────────────────┴──┘

  나. 윈도우즈 

  다. 보안 장비 

┌───┬──┬──────────────────┬──┐

│분류  │번호│취약점 점검 항목                    │등급│

├───┼──┼──────────────────┼──┤

│계정  │S-1 │보안장비 Default 계정 변경          │상  │

│관리  ├──┼──────────────────┼──┤

│      │S-2 │보안장비 Default 패스워드 변경      │상  │

│      ├──┼──────────────────┼──┤

│      │S-3 │보안장비 계정별 권한 설정           │상  │

│      ├──┼──────────────────┼──┤

│      │S-4 │보안장비 계정 관리                  │상  │

├───┼──┼──────────────────┼──┤

│접근  │S-5 │보안장비 원격 관리 접근 통제        │상  │

│관리  ├──┼──────────────────┼──┤

│      │S-6 │보안장비 보안 접속                  │상  │

│      ├──┼──────────────────┼──┤

│      │S-7 │Session timeout 설정                │상  │

├───┼──┼──────────────────┼──┤

│패치  │S-8 │벤더에서 제공하는 최신 업데이트 적용│상  │

│관리  │    │                                    │    │

├───┼──┼──────────────────┼──┤

│기능  │S-9 │정책 관리                           │상  │

│관리  ├──┼──────────────────┼──┤

│      │S-10│NAT 설정                            │상  │

│      ├──┼──────────────────┼──┤

│      │S-11│DMZ 설정                            │상  │

│      ├──┼──────────────────┼──┤

│      │S-12│최소한의 서비스만 제공              │상  │

│      ├──┼──────────────────┼──┤

│      │S-13│이상징후 탐지 모니터링 수행         │상  │

│      ├──┼──────────────────┼──┤

│      │S-14│장비 사용량 검토                    │상  │

│      ├──┼──────────────────┼──┤

│      │S-15│SNMP 서비스 확인                    │상  │

│      ├──┼──────────────────┼──┤

│      │S-16│SNMP community string  복잡성 설정  │상  │

└───┴──┴──────────────────┴──┘

  라. 네트워크 장비 

┌───┬──┬─────────────────────┬──┐

│분류  │번호│취약점 점검 항목                          │등급│

├───┼──┼─────────────────────┼──┤

│계정  │N-1 │패스워드 설정                             │상  │

│관리  ├──┼─────────────────────┼──┤

│      │N-2 │패스워드 복잡성 설정                      │상  │

│      ├──┼─────────────────────┼──┤

│      │N-3 │암호화된 패스워드 사용                    │상  │

├───┼──┼─────────────────────┼──┤

│접근  │N-4 │VTY 접근(ACL) 설정                        │상  │

│관리  ├──┼─────────────────────┼──┤

│      │N-5 │Session Timeout 설정                      │상  │

├───┼──┼─────────────────────┼──┤

│패치  │N-6 │최신 보안 패치 및 벤더 권고사항 적용      │상  │

│관리  │    │                                          │    │

├───┼──┼─────────────────────┼──┤

│기능  │N-7 │SNMP 서비스 확인                          │상  │

│관리  ├──┼─────────────────────┼──┤

│      │N-8 │SNMP community string  복잡성 설정        │상  │

│      ├──┼─────────────────────┼──┤

│      │N-9 │SNMP ACL 설정                             │상  │

│      ├──┼─────────────────────┼──┤

│      │N-10│SNMP 커뮤니티 권한 설정                   │상  │

│      ├──┼─────────────────────┼──┤

│      │N-11│TFTP 서비스 차단                          │상  │

│      ├──┼─────────────────────┼──┤

│      │N-12│Spoofing 방지 필터링 적용                 │상  │

│      ├──┼─────────────────────┼──┤

│      │N-13│DDoS 공격 방어 설정 또는 DDoS 장비 사용   │상  │

│      ├──┼─────────────────────┼──┤

│      │N-14│사용하지 않는 인터페이스의  shutdown 설정 │상  │

└───┴──┴─────────────────────┴──┘

 마. 제어시스템

┌────┬──┬──────────────────────────────────────────┬──┐

│분류    │번호│취약점 점검 항목                                                                    │등급│

├────┼──┼──────────────────────────────────────────┼──┤

│계정    │C-1 │계정기능이 있는 제어시스템 구성요소에 대해 계정을 설정하여 사용                     │상  │

│관리    ├──┼──────────────────────────────────────────┼──┤

│        │C-2 │제어시스템 계정의 로그인/로그아웃, 사용명령 등 사용기록을 저장                      │상  │

│        ├──┼──────────────────────────────────────────┼──┤

│        │C-3 │제어시스템 계정입력 시 패스워드 마스킹 처리, 입력값 에러 발생 시 제공 정보 제한 수  │상  │

│        │    │행                                                                                  │    │

├────┼──┼──────────────────────────────────────────┼──┤

│서비스  │C-4 │제어시스템 구성요소에 대한 시각 동기화 수행                                         │상  │

│관리    ├──┼──────────────────────────────────────────┼──┤

│        │C-5 │제어시스템에 불필요한 서비스 및 취약한 서비스 제거 또는 보완대책 수행               │상  │

├────┼──┼──────────────────────────────────────────┼──┤

│패치    │C-6 │제어시스템에 대한 최신 업데이트, 보안패치를 안전하게 적용하기 위한 제조사 협력방    │상  │

│관리    │    │안, 테스트 방안 등의 절차 수립                                                      │    │

│        ├──┼──────────────────────────────────────────┼──┤

│        │C-7 │외부 업체, 인터넷을 통한 다운로드 등의 경로로 반입된 각종 패치·업데이트 파일에 대  │상  │

│        │    │해 무결성 검증 및 클린 PC를 통한 악성코드 존재 여부 검사 수행                       │    │

│        ├──┼──────────────────────────────────────────┼──┤

│        │C-8 │제어시스템 구성요소의 알려진 취약점에 대해 보안패치 적용 또는 상응하는 대응책 적용  │상  │

├────┼──┼──────────────────────────────────────────┼──┤

│네트워  │C-9 │제어 네트워크는 업무망, 인터넷, CCTV망 등 외부망과 물리적으로 분리하여 사용         │상  │

│크      ├──┼──────────────────────────────────────────┼──┤

│접근통  │C-10│제어 네트워크 외부로 자료전달 시 물리적 일방향 자료전달 환경을 구축하여 외부에서 제 │상  │

│제      │    │어 네트워크로의 침입을 차단                                                         │    │

│        ├──┼──────────────────────────────────────────┼──┤

│        │C-11│제어 네트워크에 무선인터넷, 테더링, 외부 유선망 등의 외부망 연결을 제한하고 주기적  │상  │

│        │    │으로 점검                                                                           │    │

│        ├──┼──────────────────────────────────────────┼──┤

│        │C-12│제어 네트워크에 비인가된 시스템/기기에 대한 연결 및 접속을 차단                     │상  │

│        ├──┼──────────────────────────────────────────┼──┤

│        │C-13│물리적 일방향 자료전달 환경의 올바른 동작 및 운용에 대한 주기적인 점검 수행         │상  │

├────┼──┼──────────────────────────────────────────┼──┤

│물리적  │C-14│제어시스템에 대해 네트워크 포트, USB 포트 등 외부 연결 접점에 대해 허가받은 사항    │상  │

│접근통제│    │을 제외하고 모두 물리적 또는 논리적으로 차단                                        │    │

├────┼──┼──────────────────────────────────────────┼──┤

│보안위협│C-15│백신 프로그램 설치가 가능한 제어시스템 구성요소에 대해 악성코드 감염 및 차단을      │상  │

│탐지    │    │위한 백신 프로그램 설치                                                             │    │

├────┼──┼──────────────────────────────────────────┼──┤

│복구    │C-16│제어시스템 대상 사이버 위기대응 매뉴얼을 수립                                       │상  │

│대응    ├──┼──────────────────────────────────────────┼──┤

│        │C-17│제어시스템 대상 사이버 위기대응 훈련을 정기적으로 시행                              │상  │

│        ├──┼──────────────────────────────────────────┼──┤

│        │C-18│제어시스템 침해사고 대응을 위한 제어시스템 설정, 중요 데이터 등을 백업 및 관리      │상  │

├────┼──┼──────────────────────────────────────────┼──┤

│보안    │C-19│제어시스템 구성요소에 대한 자산정보(담당자, 펌웨어 버전, 설치 SW 등)를 항상 최신으  │상  │

│관리    │    │로 유지관리                                                                         │    │

│        ├──┼──────────────────────────────────────────┼──┤

│        │C-20│제어시스템 구성요소가 설치된 장소를 보호구역으로 설정                               │상  │

│        ├──┼──────────────────────────────────────────┼──┤

│        │C-21│제어시스템에서 USB 등 이동형 저장매체를 사용해야 하는 경우, 사전정의된 정책에 따라  │상  │

│        │    │사용                                                                                │    │

│        ├──┼──────────────────────────────────────────┼──┤

│        │C-22│제어 네트워크에 연결되는 외부 정보통신기기 반?출입시 클린존 통과, 관리대장 작성    │상  │

│        │    │등 관리절차 마련                                                                    │    │

└────┴──┴──────────────────────────────────────────┴──┘

  바. PC

┌────┬───┬───────────────────────────────────────┬──┐

│분류    │번호  │취약점 점검 항목                                                              │등급│

├────┼───┼───────────────────────────────────────┼──┤

│계정    │PC-1  │패스워드의 주기적 변경                                                        │상  │

│관리    ├───┼───────────────────────────────────────┼──┤

│        │PC-2  │패스워드 정책이 해당기관의 보안정책에 적합하게 설정                           │상  │

├────┼───┼───────────────────────────────────────┼──┤

│서비스  │PC-3  │공유폴더 제거                                                                 │상  │

│관리    ├───┼───────────────────────────────────────┼──┤

│        │PC-4  │불필요한 서비스 제거                                                          │상  │

│        ├───┼───────────────────────────────────────┼──┤

│        │PC-5  │Windows Messenger(MSN, .NET 메신저 등)와 같은 상용 메신저의 사용 금지         │상  │

├────┼───┼───────────────────────────────────────┼──┤

│패치    │PC-6  │HOT FIX 등 최신 보안패치 적용                                                 │상  │

│관리    ├───┼───────────────────────────────────────┼──┤

│        │PC-7  │최신 서비스팩 적용                                                            │상  │

│        ├───┼───────────────────────────────────────┼──┤

│        │PC-8  │MS-Office, ?글, 어도브 아크로뱃 등의 응용 프로그램에 대한 최신 보안 패치 및  │상  │

│        │      │벤더 권고사항 적용                                                            │    │

├────┼───┼───────────────────────────────────────┼──┤

│보안    │PC-9  │바이러스 백신 프로그램 설치 및 주기적 업데이트                                │상  │

│관리    ├───┼───────────────────────────────────────┼──┤

│        │PC-10 │바이러스 백신 프로그램에서 제공하는 실시간 감시 기능 활성화                   │상  │

│        ├───┼───────────────────────────────────────┼──┤

│        │PC-11 │OS에서 제공하는 침입차단 기능 활성화                                          │상  │

│        ├───┼───────────────────────────────────────┼──┤

│        │PC-12 │화면보호기 대기 시간을 5~10분으로 설정 및 재시작시 암호로 보호하도록 설정     │상  │

│        ├───┼───────────────────────────────────────┼──┤

│        │PC-13 │CD, DVD, USB메모리 등과 같은 미디어의 자동실행 방지 등 이동식 미디어에        │상  │

│        │      │대한 보안대책 수립                                                            │    │

│        ├───┼───────────────────────────────────────┼──┤

│        │PC-14 │PC 내부의 미사용(3개월) ActiveX 제거                                          │상  │

└────┴───┴───────────────────────────────────────┴──┘

  사. 데이터베이스

┌───┬──┬────────────────────────────────────┬──┐

│분류  │번호│취약점 점검 항목                                                        │등급│

├───┼──┼────────────────────────────────────┼──┤

│계정  │D-1 │기본 계정의 패스워드, 정책 등을 변경하여 사용                           │상  │

│관리  ├──┼────────────────────────────────────┼──┤

│      │D-2 │데이터베이스의 불필요 계정을 제거하거나, 잠금설정 후 사용               │상  │

│      ├──┼────────────────────────────────────┼──┤

│      │D-3 │패스워드의 사용기간 및 복잡도를 기관의 정책에 맞도록 설정               │상  │

│      ├──┼────────────────────────────────────┼──┤

│      │D-4 │데이터베이스 관리자 권한을 꼭 필요한 계정 및 그룹에 대해서만 허용       │상  │

├───┼──┼────────────────────────────────────┼──┤

│접근  │D-5 │원격에서 DB 서버로의 접속 제한                                          │상  │

│관리  ├──┼────────────────────────────────────┼──┤

│      │D-6 │DBA이외의 인가되지 않은 사용자가 시스템 테이블에 접근할 수 없도록 설정  │상  │

│      ├──┼────────────────────────────────────┼──┤

│      │D-7 │오라클 데이터베이스의 경우 리스너의 패스워드를 설정하여 사용            │상  │

├───┼──┼────────────────────────────────────┼──┤

│옵션  │D-8 │응용프로그램 또는 DBA 계정의 Role이 Public으로 설정되지 않도록 조정     │상  │

│관리  ├──┼────────────────────────────────────┼──┤

│      │D-9 │OS_ROLES, REMOTE_OS_AUTHENTICATION, REMOTE_OS_ROLES를 FALSE로           │상  │

│      │    │설정                                                                    │    │

├───┼──┼────────────────────────────────────┼──┤

│패치  │D-10│데이터베이스에 대해 최신 보안패치와 밴더 권고사항을 모두 적용           │상  │

│관리  ├──┼────────────────────────────────────┼──┤

│      │D-11│데이터베이스의 접근, 변경, 삭제 등의 감사기록이 기관의 감사기록 정책에  │상  │

│      │    │적합하도록 설정                                                         │    │

└───┴──┴────────────────────────────────────┴──┘

  아. 이동통신

┌──┬──┬─────────────────────────────────────┬──┐

│분류│번호│취약점 점검 항목                                                          │등급│

├──┼──┼─────────────────────────────────────┼──┤

│운영│M-1 │이동통신망 엣지 네트워크 운영 시 인터넷 연결 등을 고려한 보안기술을 적용  │상  │

│관리├──┼─────────────────────────────────────┼──┤

│    │M-2 │이동통신망에서 가상화 기술 적용 시 계정관리, 이상징후 탐지 등 보안 설정 또│상  │

│    │    │는 기술 적용                                                              │    │

│    ├──┼─────────────────────────────────────┼──┤

│    │M-3 │이동통신망 장비 및 SW 제조사 등과 보안정책을 마련하여 운영                │상  │

│    ├──┼─────────────────────────────────────┼──┤

│    │M-4 │이동통신망 장비 구축과 네트워크 설계 시 보안 내재화를 수행                │상  │

└──┴──┴─────────────────────────────────────┴──┘

  자. 웹(Web)

┌──┬─────────┬──────────────────────────────────────────┬──┐

│코드│취약점명          │설 명                                                                               │등급│

├──┼─────────┼──────────────────────────────────────────┼──┤

│BO  │버퍼오버플로우    │메모리나 버퍼의 블록 크기보다 더 많은 데이터를 넣음으로써 결함을 발생시키는 취약점  │상  │

├──┼─────────┼──────────────────────────────────────────┼──┤

│FS  │포맷스트링        │스트링을 처리하는 부분에서 메모리 공간에 접근할 수 있는 문제를 이용하는 취약점      │상  │

├──┼─────────┼──────────────────────────────────────────┼──┤

│LI  │LDAP인젝션        │LDAP(Lightweight Directory Access Protocol) 쿼리를 주입함으로서 개인정보 등의       │상  │

│    │                  │내용이 유출될 수 있는 문제를 이용하는 취약점                                        │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│OC  │운영체제명령실행  │웹사이트의 인터페이스를 통해 웹서버를 운영하는 운영체제 명령을 실행하는 취약점      │상  │

├──┼─────────┼──────────────────────────────────────────┼──┤

│SI  │SQL인젝션         │SQL문으로 해석될 수 있는 입력을 시도하여 데이터베이스에 접근할 수 있는 취약점       │상  │

├──┼─────────┼──────────────────────────────────────────┼──┤

│SS  │SSI인젝션         │SSI(Server-side Include)는 “Last modified"와 같이 서버가 HTML 문서에 입려갛는 변수 │상  │

│    │                  │값으로, 웹서버상에 있는 파일을 include 시키고, 명령문이 실행되게 하여 데이터에      │    │

│    │                  │접근할 수 있는 취약점                                                               │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│XI  │XPath인젝션       │조작된 XPath(XML Path Language) 쿼리를 보냄으로써 비정상적인 데이터를 쿼리해        │상  │

│    │                  │올 수 있는 취약점                                                                   │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│DI  │디렉토리인덱싱    │요청 파일이 존재하지 않을 때 자동적으로 디렉토리 리스트를 출력하는 취약점           │상  │

├──┼─────────┼──────────────────────────────────────────┼──┤

│IL  │정보누출          │웹 사이트 데이터가 노출되는 것으로 개발과정의 코멘트나 오류 메시지 등에서 중요한    │상  │

│    │                  │정보가 노출되어 공격자에게 2차 공격을 하기 위한 중요한 정보를 제공할 수 있는 취약점 │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│CS  │악성콘텐츠        │웹애플리케이션에 정상적인 컨텐츠 대신에 악성 컨텐츠를 주입하여 사용자에게           │상  │

│    │                  │악의적인 영항을 미치는 취약점                                                       │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│XS  │크로스사이트스    │웹애플리케이션을 사용해서 다른 최종 사용자의 클라이언트에서 임의의 스크립트가       │상  │

│    │크립팅            │실행되는 취약점                                                                     │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│BF  │약한문자열강도    │사용자의 이름이나 패스워드, 신용카드 정보나 암호화 키 등을 자동으로 대입하여        │상  │

│    │                  │여러 시행착오 후에 맞는 값이 발견되는 취약점                                        │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│IA  │불충분한 인증     │민감한 데이터에 접근할 수 있는 곳에 취약한 인증 메커니즘으로 구현된 취약점          │상  │

├──┼─────────┼──────────────────────────────────────────┼──┤

│PR  │취약한            │취약한 패스워드 복구 메커니즘(패스워드 찾기 등)에 대해 공격자가 불법적으로 다른     │상  │

│    │패스워드 복구     │사용자의 패스워드를 획득, 변경, 복구할 수 있는 취약점                               │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│CF  │크로스사이트      │CSRF 공격은 로그온한 사용자 브라우저로 하여금 사용자의 세션 쿠키와 기타 인증        │상  │

│    │리퀘스트변조(CSRF)│정보를 포함하는 위조된 HTTP 요청을 취약한 웹애플리케이션에 전송하는 취약점          │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│SE  │세션 예측         │단순히 숫자가 증가하는 방법 등의 취약한 특정 세션의 식별자(ID)를 예측하여 세션을    │상  │

│    │                  │가로챌 수 있는 취약점                                                               │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│IN  │불충분한 인가     │민감한 데이터 또는 기능에 대한 접근권한 제한을 두지 않은 취약점                     │상  │

├──┼─────────┼──────────────────────────────────────────┼──┤

│SC  │불충분한 세션만료 │세션의 만료 기간을 정하지 않거나, 만료일자를 너무 길게 설정하여 공격자가            │상  │

│    │                  │만료되지 않은 세션 활용이 가능하게 되는 취약점                                      │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│SF  │세션고정          │세션값을 고정하여 명확한 세션 식별자(ID) 값으로 사용자가 로그인하여 정의된          │상  │

│    │                  │세션 식별자(ID)가 사용 가능하게 되는 취약점                                         │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│AU  │자동화공격        │웹애플리케이션에 정해진 프로세스에 자동화된 공격을 수행함으로써 자동으로            │상  │

│    │                  │수많은 프로세스가 진행되는 취약점                                                   │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│PV  │프로세스검증누락  │공격자가 응용의 계획된 플로우 통제를 우회하는 것을 허가하는 취약점                  │상  │

├──┼─────────┼──────────────────────────────────────────┼──┤

│FU  │파일업로드        │파일을 업로드 할 수 있는 기능을 이용하여 시스템 명령어를 실행할 수 있는             │상  │

│    │                  │웹 프로그램을 업로드 할 수 있는 취약점                                              │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│FD  │파일다운로드      │파일 다운로드 스크립트를 이용하여 첨부된 주요 파일을 다운로드 할 수 있는 취약점     │상  │

├──┼─────────┼──────────────────────────────────────────┼──┤

│AE  │관리자페이지 노출 │단순한 관리자 페이지 이름(admin, manager 등)이나 설정, 프로그램 설계상의 오류로     │상  │

│    │                  │인해 관리자 메뉴에 직접 접근할 수 있는 취약점                                       │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│PT  │경로추적          │공격자에게 외부에서 디렉터리에 접근할 수 있는 것이 허가되는 문제점으로              │싱  │

│    │                  │웹 루트 디렉터리에서 외부의 파일까지 접근하고 실핼할 수 있는 취약점                 │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│PL  │위치공개          │예측 가능한 디렉토리나 파일명을 사용하여 해당 위치가 쉽게 노출되어 공격자가 이를    │상  │

│    │                  │악용하여 대상에 대한 정보와 민감한 정보가 담긴 데이터에 접근이 가능하게 되는 취약점 │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│SN  │데이터평문전송    │서버와 클라이언트간 통신 시 암호화하여 전송을 하지 않아 중요 정보 등이 평문으로     │상  │

│    │                  │전송되는 취약점                                                                     │    │

├──┼─────────┼──────────────────────────────────────────┼──┤

│CC  │쿠키변조          │적절히 보호되지 않은 쿠키를 사용하여 쿠키 인젝션 등과 같은 쿠키 값 변조를 통한 다른 │상  │

│    │                  │사용자로의 위장 및 권한 상승 등이 가능한 취약점                                     │    │

└──┴─────────┴──────────────────────────────────────────┴──┘

    ※ 중요도 등급 “중", “하"는 참고자료[취약점 분석?평가 선택점검 항목]를 활용

별표 0003: 취약점 분석·평가 기준 ‘중’, ‘하’ 항목

[붙임3] 취약점 분석ㆍ평가 기준 ‘중’, ‘하’ 항목

□ 관리적 분야

┌────┬───┬───────────────────────────────────────────┬──┐

│분류    │번호  │취약점 점검 항목                                                                      │등급│

├────┼───┼───────────────────────────────────────────┼──┤

│정보    │A-44  │정보보호정책이 문서화되어 있으며 경영자층의 승인획득                                  │중  │

│보호    ├───┼───────────────────────────────────────────┼──┤

│정책    │A-45  │정보보호정책서가  모든 임직원 및 관련자에게 배포되고 모든 임직원 및 관련자가          │중  │

│        │      │정보보호정책을 고지                                                                   │    │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-46  │기관의 정보보안 강화를 위한 중장기(3년 이상) 계획 수립                                │중  │

├────┼───┼───────────────────────────────────────────┼──┤

│정보    │A-47  │보안관련 전문가 집단으로부터 조언을 받고 해당 내용 반영                               │중  │

│보호    ├───┼───────────────────────────────────────────┼──┤

│조직    │A-48  │정보보호  관련 주요 의사결정을 수행하는 정보보호위원회가 구성되어 있으며 위원회의     │하  │

│        │      │역할 및 책임을 문서화                                                                 │    │

├────┼───┼───────────────────────────────────────────┼──┤

│인적    │A-49  │모든 인력에 대하여 정보보호의 책임과 역할을 문서로 명확화                             │중  │

│보안    ├───┼───────────────────────────────────────────┼──┤

│        │A-50  │정보보안정책을 불이행할 경우 이에 대한 징계와 관련된 사항을 규정에 명시               │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-51  │고용계약  만료시 자산 반납 및 접근권한을 삭제하는 절차 명시                           │중  │

├────┼───┼───────────────────────────────────────────┼──┤

│외부자  │A-52  │제3자의  보안요구사항 준수 검토를 위해 제3자 관리책임자로부터 보안관리 상황에         │하  │

│보안    │      │대한 주기적인 보고를 받고 수시 점검 수행                                              │    │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-53  │외부  관계자에게 정보나 자산에 접근할 수 있는 보안 규정을 사전 통보                   │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-54  │제3자(외부유지보수,  외부용역 등)에 대한 보안서약서 징구                              │하  │

├────┼───┼───────────────────────────────────────────┼──┤

│자산    │A-55  │조직의 주요 자산 목록을 작성하고 변경사항을 유지 관리                                 │하  │

│분류    ├───┼───────────────────────────────────────────┼──┤

│        │A-56  │자산에  대한 등급별 보호절차, 접근통제 수행                                           │하  │

├────┼───┼───────────────────────────────────────────┼──┤

│매체    │A-57  │미디어 장치(노트북, 테블릿, 이동식저장장치 등)의 반출입 시 접근통제 수행              │하  │

│관리    │      │                                                                                      │    │

├────┼───┼───────────────────────────────────────────┼──┤

│매체    │A-58  │노트북,  USB 메모리 등 이동형 장치의 분실을 통한 자료 유출 대비책 보유                │중  │

│관리    ├───┼───────────────────────────────────────────┼──┤

│        │A-59  │보조기억매체의 사용을 주기적으로 점검하고 운영 현황을 최신화                          │중  │

├────┼───┼───────────────────────────────────────────┼──┤

│교육    │A-60  │교육 및 훈련은 대상자의 직위 및 업무 특성에 따라 구분하여 실시하고 있는가?            │하  │

│및      ├───┼───────────────────────────────────────────┼──┤

│훈련    │A-61  │교육  훈련의 효과가 측정, 분석되어 차기 교육에 반영                                   │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-62  │직원을 대상으로 사이버안전센터 보안권고문·해킹메일주의공지, 윈도우 보안업데이        │중  │

│        │      │트 사항, 보안취약점 조치요령 등을 공지                                                │    │

├────┼───┼───────────────────────────────────────────┼──┤

│접근    │A-63  │접근통제에  대한 주기적 검토를 통해 접근통제 정책이 적합한지 검토                     │중  │

│통제    ├───┼───────────────────────────────────────────┼──┤

│        │A-64  │보안상  중요한 접근통제 규칙은 관리자의 승인을 거쳐서 설정 또는 변경                  │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-65  │안전한  로그온 절차, 식별 및 인증관리 등과 같은 시스템 운영체제 접근 통제 방법이      │중  │

│        │      │존재하고 이에 따라 이행                                                               │    │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-66  │외부에서의  사용자 접근에 대한 안전한 인증방식을 사용                                 │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-67  │외부에서  내부 시스템의 기능을 사용할 수 있다면 VPN 등 안전한 접속방법을              │하  │

│        │      │제공                                                                                  │    │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-68  │제3자가 원격에서 진단, 관리 등을 위한 서비스를 제공할때 필요할 때만 연결을 허용       │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-69  │제3자와의  정보 공유, 네트워크 공유 등에 대한 보안위협에 대한 대책 운영               │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-70  │민감한 시스템에 따라 네트워크를 분리 운영하여 서로간의 접근을 통제                    │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-71  │방화벽, 침입탐지 등 안전한 네트워크를 위한 대책을 마련                                │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-72  │내부망(업무망)과 인터넷망을 분리하여 사용                                             │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-73  │망분리 후 안전한 자료전송을 위한 시스템을 도입하여 사용                               │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-74  │인터넷 전화망과 일반 전산망은 분리하여 운용                                           │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-75  │제3자의 내부 상주 인력에 대한 네트워크를 분리 운영                                    │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-76  │보안책임자는 정보자산 도입 시 보안 정책에 부합하는지 확인 및 승인                     │하  │

├────┼───┼───────────────────────────────────────────┼──┤

│운영    │A-77  │보안정책에 의해 정의된 운영지침과 절차는 문서화되어 관리                              │중  │

│관리    ├───┼───────────────────────────────────────────┼──┤

│        │A-78  │정보시스템의  변경관리 절차가 존재하며 이에 따라 변경관리가 수행                      │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-79  │중요 시스템 및 정보보호제품의 설정 전 승인을 받고 수행                                │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-80  │개발자와  운영자의 접근 권한 분리                                                     │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-81  │중요  데이터와 일반데이터가 다른 서버에 분리 보관                                     │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-82  │장애탐지, 장애기록, 장애분석, 장애복구, 장애보고 등의 사항을 포함하는 시스템의        │하  │

│        │      │장애관리 지침 문서화                                                                  │    │

├────┼───┼───────────────────────────────────────────┼──┤

│운영    │A-83  │네트워크 운영 보안 유지를 위해 접근권한 통제, 원격접속 관리, 네트워크 분리 등의       │하  │

│관리    │      │내용을 포함한 네트워크 운영 보안정책을 수립 및 이행                                   │    │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-84  │시스템과 네트워크의 사용 및 접근에 대한 모니터링 절차와 책임이 정의되어 있고          │하  │

│        │      │이에 따라 수행                                                                        │    │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-85  │네트워크를 통해 시스템을 운영하는 경우 원칙적으로 시스템 관리는 내부의 특정           │중  │

│        │      │터미널에서만 할 수 있도록 제한                                                        │    │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-86  │네트워크, 메신저 등으로부터의 허가되지 않았거나 불분명한 파일의 다운로드를 금지하고,  │중  │

│        │      │부득이 다운로드받을 경우 바이러스 검사 수행                                           │    │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-87  │유지보수 작업 전 승인과, 작업 중 통제 및 감독 수행                                    │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-88  │원격 유지보수 및 진단 활동에 대한 감시                                                │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-89  │암호키에 대한 관리지침이 마련되어 있고 이에 따라 관리                                 │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-90  │암호키를  복구하기 위한 복구 절차가 수립되고 복구 내역 검토                           │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-91  │침입차단  및 탐지 도구는 조직의 보안 정책과 규칙에 적합하게 설치하여 운영             │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-92  │공중망 및 사설망 통신경로에 대한 신뢰성을 평가                                        │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-93  │스팸 메일 수신을 줄이기  위한 방안(스팸차단 솔루션)을 마련                            │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-94  │홈페이지 게시 자료에 대해 게시 절차를 마련하고 시행                                   │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-95  │업무용 시스템 및 홈페이지 등 정보시스템의 소스코드 관리                               │중  │

├────┼───┼───────────────────────────────────────────┼──┤

│업무    │A-96  │모의 훈련 등을 통한 업무 연속성 관리가 지속적으로 검토되고 있으며 조직 내의           │중  │

│연속성  │      │변경이 있을 경우 이에 대한 사항을 반영                                                │    │

│관리    ├───┼───────────────────────────────────────────┼──┤

│        │A-97  │보안중요성이 높은 등급의 시스템들은 이중화하여 관리                                   │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-98  │백업은 대상, 주기, 방법, 보관 장소, 보관기간, 소산 등의 관련 절차를 수립하여 이       │중  │

│        │      │행                                                                                    │    │

├────┼───┼───────────────────────────────────────────┼──┤

│사고    │A-99  │부정접근 사례나 보안사고 내역을 지속적으로 모니터링                                   │중  │

│대응    ├───┼───────────────────────────────────────────┼──┤

│        │A-100 │보안사고 유형, 범위, 영향 등을 포함한 보안사고 분석을 기록되어 관리                   │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-101 │보안 취약점 및 사고 발생시 이에 대한 보완작업 절차 마련                               │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-102 │사이버침해사고 발생 후 재발방지 대책을 수립 및 시행                                   │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-103 │침해사고  대응계획 즉 대응범위, 역할, 임무, 대응절차 등을 문서화                      │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-104 │사이버위기 ‘주의’이상 경보 발령 및 피해발생 등 필요시 대응할 수 있는 ‘긴급대응     │중  │

│        │      │반’을 구성                                                                           │    │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-105 │침해사고시 외부기관 및 전문가들과의 대응협조체계가 구축                               │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-106 │침해사고 대응절차 및 방법 숙지를 위해 정기적인 교육을 실시                            │중  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-107 │서비스 거부 공격(DDoS) 방지를 위한 대응방안(그린DDoSZone 등) 수립 및 운영             │중  │

├────┼───┼───────────────────────────────────────────┼──┤

│감사    │A-108 │정보시스템 관련 법, 규제, 계약상의 요구사항을 정의하여 문서화                         │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-109 │특허권 및 저작권법, 컴퓨터프로그램보호법 등 관련 법규를 준수                          │하  │

│        │      │(불법 복제 및 해적판 소프트웨어의 사용 금지 등)                                       │    │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-110 │보안사고 처리, 계약증빙 및 소송 등을 위한 적정한 증거자료 확보에 관한 지침이          │하  │

│        │      │존재하고 이에 따라 이행                                                               │    │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-111 │주기적으로 보안감사계획을 수립하고 시행                                               │하  │

│        ├───┼───────────────────────────────────────────┼──┤

│        │A-112 │감사결과를 관리책임자에게 보호하여 적정한 사후관리를 시행                             │하  │

├────┼───┼───────────────────────────────────────────┼──┤

│모의해킹│A-113 │주요정보통기반시설 직 간접적으로 관련된 시스템을 모의해킹 대상으로 식별하여           │하  │

│        │      │모의해킹 수행 및 보안대랙 마련                                                        │    │

└────┴───┴───────────────────────────────────────────┴──┘

□ 물리적 분야

┌──┬──┬─────────────────────────────────────────┬──┐

│분류│번호│취약점 점검 항목                                                                  │등급│

├──┼──┼─────────────────────────────────────────┼──┤

│접근│P-8 │민감한 시설에 대해 물리적으로 접근하는 사람들의 출입기록 및 허가의 타당성을       │중  │

│통제│    │주기적으로 검토                                                                   │    │

├──┼──┼─────────────────────────────────────────┼──┤

│감시│P-9 │제한구역에서의 작업에 대한 추가적인 통제 수단 및 안내 지침 보유                   │중  │

│통제├──┼─────────────────────────────────────────┼──┤

│    │P-10│전산 장비실에 외부협력업체 출입 시 내부 임직원이 상시 동행                        │중  │

│    ├──┼─────────────────────────────────────────┼──┤

│    │P-11│시각적으로 구분이 가능한 신분증 패용                                              │하  │

├──┼──┼─────────────────────────────────────────┼──┤

│전력│P-12│전원공급 이상이나 기타 전기관련 사고로부터 장비를 보호하기 위해 설비 상태에       │하  │

│보호│    │대해 정기적으로 검토                                                              │    │

│    ├──┼─────────────────────────────────────────┼──┤

│    │P-13│전원선 및 통신선은 도청이나 손상으로부터 보호                                     │중  │

│    ├──┼─────────────────────────────────────────┼──┤

│    │P-14│누전이 발생하였을 때 이를 차단할 수 있도록 누전차단기 또는 누전경보기의 설치      │중  │

├──┼──┼─────────────────────────────────────────┼──┤

│환경│P-15│물리적  중요도에 따라 제한구역, 통제구역 등으로 분류하는 다단계 보호 대책 수행    │중  │

│통제├──┼─────────────────────────────────────────┼──┤

│    │P-16│주요장비, 대체시스템 및 자료들이 화재, 습도 등의 환경재해로부터 보호되는 적       │중  │

│    │    │절한 곳에 배치하여 보호                                                           │    │

│    ├──┼─────────────────────────────────────────┼──┤

│    │P-17│전산실에 24시간 항온, 항습을 유지하기 위하여 온습도 측정이 가능하도록 항온항습    │하  │

│    │    │기가 설치 및 운영                                                                 │    │

│    ├──┼─────────────────────────────────────────┼──┤

│    │P-18│주요시설(중앙감시실,  전산실, 전력관련시설, 통신장비실, 방재센터 등)에는 기존 조명│중  │

│    │    │설비의 작동이 멈추는 경우에도 작업이 가능하도록 비상조명을 설치                   │    │

└──┴──┴─────────────────────────────────────────┴──┘

□ 기술적 분야

  가. 유닉스

┌─────┬──┬─────────────────────┬──┐

│분류      │번호│취약점 점검 항목                          │등급│

├─────┼──┼─────────────────────┼──┤

│계정      │U-44│root 이외의 UID가 '0' 금지                │중  │

│관리      ├──┼─────────────────────┼──┤

│          │U-45│root 계정 su 제한                         │하  │

│          ├──┼─────────────────────┼──┤

│          │U-46│패스워드 최소 길이 설정                   │중  │

│          ├──┼─────────────────────┼──┤

│          │U-47│패스워드 최대 사용 기간 설정              │중  │

│          ├──┼─────────────────────┼──┤

│          │U-48│패스워드  최소 사용기간 설정              │중  │

│          ├──┼─────────────────────┼──┤

│          │U-49│불필요한 계정 제거                        │하  │

│          ├──┼─────────────────────┼──┤

│          │U-50│관리자 그룹에 최소한의 계정 포함          │하  │

│          ├──┼─────────────────────┼──┤

│          │U-51│계정이 존재하지 않는 GID 금지             │하  │

│          ├──┼─────────────────────┼──┤

│          │U-52│동일한 UID 금지                           │중  │

│          ├──┼─────────────────────┼──┤

│          │U-53│사용자  shell 점검                        │하  │

│          ├──┼─────────────────────┼──┤

│          │U-54│Session Timeout 설정                      │하  │

├─────┼──┼─────────────────────┼──┤

│파일      │U-55│hosts.lpd 파일 소유자 및 권한  설정       │하  │

│및        ├──┼─────────────────────┼──┤

│디렉토리  │U-56│UMASK 설정 관리                           │중  │

│관리      ├──┼─────────────────────┼──┤

│          │U-57│홈디렉토리 소유자 및 권한 설정            │중  │

│          ├──┼─────────────────────┼──┤

│          │U-58│홈디렉토리로 지정한 디렉토리의 존재  관리 │중  │

│          ├──┼─────────────────────┼──┤

│          │U-59│숨겨진  파일 및 디렉토리 검색 및 제거     │하  │

├─────┼──┼─────────────────────┼──┤

│서비스    │U-60│ssh 원격접속 허용                         │중  │

│관리      ├──┼─────────────────────┼──┤

│          │U-61│ftp 서비스 확인                           │하  │

│          ├──┼─────────────────────┼──┤

│          │U-62│ftp 계정 shell 제한                       │중  │

│          ├──┼─────────────────────┼──┤

│          │U-63│Ftpusers 파일 소유자 및 권한  설정        │하  │

│          ├──┼─────────────────────┼──┤

│          │U-64│Ftpusers 파일 설정                        │중  │

│          ├──┼─────────────────────┼──┤

│          │U-65│at 파일 소유자 및 권한 설정               │중  │

│          ├──┼─────────────────────┼──┤

│          │U-66│SNMP  서비스 구동 점검                    │중  │

│          ├──┼─────────────────────┼──┤

│          │U-67│SNMP  서비스 커뮤니티스트링의 복잡성 설정 │중  │

│          ├──┼─────────────────────┼──┤

│          │U-68│로그온 시 경고 메시지 제공                │하  │

│          ├──┼─────────────────────┼──┤

│          │U-69│NFS 설정 파일 접근 권한                   │중  │

│          ├──┼─────────────────────┼──┤

│          │U-70│expn,  vrfy 명령어 제한                   │중  │

│          ├──┼─────────────────────┼──┤

│          │U-71│Apache  웹서비스 정보 숨김                │중  │

├─────┼──┼─────────────────────┼──┤

│로그      │U-72│정책에 따른 시스템 로깅 설정              │하  │

│관리      │    │                                          │    │

└─────┴──┴─────────────────────┴──┘

  나. 윈도우즈 

┌────┬──┬───────────────────────────┬──┐

│분류    │번호│취약점 점검 항목                                      │등급│

├────┼──┼───────────────────────────┼──┤

│계정관리│W-46│Everyone  사용 권한을 익명 사용자에게 적용            │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-47│계정  잠금 기간 설정                                  │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-48│패스워드  복잡성 설정                                 │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-49│패스워드  최소 암호 길이                              │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-50│패스워드  최대 사용 기간                              │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-51│패스워드  최소 사용 기간                              │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-52│마지막  사용자 이름 표시 안함                         │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-53│로컬  로그온 허용                                     │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-54│익명  SID/이름 변환 허용                              │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-55│최근  암호 기억                                       │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-56│콘솔  로그온 시 로컬 계정에서 빈 암호 사용 제한       │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-57│원격터미널  접속 가능한 사용자 그룹 제한              │중  │

├────┼──┼───────────────────────────┼──┤

│서비스  │W-58│터미널  서비스 암호화 수준 설정                       │중  │

│관리    ├──┼───────────────────────────┼──┤

│        │W-59│IIS  웹서비스 정보 숨김                               │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-60│SNMP  서비스 구동 점검                                │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-61│SNMP  서비스 커뮤니티스트링의 복잡성 설정             │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-62│SNMP  Access control 설정                             │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-63│DNS  서비스 구동 점검                                 │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-64│HTTP/FTP/SMTP  배너 차단                              │하  │

│        ├──┼───────────────────────────┼──┤

│        │W-65│Telnet  보안 설정                                     │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-66│불필요한  ODBC/OLE-DB 데이터 소스와 드라이브 제거     │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-67│원격터미널  접속 타임아웃 설정                        │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-68│예약된  작업에 의심스러운 명령이 등록되어 있는지 점검 │중  │

├────┼──┼───────────────────────────┼──┤

│패치관리│W-69│정책에 따른 시스템 로깅 설정                          │중  │

├────┼──┼───────────────────────────┼──┤

│로그관리│W-70│이벤트 로그 관리 설정                                 │하  │

│        ├──┼───────────────────────────┼──┤

│        │W-71│원격에서 이벤트 로그 파일 접근 차단                   │중  │

├────┼──┼───────────────────────────┼──┤

│보안관리│W-72│Dos공격 방어 레지스트리 설정                          │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-73│사용자가 프린터 드라이버를 설치할 수  없게 함         │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-74│세션 연결을 중단하기 전에 필요한  유휴시간            │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-75│경고 메시지 설정                                      │하  │

│        ├──┼───────────────────────────┼──┤

│        │W-76│사용자별 홈 디렉터리 권한 설정                        │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-77│LAN Manager 인증 수준                                 │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-78│보안 채널 데이터 디지털 암호화 또는  서명             │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-79│파일 및 디렉토리 보호                                 │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-80│컴퓨터 계정 암호 최대 사용 기간                       │중  │

│        ├──┼───────────────────────────┼──┤

│        │W-81│시작프로그램 목록 분석                                │중  │

├────┼──┼───────────────────────────┼──┤

│DB관리  │W-82│Windows 인증 모드 사용                                │중  │

└────┴──┴───────────────────────────┴──┘

  다. 보안 장비 

┌────┬──┬─────────────┬──┐

│분류    │번호│취약점 점검 항목          │등급│

├────┼──┼─────────────┼──┤

│계정관리│S-17│로그인 실패횟수 제한      │중  │

├────┼──┼─────────────┼──┤

│로그관리│S-18│보안장비 로그 설정        │중  │

│        ├──┼─────────────┼──┤

│        │S-19│보안장비 로그 정기적 검토 │중  │

│        ├──┼─────────────┼──┤

│        │S-20│보안장비 로그 보관        │중  │

│        ├──┼─────────────┼──┤

│        │S-21│보안장비 정책 백업 설정   │중  │

│        ├──┼─────────────┼──┤

│        │S-22│원격 로그 서버 사용       │중  │

│        ├──┼─────────────┼──┤

│        │S-23│로그 서버 설정 관리       │하  │

│        ├──┼─────────────┼──┤

│        │S-24│NTP 서버 연동             │중  │

├────┼──┼─────────────┼──┤

│기능관리│S-25│유해 트래픽 차단 정책 설정│중  │

└────┴──┴─────────────┴──┘

  라. 네트워크 장비 

┌────┬──┬──────────────────┬──┐

│분류    │번호│취약점 점검 항목                    │등급│

├────┼──┼──────────────────┼──┤

│계정관리│N-15│사용자?명령어별 권한 수준 설정     │중  │

├────┼──┼──────────────────┼──┤

│접근관리│N-16│VTY 접속 시 안전한 프로토콜 사용    │중  │

│        ├──┼──────────────────┼──┤

│        │N-17│불필요한 보조 입출력 포트 사용 금지 │중  │

│        ├──┼──────────────────┼──┤

│        │N-18│로그온 시 경고 메시지 설정          │중  │

│        ├──┼──────────────────┼──┤

│        │N-19│원격 로그서버 사용                  │하  │

├────┼──┼──────────────────┼──┤

│로그관리│N-20│로깅 버퍼 크기 설정                 │중  │

│        ├──┼──────────────────┼──┤

│        │N-21│정책에 따른 로깅 설정               │중  │

│        ├──┼──────────────────┼──┤

│        │N-22│NTP 서버 연동                       │중  │

│        ├──┼──────────────────┼──┤

│        │N-23│timestamp 로그 설정                 │하  │

├────┼──┼──────────────────┼──┤

│기능관리│N-24│TCP keepalive 서비스 설정           │중  │

│        ├──┼──────────────────┼──┤

│        │N-25│Finger 서비스 차단                  │중  │

│        ├──┼──────────────────┼──┤

│        │N-26│웹 서비스 차단                      │중  │

│        ├──┼──────────────────┼──┤

│        │N-27│TCP/UDP small 서비스 차단           │중  │

│        ├──┼──────────────────┼──┤

│        │N-28│Bootp 서비스 차단                   │중  │

│        ├──┼──────────────────┼──┤

│        │N-29│CDP 서비스 차단                     │중  │

│        ├──┼──────────────────┼──┤

│        │N-30│Directed-broadcast 차단             │중  │

│        ├──┼──────────────────┼──┤

│        │N-31│Source 라우팅 차단                  │중  │

│        ├──┼──────────────────┼──┤

│        │N-32│Proxy ARP 차단                      │중  │

│        ├──┼──────────────────┼──┤

│        │N-33│ICMP unreachable,  Redirect 차단    │중  │

│        ├──┼──────────────────┼──┤

│        │N-34│identd 서비스 차단                  │중  │

│        ├──┼──────────────────┼──┤

│        │N-35│Domain lookup 차단                  │중  │

│        ├──┼──────────────────┼──┤

│        │N-36│pad 차단                            │중  │

│        ├──┼──────────────────┼──┤

│        │N-37│mask-rely 차단                      │중  │

│        ├──┼──────────────────┼──┤

│        │N-38│스위치 허브 보안 강화               │하  │

└────┴──┴──────────────────┴──┘

  마. 제어시스템

 ┌─────┬──┬───────────────────────────────────────────────┬──┐

│분류      │번호│취약점 점검 항목                                                                              │등급│

├─────┼──┼───────────────────────────────────────────────┼──┤

│계정 관리 │C-23│제어시스템  계정을 관리, 운영, 유지보수 등 용도에 따라 분리하고 운용                          │중  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-24│제어시스템 계정에 대해 관리, 운영, 유지보수 등 용도에 맞는 최소 권한 부여                     │중  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-25│제어시스템 운전원 별  유일 계정 부여 또는 시간별 사용자 기록 유지                             │중  │

├─────┼──┼───────────────────────────────────────────────┼──┤

│서비스    │C-26│제어시스템 구성요소에 대한 관리자 페이지 운영 시 이에 대한 접근통제(사전인가                  │중  │

│관리      │    │접근만 허용) 수행                                                                             │    │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-27│제어시스템 내 파일/디렉토리 접근권한 및 신뢰관계를 적절히 부여                                │중  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-28│제어시스템 내 제어와 직접적인 관련이 없는 불필요 프로그램 삭제                                │중  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-29│제어시스템 운영 정보, 제어명령 등 중요정보에 대한 위변조 및 replay 공격 방지                  │중  │

│          │    │대책 적용                                                                                     │    │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-30│제어시스템 내 전달되는 제어명령 및 파라미터의 정상 범위를 식별하고 관리                       │하  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-31│제어시스템 내 사용자 통신세션에 대해 세션타임아웃 적용                                        │하  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-32│GPS 스푸핑/재밍 공격 등 시각동기화 서비스를 교란하기 위한 공격에 대비한                       │하  │

│          │    │보안조치 수행                                                                                 │    │

├─────┼──┼───────────────────────────────────────────────┼──┤

│패치      │C-33│운영체제, 응용프로그램, 펌웨어 등에 대한 안정성이 확인된 최신 버전의 소프트웨                 │중  │

│관리      │    │어 사용 및 기술지원이 종료된 제품 미사용                                                      │    │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-34│제어시스템 개선, 신규 시스템 도입, 패치 및 수정 시, 안전성을 테스트하기 위한                  │하  │

│          │    │테스트베드 또는 시험환경을 구축                                                               │    │

├─────┼──┼───────────────────────────────────────────────┼──┤

│네트워크  │C-35│제어 네트워크를 용도에 따라 세분화하고, 접근제어를 수행하여 제어시스템 운영에                 │하  │

│접근통제  │    │필요한 네트워크, 시스템 간의 통신만 허용                                                      │    │

├─────┼──┼───────────────────────────────────────────────┼──┤

│물리적    │C-36│제어시스템 구성요소를 물리적으로 보호할 수 있는 조치 적용(잠금장치가 있는 함체,               │중  │

│접근통제  │    │랙, 수납책상 등)                                                                              │    │

├─────┼──┼───────────────────────────────────────────────┼──┤

│보안위협  │C-37│이상 트래픽 발생 탐지 등 제어시스템 내의 보안 관리를 위해 적합한 침입탐지시스템 등을 구축 및  │하  │

│탐지      │    │운용하고, 구축된 보안 솔루션 및 보안장비에서 탐지한 보안 이벤트에 대해 모니터링 수행          │    │

├─────┼──┼───────────────────────────────────────────────┼──┤

│복구      │C-38│제어시스템의 장애발생, 사이버 공격, 물리적 테러 등에 대한 비상계획 수립                       │중  │

│대응      ├──┼───────────────────────────────────────────────┼──┤

│          │C-39│제어시스템의 장애발생, 사이버 공격, 물리적 테러 등에 대한 비상계획 훈련을                     │중  │

│          │    │정기적으로 시행                                                                               │    │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-40│제어시스템 조작불능에 대비하여 수작업 운전 매뉴얼 작성 및 교육훈련 시행                       │중  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-41│제어시스템의 각종 이벤트에 대한 로그를 관리하기 위한 중앙집중식 로그 관리 수행                │하  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-42│제어시스템 구성요소의 기준 형상을 설정하고 변경 및 업데이트 시 형상관리 수행                  │하  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-43│제어시스템 주요 장비 및 제어 네트워크 장비에 대해 이중화                                      │하  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-44│제어시스템 보호를 위한 화재탐지 설비 및 화재 진압설비를 구비                                  │하  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-45│제어시스템 보호를 위한 누수탐지 설비 및 침수 대응 장비 구비                                   │하  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-46│제어시스템에 대하여 정기적으로 사이버 위험 시나리오를 식별하고, 완화 방안 수립                │하  │

├─────┼──┼───────────────────────────────────────────────┼──┤

│보안      │C-47│제어시스템의 특성을 반영한 정보보안 정책, 지침을 수립                                         │중  │

│관리      ├──┼───────────────────────────────────────────────┼──┤

│          │C-48│제어시스템 운영업무에 대해 표준업무절차서를 작성하고 적용                                     │중  │

│          ├──┼───────────────────────────────────────────────┼──┤

│          │C-49│제어시스템 유지보수를 위한 전용 장비(노트북 등)를 마련하고 관련 정책을 시행                   │하  │

├─────┼──┼───────────────────────────────────────────────┼──┤

│교육      │C-50│제어시스템 운전원, 관리자, 유지보수인력, 보안인력에 대해 각 직무별 직무교육을                 │하  │

│훈련      │    │정기적으로 실시                                                                               │    │

└─────┴──┴───────────────────────────────────────────────┴──┘

  바. PC

┌────┬───┬─────────────────────────────────────┬──┐

│분류    │번호  │취약점 점검 항목                                                          │등급│

├────┼───┼─────────────────────────────────────┼──┤

│계정관리│PC-15 │복구 콘솔에서 자동 로그온을 금지하도록 설정하여 사용                      │중  │

├────┼───┼─────────────────────────────────────┼──┤

│서비스  │PC-16 │파일 시스템이 NTFS 포맷으로 설정                                          │중  │

│관리    ├───┼─────────────────────────────────────┼──┤

│        │PC-17 │대상 시스템이 windows 서버를 제외한 다른 OS로 멀티 부팅이 가능하지 않도록 │중  │

│        │      │설정                                                                      │    │

│        ├───┼─────────────────────────────────────┼──┤

│        │PC-18 │브라우저 종료 시 임시 인터넷 파일 폴더의 내용을 삭제하도록 설정           │하  │

├────┼───┼─────────────────────────────────────┼──┤

│보안관리│PC-19 │원격 지원을 금지하도록 정책이 설정                                        │중  │

└────┴───┴─────────────────────────────────────┴──┘

  사. 데이터베이스

┌────┬──┬────────────────────────────────────────┬──┐

│분류    │번호│취약점 점검 항목                                                                │등급│

├────┼──┼────────────────────────────────────────┼──┤

│계정관리│D-12│패스워드 재사용에 대한 제약 설정                                                │중  │

│        ├──┼────────────────────────────────────────┼──┤

│        │D-13│DB 사용자 계정을 개별적으로 부여하여 사용                                       │중  │

├────┼──┼────────────────────────────────────────┼──┤

│접근관리│D-14│불필요한  ODBC/OLE-DB 데이터 소스와 드라이브를 제거하여 사용                    │중  │

│        ├──┼────────────────────────────────────────┼──┤

│        │D-15│일정 횟수의 로그인 실패 시 이에 대한 잠금정책이 설정                            │중  │

│        ├──┼────────────────────────────────────────┼──┤

│        │D-16│데이터베이스의 주요 파일 보호 등을 위해 DB 계정의 umask를 022 이상으로          │하  │

│        │    │설정하여 사용                                                                   │    │

│        ├──┼────────────────────────────────────────┼──┤

│        │D-17│데이터베이스의 주요 설정파일, 패스워드 파일 등과 같은 주요 파일들의 접근 권한이 │중  │

│        │    │적절하게 설정                                                                   │    │

│        ├──┼────────────────────────────────────────┼──┤

│        │D-18│관리자 이외의 사용자가 오라클 리스너의 접속을 통해 리스너 로그 및 trace 파일에  │하  │

│        │    │대한 변경 제한                                                                  │    │

├────┼──┼────────────────────────────────────────┼──┤

│옵션관리│D-19│패스워드 확인함수가 설정되어 적용                                               │중  │

│        ├──┼────────────────────────────────────────┼──┤

│        │D-20│인가되지 않은 Object Owner의 제한                                               │하  │

│        ├──┼────────────────────────────────────────┼──┤

│        │D-21│인가되지 않은 GRANT OPTION 사용 제한                                            │중  │

│        ├──┼────────────────────────────────────────┼──┤

│        │D-22│데이터베이스의 자원 제한 기능을 TRUE로 설정                                     │하  │

├────┼──┼────────────────────────────────────────┼──┤

│패치관리│D-23│보안에 취약하지 않은 버전의 데이터베이스를 사용                                 │중  │

│        ├──┼────────────────────────────────────────┼──┤

│        │D-24│Audit Table은 데이터베이스 관리자 계정에 접근하도록 제한                        │하  │

└────┴──┴────────────────────────────────────────┴──┘

  아. 클라우드

┌────┬──┬─────────────────┬──┐

│분류    │번호│취약점 점검 항목                  │등급│

├────┼──┼─────────────────┼──┤

│접근통제│CA-1│클라우드 서비스 로그오프/세션 관리│중  │

│        ├──┼─────────────────┼──┤

│        │CA-2│클라우드 서비스 외부접속 차단     │중  │

├────┼──┼─────────────────┼──┤

│보안관리│CA-3│클라우드 서비스 루트계정 관리     │중  │

│        ├──┼─────────────────┼──┤

│        │CA-4│클라우드 서비스 계정 권한 관리    │중  │

│        ├──┼─────────────────┼──┤

│        │CA-5│클라우드 서비스 사용자 인증 강화  │중  │

└────┴──┴─────────────────┴──┘

별표 0004: 취약점 분석·평가 점수 산출식 예시

[붙임4] 취약점 분석ㆍ평가 점수 산출식 예시

□ 개요

  o 각 취약점 점검항목에 대한 취약점 점수 지정 및 진단결과값 산출

  o 관리적ㆍ물리적ㆍ기술적 취약점 점수 계산

   - 단, 기술적 취약점 점수는 각 자산별 점수의 평균으로 계산

  o 관리적ㆍ물리적ㆍ기술적 취약점 점수를 합산

  o 망분리 현황에 따른 비율 지정

  o 합산된 관리적ㆍ물리적ㆍ기술적 취약점 점수에 망분리 비율을 적용하여 종합점수 산출

□ 취약점 점수 지정 및 진단결과값 산출

  o 각 취약점 점검항목에 대해 중요도에 따라 점수 지정

   - ‘상’(필수항목): 10점, ‘중’(추가항목): 8점, ‘하’(추가항목): 6점

  o 각 취약점 점검항목에 대해 진단결과값 산출

┏━━━━━━━━━━┯━━━━━━━━━┓

┃진단결과            │평가항목의 중요도 ┃

┃                    ├──┬──┬───┨

┃                    │상  │중  │하    ┃

┣━━━━━━━━━━┿━━┿━━┿━━━┫

┃○                  │10점│8점 │6점   ┃

┃(취약점 발견)       │    │    │      ┃

┠──────────┼──┼──┼───┨

┃×                  │0점 │0점 │0점   ┃

┃(취약점 제거)       │    │    │      ┃

┠──────────┼──┼──┼───┨

┃P                   │5점 │4점 │3점   ┃

┃(일부 취약점만 제거)│    │    │      ┃

┗━━━━━━━━━━┷━━┷━━┷━━━┛

□ 관리적ㆍ물리적 취약점 점수 계산

  o 관리적ㆍ물리적 취약점 점검항목에 따라 취약점 점수를 각각 계산

  o 점수 계산 방법

   - 모든 취약점이 식별되었을 경우의 점수합:A

   - 식별된 취약점들의 점수합:B

   - 계산식:

□ 기술적 취약점 점수 계산

  o 기술적 취약점 점검항목에 따라 자산별로 취약점 점수를 계산

   - 모든 취약점이 식별되었을 경우의 점수합:A

   - 식별된 취약점들의 점수합:B

   - 계산식:

  o 자산별 점수를 합산하여 전체 자산 점수의 평균을 계산

   - 자산의 수:N

   - 자산별 점수:S1, S2, ..., Sn

   - 계산식:

□ 취약점 점수 합산

  o 관리적ㆍ물리적ㆍ기술적 취약점 점검항목수의 비율을 고려하여 점수 합산

┌─              ───────────────────┐

│                                                      │

│                                                      │

│?A : (관리적 취약점 점수 X 관리적 취약점 점검항목수) │

│?B : (물리적 취약점 점수 X 물리적 취약점 점검항목수) │

│?C : (기술적 취약점 점수 X 기술적 취약점 점검항목수) │

│⇒                                                    │

└───────────────────────────┘

□ 망분리 비율 지정

  o 망분리의 종류에 따라 비율을 지정

┏━━━━━━┯━━━━━━━━━━━━━━━━━━━━━━━━━━━━┯━━━━━┓

┃구분        │설명                                                    │적용 비율 ┃

┣━━━━━━┿━━━━━━━━━━━━━━━━━━━━━━━━━━━━┿━━━━━┫

┃물리적 분리 │내부 네트워크와 외부 네트워크를 별도로 구축하였으며,    │100%      ┃

┃            │접점이 존재하지 않음                                    │          ┃

┠──────┼────────────────────────────┼─────┨

┃논리적 분리 │가상화 기술 등을 이용해 소프트웨어적으로 망 분리 또는   │95%       ┃

┃            │내부 네트워크와 외부 네트워크가 분리되어 있으나 접점이  │          ┃

┃            │존재하는 경우                                           │          ┃

┠──────┼────────────────────────────┼─────┨

┃미분리      │내부 네트워크와 외부 네트워크가 분리되지 않음           │90%       ┃

┗━━━━━━┷━━━━━━━━━━━━━━━━━━━━━━━━━━━━┷━━━━━┛

 ※ 해당시설이 인터넷 연결이 반드시 필요한 경우에는 망 분리 비율을 적용하지 않음

□ 종합점수 산출

  o 취약점 점수 합산값에 망분리 비율을 적용하여 최종 계산

   - 전체 취약점 점수:A

   - 지정된 망분리 비율:B

   - 종합점수 계산식:A × B

□ 점수 계산 예제

  o 가정사항

   - 관리적 취약점 점수 : 80점(점검항목수 10개)

   - 물리적 취약점 점수 : 70점(점검항목수 5개)

     ※ 관리적, 물리적 취약점 점수 계산과정은 18페이지에 기술되어 있으므로 생략하고 기술적 취약점 점수 계산과정을 중심으로 설명

   - 대상자산 :서버 1, 서버 2, 서버 3

   - 정의된 취약점과 점수(점검항목 등급을 반영)

━━━┯━━━━━━━━━━━━━━━━━━━━━━━━┯━━━┯━━━

  번호│취약점명                                        │취약점│점수  

      │                                                │등급  │      

━━━┿━━━━━━━━━━━━━━━━━━━━━━━━┿━━━┿━━━

  #1  │시스템 정보 노출                                │상    │10    

───┼────────────────────────┼───┼───

  #2  │추측가능한 패스워드 사용                        │상    │10    

───┼────────────────────────┼───┼───

  #3  │패스워드가 없는 계정 존재                       │상    │10    

───┼────────────────────────┼───┼───

  #4  │Guest 계정 존재                                 │상    │10    

───┼────────────────────────┼───┼───

  #5  │불필요한 서비스 활성화                          │상    │10    

───┼────────────────────────┼───┼───

  #6  │Anonymous FTP 활성화                            │상    │10    

───┼────────────────────────┼───┼───

  #7  │쓰기 가능한 Anonymous FTP 활성화                │중    │8     

───┼────────────────────────┼───┼───

  #8  │SMTP expn/vrfy 명령을 통한 시스템 정보 획득 가능│중    │8     

───┼────────────────────────┼───┼───

  #9  │구 버전의 SNMP 사용                             │하    │6     

───┼────────────────────────┼───┼───

  #10 │쓰기 가능한 공유 폴더 존재                      │중    │8     

───┴────────────────────────┴───┼───

  합  계                                                        │90    

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┷━━━

   - 자산별로 식별된 취약점

━━━┯━━━┯━━━┯━━━━

  번호│서버 1│서버 2│서버 3  

━━━┿━━━┿━━━┿━━━━

  #1  │○    │      │        

───┼───┼───┼────

  #2  │○    │○    │○      

───┼───┼───┼────

  #3  │      │      │○      

───┼───┼───┼────

  #4  │      │      │○      

───┼───┼───┼────

  #5  │      │○    │○      

───┼───┼───┼────

  #6  │      │      │○      

───┼───┼───┼────

  #7  │      │      │        

───┼───┼───┼────

  #8  │      │      │        

───┼───┼───┼────

  #9  │○    │      │        

───┼───┼───┼────

  #10 │      │      │        

━━━┷━━━┷━━━┷━━━━

   - 망분리 현황:논리적 분리

  o 점수 계산 절차

   - 자산별로 기술적 취약점 식별 후, 점수를 계산(서버 3대 × 10개 점검항목)

━━━━━━━┯━━━┯━━━┯━━━┯━━━━━━

  번호        │서버 1│서버 2│서버 3│점수        

━━━━━━━┿━━━┿━━━┿━━━┿━━━━━━

  #1          │○    │      │      │10          

───────┼───┼───┼───┼──────

  #2          │○    │○    │○    │10          

───────┼───┼───┼───┼──────

  #3          │      │      │○    │10          

───────┼───┼───┼───┼──────

  #4          │      │      │○    │10          

───────┼───┼───┼───┼──────

  #5          │      │○    │○    │10          

───────┼───┼───┼───┼──────

  #6          │      │      │○    │10          

───────┼───┼───┼───┼──────

  #7          │      │      │      │8           

───────┼───┼───┼───┼──────

  #8          │      │      │      │8           

───────┼───┼───┼───┼──────

  #9          │○    │      │      │6           

───────┼───┼───┼───┼──────

  #10         │      │      │      │8           

━━━━━━━┿━━━┿━━━┿━━━┿━━━━━━

  장비별 점수 │71    │78    │44    │            

              │      │      │      │            

              ├───┴───┴───┴──────

              │   ※모든 취약점 점수의 합 : 90점   

━━━━━━━┷━━━━━━━━━━━━━━━━━━

   - 기술적 취약점 점수 :(71 + 78 + 44) / 3 = 64점

     (3개 자산의 점수를 합산하여 평균을 계산)

   - 관리적ㆍ물리적?기술적 취약점 점수 합산 : (80점X10개) + (70점X5개) + (64점X10개) / (10개+5개+10개) =  71점

┌─              ───────────────────┐

│                                                      │

│                                                      │

│?A : (관리적 취약점 점수 X 관리적 취약점 점검항목수) │

│?B : (물리적 취약점 점수 X 물리적 취약점 점검항목수) │

│?C : (기술적 취약점 점수 X 기술적 취약점 점검항목수) │

│⇒                                                    │

└───────────────────────────┘

   -망분리 비율:95%

      (논리적 분리이므로 95%를 부여)

   - 종합점수 계산:71점 × 95% = 67점

      (망분리 비율을 곱셈하여 종합점수를 계산)