제 개정이력 순번 제 개정일 변경내용 발간팀 연락처 제정 이용자보호팀 개정 웹보안지원팀

Size: px

Start display at page:

Download "제 개정이력 순번 제 개정일 변경내용 발간팀 연락처 제정 이용자보호팀 개정 웹보안지원팀"

량하 진
5 years ago
Views:

3 제 개정이력 순번 제 개정일 변경내용 발간팀 연락처 제정 이용자보호팀 개정 웹보안지원팀

$2. WebKnight 형식 WebKnight 파일은 "<WebKnight 설치경로>\LogFiles\YY.MM.DD.log" 와같은형식으로저장된 다. 혹은 WebKnight 설정 > Logging 섹션 > Log Directory 의 Textbox에특정경로를지정하였다 면해당경로에 YY.MM.DD.log 형식으로저장이될것이다.$

4 WebKnight 분석안내서 / 인터넷침해대응센터 1. 개요 WebKnight를설치하여사용하고있는많은사용자들이공통적으로겪는어려움이바로 WebKnight 분석이다. 처음 WebKnight를웹서버에적용하게되면해당시스템과웹어플리케이션에최적화 작업이반드시필요하다. 이때분석은커스터마이징작업의시작이며장애처리및문제해결, 사 고분석에도근본적인도움이된다. 2. WebKnight 형식 WebKnight 파일은 "<WebKnight 설치경로>\LogFiles\YY.MM.DD.log" 와같은형식으로저장된 다. 혹은 WebKnight 설정 > Logging 섹션 > Log Directory 의 Textbox에특정경로를지정하였다 면해당경로에 YY.MM.DD.log 형식으로저장이될것이다. WebKnight의개발사에서는파일을GUI형식으로분석할수있도록LogAnalysis라는프램을 제공한다. 아래는 LogAnalysis 를이용해파일을불러온모습이다

5 파일의형식을살펴보면다음과같이구성되어있다. Date / Time / Site Instance / Event / Client IP / Username / Host header / Additional info about request (event specific) 위항목은 값들이며 Logging 섹션에서추가항목을설정할수있다. 다음표는각필드에대한설명이다. 필드설명 Date YY-MM-DD 형식으로기록, 연월일을표시 Time HH:MM:SS 형식으로기록, 시분초를표시 Site Instance Event Client IP 사이트고유식별코드 ISAPI 사용자 IP 필터에의해발생하는각이벤트명 ( 음영: Custom Option) Username 인한클라이언트의사용자이름 ia header Client가 Proxy를사용할경우 Request의원위치를알려줌 HTTP_X_FORWARDED_FOR 특정 Proxy (NetCache 등) 는 Request의소스 IP 를이헤더에기록한다. Host header 호스트헤더 User agent 사용자의접속도구 Additional info... 그외추가적인모든내용기록 3. WebKnight 분석 WebKnight 기본 #Software: AQTRONIX WebKnight 2.2 #Date: :04:59 #LogTime: LocalTime (GMT+09:00) #Fields: Date ; Time ; Site Instance ; Event ; Client IP ; Username ; Host header ; Additional info about request (event specific) ; 17:04:59 ; AQTRONIX WebKnight loaded ; 17:04:59 ; INFO: Settings loaded from file: WebKnight.xml ; 17:04:59 ; INFO: To check if loaded correctly, you can have a look at the currently loaded settings in the file 'Loaded.xml' (start config.exe and open this file) ; 17:04:59 ; INFO: Firewall is installed as high priority (very secure) ; 17:04:59 ; INFO: Firewall will process raw data because it is a global filter (OnReadRawData event) ; 17:04:59 ; WARNING: If the firewall fails to load (red arrow down), make sure it is installed as a global filter or uncheck 'Is Installed As Global Filter' in Global Filter Capabilities (needs a restart) ; 17:04:59 ; INFO: HTTP traffic will be monitored ; 17:04:59 ; INFO: HTTPS traffic will be monitored 위는 WebKnight 를처음설치하여필터가로드되면생성되는메시지이다. WebKnight의버전과 날짜, 시간, 설정되어있는각필드정보들이서두에나타나고이후 WebKnight가로드되었다는메시지가 기록된다. WebKnight 가언제로드되었는지, 설정파일은무엇인지, 방화벽우선순위와현재동작모드 - 2 -

6 등의정보를알수있다. 여기서주의깊게볼것은아래의두문장이다. INFO: Firewall will process raw data because it is a global filter (OnReadRawData event) WARNING: If the firewall fails to load (red arrow down), make sure it is installed as a global filter or uncheck 'Is Installed As Global Filter' in Global Filter Capabilities(needs a restart) 첫번째 INFO 메시지는 방화벽이 raw data 를처리할수있는 Global filter 모드 라고설명하고있 고, 두번째 WARNING 메시지는 만약방화벽이로드에실패했을경우 Is Installed As Global Filter' 옵 션을해제 하라는내용이다. 이에대한내용은 WebKnight 설치운영안내서 p.12 에 IIS 아키텍쳐에따 른필터링의차이 에설명되어있다. 위는 Windows 2003 Server의 IIS 5.0 격리모드에적용한 WebKnight 의이다. Log Analysis 앞서 LogAnalysis 의구동화면을살펴보았다. 여기서는 LogAnalysis 의각기능과사용법에대해서알아보자. LogAnalysis는크게두화면으로나뉘며상단의화면에서는각필드데이터에따라분류되어값을표시해주고있으며, 하단화면에서는현재선택한열의상세데이터를보여준다. 제목표시줄에는현재로드한파일명이함께나타나며, 상태표시줄에는로드한파일이작성된 WebKnight 버전과날짜, 시간이표시된다. 상태표시줄우측에는 Log entries라는항목이보이는데총열 의개수를의미한다. LogAnalysis가제공하는기능은크게 Whois Lookup, Dns Lookup, Filter 3 가지가있다

7 Whois Lookup Whois Lookup 기능을통해 LogAnalysis에서 Whois 조회가가능하다. 기존에등록되어있는 WHOIS Server 5개목록외에위와같이직접한국인터넷진흥원의Server URL 을입력하여질의할수도있다. 실 행은 'Edit > Whois Lookup' 또는, 하단화면상에서마우스오른쪽버튼클릭후 Whois Lookup' 을실 행하면된다. DNS Lookup - 4 -

DNS Lookup 기능역시간단히도메인을이용한호스트 IP를질의할수있으며실행방법은 Whois Lookup 기능과동일하다.

Filter 기능을이용해정렬된는 LogAnalysis에서화면상에만 정렬된것이며실제파일이필터링된것은아니다.

Filter 기능을이용해 server error나 client error 등과같은불필요한를필터링한다.

8 DNS Lookup 기능역시간단히도메인을이용한호스트 IP를질의할수있으며실행방법은 Whois Lookup 기능과동일하다. Filter Filter 기능에는 Add, Clear 두가지가있는데 Add를통해다중필터링을할수있으며 Clear를이용해 서필터링된결과를초기화시킨다. Filter 기능을이용해정렬된는 LogAnalysis에서화면상에만 정렬된것이며실제파일이필터링된것은아니다. 다음은 Filter 를이용한다중필터링작업을진행하는화면이다. 최초파일을로드하였을시 Log entries는 83 개이다. Filter 기능을이용해 server error나 client error 등과같은불필요한를필터링한다. NOT containing( 포함하지않는) 을선택한뒤키워드 error' 가포함된는모두제외하고정렬하도 록한다. 완료되면아래와같이 log entries 의숫자가변경된다. 이후 SQL 쿼리와관련된만필터링하기위해 iew > Filter > Add' 를클릭하여 'Containing' 을 선택한뒤 SQL' 을입력한다. 아래는결과화면이다

9 SQL 키워드가포함된내용만정렬이되었다. 이와같이필요한와불필요한를선별하여분석이나커스터마이징시용이하게활용할수있다. WebKnight Event OnPreprocHeaders 서버가클라이언트헤더를선처리하였을때나타나는이벤트이다. OnUrlMap 요청된 URL 자원을분석한다

이이벤트는 WebKnight 설정의 Is Installed as Global Filter' 의활성화상태에서만나타나는이벤트로 Site Instance 에는 GLOBAL'

WebKnight Additional info about request WebKnight 에서가장상세한정보를담고있는부분이 Additional info about

10 OnSendRawData 브라우저로보내려하는실제데이터 나는이벤트이다. (text/html, image/gif) 등의신호를보내거나전송될때나타 OnReadRawData 헤더와데이터를모두포함한 raw data 를분석한다. 이이벤트는 WebKnight 설정의 Is Installed as Global Filter' 의활성화상태에서만나타나는이벤트로 Site Instance 에는 GLOBAL' 로기록 된다. WebKnight Additional info about request WebKnight 에서가장상세한정보를담고있는부분이 Additional info about request 이다. WebKnight에의해발생하는종류로는 6 가지가있으며각각의특징을살펴보자. BLOCKED WebKnight 의가장핵심로룰과일치하였을때기록되는차단메시지. BLOCKED 실제커스터마이징작업이이루어진다. 메시지를통해 WARNING 공격은아니지만공격으로판단될수있는징후가탐지될시기록되는경고메시지, WARNING 는메시지가발생할동일한상황이더라도단독으로는가남지않는다. 위의 BLOCKED 나 다른종류의와함께 2 가지이상이발생할경우메시지가기록된다

INFO 메시지는 WARNING 메시지와다르게 Client, Server의 Error 로인한가발생했을때에만기록된다.

11 MONITORED 모니터링이설정된 IP 등의 Request 가탐지되면해당메시지를통해관리자에게알려준다. INFO 사용자에게간단한정보를전달하기위한이다. INFO 메시지는 WARNING 메시지와다르게 Client, Server의 Error 로인한가발생했을때에만기록된다. Server Error Log 사용자의 Request를올바르게처리하지못해발생하는 IIS의 5xx 에러를 WebKnight 에도 기록한다. 작은확률이지만 Server Error Log를이용한 SQL Injection 공격시도를탐지할수도있다

12 Client Error Log Client Error는사용자측의입력실수등으로발생하는IIS의 4xx 에러를기록한다. 불필요한로 그가과다하게발생한다면 Logging 섹션 > Log HTTP Client Errors 를체크해제한다. 4. WebKnight Configuration Customizing WebKnight 설정화면 - 9 -

13 위화면은WebKnight 설정파일인WebKnight.xml 파일을설정도구인Config.exe 로불러온화면이다. 커스터마이징작업에앞서분석후각을설정하는데익숙해지기위해간단히구성을살펴보 자. 에체크되어있는부분은개발사가지정한기본설정이라는표시로 WebKnight.xml 파일의최초설정이다. 사용자가임의로변경하지못하기때문에신경쓰지않아도무방하며실제설정하는부분은좌측의체크박스이다. 일반적인은체크박스와함께의이름이나타나고하단에간단한설명이되어있다. 이외에 위화면에서 Deny Characters' 와같이텍스트박스에값을입력하는방식과 'Use Allowed Paths' 처럼 하위에키워드리스트를보유하고있는들이있다. 분석시매칭된키워드가표시되는경우는 키워드리스트나텍스트박스에서검색하여수정하면된다. AQTRONIX.COM Log file entries 메시지별설정법을다루기앞서 WebKnight 개발사인 AQTRONIX사홈페이지의엔트리를 먼저살펴보겠다. 일부를발췌하였으며 설명 부분은실제 원문 에추가적인내용을포함한다. 원문 설명 CONNECT ; BLOCKED: HTTP ERB 'CONNECT' not allowed ; ; HTTP/1.0 ; mx1.mail.yahoo.com:25 ; BLOCKED: URLnotinallowedlist Some spammer is trying to send spam via the HTTP tunneling technique. This is not supported by IIS. It is supported by Apache, but only if you enable the particular plug-in. Nothing to worry about. HTTP 터널링기술을이용해스팸메일을보내려하고있다. Apache에의해동작이가능하며큰위험은없다. 원문 설명 /sumthin ; C:\InetPub\wwwroot\sumthin ; BLOCKED: accessing/running'sumthin' file; Someone is probing you with some tool, this tool does a request for an unexisting page and the response (normally a 404 Not Found page) is analysed to determine what web server you are running. WebKnight blocks this particular request by default. 툴을이용해웹서버정보를수집하기위한시도로볼수있다. 하지만이외에차단키워드가파일중간에포함되어있는오탐의경우도빈번히발생한다. 원문 설명 BLOCKED: Notinallowedpathlist You need to add the folder following this entry to your allowed paths. Open the config utility and go to the section Mapped Path, then in the allowed path list, add the above folder and save your file if you want to allow this path to be available for your web server. 허용하고자하는폴더목록에해당폴더를추가해야한다. 설정파일을열어 'Mapped Path' 섹션에 'allowed path list' 이존재하며이곳에폴더를추가한뒤저장하면된다. 원문 BLOCKED: Encodingexploitincookie(abuseof:'%00'or'%u0000') those are common encoding exploits by injecting the NULL terminating character (which terminates the string prematurely) 설명 NULL 문자열삽입을이용한 Encoding exploit 이탐지된경우

14 메시지별분석방법 WebKnight 않다. 여기서는 운영간발생하는의종류와다양한룰설정때문에커스터마이징작업이쉽지만은 WebKnight 에서주로발생되는를분석하는방법과적절한설정법을살펴보기로하자. 참고 - :WebKnight 설정,: 설정여부, O: 항시설정된상태 설명 BLOCKED: <script'notallowedinquerystring Querystring에서허용되지않은문자열이포함되었기때문에나타나는차단메시지 Querystring 섹션 > Use Denied Querysting Sequences 설정 TIP 해당키워드가홈페이지에서사용하는정상적인 Querystring 값이라면키워드수정또는삭제 BLOCKED: /admin'notallowedinurl 설명현재 URL에허용되지않은문자열이포함되어있는경우차단메시지 URL Scanning 섹션 > Use Denied Url Sequences 관리자페이지를일반적으로 /admin 과같은 URL 을많이사용한다. 이는유추하기쉽기때문에설정 TIP 불필요한사용자들의접근이가능해지므로관리자페이지는별도의 url 을사용하는것이좋다. 설명 BLOCKED: Content-Type'text/html'notallowed Content-Type이허용되어있지않아차단된메시지 v2.1 이하: Header 섹션 > Use Allowed Content Types v2.2 이상: Content-Type 섹션 > Use Allowed/Denied Content Types 2.1 이하버전에서는허용리스트만설정가능했으나 2.2 버전부터는허용/ 차단리스트를설정설정 TIP 하여관리할수있다. 사용시둘중한가지만선택하여설정하는것이좀더효율적 BLOCKED: UserAgentnotallowed 설명사용자가접속한 User Agent가허용되어있지않아차단된메시지 Robots.xml 파일을편집해야함. 설정 TIP 별도설명 BLOCKED: accessing/running'com1'file 설명 실행또는접근하려고하는파일에허용되지않은문자열이포함되어차단된메시지 Requested File 섹션 > Use Denied Files / Use Denied Extensions 설정 TIP 위두에대한차단메시지가동일하므로차단된문자열이파일명인지확장자인지구분해야함

15 BLOCKED: Header'User-Agent:'toolong 설명헤더의 User-Agent 항목에설정된수치를넘는요청이들어왔을경우 Request Limits 섹션 > Use Max Headers 설정 TIP 위섹션에서는각항목별로한계치를설정할수있다. 값이너무작거나크지않게수정 BLOCKED: = notallowedinpath 설명 경로명에허용되지않은문자열이포함되어차단 Mapped Path 섹션 > Deny Characters 설정 TIP 위은텍스트박스에설정된값을수정해줘야한다. O O O BLOCKED: Notinallowedpathlist'c:\inetpub\shop' 설명허용하고자하는 Path 목록에등록되지않은경로로접근하여차단된메시지 Mapped Path 섹션 > Use Allowed Paths 허용하고자하는 Full Path를입력하며하위폴더까지포함하고싶을땐해당폴더의 Root 경로를입력한다. 설정 TIP ex) 'C:\Web\Site_1\bbs' bbs 폴더에만접근가능하며 Site_1의다른폴더는접근불가 C:\Web\Site_1\' Site_1의하위폴더에모두접근가능 설명 BLOCKED: '<'notallowedinfilename 파일명에허용되지않은문자열이포함되어차단 Requested File 섹션 > Deny Filename Characters 설정 TIP Path 설정과마찬가지로텍스트박스의값을수정하면된다. O O O BLOCKED: HTTPERBnotallowed 설명허용되지않은 Method를사용하여접근하였기때문에차단 Methods 섹션 > Use Allowed erbs 허용하고자하는를관리할때는위을사용하며차단하려는를관리할설정 TIP Method Method 때는 Denied erbs 을사용한다. MONITORED: IP address (previous alert) 설명한번 WebKnight에의해필터링이발생한 IP 는이후의접근은모두모니터링된다. Incident Response Handling 섹션 > Response Monitor IP 설정 TIP 본은완벽하게커스터마이징을마친뒤에설정하는것이바람직하다

16 BLOCKED: PossibleSQLinjectionindata 설명 POST값을이용한폼데이터중에 SQL Injection 공격이가능한키워드가 2개이상매치된경우 SQL Injection 섹션 > 키워드관리 Global Filter Capabilities 섹션 > Deny Postdata SQL Injection SQL Injection 공격은각섹션별로 Query가유사하기때문에 WebKnight에서는섹션을별도 로두어키워드를관리하고, 이를적용하려면각해당섹션의 SQL Injection 을 Enable 설정 TIP 해주면된다. SQL Injection 섹션에등록되어있는키워드가 2개이상이매치되어야하기때 문에커스터마이징을위해서는 Request내에서매치된키워드가어떤것인지찾아야하는번 거로움이있다. 설명 BLOCKED: %u'notallowedinheaders Header에허용되지않은문자열이매치되어차단된메시지 Headers 섹션 > Use Denied Headers Sequences 설정 TIP '%u' 는인코딩문자열에포함되어오탐지의경우가많다. 정상적인사용이어려울경우삭제 BLOCKED: URLisnotRFCcompliant! 설명 URL의내용이 RFC 규약을따르지않아차단된메시지 URL Scanning 섹션 > RFC Compliant Url 설정 TIP 한글유니코드표현은 RFC 규약에맞지않으므로 RFC 관련은모두비활성화하는것이좋다. BLOCKED: Encodingexploitincookie(embeddedencoding) 설명쿠키값에인코딩된 Exploit이탐지되었을경우차단된메시지 v2.1 이하: Headers 섹션 > Deny Cookie Encoding Exploits v2.2 이상: Cookie 섹션 > Deny Cookie Encoding Exploits Exploit 이란취약점을이용한공격코드나문자열등을일컫는용어로써이를 Encoding하여설정 TIP 공격을시도할수있으나한국에서는보통검색엔진이나포털사이트를이용한한글검색결과의 Referer 정보로오탐지가자주발생한다. GET /dcontent.asp tb=data1&id=33&page=1&block=0'%20and%20char(124)%2buser%2bchar(124)=0%20and %20''=' BLOCKED: PossibleSQLinjectioninquerystring BLOCKED: 'char('notallowedinquerystring BLOCKED: ''=''notallowedinquerystring 설명위와같은경우는실제 SQL Injection 공격에대한정상차단된이다. Querystring 섹션 > Use Denied Querystring Sequences char(' 의경우는 설정에존재하지않는키워드이므로별도로추가해줘야한다. 위형설정 TIP 태는자동화도구를이용한 SQL Injection 공격을시도하는이다

그외설정팁 Robots.xml - Web Agent Database 사용자가접속하는웹브라우저나클라이언트도구등을 User-Agent 라고하며, 이 User-Agent값을 이용해어떤브라우저로접속하였는지어떤도구를이용해접근하였는지판단할수있다. WebKnight는이런 User-Agent에대한정보를 Database화하여제공하고있는데 Robots.xml이바 것이다.

17 그외설정팁 Robots.xml - Web Agent Database 사용자가접속하는웹브라우저나클라이언트도구등을 User-Agent 라고하며, 이 User-Agent값을 이용해어떤브라우저로접속하였는지어떤도구를이용해접근하였는지판단할수있다. WebKnight는이런 User-Agent에대한정보를 Database화하여제공하고있는데 Robots.xml이바 것이다.Robots.xml은 WebKnight 와마찬가지로여러섹션으로구분되어있다. User-Agent 에대한차단메시지는두가지경우가있으며각뜻은아래와같다. BLOCKED: User Agent not allowed 해당섹션 >UserAgents 섹션명 설명해당섹션의차단하고자하는 Full User-Agent 값 BLOCKED: ' 매칭된키워드' not allowed in User Agent 해당섹션 >UserAgents' 섹션명 Sequences 설명 해당섹션의차단하고자하는각키워드 Full User-Agent 값이란 MSRBOT ( 과같은 User-Agent 의전체값을얘기하는것이고각키워드는 적인키워드리스트를말하는것이다. MSRBOT', 'research/sv/msrbot' 처럼개별

그러므로첫번째항목과같은메시지가기록되었다면 User-Agent의값을보고해당섹션에서 동일한전체 User-Agent 값을찾아수정해줘야하며, 두번째메시지의경우는에나타난 키워드를해당섹션의 Sequences 에서찾아수정해주면된다. 다음의예를보며 User-Agent 의설정법을살펴보자.

.xxx.xx.175 ; Username: ; Additional info about request (event specific): GET / ORAW=%EC%96%BC%EB%A7%88%EC%97%90%EC%9A%94&OKEY=%EC%96%BC%EB%A7%88%20%EC%9

18 그러므로첫번째항목과같은메시지가기록되었다면 User-Agent의값을보고해당섹션에서 동일한전체 User-Agent 값을찾아수정해줘야하며, 두번째메시지의경우는에나타난 키워드를해당섹션의 Sequences 에서찾아수정해주면된다. 다음의예를보며 User-Agent 의설정법을살펴보자. Date: ; Time: 17:17:59 ; Site Instance: W3SC4 ; Event: OnPreprocHeaders Client IP: xxx.xxx.xx.175 ; Username: ; Additional info about request (event specific): GET / ORAW=%EC%96%BC%EB%A7%88%EC%97%90%EC%9A%94&OKEY=%EC%96%BC%EB%A7%88%20%EC%9 7%90%EC%9A%94&OMTC=standard&OADID= &OKWID= HTTP/1.1 Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; S1; User-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; S1; CLR ;.NET CLR ;.NET CLR ) BLOCKED: 'user-agent: mozilla' not allowed in User Agent 위에서는 user-agent: mozilla' 라는키워드가 User-Agent 값에포함되어차단된것이다. 이 키워드가 robots.xml 파일내어떤섹션에분류되어있는지는 WebKnight 개발사홈페이지를이용 해검색할수있다.AQTRONIX 홈페이지( 로접속하면아래와같은화면이 나타난다. 좌측 User Agents라는메뉴하위에 Lookup 메뉴를클릭하면다음과같은 User-Agent 검색화면이 나타난다. 아래네모박스에찾고자하는 User-Agent 키워드를입력한뒤 Search 를클릭한다

19 검색결과중에가장유사한 User-Agent 를클릭하여정보를살펴보자. 해당 User-Agent의세부정보를보면 User-Agent값의예시와간략한설명등이나타나있는데 이중에 Type 값이바로 Robots.xml 파일에서의섹션명이다. Robots.xml 파일을열어 'Other Bad' 섹션으로이동한뒤 User Agents Other Bad Sequences' 목록에서해당키워드를검색한다.( 검색시정확히일치하는문장을입력해야함.) 이와같은방법으로 User-Agent를검색하여수정하면되지만기본적으로 Robots.xml에등록되어 있는 Agent값들은악의적인 Agent로분류되어등록된것이기때문에수정전에는충분한검토가 필요할것이다

20 Local Time 설정과 Per Process Logging 해제 WebKnight 를설치하였으나를보면현재시스템의시간과다르게나타나는경우가있다. 이것은 GMT 사용을 로갖고있는 WebKnight 설정때문이며해당을 Disable하면현 재시스템의시간과동기화되어가저장된다. 또한같은날짜의파일이숫자로된폴더별로중복생성되는경우가있는데이것은 WebKnight 설정으로인해 IIS를재시작하거나프로세스 ID가변경될때마다해당 PID별로가 생성되는것이다. 다음을 Disable 해주면된다. 5. 마치며 커스터마이징시어려운부분이있다면서비스에대한가용성과기밀성, 두가지관점중어떤부분에 더중점을둘것인가하는부분이다. 이것은관리자의판단에따라크게달라질수있는데커스터마이 징을위해 WebKnight를 Log Only모드로설정할경우실제차단정책에매치되더라도 Pass 하게된다. 이경우서비스가용적인면에서는영향을주지않으면서설정을조정할수있는장점이되는반면, 실 제공격이일어나면이또한허용되기때문에웹서버보안에는치명적일수있다. 또, 커스터마이징기간을길게잡게된다면그만큼정책을최적화할수는있겠지만서비스를이용하 는사용자의불편이나혹은외부공격에대해노출되는기간역시길어지게될것이다. 그리고한가지더주의해야할점은룰설정을얼마나정밀하게할것인지, 느슨하게할것인지이다. 앞서설명한부분중 User-Agent에대한설정을예로들면 Robots.xml파일은단순한 Web-Agents Database 파일이아닌악성스파이웨어나악의적으로활용될수있는 Open Library 정보등을포함하 고있다. 그런데정상적인사용자가웹사이트에접속할수없는원인이 User-Agent에의한문제였다면 이같은경우차단되었다고해서해당 Agent에대한정보를삭제하는것은또다른위험을가져올수 있다. 이러한경우가커스터마이징시관리자를어렵게만드는부분중의하나가될것이다. WebKnight 의적용테스트는테스트머신이나가상환경에서도얼마든지가능하다. 하지만커스터마이징작업은실제서비스중인환경에서수행하지않으면큰효과가없다. 이때문에어려운점들이많을수있겠지만이때본안내서를통해여러가지문제점들을해결하고최적화작업을위해조금이나마도움을얻을수있길바란다. 지금까지 WebKnight 의분석방법과커스터마이징방법등을설명하였다. WebKnight의이 매우방대해보이지만실제몇가지구성을익히게된다면각 Request 별리고각섹션별로유사한 들이많다. 그중각섹션별유일한들과 WebKnight의 Response 설정, Logging 설정등에대 한부분만숙지한다면커스터마이징하는데큰어려움은없을것이다

21 한국인터넷진흥원 (KISA) 안내서 해설서 시리즈 분류안내서 해설서해당팀명발간년월대상수준 DNS 설정안내서시스템관리팀 09. IT시스템관리자중급 인터넷진흥 인터넷이용활성화 정보보호시스템관리 인터넷주소분쟁해결안내서도메인팀연간지일반초급 모바일 RFID 코드및 OID 기반 RFID 코드적용안내서무선인터넷팀 09.8 IT 기업개발자중급 13.56MHz 대역의 OID 적용을위한미들웨어개발안내서무선인터넷팀 IT 기업개발자중급 공공기관 IPv6 적용안내서 IP팀 IT시스템관리자 중급 본인확인제안내서 인터넷윤리팀 09.2 일반 업무관계자 중급 본인확인제만화안내서 인터넷윤리팀 09. 일반 초급 BcN 주요장비별정보보호안내서 인터넷서비스보호팀 07./ 10.1 IT시스템관리자 중급 침해사고분석절차안내서해킹대응팀 10.1 IT 시스템관리자고급 웹서버구축보안점검안내서 웹어플리케이션보안안내서 홈페이지개발보안안내서 웹보안지원팀 10.1 IT 시스템관리자고급 무선랜보안안내서해킹대응팀 10.1 일반중급 침해사고대응팀 (CERT) 구축 / 운영안내서상황관제팀 07.9 업무관계자중급 WebKnight 를활용한 IIS 웹서버보안강화안내서 WebKnight 분석안내서 ModSecurity 를활용한아파치웹서버보안강화안내서 웹보안지원팀 09.6 IT 시스템관리자중급 보안서버구축안내서개인정보보호팀 08.7 IT 시스템관리자중급 정보보호인증 IT보안성평가 인증안내서 공공서비스보호팀 일반 업무관계자 초급 정보보호안전진단해설서 기업보안관리팀 08.4/ 10.1 업무관계자 초급 기업정보보호 정보보호안전진단업무안내서 기업보안관리팀 10.1 업무관계자 초급 정보보호관리체계안내서 기업보안관리팀 일반 초급 패스워드선택및이용안내서 융합보호R&D 팀 10.1 일반 초급 신규서비스정보보호 개인정보 암호이용안내서융합보호 R&D 팀 '07./'10.1 일반중급 IPv6 운영보안안내서융합보호 R&D 팀 IT 시스템관리자중급 IPv6 보안기술안내서융합보호 R&D 팀 05. 일반초급 와이브로보안기술안내서융합보호 R&D 팀 06.8 IT 시스템관리자중급 암호알고리즘및키길이이용안내서융합보호 R&D 팀 07 IT 시스템관리자중급 ( 기업및기관의 IT 정보자산보호를위한 ) 암호정책수립기준안내서융합보호 R&D 팀 07 IT 기업개발자중급 ( 정보의안전한저장과관리를위한 ) 보조기억매체이용안내서융합보호 R&D 팀 09 일반초급 웹사이트회원탈퇴기능구현안내서융합보호 R&D 팀 06 IT 시스템관리자중급 개인정보의기술적 관리적보호조치기준해설서개인정보보호기획팀 09.9 업무관계자중급 위치정보의보호및이용등에관한법률해설서개인정보보호기획팀 업무관계자중급 위치정보보호를위한관리적 기술적보호조치권고해설서개인정보보호기획팀 08./ 10.1 업무관계자중급 웹사이트개발 운영을위한개인정보안내서개인정보보호기획팀 IT 기업개발자, 관리자중급 I-PIN 2.0 도입안내서개인정보보호기획팀 09.7 업무관계자중급 김대리, 개인정보보호달인되기이용자권익보호팀 09.8 업무관계자중급 기업의개인정보영향평가수행을위한안내서이용자권익보호팀 09.1 업무관계자중급 스팸사업자를위한불법스팸방지안내서스팸대응팀 08.9 일반 업무관계자초급 본안내서 해설서는한국인터넷홈페이지 ( 자료실에서내려받으실수있습니다.

22 WebKnight 분석안내서 2010 년 1 월인쇄 2010 년 1 월발행 발행처 방송통신위원회 한국인터넷진흥원서울특별시종로구세종로 20 방송통신위원회 Tel: (02) 서울특별시송파구가락동 79-3번지대동빌딩한국인터넷진흥원 Tel: (02) 인쇄처호정씨앤피 ( ) < 비매품 > 본안내서내용의무단전재를금하며, 가공 인용할때에는반드시 방송통신위원회 한국인터넷진흥원 WebKnight 분석안내서 라고출처를밝혀야합니다.

암호내지2010.1.8

암호내지2010.1.8 Contents 분류 안내서 해설서 해당팀명 발간년월 대상 수준 인터넷 진흥 인터넷 이용 활성화 정보보호 시스템 관리 한국인터넷진흥원(KISA) 안내서 해설서 시리즈 DNS 설정 안내서 시스템관리팀