특수문자ㆍSQL 구문 등 포함여부 검사 차단
주기적 로그분석ㆍ초기화면 아이프레임 점검
대부분의 전문가들은 웹사이트 해킹을 통한 악성코드 유포사고를 막는 가장 확실한 방법으로 사이트 관리자들이 피해예방과 함께 지속적인 점검을 벌이는 것을 꼽고 있다. 해킹을 통한 악성코드 유포사고의 경우 그 특성상 대부분 은밀하게 이뤄지고 있어 지속적인 관심을 갖지 않으면 관리자가 자사의 웹사이트가 해킹 됐는지조차 모를 정도이기 때문이다. 다음은 KISA가 권고하는 피해 예방과 공격탐지 방법이다.
◇피해 예방=최근의 악성코드 유포사고는 SQL 취약점을 통한 경우가 많기 때문에 이에 대한 취약점 제거 등이 필수적이다.
우선 SQL 인젝션(Injection) 취약점을 제거해야 한다. 사용자 입력값이나 URL 인자값에 특수문자(", /, \, ;, :, Space, --, + 등)와 SQL 구문(or, and, union, select, insert 등)이 포함돼 있는지 검사해 허용되지 않은 문자열이나 문자가 포함된 경우 이를 차단해야 한다. 공격자는 리턴되는 에러 메시지에 대한 분석을 통해 공격에 성공할 수 있는 SQL 인젝션 스트링을 알아낼 수 있기 때문에 SQL 서버의 에러 메시지를 사용자에게 보여주지 않도록 설정해야 한다.
MS-SQL 서버에서 제공하고 있는 확장 저장 프로시져 중 사용하지 않는 것을 제거해야 한다. 특히 `xp_cmdshell', `xp_regread', `xp_dirtree'와 같은 프로시져는 공격자에 의해 이용될 수 있으므로 가능한 제거해야 한다.
또 관리자 로그인 페이지 주소를 유추하기 어려운 이름으로 바꾸고, `http://admin.victim.com', `http://www.victim.com/admin', `http://www.victim.com/manager'와 같이 유추 가능한 이름을 관리자 페이지로 사용하지 말고, 관리자 PC에서만 관리자 페이지에 접근할 수 있도록 IP별 접근통제를 해야 한다.
◇공격 탐지=우선 주기적인 로그 분석이 필요하다. 최근 발생되는 사고는 SQL 공격 흔적이나 공격자의 행위에 따라 DB 에러 및 SQL 명령 수행 흔적 등이 IIS 웹 로그에 남으므로 로그를 주기적으로 검사해 공격자에 의한 침입여부를 확인해야 한다.
주기적 로그분석ㆍ초기화면 아이프레임 점검
대부분의 전문가들은 웹사이트 해킹을 통한 악성코드 유포사고를 막는 가장 확실한 방법으로 사이트 관리자들이 피해예방과 함께 지속적인 점검을 벌이는 것을 꼽고 있다. 해킹을 통한 악성코드 유포사고의 경우 그 특성상 대부분 은밀하게 이뤄지고 있어 지속적인 관심을 갖지 않으면 관리자가 자사의 웹사이트가 해킹 됐는지조차 모를 정도이기 때문이다. 다음은 KISA가 권고하는 피해 예방과 공격탐지 방법이다.
◇피해 예방=최근의 악성코드 유포사고는 SQL 취약점을 통한 경우가 많기 때문에 이에 대한 취약점 제거 등이 필수적이다.
우선 SQL 인젝션(Injection) 취약점을 제거해야 한다. 사용자 입력값이나 URL 인자값에 특수문자(", /, \, ;, :, Space, --, + 등)와 SQL 구문(or, and, union, select, insert 등)이 포함돼 있는지 검사해 허용되지 않은 문자열이나 문자가 포함된 경우 이를 차단해야 한다. 공격자는 리턴되는 에러 메시지에 대한 분석을 통해 공격에 성공할 수 있는 SQL 인젝션 스트링을 알아낼 수 있기 때문에 SQL 서버의 에러 메시지를 사용자에게 보여주지 않도록 설정해야 한다.
MS-SQL 서버에서 제공하고 있는 확장 저장 프로시져 중 사용하지 않는 것을 제거해야 한다. 특히 `xp_cmdshell', `xp_regread', `xp_dirtree'와 같은 프로시져는 공격자에 의해 이용될 수 있으므로 가능한 제거해야 한다.
또 관리자 로그인 페이지 주소를 유추하기 어려운 이름으로 바꾸고, `http://admin.victim.com', `http://www.victim.com/admin', `http://www.victim.com/manager'와 같이 유추 가능한 이름을 관리자 페이지로 사용하지 말고, 관리자 PC에서만 관리자 페이지에 접근할 수 있도록 IP별 접근통제를 해야 한다.
◇공격 탐지=우선 주기적인 로그 분석이 필요하다. 최근 발생되는 사고는 SQL 공격 흔적이나 공격자의 행위에 따라 DB 에러 및 SQL 명령 수행 흔적 등이 IIS 웹 로그에 남으므로 로그를 주기적으로 검사해 공격자에 의한 침입여부를 확인해야 한다.
