KR102619841B1 - 장비 독립적인 취약 설정 점검 방법 및 장치 - Google Patents

장비 독립적인 취약 설정 점검 방법 및 장치 Download PDF

Info

Publication number
KR102619841B1
KR102619841B1 KR1020210183921A KR20210183921A KR102619841B1 KR 102619841 B1 KR102619841 B1 KR 102619841B1 KR 1020210183921 A KR1020210183921 A KR 1020210183921A KR 20210183921 A KR20210183921 A KR 20210183921A KR 102619841 B1 KR102619841 B1 KR 102619841B1
Authority
KR
South Korea
Prior art keywords
inspection
information
equipment
list
setting
Prior art date
Application number
KR1020210183921A
Other languages
English (en)
Other versions
KR20230078443A (ko
Inventor
전민철
강예준
김우년
강정민
Original Assignee
한국전자통신연구원
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 한국전자통신연구원 filed Critical 한국전자통신연구원
Publication of KR20230078443A publication Critical patent/KR20230078443A/ko
Application granted granted Critical
Publication of KR102619841B1 publication Critical patent/KR102619841B1/ko

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)

Abstract

상기한 목적을 달성하기 위한 본 발명의 일 실시예에 따른 장비 독립적인 취약 설정 점검 방법은 점검정보 및 점검대상 장비 정보를 등록하는 단계, 상기 점검정보 및 상기 점검대상 장비 정보를 맵핑하는 단계, 상기 등록된 점검대상 장비 정보에 상응하는 장비들 중 하나 이상의 장비에 대한 점검을 수행하는 단계, 및 점검정보 목록, 점검대상 장비 정보 목록, 점검정책 목록 및 점검 결과 목록을 포함하는 점검도구 정보를 업데이트하는 단계를 포함한다.

Description

장비 독립적인 취약 설정 점검 방법 및 장치{METHOD AND APPARATUS FOR CHECKING VULNERABILITY INDPENDENT OF EQUIPMENT}
본 발명은 다양한 종류의 장비에 대해서 취약 설정을 점검할 수 있는 기술에 관한 것이다.
구체적으로, 본 발명은 점검대상 장비의 종류, 제조사, 모델 등에 관계없이 취약점 점검을 수행할 수 있는 기술에 관한 것이다.
국가·공공기관과 기업, 학교, 병원 등 다양한 기관들은 사이버 침해사고로 인한 각종 위협으로부터 내부정보와 시스템을 보호하기 위한 보안관리를 수행한다.
다양한 보안관리 방법 중 하나는 서버, PC, 네트워크 장비, 보안장비 등 다양한 시스템 및 장비가 각종 사이버 위협으로부터 안전하게 보호되도록 설정되어 있는지를 확인하는 것이다. 이와 같은 보안관리 방법을 통칭 보안점검 또는 설정 점검이라 한다.
설정 점검은 사람이 직접 시스템 및 장비에 접속하여 점검이 필요한 설정 정보를 조회하기 위한 명령어를 입력하고, 그 결과를 육안으로 확인하여 안전한 설정 여부를 판단하는 방법과 앞의 절차 중 일부를 자동화 해주는 프로그램(또는 스크립트, script)을 이용하는 방법이 있다.
설정 점검을 자동으로 수행하는 프로그램을 개발하는 것은 기술적 난이도가 아주 높은 것은 아니지만, 점검대상 장비의 종류, 제조사, 모델 및 버전에 따라 명령어와 명령어로 조회된 설정 정보의 형태가 다양하다. 예를 들어, 네트워크 장비 종류 중 Layer2 Switch를 개발하는 제조사도 다양하고, 제조사마다 제품군도 다양하며, 제품군마다 명령어도 약간씩 차이가 존재하며, 명령어의 실행 결과로 화면에 표시되는 정보의 가짓수나 정보가 출력되는 순서 등에 차이가 있다.
따라서 점검대상 장비의 다양성을 고려하여, 모든 종류의 시스템에 대한 설정 정보를 해석하고, 점검 결과를 판단하는 프로그램을 개별 업체가 개발하는 것은 매우 어렵다.
이로 인해 많은 경우 점검대상 장비의 종류나 기능을 한정하여 취약 설정 점검 프로그램을 개발한 후 점차 적용 범위를 확대하기 위해 점차 기능을 업데이트하는 방식으로 제품이 개발되는 경우가 많다. 때문에, 점검대상 장비의 종류, 제조사, 모델 등에 관계없이 취약점 점검을 수행할 수 있는 기술에 관한 필요성이 절실히 대두된다.
국내 등록특허공보 제10-2156379호(발명의 명칭: 정보수집 프로세스를 통한 에이전트리스 방식 취약점 진단시스템 및 그 방법)
본 발명의 목적은 장비의 종류와 설정 정보의 형태에 구애받지 않고, 설정 점검이 가능한 방법을 제공하는 것이다.
또한, 본 발명의 목적은 설정 점검 프로그램이 개발된 이후에 새로 출시되는 장비에 대해서도 설정 점검 프로그램을 새로 개발하거나 일부 기능을 수정할 필요 없이 설정 점검이 가능한 방법을 제공하는 것이다.
상기한 목적을 달성하기 위한 본 발명의 일 실시예에 따른 장비 독립적인 취약 설정 점검 방법은 점검정보 및 점검대상 장비 정보를 등록하는 단계, 상기 점검정보 및 상기 점검대상 장비 정보를 맵핑하는 단계, 상기 등록된 점검대상 장비 정보에 상응하는 장비들 중 하나 이상의 장비에 대한 점검을 수행하는 단계, 및 점검정보 목록, 점검대상 장비 정보 목록, 점검정책 목록 및 점검 결과 목록을 포함하는 점검도구 정보를 업데이트하는 단계를 포함한다.
이때, 상기 하나 이상의 장비에 대한 점검을 수행하는 단계는 선택된 장비에 상응하는 점검정보를 식별하는 단계, 설정 수집 명령어에 기반하여 상기 선택된 장비의 설정 정보를 수집하는 단계, 및 상기 수집된 설정 정보에 기반하여 점검 결과를 판정하는 단계를 포함할 수 있다.
이때, 상기 장비 독립적인 취약 설정 점검 방법은 상기 하나 이상의 장비에 대한 점검 결과를 출력하는 단계를 더 포함하고, 상기 점검 결과는 전체 장비 점검 결과에 상응하는 통계 정보, 개별 장비 점검 결과의 요약 정보 및 개별 장비 점검 결과의 상세 정보를 포함할 수 있다.
이때, 상기 점검정보는 점검대상 장비 정보, 점검항목 목록, 시험항목 목록, 설정 탐색 규칙 목록, 설정 비교 기준 목록 및 명령어 목록을 포함할 수 있다.
이때, 상기 하나 이상의 장비에 대한 점검을 수행하는 단계는 상기 하나 이상의 장비에 상응하는 설정 탐색 규칙에 의해 수집된 설정 정보를 설정 비교 기준과 비교할 수 있다.
이때, 상기 시험항목 목록은 시험항목 각각에 상응하는 시험항목 식별자, 판정 기준, 설정 탐색 규칙, 설정 비교 기준을 포함할 수 있다.
이때, 상기 점검정책 목록은 각각의 점검정책에 대한 점검정보와 점검대상 장비의 맵핑 정보를 포함할 수 있다.
이때, 상기 점검 결과 목록은 상기 점검대상 장비에 대한 점검 수행 시 생성되는 점검항목별 점검 결과, 수집된 설정 정보 및 설정 탐색 규칙에 의해 식별된 정보를 포함할 수 있다.
이때, 상기 점검대상 장비 정보는 장비 IP주소, 접속 프로토콜 종류, 접속 포트번호, 사용자 계정 정보를 포함할 수 있다.
이때, 상기 점검항목 목록 내 점검항목은 점검대상 장비의 사용자 계정에 대한 안전성 점검항목을 포함하고, 상기 사용자 계정에 대한 안전성 점검항목은 사용자 계정이 디폴트 계정, 게스트 계정, 제작사 초기 계정, 시스템 명칭, 숫자로만 구성된 계정 및 기설정된 자리수 이하의 계정에 상응하는지 판단할 수 있다.
또한, 상기한 목적을 달성하기 위한 본 발명의 일 실시예에 따른 장비 독립적인 취약 설정 점검 장치는 적어도 하나의 프로그램이 기록된 메모리, 및 상기 프로그램을 실행하는 프로세서를 포함하며, 상기 프로그램은 점검정보 및 점검대상 장비 정보를 등록하는 단계, 상기 점검정보 및 상기 점검대상 장비 정보를 맵핑하는 단계, 상기 등록된 점검대상 장비 정보에 상응하는 장비들 중 하나 이상의 장비에 대한 점검을 수행하는 단계, 및 점검정보 목록, 점검대상 장비 정보 목록, 점검정책 목록 및 점검 결과 목록을 포함하는 점검도구 정보를 업데이트하는 단계의 수행을 위한 명령어들을 포함한다.
이때, 상기 하나 이상의 장비에 대한 점검을 수행하는 단계는 선택된 장비에 상응하는 점검정보를 식별하는 단계, 설정 수집 명령어에 기반하여 상기 선택된 장비의 설정 정보를 수집하는 단계, 및 상기 수집된 설정 정보에 기반하여 점검 결과를 판정하는 단계를 포함할 수 있다.
이때, 상기 프로그램은 상기 하나 이상의 장비에 대한 점검 결과를 출력하는 단계의 수행을 위한 명령어를 더 포함하고, 상기 점검 결과는 전체 장비 점검 결과에 상응하는 통계 정보, 개별 장비 점검 결과의 요약 정보 및 개별 장비 점검 결과의 상세 정보를 포함할 수 있다.
이때, 상기 점검정보는 점검대상 장비 정보, 점검항목 목록, 시험항목 목록, 설정 탐색 규칙 목록, 설정 비교 기준 목록 및 명령어 목록을 포함할 수 있다.
이때, 상기 하나 이상의 장비에 대한 점검을 수행하는 단계 상기 하나 이상의 장비에 상응하는 설정 탐색 규칙에 의해 수집된 설정 정보를 설정 비교 기준과 비교할 수 있다.
이때, 상기 시험항목 목록은 시험항목 각각에 상응하는 시험항목 식별자, 판정 기준, 설정 탐색 규칙, 설정 비교 기준을 포함할 수 있다.
이때, 상기 점검정책 목록은 각각의 점검정책에 대한 점검정보와 점검대상 장비의 맵핑 정보를 포함할 수 있다.
이때, 상기 점검 결과 목록은 상기 점검대상 장비에 대한 점검 수행 시 생성되는 점검항목별 점검 결과, 수집된 설정 정보 및 설정 탐색 규칙에 의해 식별된 정보를 포함할 수 있다.
이때, 상기 점검대상 장비 정보는 장비 IP주소, 접속 프로토콜 종류, 접속 포트번호, 사용자 계정 정보를 포함할 수 있다.
이때, 상기 점검항목 목록 내 점검항목은 점검대상 장비의 사용자 계정에 대한 안전성 점검항목을 포함하고, 상기 사용자 계정에 대한 안전성 점검항목은 사용자 계정이 디폴트 계정, 게스트 계정, 제작사 초기 계정, 시스템 명칭, 숫자로만 구성된 계정 및 기설정된 자리수 이하의 계정에 상응하는지 판단할 수 있다.
본 발명에 따르면, 점검정보가 장비의 종류와 취약 설정 점검항목의 내용에 구애받지 않도록 독립적으로 정의되어, 국내·외 다양한 취약 설정 점검항목의 내용과 점검기준, 점검방법 등을 동일한 형태로 기술할 수 있다.
또한, 본 발명의 점검도구 정보 또한 장비의 종류에 독립적으로 정의되어 점검정보에 따라 다양한 장비에 대해 수행한 점검을 수행할 수 있다.
또한, 본 발명에 따르면, 점검도구 정보와 점검정보를 해석할 수 있는 프로그램을 보유한 기관 또는 기업들은 서로 파일 또는 DB 형태로 저장된 점검정보와 점검도구 정보를 공유하여 사용할 수 있다.
또한, 본 발명은 다기종, 다수의 장비에 대해 자동으로 취약 설정 점검을 수행할 수 있어, 보안관리 업무의 효율성을 높일 수 있다.
도 1은 본 발명의 일 실시예에 따른 장비 독립적인 취약 설정 점검 방법을 나타낸 흐름도이다.
도 2는 본 발명의 전체 구성을 개념적으로 나타낸 도면이다.
도 3은 본 발명의 일 실시예에 따른 점검도구의 구성을 나타낸 블록도이다.
도 4는 점검도구의 전체 기능 실행 절차를 나타낸 흐름도이다.
도 5는 실시예에 따른 점검도구의 점검정보 등록 화면을 나타낸 예시이다.
도 6은 실시예에 따른 점검도구의 점검대상 장비 정보 등록 화면을 나타낸 예시이다.
도 7은 실시예에 따른 점검도구의 점검대상 장비 정보 및 점검정보의 맵핑 화면을 나타낸 예시이다.
도 8은 실시예에 따른 점검도구의 장비 선택 및 점검 기능 시작 화면을 나타낸 예시이다.
도 9는 실시예에 따른 점검도구의 전체 장비 점검 결과 통계 화면을 나타낸 예시이다.
도 10은 실시예에 따른 점검도구의 개별 장비 점검 결과 요약 화면을 나타낸 예시이다.
도 11은 실시예에 따른 점검도구의 개별 장비 점검 결과 상세 정보 화면을 나타낸 예시이다.
도 12는 실시예에 따른 점검 방법의 점검도구 정보 구조를 나타낸 도면이다.
도 13은 실시예에 따른 점검 방법의 점검정보 구조를 나타낸 도면이다.
도 14는 점검도구의 점검 기능 실행 절차를 상세히 나타낸 흐름도이다.
도 15는 실시예에 따른 컴퓨터 시스템의 구성을 나타낸 도면이다.
본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나 본 발명은 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 것이며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하며, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다. 명세서 전체에 걸쳐 동일 참조 부호는 동일 구성 요소를 지칭한다.
비록 "제1" 또는 "제2" 등이 다양한 구성요소를 서술하기 위해서 사용되나, 이러한 구성요소는 상기와 같은 용어에 의해 제한되지 않는다. 상기와 같은 용어는 단지 하나의 구성요소를 다른 구성요소와 구별하기 위하여 사용될 수 있다. 따라서, 이하에서 언급되는 제1 구성요소는 본 발명의 기술적 사상 내에서 제2 구성요소일 수도 있다.
본 명세서에서 사용된 용어는 실시예를 설명하기 위한 것이며 본 발명을 제한하고자 하는 것은 아니다. 본 명세서에서, 단수형은 문구에서 특별히 언급하지 않는 한 복수형도 포함한다. 명세서에서 사용되는 "포함한다(comprises)" 또는 "포함하는(comprising)"은 언급된 구성요소 또는 단계가 하나 이상의 다른 구성요소 또는 단계의 존재 또는 추가를 배제하지 않는다는 의미를 내포한다.
다른 정의가 없다면, 본 명세서에서 사용되는 모든 용어는 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 공통적으로 이해될 수 있는 의미로 해석될 수 있다. 또한, 일반적으로 사용되는 사전에 정의되어 있는 용어들은 명백하게 특별히 정의되어 있지 않는 한 이상적으로 또는 과도하게 해석되지 않는다.
이하, 첨부된 도면을 참조하여 본 발명의 실시예들을 상세히 설명하기로 하며, 도면을 참조하여 설명할 때 동일하거나 대응하는 구성 요소는 동일한 도면 부호를 부여하고 이에 대한 중복되는 설명은 생략하기로 한다.
도 1은 본 발명의 일 실시예에 따른 장비 독립적인 취약 설정 점검 방법을 나타낸 흐름도이다.
실시예에 따른 장비 독립적인 취약 설정 점검 방법은 장비 독립적인 취약 설정 점검 장치에서 수행될 수 있다.
도 1을 참조하면, 본 발명의 일 실시예에 따른 장비 독립적인 취약 설정 점검 방법은 점검정보 및 점검대상 장비 정보를 등록하는 단계(S110), 상기 점검정보 및 상기 점검대상 장비 정보를 맵핑하는 단계(S120), 상기 등록된 점검대상 장비 정보에 상응하는 장비들 중 하나 이상의 장비에 대한 점검을 수행하는 단계(S130), 및 점검정보 목록, 점검대상 장비 정보 목록, 점검정책 목록 및 점검 결과 목록을 포함하는 점검도구 정보를 업데이트하는 단계(S140)를 포함한다.
이때, 점검도구 정보를 업데이트하는 단계(S140)는 단계(S110) 내지 단계(S130)의 수행 후에 순차적으로 수행되거나 병렬적으로 수행될 수 있다.
이때, 상기 하나 이상의 장비에 대한 점검을 수행하는 단계(S130)는 선택된 장비에 상응하는 점검정보를 식별하는 단계, 설정 수집 명령어에 기반하여 상기 선택된 장비의 설정 정보를 수집하는 단계, 및 상기 수집된 설정 정보에 기반하여 점검 결과를 판정하는 단계를 포함할 수 있다.
이때, 도 1에는 도시되지 않았으나, 상기 장비 독립적인 취약 설정 점검 방법은 상기 하나 이상의 장비에 대한 점검 결과를 출력하는 단계를 더 포함할 수 있다.
이때, 상기 점검 결과는 전체 장비 점검 결과에 상응하는 통계 정보, 개별 장비 점검 결과의 요약 정보 및 개별 장비 점검 결과의 상세 정보를 포함할 수 있다.
이때, 상기 점검정보는 점검대상 장비 정보, 점검항목 목록, 시험항목 목록, 설정 탐색 규칙 목록, 설정 비교 기준 목록 및 명령어 목록을 포함할 수 있다.
이때, 상기 설정 탐색 규칙 목록은 수집된 설정 정보에서 점검에 필요한 부분을 찾기 위한 정규표현식 목록에 상응할 수 있다.
이때, 상기 하나 이상의 장비에 대한 점검을 수행하는 단계(S130)는 상기 하나 이상의 장비에 상응하는 설정 탐색 규칙에 의해 수집된 설정 정보를 설정 비교 기준과 비교할 수 있다. 즉, 설정 탐색 규칙에 의해 수집된 정보를 상기 설정 비교 기준과 비교하여 기설정된 조건을 만족하는지를 판단할 수 있다.
이때, 상기 시험항목 목록은 시험항목 각각에 상응하는 시험항목 식별자, 판정 기준, 설정 탐색 규칙, 설정 비교 기준을 포함할 수 있다. 즉, 상기 시험항목 목록은 복수개의 시험항목에 대한 정보를 포함할 수 있으며, 각각의 시험항목에 대한 정보는 시험항목 식별자, 판정 기준, 설정 탐색 규칙, 설정 비교 기준 등을 포함할 수 있다.
이때, 상기 점검정책 목록은 각각의 점검정책에 대한 점검정보와 점검대상 장비의 맵핑 정보를 포함할 수 있다. 즉, 점검정책 목록은 복수개의 점검정책에 관한 정보를 포함할 수 있으며, 각각의 점검정책은 복수의 점검정보와 점검대상 장비 간 맵핑 정보를 포함할 수 있다.
이때, 상기 점검 결과 목록은 상기 점검대상 장비에 대한 점검 수행 시 생성되는 점검항목별 점검 결과, 수집된 설정 정보 및 설정 탐색 규칙에 의해 식별된 정보를 포함할 수 있다.
이때, 상기 점검대상 장비 정보는 장비 IP주소, 접속 프로토콜 종류, 접속 포트번호, 사용자 계정 정보를 포함할 수 있다. 또한, 상기 점검대상 장비 정보는 관리자 비밀번호, 장비 타입, 장비 카테고리, 제조사, 운영체제정보 등을 더 포함할 수 있다.
이때, 상기 점검항목 목록 내 점검항목은 점검대상 장비의 사용자 계정에 대한 안전성 점검항목을 포함하고, 상기 사용자 계정에 대한 안전성 점검항목은 사용자 계정이 디폴트 계정, 게스트 계정, 제작사 초기 계정, 시스템 명칭, 숫자로만 구성된 계정 및 기설정된 자리수 이하의 계정에 상응하는지 판단할 수 있다.
도 2는 본 발명의 전체 구성을 개념적으로 나타낸 도면이다.
도 2를 참조하면, 본 발명은 점검도구와 점검도구 정보, 점검정보로 구성된다. 점검도구는 다양한 종류의 장비에서 취약한 설정을 확인하는 프로그램에 상응할 수 있다. 점검도구 정보는 점검도구의 기능 동작 및 실행 결과 등 정보 관리를 위한 파일 형식에 상응할 수 있다. 점검정보는 특정 장비에 대해 점검할 내용과 방법, 점검 결과 판정 기준 등을 기술하는 파일 형식에 상응할 수 있다. 이하, 본 발명의 구성을 보다 상세하게 설명한다.
도 3은 본 발명의 일 실시예에 따른 점검도구의 구성을 나타낸 블록도이다.
도 3을 참조하면, 본 발명의 일 실시예에 따른 점검도구(200)는 입력부(210), 수집부(220), 점검부(230), 저장부(240) 및 표시부(250)를 포함할 수 있다.
입력부(210)는 사용자로부터 점검대상 장비 정보와 점검정보를 입력 받을 수 있다. 수집부(220)는 점검대상 장비에 접속하여, 점검에 필요한 설정 정보를 수집할 수 있다. 점검부(230)는 수집된 설정 정보에 대해 점검정보를 이용하여 취약 설정 점검을 수행할 수 있다. 저장부(240)는 입력부(210), 수집부(220), 및 점검부(230)의 실행 결과로 생성된 정보를 저장하는 기능을 수행할 수 있다. 표시부(250)는 취약 설정 점검 결과와 사용자가 점검도구에 입력한 정보 등을 화면에 표시할 수 있다.
도 4는 점검도구의 전체 기능 실행 절차를 나타낸 흐름도이다.
*도 4를 참조하면, 사용자는 점검도구를 실행하고 점검정보와 점검대상 장비 정보를 등록한다(S310, S320).
도 5는 실시예에 따른 점검도구의 점검정보 등록 화면을 나타낸 예시이다.
도 6은 실시예에 따른 점검도구의 점검대상 장비 정보 등록 화면을 나타낸 예시이다.
이때, 점검정보에는 점검 가능한 장비의 종류를 나타내는 정보가 포함되며, 이를 이용하여 점검정보와 점검대상 장비 정보를 맵핑할 수 있다(S330). 두 정보 간 맵핑은 자동 또는 수동으로 수행할 수 있다.
도 7은 실시예에 따른 점검도구의 점검대상 장비 정보 및 점검정보의 맵핑 화면을 나타낸 예시이다.
도 7에 도시된 바와 같이, 하나의 점검 정보에 대하여 복수개의 점검대상 장비 정보를 맵핑할 수 있다.
사용자는 점검도구에 등록된 장비 중 하나 이상의 장비를 선택하여 취약 설정 점검 기능을 실행할 수 있다(S340, S350).
도 8은 실시예에 따른 점검도구의 장비 선택 및 점검 기능 시작 화면을 나타낸 예시이다.
사용자가 선택한 장비에 대한 설정 점검 기능이 수행되면 점검도구는 점검 결과를 표시한다(S360). 상기 점검 결과는 전체 장비 점검 결과 통계, 개별 장비 점검 결과 요약 정보, 및 개별 장비 점검 결과 상세 정보를 포함할 수 있다.
도 9는 실시예에 따른 점검도구의 전체 장비 점검 결과 통계 화면을 나타낸 예시이다.
도 10은 실시예에 따른 점검도구의 개별 장비 점검 결과 요약 화면을 나타낸 예시이다.
도 11은 실시예에 따른 점검도구의 개별 장비 점검 결과 상세 정보 화면을 나타낸 예시이다.
사용자는 점검 결과를 확인한 후, 점검정보 또는 점검대상 장비를 추가로 등록하거나(S310), 다른 점검대상 장비를 선택하여 점검 기능을 실행하거나(S340, S350), 점검도구를 종료하는 등의 작업을 수행할 수 있다.
도 12는 실시예에 따른 점검 방법의 점검도구 정보 구조를 나타낸 도면이다.
도 12를 참조하면, 점검도구 정보는 점검정보 목록, 점검대상 장비 정보 목록, 점검정보와 장비 간 맵핑 목록, 점검 결과 목록, 점검 결과 통계 정보 목록 등을 포함한다. 이하, 점검도구 정보에 포함된 목록에 대하여 상세히 설명한다.
점검정보 목록을 통해 점검도구에 등록된 점검정보를 관리할 수 있다. 점검대상 장비 정보 목록을 통해 점검도구에 등록된 점검대상 장비의 제조사, 모델명, 접속 정보 등을 관리할 수 있다. 점검정책 목록은 점검정보와 점검대상 장비를 맵핑한 결과를 일종의 그룹으로 관리하기 위한 정보로 하나의 점검정책에는 하나 이상의 맵핑 정보가 입력될 수 있다. 점검 결과 목록은 점검 수행 시마다 생성되는 점검항목별 점검 결과와 수집된 설정 정보, 설정 탐색 규칙으로 식별된 정보 등을 포함할 수 있다.
점검도구 정보에 저장된 점검대상 장비 정보의 입력 결과 예는 하기 [표 1]과 같다.
점검대상 장비 ID nd_000001
device_name root_primary
ip_address 19.168.3.1
port 22
protocol ssh
user_id admin
user_pw admin1234
privileged_pw 1234admin
product_type network_device
product_category l2switch
product_manufacturer cisco
product_name catalyst 2960
product_os_name ios
product_os_version 12
점검도구 정보에 저장된 점검정보와 점검대상 장비 간 맵핑 목록의 예는 하기 [표 2]와 같다.
점검정책 이름 점검대상 장비 ID 점검정보 ID
취약점 분석·평가 nd_000001 nsr.net.l2.ios.12:chk:200407
nd_000002 nsr.net.l3.ios.12:chk:200407
제어시스템 운영계층 운용보안대책 nd_000001 ...
nd_000003 nsr.net.router.ios.15:chk:200407
... ...
DoD STIG ... ...
... ... ...
도 13은 실시예에 따른 점검 방법의 점검정보 구조를 나타낸 도면이다.도 13을 참조하면, 점검정보는 점검대상 장비 정보, 점검항목 목록, 점검에 필요한 시험 목록, 설정 탐색 규칙 목록, 설정 비교 기준 목록, 명령어 목록 등으로 구성된다. 이하, 점검정보에 포함된 목록에 대하여 상세히 설명한다.
점검대상 장비 정보는 점검정보와 대응되는 장비의 종류, 제조사, 모델명, 운영체제(또는 펌웨어)의 버전 등의 정보를 포함할 수 있다. 점검항목 정보 목록은 점검을 수행할 항목들에 대한 설명 등을 포함할 수 있다. 시험항목 목록은 점검항목별 요구사항의 만족 여부 확인에 필요한 시험항목 목록이며, 각 시험항목은 설정 정보 탐색 규칙과 그에 대응되는 비교대상 설정 정보 기준으로 구성될 수 있다. 설정 정보 탐색 규칙 목록은 설정 정보 탐색 규칙은 점검 명령어로 수집된 설정 정보에서 점검에 필요한 부분을 찾기 위한 규칙(정규표현식) 목록에 상응할 수 있다. 비교대상 설정 정보 기준 목록은 설정 정보 탐색 규칙으로 찾아낸 설정 정보의 비교 대상 설정 기준 목록에 상응할 수 있다.
[표 3]은 네트워크 장비의 안전한 계정 관리를 위해 만든 점검항목을 예로 들어 점검정보를 작성한 예이다.
점검항목 상세 정보 이름 안전한 계정 관리
점검항목 중요도 상
점검항목 설명 네트워크 장비에서 'Administrator', 'Guest' 등과 같은 디폴트 계정 및 불필요한 계정을 삭제, 비활성화해야 한다.
또한 계정 생성, 변경 시 쉽게 유추하기 어려운 계정명을 활용해야 한다.
점검방법 설명 점검방법① 네트워크 장비에서 다음과 같은 계정의 존재 여부를 확인
- 디폴트 계정 (예: administrator, admin, root 등)
- 임시, 게스트 계정 (예: guest, anonymous 등)
- 제작사 초기 계정 (Cisco, GEAdmin)
- 알려진 시스템 명칭 (SCADA, EWS, OWS, PLC, DCS, HMI)
- 제출한 사용자 계정 목록 외의 계정
점검방법② 숫자로만 구성된 계정명 또는 1자리 이하의 짧은 계정명 사용여부 점검
조치방법 설명 점검방법①, ②에서 기술한 계정명이 존재하지 않도록 설정하고, 쉽게 유추되지 않는 계정명으로 설정한다.
점검 결과 판정 기준 시험결과 연산 방법 and
시험항목 참조 목록 nsr.net.l2.ios.12:tst:SH.1.1
nsr.net.l2.ios.12:tst:SH.1.2
[표 3]에서 볼 수 있듯이, 점검항목 중요도는 '상', '중', '하'의 값을 가질 수 있다. 시험결과 연산 방법의 옵션과 의미는 다음과 같으며, 연산 결과는 '참(true)' 또는 '거짓(false)'으로 판정할 수 있다.- and: 모든 시험항목의 결과에 대해 and 연산을 수행하여 점검항목 점검 결과를 판정한다.
- or: 모든 시험항목의 결과에 대해 or 연산을 수행하여 점검항목 점검 결과를 판정한다.
- xor: 모든 시험항목의 결과에 대해 xor 연산을 수행하여 점검항목 점검 결과를 판정한다.
- one: 시험항목 중 하나의 항목만 '참(true)'이어야 한다.
[표 4]는 [표 3]의 점검정보에 나타난 시험항목의 예이다.
시험항목 ID 판정 기준
(none/exist) 		점검대상
설정 정보 탐색 규칙 참조 		비교대상
설정 정보 기준 참조
nsr.net.l2.ios.12:tst:SH.1.1 none nsr.net.l2.ios.12:obj:SH.1.1 nsr.net.l2.ios.12:sta:SH.1.1
nsr.net.l2.ios.12:tst:SH.1.2 none nsr.net.l2.ios.12:obj:SH.1.2 nsr.net.l2.ios.12:sta:SH.1.2
각각의 시험항목에 대한 판정 기준은 none 또는 exist의 값을 가지며, 각각의 의미와 시험 결과는 아래와 같다.- none: 비교대상 설정 정보 기준을 만족하는 설정 정보 탐색 결과가 존재하지 않으면, '참(true)', 아니면 '거짓(false)'으로 판정한다.
- exist: 비교대상 설정 정보 기준을 만족하는 설정 정보 탐색 결과가 존재하면 '참(true)'으로, 아니면 '거짓(false)'으로 판정한다.
[표 4]의 시험항목에 대한 설정 정보 탐색 규칙의 예는 하기의 [표 5]와 같다.
설정 정보
탐색 규칙 ID 		명령어 참조 설정 정보
탐색 규칙 연산자 		설정 정보 탐색 규칙
nsr.net.l2.ios.12:obj:SH.1.1 nsr.net.l2.ios.12:cmd:0001 pattern match username\s(admin|Admin|administrator|Administrator|ADMINISTRATOR|ROOT|root|guest|Guest|anonymous|Anonymous|SCADA|scada|Scada|Cisco|cisco|CISCO|GEAdmin|EWS|ews|ows|OWS|plc|PLC|DCS|dcs|HMI|hmi|engineer|Engineer|operator|Operator)(.*)
nsr.net.l2.ios.12:obj:SH.1.2 nsr.net.l2.ios.12:cmd:0001 pattern match username\s([\d]+|[a-zA-Z])\s(.*)
설정 정보 탐색 규칙 연산자의 옵션과 의미는 아래와 같다. - pattern match: 설정 정보 탐색 규칙에 일치하는 텍스트 패턴을 탐색한다.
- equal: 설정 정보 탐색 규칙의 값과 동일한 값을 찾는다.
- not equal: 설정 정보 탐색 규칙의 값과 다른 값을 찾는다.
- case insensitive equal: 영문 대·소문자의 구분 없이 설정 정보 탐색 규칙의 값과 동일한 값을 찾는다.
- case insensitive not equal: 설정 정보 탐색 규칙의 값과 영문 대·소문자까지 동일한 값을 찾는다.
- greater than: 설정 정보 탐색 규칙의 값보다 큰 값을 찾는다.
- less than: 설정 정보 탐색 규칙의 값보다 작은 값을 찾는다.
- greater than or equal: 설정 정보 탐색 규칙의 값보다 크거나 같은 값을 찾는다.
- less than or equal: 설정 정보 탐색 규칙의 값보다 작거나 같은 값을 찾는다.
[표 4]의 시험항목에 대한 비교대상 설정 정보 기준의 예는 하기의 [표 6]과 같다.
비교대상 설정 정보 기준 ID 설정 상태
비교 방법 		설정 상태
비교 연산자 		설정 상태
비교 기준 값
nsr.net.l2.ios.12:sta:SH.1.1 compare_count greater than or equal 1
nsr.net.l2.ios.12:sta:SH.1.2 compare_count greater than or equal 1
설정 상태 비교 방법의 옵션과 의미는 다음과 같다.- compare_count: 설정 정보 탐색 규칙에 따라 탐색된 설정 정보의 개수와 설정 상태 비교 기준 값을 비교한다.
- compare_text: 설정 정보 탐색 규칙에 따라 탐색된 설정 정보의 문자열과 설정 상태 비교 기준 값을 비교한다.
설정 상태 비교 연산자의 옵션과 의미는 다음과 같으며, 연산 결과는 '참(true)' 또는 '거짓(false)'이다.
- equal: 설정 정보 탐색 결과가 설정 상태 비교 기준 값과 동일해야 한다.
- not equal: 설정 정보 탐색 결과가 설정 상태 비교 기준 값과 달라야 한다.
- case insensitive equal: 영문 대·소문자의 구분 없이 설정 정보 탐색 결과가 설정 상태 비교 기준 값과 동일해야 한다.
- case insensitive not equal: 설정 정보 탐색 결과가 설정 상태 비교 기준 값과 영문 대·소문자까지 동일해야 한다.
- greater than: 설정 정보 탐색 결과가 설정 상태 비교 기준 값보다 커야 한다.
- less than: 설정 정보 탐색 결과가 설정 상태 비교 기준 값보다 작아야 한다.
- greater than or equal: 설정 정보 탐색 결과가 설정 상태 비교 기준 값보다 크거나 같아야 한다.
- less than or equal: 설정 정보 탐색 결과가 설정 상태 비교 기준 값보다 작거나 같아야 한다.
[표 7]은 명령어 ID와 명령어의 예를 나타낸다.
명령어 ID 명령어
nsr.net.l2.ios.12:cmd:0001 show running-config
도 14는 점검도구의 점검 기능 실행 절차를 상세히 나타낸 흐름도이다.도 14를 참조하면, 사용자는 하나 이상의 점검대상 장비를 선택하여 점검 기능을 실행할 수 있다. 점검도구는 사용자가 선택한 장비에 대해 그와 대응되는 점검정보에 기반하여 자동으로 취약한 설정 여부를 점검하고, 점검 결과를 사용자에게 보여준다. 다음은 점검도구 정보에 등록된 장비 정보와 점검정보의 예를 바탕으로 점검 기능이 동작하는 절차이다.
사용자는 점검도구에 등록된 장비를 선택하여 점검 기능을 실행한다. 점검도구는 점검도구 정보에서 사용자가 선택한 점검대상 장비의 접속 정보(장비 IP주소, 접속 프로토콜 종류, 접속 포트번호, 사용자 계정)를 확인하고(S351), 해당 장비에 대응되는 점검정보를 식별한다(S352).
점검도구는 점검대상 장비에 접속한다(S353). 점검도구는 점검정보의 명령어 목록에 명시된 명령어를 차례로 실행하여(S354) 해당 장비의 설정 정보를 획득한다. 이 예시에서 획득한 설정 정보는 하기의 [표 8]과 같다.
Switch1#show running-config
Building configuration...

Current configuration : 7029 bytes
!
! Last configuration change at 11:22:32 KST Tue Jul 6 2021
!
!
username user1 access-class 1 privilege 0 secret 8 $8$D5xk5wJGPDfXLE$dGa.wgZ
username admin1 privilege 15 secret 8 $8$PaZ8x0RpTWMiIU$47SFgGhOeKYkB.Zo
username user2 privilege 0 password 7 0055035414081B521F
username user3 access-class 2 privilege 15 password 0 1q2w3e4r
username Engineer password 7 1234
username scada password 7 1234
username EWS password 7 1234
username S privilege 15 password 7 1234
aaa new-model
!
점검도구는 점검정보의 점검항목별로 시험항목 참조 목록을 이용하여 시험항목을 찾는다(S355). 점검도구는 시험항목에 기술된 판정 기준, 설정 정보 탐색 규칙 참조, 비교대상 설정 상태 참조를 확인한다.또한, 점검도구는 설정 정보 탐색 규칙 참조로 설정 정보 탐색 규칙을 찾고, 설정 정보 탐색 규칙에 따라 명령어로 수집된 설정 정보에서 필요한 설정 정보를 추출한다. 추출된 설정 정보는 하기의 [표 9] 및 [표10]과 같다.
username admin1 privilege 15 secret 8 $8$PaZ8x0RpTWMiIU$47SFgGhOeKYkB.Zo
username Engineer password 7 1234
username scada password 7 1234
username EWS password 7 1234
username S privilege 15 password 7 1234
[표 9]는 첫 번째 시험항목의 설정 정보 탐색 규칙으로 추출된 설정 정보의 예를 나타낸다.점검도구는 비교대상 설정 상태 참조로 비교대상 설정 정보 기준을 찾고, 설정 상태 비교 방법을 확인한다. 설정 상태 비교 방법이 'compare_count'로 명시되어 있으므로, 점검도구는 추출된 설정 정보의 개수와 비교 대상 설정 상태 비교 값을 설정 상태 비교 연산자를 이용하여 비교한다(S356).
추출된 설정 정보의 개수는 4개이며, 설정 상태 비교 기준 값은 1이고, 설정 상태 비교 연산자는 'greater than or equal'이므로 연산 결과는 '참(true)'이다. 따라서 비교대상 설정 정보 기준을 만족하는 설정 정보 탐색 결과가 존재하며, 시험항목의 판정 기준이 'none'으로 명시되어 있으므로, 해당 시험항목의 결과는 '거짓(false)'으로 판정한다.
[표 10]은 두 번째 시험항목의 설정 정보 탐색 규칙으로 추출된 설정 정보의 예를 나타낸다.
두 번째 시험항목에서 추출된 설정 정보는 1개이며, 설정 상태 비교 기준 값은 1이고, 설정 상태 비교 연산자는 'greater than or equal'이므로 연산 결과는 '참(true)'이다. 따라서 비교대상 설정 정보 기준을 만족하는 설정 정보 탐색 결과가 존재하며, 시험항목의 판정 기준이 'none'으로 명시되어 있으므로, 해당 시험항목의 결과는 '거짓(false)'으로 판정한다.
점검항목의 시험 결과 연산 방법은 'and'이며, 두 개의 시험항목의 결과가 모두 '거짓(false)'이므로 점검항목의 결과도 '거짓(false)'이다(S357). 점검 결과를 판정한 후 점검도구는 점검 결과에 대한 통계를 작성할 수 있다(S358).
도 15는 실시예에 따른 컴퓨터 시스템의 구성을 나타낸 도면이다.
실시예에 따른 장비 독립적인 취약 설정 점검 장치는 컴퓨터로 읽을 수 있는 기록매체와 같은 컴퓨터 시스템(1000)에서 구현될 수 있다.
컴퓨터 시스템(1000)은 버스(1020)를 통하여 서로 통신하는 하나 이상의 프로세서(1010), 메모리(1030), 사용자 인터페이스 입력 장치(1040), 사용자 인터페이스 출력 장치(1050) 및 스토리지(1060)를 포함할 수 있다. 또한, 컴퓨터 시스템(1000)은 네트워크(1080)에 연결되는 네트워크 인터페이스(1070)를 더 포함할 수 있다. 프로세서(1010)는 중앙 처리 장치 또는 메모리(1030)나 스토리지(1060)에 저장된 프로그램 또는 프로세싱 인스트럭션들을 실행하는 반도체 장치일 수 있다. 메모리(1030) 및 스토리지(1060)는 휘발성 매체, 비휘발성 매체, 분리형 매체, 비분리형 매체, 통신 매체, 또는 정보 전달 매체 중에서 적어도 하나 이상을 포함하는 저장 매체일 수 있다. 예를 들어, 메모리(1030)는 ROM(1031)이나 RAM(1032)을 포함할 수 있다.
본 발명의 일 실시예에 따른 장비 독립적인 취약 설정 점검 장치는 적어도 하나의 프로그램이 기록된 메모리, 및 상기 프로그램을 실행하는 프로세서를 포함하며, 상기 프로그램은 점검정보 및 점검대상 장비 정보를 등록하는 단계, 상기 점검정보 및 상기 점검대상 장비 정보를 맵핑하는 단계, 상기 등록된 점검대상 장비 정보에 상응하는 장비들 중 하나 이상의 장비에 대한 점검을 수행하는 단계, 및 점검정보 목록, 점검대상 장비 정보 목록, 점검정책 목록 및 점검 결과 목록을 포함하는 점검도구 정보를 업데이트하는 단계의 수행을 위한 명령어들을 포함한다.
이때, 상기 하나 이상의 장비에 대한 점검을 수행하는 단계는 선택된 장비에 상응하는 점검정보를 식별하는 단계, 설정 수집 명령어에 기반하여 상기 선택된 장비의 설정 정보를 수집하는 단계, 및 상기 수집된 설정 정보에 기반하여 점검 결과를 판정하는 단계를 포함할 수 있다.
이때, 상기 프로그램은 상기 하나 이상의 장비에 대한 점검 결과를 출력하는 단계의 수행을 위한 명령어를 더 포함하고, 상기 점검 결과는 전체 장비 점검 결과에 상응하는 통계 정보, 개별 장비 점검 결과의 요약 정보 및 개별 장비 점검 결과의 상세 정보를 포함할 수 있다.
이때, 상기 점검정보는 점검대상 장비 정보, 점검항목 목록, 시험항목 목록, 설정 탐색 규칙 목록, 설정 비교 기준 목록 및 명령어 목록을 포함할 수 있다.
이때, 상기 하나 이상의 장비에 대한 점검을 수행하는 단계 상기 하나 이상의 장비에 상응하는 설정 탐색 규칙에 의해 수집된 설정 정보를 설정 비교 기준과 비교할 수 있다.
이때, 상기 시험항목 목록은 시험항목 각각에 상응하는 시험항목 식별자, 판정 기준, 설정 탐색 규칙, 설정 비교 기준을 포함할 수 있다.
이때, 상기 점검정책 목록은 각각의 점검정책에 대한 점검정보와 점검대상 장비의 맵핑 정보를 포함할 수 있다.
이때, 상기 점검 결과 목록은 상기 점검대상 장비에 대한 점검 수행 시 생성되는 점검항목별 점검 결과, 수집된 설정 정보 및 설정 탐색 규칙에 의해 식별된 정보를 포함할 수 있다.
이때, 상기 점검대상 장비 정보는 장비 IP주소, 접속 프로토콜 종류, 접속 포트번호, 사용자 계정 정보를 포함할 수 있다.
이때, 상기 점검항목 목록 내 점검항목은 점검대상 장비의 사용자 계정에 대한 안전성 점검항목을 포함하고, 상기 사용자 계정에 대한 안전성 점검항목은 사용자 계정이 디폴트 계정, 게스트 계정, 제작사 초기 계정, 시스템 명칭, 숫자로만 구성된 계정 및 기설정된 자리수 이하의 계정에 상응하는지 판단할 수 있다.
본 발명에서 설명하는 특정 실행들은 실시예들로서, 어떠한 방법으로도 본 발명의 범위를 한정하는 것은 아니다. 명세서의 간결함을 위하여, 종래 전자적인 구성들, 제어시스템들, 소프트웨어, 상기 시스템들의 다른 기능적인 측면들의 기재는 생략될 수 있다. 또한, 도면에 도시된 구성 요소들 간의 선들의 연결 또는 연결 부재들은 기능적인 연결 및/또는 물리적 또는 회로적 연결들을 예시적으로 나타낸 것으로서, 실제 장치에서는 대체 가능하거나 추가의 다양한 기능적인 연결, 물리적인 연결, 또는 회로 연결들로서 나타내어질 수 있다. 또한, “필수적인”, “중요하게” 등과 같이 구체적인 언급이 없다면 본 발명의 적용을 위하여 반드시 필요한 구성 요소가 아닐 수 있다.
따라서, 본 발명의 사상은 상기 설명된 실시예에 국한되어 정해져서는 아니되며, 후술하는 특허청구범위뿐만 아니라 이 특허청구범위와 균등한 또는 이로부터 등가적으로 변경된 모든 범위는 본 발명의 사상의 범주에 속한다고 할 것이다.
210: 입력부
220: 수집부
230: 점검부
240: 저장부
250: 표시부
1000: 컴퓨터 시스템 1010: 프로세서
1020: 버스 1030: 메모리
1031: 롬 1032: 램
1040: 사용자 인터페이스 입력 장치
1050: 사용자 인터페이스 출력 장치
1060: 스토리지 1070: 네트워크 인터페이스
1080: 네트워크

Claims (20)

  1. 취약 설정 점검 장치에서 수행되는 점검 방법에 있어서,
    점검정보 및 점검대상 장비 정보를 등록하는 단계;
    상기 점검정보 및 상기 점검대상 장비 정보를 맵핑하는 단계;
    상기 등록된 점검대상 장비 정보에 상응하는 장비들 중 하나 이상의 장비에 대한 점검을 수행하는 단계; 및
    점검정보 목록, 점검대상 장비 정보 목록, 점검정책 목록 및 점검 결과 목록을 포함하는 점검도구 정보를 업데이트하는 단계;
    를 포함하고,
    상기 하나 이상의 장비에 대한 점검을 수행하는 단계는
    선택된 장비에 상응하는 점검정보를 식별하는 단계;
    설정 수집 명령어에 기반하여 상기 선택된 장비의 설정 정보를 수집하는 단계; 및
    상기 수집된 설정 정보에 기반하여 점검 결과를 판정하는 단계;
    를 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 방법.
  2. 삭제
  3. 청구항 1에 있어서,
    상기 하나 이상의 장비에 대한 점검 결과를 출력하는 단계를 더 포함하고
    상기 점검 결과는
    전체 장비 점검 결과에 상응하는 통계 정보, 개별 장비 점검 결과의 요약 정보 및 개별 장비 점검 결과의 상세 정보를 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 방법.
  4. 청구항 1에 있어서,
    상기 점검정보는
    점검대상 장비 정보, 점검항목 목록, 시험항목 목록, 설정 탐색 규칙 목록, 설정 비교 기준 목록 및 명령어 목록을 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 방법.
  5. 청구항 4에 있어서,
    상기 하나 이상의 장비에 대한 점검을 수행하는 단계는
    상기 하나 이상의 장비에 상응하는 설정 탐색 규칙에 의해 수집된 설정 정보를 설정 비교 기준과 비교하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 방법.
  6. 청구항 4에 있어서,
    상기 시험항목 목록은
    시험항목 각각에 상응하는 시험항목 식별자, 판정 기준, 설정 탐색 규칙 및 설정 비교 기준을 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 방법.
  7. 청구항 1에 있어서,
    상기 점검정책 목록은
    각각의 점검정책에 대한 점검정보와 점검대상 장비의 맵핑 정보를 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 방법.
  8. 청구항 1에 있어서,
    상기 점검 결과 목록은
    상기 점검대상 장비에 대한 점검 수행 시 생성되는 점검항목별 점검 결과, 수집된 설정 정보 및 설정 탐색 규칙에 의해 식별된 정보를 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 방법.
  9. 청구항 4에 있어서,
    상기 점검대상 장비 정보는
    장비 IP주소, 접속 프로토콜 종류, 접속 포트번호, 사용자 계정 정보를 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 방법.
  10. 청구항 9에 있어서,
    상기 점검항목 목록 내 점검항목은
    점검대상 장비의 사용자 계정에 대한 안전성 점검항목을 포함하고,
    상기 사용자 계정에 대한 안전성 점검항목은
    사용자 계정이 디폴트 계정, 게스트 계정, 제작사 초기 계정, 시스템 명칭, 숫자로만 구성된 계정 및 기설정된 자리수 이하의 계정에 상응하는지 판단하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 방법.
  11. 적어도 하나의 프로그램이 기록된 메모리; 및
    상기 프로그램을 실행하는 프로세서
    를 포함하며,
    상기 프로그램은
    점검정보 및 점검대상 장비 정보를 등록하는 단계;
    상기 점검정보 및 상기 점검대상 장비 정보를 맵핑하는 단계;
    상기 등록된 점검대상 장비 정보에 상응하는 장비들 중 하나 이상의 장비에 대한 점검을 수행하는 단계; 및
    점검정보 목록, 점검대상 장비 정보 목록, 점검정책 목록 및 점검 결과 목록을 포함하는 점검도구 정보를 업데이트하는 단계;
    의 수행을 위한 명령어들을 포함하고,
    상기 하나 이상의 장비에 대한 점검을 수행하는 단계는
    선택된 장비에 상응하는 점검정보를 식별하는 단계;
    설정 수집 명령어에 기반하여 상기 선택된 장비의 설정 정보를 수집하는 단계; 및
    상기 수집된 설정 정보에 기반하여 점검 결과를 판정하는 단계;
    를 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 장치.
  12. 삭제
  13. 청구항 11에 있어서,
    상기 프로그램은 상기 하나 이상의 장비에 대한 점검 결과를 출력하는 단계의 수행을 위한 명령어를 더 포함하고
    상기 점검 결과는
    전체 장비 점검 결과에 상응하는 통계 정보, 개별 장비 점검 결과의 요약 정보 및 개별 장비 점검 결과의 상세 정보를 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 장치.
  14. 청구항 11에 있어서,
    상기 점검정보는
    점검대상 장비 정보, 점검항목 목록, 시험항목 목록, 설정 탐색 규칙 목록, 설정 비교 기준 목록 및 명령어 목록을 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 장치.
  15. 청구항 14에 있어서,
    상기 하나 이상의 장비에 대한 점검을 수행하는 단계는
    상기 하나 이상의 장비에 상응하는 설정 탐색 규칙에 의해 수집된 설정 정보를 설정 비교 기준과 비교하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 장치.
  16. 청구항 14에 있어서,
    상기 시험항목 목록은
    시험항목 각각에 상응하는 시험항목 식별자, 판정 기준, 설정 탐색 규칙 및 설정 비교 기준을 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 장치.
  17. 청구항 11에 있어서,
    상기 점검정책 목록은
    각각의 점검정책에 대한 점검정보와 점검대상 장비의 맵핑 정보를 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 장치.
  18. 청구항 11에 있어서,
    상기 점검 결과 목록은
    상기 점검대상 장비에 대한 점검 수행 시 생성되는 점검항목별 점검 결과, 수집된 설정 정보 및 설정 탐색 규칙에 의해 식별된 정보를 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 장치.
  19. 청구항 14에 있어서,
    상기 점검대상 장비 정보는
    장비 IP주소, 접속 프로토콜 종류, 접속 포트번호, 사용자 계정 정보를 포함하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 장치.
  20. 청구항 19에 있어서,
    상기 점검항목 목록 내 점검항목은
    점검대상 장비의 사용자 계정에 대한 안전성 점검항목을 포함하고,
    상기 사용자 계정에 대한 안전성 점검항목은
    사용자 계정이 디폴트 계정, 게스트 계정, 제작사 초기 계정, 시스템 명칭, 숫자로만 구성된 계정 및 기설정된 자리수 이하의 계정에 상응하는지 판단하는 것을 특징으로 하는 장비 독립적인 취약 설정 점검 장치.
KR1020210183921A 2021-11-25 2021-12-21 장비 독립적인 취약 설정 점검 방법 및 장치 KR102619841B1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR20210164922 2021-11-25
KR1020210164922 2021-11-25

Publications (2)

Publication Number Publication Date
KR20230078443A KR20230078443A (ko) 2023-06-02
KR102619841B1 true KR102619841B1 (ko) 2024-01-04

Family

ID=86755720

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020210183921A KR102619841B1 (ko) 2021-11-25 2021-12-21 장비 독립적인 취약 설정 점검 방법 및 장치

Country Status (1)

Country Link
KR (1) KR102619841B1 (ko)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101883400B1 (ko) 2017-11-20 2018-07-30 주식회사 투엘소프트 에이전트리스 방식의 보안취약점 점검 방법 및 시스템
KR102230442B1 (ko) 2020-12-14 2021-03-22 주식회사 이글루시큐리티 진단 대상 서버의 설정파일 수집 및 설정파일에 대한 취약점 진단의 주체가 이원화된 취약점 진단 장치 및 방법
KR102292579B1 (ko) * 2020-01-15 2021-08-25 한국전자통신연구원 점검코드와 점검 스크립트를 이용한 하이브리드 기반의 취약점 점검 방법 및 이를 이용한 장치

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102312718B1 (ko) * 2020-03-16 2021-10-14 주식회사 티앤디소프트 클라우드 서비스 보안 시스템
KR102156379B1 (ko) 2020-03-19 2020-09-16 주식회사 이글루시큐리티 정보수집 프로세스를 통한 에이전트리스 방식 취약점 진단시스템 및 그 방법

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101883400B1 (ko) 2017-11-20 2018-07-30 주식회사 투엘소프트 에이전트리스 방식의 보안취약점 점검 방법 및 시스템
KR102292579B1 (ko) * 2020-01-15 2021-08-25 한국전자통신연구원 점검코드와 점검 스크립트를 이용한 하이브리드 기반의 취약점 점검 방법 및 이를 이용한 장치
KR102230442B1 (ko) 2020-12-14 2021-03-22 주식회사 이글루시큐리티 진단 대상 서버의 설정파일 수집 및 설정파일에 대한 취약점 진단의 주체가 이원화된 취약점 진단 장치 및 방법

Also Published As

Publication number Publication date
KR20230078443A (ko) 2023-06-02

Similar Documents

Publication Publication Date Title
CA3044909C (en) Computer network security configuration visualization and control system
US8701177B2 (en) Method and apparatus for graphical presentation of firewall security policy
JP3744361B2 (ja) セキュリティ管理システム
JP2019519018A (ja) ネットワーク化コンピュータシステムアーキテクチャにおけるセキュリティリスクを低減させるための方法および装置
US20120102543A1 (en) Audit Management System
CN107948205B (zh) 防火墙策略生成方法、装置、设备及介质
CN110287696B (zh) 一种反弹shell进程的检测方法、装置和设备
CN102427445B (zh) It仿真基础架构离线合规性安全审计方法
WO2018182126A1 (ko) 안전 소프트웨어 인증 시스템 및 방법
JP2016143299A (ja) リスク評価システムおよびリスク評価方法
CN110198313A (zh) 一种策略生成的方法及装置
JP2018517373A5 (ko)
CN107733863A (zh) 一种分布式hadoop环境下的日志调试方法和装置
CN109344624A (zh) 基于云端协作的渗透测试方法、平台、设备及存储介质
US20150213272A1 (en) Conjoint vulnerability identifiers
CN103581185A (zh) 对抗免杀测试的云查杀方法、装置及系统
CN114139178A (zh) 基于数据链路的数据安全监测方法、装置和计算机设备
KR102619841B1 (ko) 장비 독립적인 취약 설정 점검 방법 및 장치
KR20210083607A (ko) 위험 분석을 위한 보안요소 지수화 시스템 및 방법
KR101846193B1 (ko) It 서비스 관리 방법 및 이를 실행하는 장치
US20230129114A1 (en) Analysis system, method, and program
CN110569987A (zh) 自动化运维方法、运维设备、存储介质及装置
JP7396371B2 (ja) 分析装置、分析方法及び分析プログラム
JP2012083909A (ja) アプリケーション特性解析装置およびプログラム
CN114244555B (zh) 一种安全策略的调整方法

Legal Events

Date Code Title Description
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant