1.3. 취약점 평가
시간, 리소스 및 동기를 감안할 경우 공격자는 거의 모든 시스템에 침입할 수 있습니다. 현재 사용 가능한 모든 보안 절차와 기술은 침입으로부터 모든 시스템이 완전히 안전하다고 보장할 수 없습니다. 라우터는 인터넷 게이트웨이 보안에 도움이 됩니다. 방화벽은 네트워크의 에지를 보호하는 데 도움이 됩니다. 가상 사설 네트워크는 암호화된 스트림에 데이터를 안전하게 전송합니다. 침입 감지 시스템은 악의적인 활동에 대해 경고합니다. 그러나 이러한 각 기술의 성공 여부는 다음과 같은 여러 변수에 따라 달라집니다.
- 기술 구성, 모니터링 및 유지 관리를 담당하는 직원의 전문 지식
- 서비스와 커널을 빠르고 효율적으로 패치하고 업데이트하는 기능
- 네트워크를 지속적으로 관리해야 하는 사용자의 능력
데이터 시스템과 기술의 역동적인 상태를 고려할 때 엔터프라이즈 리소스 보안은 매우 복잡할 수 있습니다. 이러한 복잡성 때문에 모든 시스템에 대한 전문가 리소스를 찾기가 어려울 수 있습니다. 정보 보안의 많은 분야에서 높은 수준의 지식을 갖춘 인력을 보유할 수는 있지만, 여러 분야를 전문으로 하는 인력을 확보하는 것은 쉽지 않습니다. 이는 주로 정보 보안의 각 전문 분야에서 지속적인 관심과 집중이 필요하기 때문입니다. 정보 보안은 그대로 유지되지 않습니다.
취약점 평가는 네트워크 및 시스템 보안에 대한 내부 감사입니다. 이 결과는 네트워크의 기밀성, 무결성 및 가용성( 1.1.1절. “보안 표준화”에서 설명됨)을 나타냅니다. 일반적으로 취약점 평가는 조정 단계부터 시작하여 대상 시스템 및 리소스와 관련된 중요한 데이터를 수집합니다. 이 단계는 시스템 준비 단계로 이어지며, 대상에서 기본적으로 알려진 모든 취약점이 있는지 확인합니다. 준비 단계는 보고 단계에서 최고조에 달하며, 여기서 결과는 높은 위험, 중간 위험, 낮은 위험의 범주로 분류되며, 대상의 보안 개선(또는 취약점의 위험 완화) 방법이 논의됩니다.
집의 취약성 평가를 수행하는 경우 집의 모든 문이 닫혀 있고 잠겨 있는지 확인합니다. 또한 모든 창을 검사하여 완전히 닫힌지 확인하고 올바르게 잠겨있는지 확인해야 합니다. 시스템, 네트워크 및 전자 데이터에도 동일한 개념이 적용됩니다. 악의적인 사용자는 데이터를 훔치고 파괴합니다. 악의적인 사용자가 사용하는 툴, 사고 방식 및 동기에 집중하면 악의적인 사용자의 행동에 신속하게 대응할 수 있습니다.
1.3.1. 평가 및 테스트 정의
취약점 평가는외부적 평가 및 내부적 평가의 두 가지 유형으로 분류할 수 있습니다.
외부적 평가에서 취약점 평가를 수행할 때 외부에서 시스템을 손상시키려고 합니다. 귀하의 회사 외부에 있다는 것은 크래커의 관점을 제공합니다. 공개적으로 라우팅 가능한 IP 주소, DMZ 시스템, 방화벽의 외부 인터페이스 등 공격자가 볼 수 있는 것을 확인할 수 있습니다. DMZ는 회사 사설 LAN과 같은 신뢰할 수 있는 내부 네트워크와 공용 인터넷과 같은 신뢰할 수 없는 외부 네트워크 사이에 있는 컴퓨터 또는 소규모 하위 네트워크에 해당하는 "비무장 영역"을 나타냅니다. 일반적으로 Clevis에는 웹(HTTP) 서버, FTP 서버, SMTP(e-mail) 서버 및 DNS 서버와 같은 인터넷 트래픽에 액세스할 수 있는 장치가 포함되어 있습니다.
내부적 취약점 평가를 수행하는 경우 내부적이고 상태가 신뢰할 수 있기 때문에 이점이 있습니다. 이는 사용자 및 동료가 시스템에 한 번 로그인할 수 있는 관점입니다. 인쇄 서버, 파일 서버, 데이터베이스 및 기타 리소스가 표시됩니다.
두 가지 유형의 취약점 평가 사이에는 차이점이 있습니다. 사내 사용자는 외부 사용자보다 더 많은 권한을 얻게 됩니다. 대부분의 조직에서는 침입을 방지하도록 보안이 구성되어 있습니다. 조직의 내부(예: 부서 방화벽, 사용자 수준 액세스 제어 및 내부 리소스의 인증 절차)를 보안하기 위한 작업은 거의 수행되지 않습니다. 일반적으로 대부분의 시스템이 회사 내부에 있기 때문에 내부적으로는 더 많은 리소스가 있습니다. 회사 외부에 있게 되면 귀하의 상태를 신뢰할 수 없습니다. 외부에서 사용할 수 있는 시스템과 리소스는 일반적으로 매우 제한적입니다.
취약점 평가와 침투 테스트 간의 차이점을 고려하십시오. 취약점 평가를 침투 테스트의 첫 단계로 생각하십시오. 평가에서 얻은 정보는 테스트에 사용됩니다. 평가는 허점과 잠재적인 취약점을 확인하기 위해 수행되는 반면, 침투 테스트는 실제로 결과를 악용하려고 시도합니다.
네트워크 인프라 평가는 동적 프로세스입니다. 보안 정보와 물리적 보안은 동적입니다. 평가를 수행하면 개요가 명확 해지고 오류 감지 (False positives) 및 감지 누출 (False negatives)이 표시 될 수 있습니다 잘못된 긍정적인 결과는 툴이 실제로 존재하지 않는 취약점을 찾아내는 결과입니다. 잘못된 음수는 실제 취약점을 생략하는 것입니다.
보안 관리자의 역량은 사용하는 툴과 관리자가 보유한 지식에 따라 다릅니다. 현재 사용 가능한 평가 도구 중 하나를 사용하여 시스템에 대해 실행하십시오. 이는 거의 잘못된 선택 사항이 있다는 것을 보장할 수 있습니다. 프로그램 폴트 또는 사용자 오류로 결과가 동일합니다. 도구는 오탐을 찾을 수도 있고, 더 심각한 경우 잘못된 음수를 찾을 수 있습니다.
취약점 평가와 침투 테스트의 차이점이 정의되었으므로, 평가 결과를 신중하게 검토하고 새로운 모범 사례 접근법의 일부로 침투 테스트를 수행하십시오.
주의
프로덕션 시스템에서 취약점을 악용하지 마십시오. 이렇게 하면 시스템 및 네트워크의 생산성과 효율성에 부정적인 영향을 미칠 수 있습니다.
다음 목록에서는 취약점 평가를 수행하는 몇 가지 이점을 소개합니다.
- 능동적으로 정보 보안에 중점을 둘 수 있습니다.
- 공격자가 발견하기 전에 잠재적인 취약점을 찾을 수 있습니다.
- 시스템을 최신 상태로 유지하고 패치를 적용할 수 있습니다.
- 직원의 성장 및 전문성 개발을 지원합니다.
- 경제적 손실과 부정적 대중 이미를 줄일 수 있습니다.
