이 페이지는 취약점에 대해 다룹니다.
이 애플리케이션이 인증 기관의 신뢰성을 검증하는 방법은 무엇입니까?
웹 사이트 스캔 시 이 애플리케이션은 사이트의 인증서를 발행한 CA(인증 기관) 이름을 제품에 포함된 신뢰할 수 있는 CA 목록과 비교해 검사합니다. 해당 CA와 일치하는 이름이 목록에 없는 경우 애플리케이션은 취약점을 보고합니다. 신뢰할 수 있는 CA 목록은 보고된 취약점 세부 정보의 증명 섹션에서 확인할 수 있습니다.
"X.509 인증서 주체 CN이 개체 이름과 일치하지 않음" 취약점은 무엇입니까?
웹 사이트 스캔 시 이 애플리케이션은 해당 사이트가 가진 보안 인증서의 유효성을 검증합니다. 인증서가 유효하지 않으면 해커가 MITM(Man-In-The-Middle) 공격을 시작해 전체 데이터 스트림을 조작할 수 있습니다. 유효한 X.509 인증서 요건 중 하나는 인증서 주체의 CN(Common Name) 필드가 자산과 관련된 이름과 일치하는 것입니다. 예를 들어 "https://www.example.com/"이라고 표시된 인증서의 CN은 "www.example.com"이어야 합니다. 그렇지 않으면 애플리케이션이 취약점을 보고합니다.
인증서를 발행하기 전에 CA(인증 기관)는 CA의 CPS(Certification Practice Statement)에 명시된 바에 따라 인증서를 요청하는 개체의 ID를 검사해야 합니다.
사용자의 서버가 단순한 SSL 암호를 지원하는지 어떻게 확인합니까?
사용자의 서버가 단순한 SSL 암호를 지원하는 경우 애플리케이션이 다음의 취약점을 보고합니다.
취약점 세부 정보의 판독을 통해 이러한 취약점을 분석하고 해결 방법을 확인할 수 있습니다.
사용자 서버가 단순한 SSL 암호를 지원하는지 확인하는 방법은 다음과 같습니다...
OpenSSL이 서버에 설치되었는지 확인합니다.
# openssl s_client -connect SERVERNAME:443 -cipher LOW:EXP
서버가 단순한 암호를 지원하지 않는 경우 다음의 오류 메시지 또는 이와 유사한 메시지가 나타납니다:
# openssl s_client -connect SERVERNAME:443 -cipher LOW:EXP
CONNECTED(00000003)
461:error:140790E5:SSL routines:SSL23_WRITE:ssl handshake
failure:s23_lib.c:226:
사용자의 서버가 SSLv2를 지원하는지 어떻게 확인합니까?
SSLv2는 취약한 것으로 알려진 SSL 버전입니다. 사용자 서버가 이 버전을 지원하면 애플리케이션이 다음과 같은 취약점을 보고합니다:
취약점 세부 정보의 판독을 통해 이러한 취약점을 분석하고 해결 방법을 확인할 수 있습니다.
사용자 서버가 SSLv2를 지원하는지 확인하는 방법은 다음과 같습니다.
OpenSSL이 서버에 설치되었는지 확인합니다.
포트 443이 HTTPS 연결을 지원한다고 가정하고 다음 명령을 실행합니다. # openssl s_client -ssl2 -connect SERVERNAME:443.
서버가 SSLv2를 지원하지 않는 경우 다음의 오류 메시지 또는 이와 유사한 메시지가 나타납니다:
# openssl s_client -ssl2 -connect SERVERNAME:443
CONNECTED(00000003)
458:error:1407F0E5:SSL routines:SSL2_WRITE:ssl handshake
failure:s2_pkt.c:428:
"확인", "확인되지 않은", "잠재적인" 취약점 간의 차이는 무엇입니까?
자산이 스캔되면 애플리케이션이 자산, 포트, 서비스, 서비스 종류(예: Apache 웹 서버 또는 IIS 웹 서버)를 확인하기 위해 검색 시퀀스를 수행합니다. 그다음 가 검색 단계에서 수집한 정보를 바탕으로 해당 자산과 관련이 있는 것으로 알려진 취약점에 대해 자산을 테스트합니다. 취약점이 확인되면 "확인된" 취약점을 보고합니다. 애플리케이션이 자산과 관련된 취약점을 확인할 수 없는 경우, "확인되지 않은" 또는 "잠재적인" 취약점을 보고합니다. 이러한 두 개의 분류의 차이는 취약점의 발생 가능성에 있습니다. 자산 프로필에 근거해 확인되지 않은 취약점이 존재할 가능성은 잠재적인 취약점이 존재할 가능성보다 높습니다. 이 섹션의 잠재적인 취약점 FAQ를 참조하십시오.
잠재적인 취약점이란 무엇입니까?
이 애플리케이션은 PCI(Payment Card Industry) 규정 준수 감사 요건에 따라 소프트웨어 버전 검사를 실행합니다. 취약한 것으로 알려진 소프트웨어 버전이 검색되면 스캔한 자산에 적용된 패치 또는 보호 메커니즘의 수와 상관없이 이 애플리케이션은 취약점을 표시합니다. 취약점이 실제로 존재하는지 증명할 수 없는 경우 이러한 취약점을 "잠재적인 취약점"으로 분류합니다.
취약점 심각도 등급은 무엇을 나타냅니까?
이 애플리케이션은 다음과 같은 세 가지 심각도 등급 중 하나를 검색된 모든 취약점에 할당합니다:
이 애플리케이션은 CVSS 지수, 취약점 기간 및 발생률, 익스플로이트 가능성을 비롯한 다양한 요인을 통해 심각도를 평가합니다.
이 애플리케이션은 어떤 방법을 통해 취약점을 감지합니까?
이 애플리케이션은 일반적인 해킹과 관련된 익스플로이트 방법을 사용해 레지스트리 키, 배너, 소프트웨어 버전 번호 및 취약점 발생 가능성을 나타내는 기타 요소를 검사합니다.