주요정보통신기반시설 윈도우 서버 W-15 웹 프로세스 권한 제한

■ 개념

주요정보통신기반시설 취약점 분석 및 평가 중 점검대상 윈도우 서버의 W-15 웹 프로세스 권한 제한 점검항목에 대해 알아보겠습니다.

 

항목명		웹 프로세스 권한 제한
항목코드		W-15
위험도		상
점검내용		웹 프로세스 권한 제한 설정 여부 점검
점검목적		웹 프로세스가 웹 서비스 운영에 필요한 최소한의 권한만을 갖도록 제한하여 웹사이트 방문자가 웹 서비스의 취약점을 이용해 시스템에 대한 어떤 권한도 획득할 수 없도록 하기 위함

보안위협		웹 프로세스 권한을 제한하지 않은 경우 웹 사이트 방문자가 웹 서비스의 취약점을 이용하여 시스템 권한을 획득할 수 있으며, 웹 취약점을 통해 접속 권한을 획득한 경우에는 관리자 권한을 획득하여 서버에 접속 후 정보의 변경, 훼손 및 유출 할 우려가 있음 ※ 참고로 최소 권한의 계정으로 IIS를 구동 시키는 것 이외에 ‘웹 사이트 등록정보’ > ‘홈 디렉토리’ > 응용프로그램 보호(IIS 프로세스 권한 설정)에서도 프로세스 권한을 설정할 수 있음 (점검 및 조치 사례 하단 참조)
판단기준	양호	웹 프로세스가 웹 서비스 운영에 필요한 최소한 권한으로 설정되어 있는 경우
	취약	웹 프로세스가 관리자 권한이 부여된 계정으로 구동되고 있는 경우
조치방법		시작> 제어판> 관리 도구> 로컬 보안 정책에서 nobody 계정 설정 2008 R2 (IIS 7.5) 이상은 Default로 ApplicationPoolIdentity가 적용되어 양호

 

■ 실습

해당 점검항목은 윈도우 서버의 웹 프로스세의 최소한의 권한 여부를 확인하여 양호/취약을 판단합니다. 아래 메뉴를 통해 확인하시기 바라며, Windows 2008 R2 (IIS 7.5) 이상은 기본적으로 ApplicationPoolIdentity 권한이 적용되어 있으므로 양호합니다.

확인 메뉴 : 제어판> 관리도구> 인터넷 정보 서비스(IIS) 관리자> 해당 웹사이트> 고급 설정> '응용 프로그램 풀 이름(DefaultAppPool)' 확인

제어판> 관리도구> 인터넷 정보 서비스(IIS) 관리자> 응용 프로그램 풀> '용용 프로그램 풀 이름(DefaultAppPool)' 선택> 고급 설정> ID> ApplicationPoolIdentity 선택

윈도우 서버 응용프로그램 풀 이름 확인

위 사진과 같이 설정되어 있어야 합니다.

 

본 포스팅 내용은 한국인터넷진흥원(KISA)에서 발행한 주요정보통신기반시설 평가기준을 바탕으로 작성했습니다.

수고하셨습니다.

궁금한 사항은 댓글로 남겨주세요.