서버호스팅은 든든한 웹파트너 가비아 : 단독서버호스팅, 코로케이션, 서버관리대행, 부가서비스, 가비아IDC

서버/IDC > 보안서비스 > 방화벽 서비스

VPN

UTM





주간 09:00 ~ 18:00 야간, 주말 및 공휴일 당직 근무자 24시 지원 FAX 02-6948-3777


서비스 비용 (서버당 월비용)	200,000원	200,000원	별도문의
관리 비용	50,000원 /월	없음	별도문의
네트워크 방화벽	별도설치	기본 제공	별도문의
초기 설치 비용	~~10,000원 / 1회~~ 없음	없음	별도문의
신청하기

관제 서비스 내역

감염된 웹 서버를 통해 DB 서버 접근, 자료 누출
불필요한 트래픽 양성으로 웹 서비스 속도 저하
게시판에 악성코드 삽입하여 접속자 컴퓨터 해킹

웹 공격 기법

SQL Injection: 강제로 SQL 구문을 삽입, 내부 데이터베이스의 데이터를 유출, 변조 하거나 인증을 우회 하는 공격
DB에 악성 Java Script 삽입
SQL Injection 공격의 자동화 및 혼합 : SQL Injection + Cross Site Scripting
공격의 최종 목적이 웹 서버가 아닌 사용자의 브라우저로 트로이 목마 또는 키 로거(Key logger) 설치

네트워크 트래픽을 보호하기 위한 표준 보안장비는 방화벽(Network Firewall), 침입 방지 시스템(Intrusion Prevention System 이하 IPS), 침입 탐지 시스템(Intrusion Detection System 이하 IDS)이 있으나 어플리케이션 레벨의 공격을 위한 솔루션은 포함되어 있지 않습니다.
네트워크 방화벽은 내부 네트워크 경계선상의 보안을 위해 디자인되어있습니다. 네트워크 방화벽은 80 포트와 443 포트(산업 표준 인터넷 접속 HTTP)를 제외한 내부 네트워크 파라미터의 보안을 확보하기 위한 목적으로 설계된 것이기 때문에 기업의 웹 자산에 대해 이루어지고 있는 다양한 애플리케이션 공격은 막아줄 수 없는 것입니다.
또한 다양한 어플리케이션 공격에 대한 설계가 없습니다.
IDS/IPS 역시 패킷 컨텐츠에 대한 레이어(Layer)7 분석을 제공해주지 않기 때문에 HTTP 내부에 임베디드 된 패킷 컨텐츠 공격은 탐지할 수 없습니다.

가비아 웹 방화벽 서비스 는 HTTP/HTTPS 프로토콜에 대한 트래픽을 감시 하여 불법적인 공격을 탐지하고, 해당 공격이 웹 서버에 도달하기 전에 차단하는 서비스 입니다.

아래는 OWASP(OPEN WEB APPLICATION SECURITY PROJECT) 에서 제시한 웹취약점 목록과 국가 정보원에서 제시한 8대 취약점 입니다. 웹 어플리케이션 취약점에 대한 감시 툴을 무료로 다운로드 받으세요.



	OWASP Top 10 웹 어플리케이션 보안 취약점 리스트 1. Injection Flaws - 인젝션 취약점 2. Cross Site Scripting (XSS) 크로스 사이트 스크립팅 3. Broken Authentication and Session Management - 취약한 인증 및 세션관리 4. Insecure Direct Object Reference - 불안전한 직접개체 참조 5. Cross Site Request Forgery(CSRF) - 크로스사이트 요청 변조 6. Security Misconfiguration - 보안상 잘못된 구성(2010신규) 7. Insecure Cryptographic Storage - 불안전한 암호화 저장 8. Failure to Restrict URL Access - URL 접속제한 실패 9. Insecure Communications - 불안전한 통신 10. UnvalidatedRedirects and Forwards - 검증되지 않은 리다이렉트와 포워드(2010 신규)



	1. 디렉토리 리스팅 취약점 : 홈페이지의 속성을 설정하는 “웹사이트 등록정보”에 특정 디렉토리에 대하여 ㆍ IIS 웹 서버 : ‘디렉토리 검색’ 항목이 체크 ㆍ Apache 웹 서버 : ‘httpd.conf 파일’에서 ‘Indexes’옵션이 On 되어 있는 경우에 인터넷 사용자에게 모든 디렉토리 및 파일 목록이 보여지게 되고, 파일의 열람 및 저장도 가능하게 되어 비공개 자료가 유출될 수 있습니다. 2. 파일 다운로드 취약점 - OWASP와 중복 게시판 등에 저장된 자료에 대해 ‘다운로드 스크립트’를 이용하여 다운로드 기능을 제공하면서, 대상 자료파일의 위치 지정에 제한조건을 부여하지 않았을 경우에 URL칸의 다운로드 스크립트의 인수 값에 ‘../’문자열 등을 입력하여 시스템 디렉토리 등에 있는 /etc/passwd와 같은 비공개 자료들이 유출될 수 있습니다. (특히, 리눅스 및 유닉스 계열의 웹 서버에 각별한 주의가 필요) 3. 크로스사이트 스크립트 취약점 - OWASP와 중복 게시판에 새 게시물을 작성하여 등록할 때와 같이 사용자의 입력을 받아 처리하는 웹 응용프로그램 에서 입력 내용에 대해 실행코드인 스크립트의 태그를 적절히 필터링하지 않을 경우에 악의적인 스크립트가 포함된 게시물을 등록할 수 있어 해당 게시물을 열람하는 일반 사용자의 pc로 부터 개인 정보인 쿠키를 유출할 수 있는 등의 피해를 초래할 수 있습니다. 4. 파일 업로드 취약점 - OWASP와 중복 첨부파일 업로드를 허용하는 홈페이지 게시판에서 .php, .jsp등의 확장자 이름의 스크립트 파일의 업로드를 허용할 경우에 해커가 악성 실행 프로그램을 업로드한 후에 홈페이지 접속방식으로 원격에서 서버컴퓨터의 시스템 운영 명령어를 실행 시킬 수 있습니다. 5.WebDAV 취약점- 원격 실행 윈도우 서버 컴퓨터에서 기본으로 설치되는 원격관리기능인 WebDAV가 계속 사용 가능하도록 설정되어 있고, WebDAV 라이브러리 파일의 속성 및 홈페이지 디렉토리에 쓰기 권한이 모두 허용되어 있는 경우에 해커가 WevDAV도구를 사용, 원격에서 홈페이지 디렉토리에 임으로 파일을 삽입하여 화면을 변조할 수 있습니다. 6. 테크노트(Technote) 취약점-국내 개발, 무료 배포 게시판 제작 프로그램 ‘테크노트’의 일부 CGI프로그램들에서 인수 값 처리시에 ‘ㅣ’문자 이후에 나오는 컴퓨터 운영 명령어가 실행될 수 있는 결함이 있어 해커는 홈페이지접속 방식으로 컴퓨터 명령어를 실행하여 화면을 변조하거나 컴퓨터를 조작할 수 있습니다. ㆍ Linux 및 Unix계열의 컴퓨터에 주로 사용 ㆍ Windows 계열에서 ‘Perl’이 지원될 경우 사용 7. 제로보드(Zeroboard) 취약점-국내 개발, 무료 배포 게시판 제작 프로그램 ‘제로보드’의 일부 php프로그램이 원격에 있는 php파일을 실행할 수 있는 결함이 있어 해커는 홈페이지 접속 방식으로 컴퓨터 명령어를 실행하여 화면을 변조하거나 컴퓨터를 조작할 수 있습니다. ㆍ Linux 및 Unix 계열의 컴퓨터에 주로 사용 ㆍ Windows 계열에서 ‘php’가 지원될 경우 사용 8. SQL Injection 취약점 - OWASP와 중복 웹 브라우저 주소 창 또는 사용자 ID 및 패스워드 입력화면에서 데이터베이스 SQL문에 사용되는 문자기호(‘ 및”)의 입력을 적절히 필터링 하지 않은 경우에 해커가 SQL 문으로 해석될 수 있도록 조작한 입력으로 데이터베이스를 인증 절차 없이 접근, 자료를 무단 유출하거나 변조할 수 있습니다.

OS	웹 서버 버전	다운로드
윈도우 2000/2003(32bit 전용)	IIS 5.0 / 6.0
리눅스 RPM	Apache 1.3.31 이상 / 2.0.41 이상