취약점진단 업무를 인수인계를 받고 업무를 보고 받고 깜짝 놀랐습니다. 취약점진단을 왜 하는지 보다 숫자 맞추기에 급급한 환경을 보았습니다. 현재는 외부 업체를 통해 1년이상 취약점 진단 사업을 진행하고 있는데, 여러가지 문제가 있었습니다. 1. 진단 항목의 실효성 : 항목중에 위협이나 취약성으로 위험발생이 없어 진단의 목적의 퇴색 2. 판단 자 경험 : 점검 결과는 환경에 따라 점검 하는 이의 역량과 경험에 따라 판단의 결과가 다름 3. 가이드의 불명확 : 취약점 점검 항목에 대한 벤더, 제품, 버전, 어플리케이션을 고려한 가이드가 없어 취약점 이행 조치가 운영자에게 하나의 숙제가 되는 현실. 또한 점검 결과를 보호대책(접근통제, 침입방지솔루션, 보안프로그램)을 고려하지 않음 C레벨 보고를 하는데 계속해서 통계 숫자와 이행조치률, 형상 변경에 따른 사유를 받아야 하는데, 이력을 알 수 없으니 계속 도돌이표만 찍고 현재 1년 이상을 넘긴것 같습니다. 이런 문제점에 대해서 여러분의 어떻게 사업을 진행하는지? 어떻게 취약점 진단을 하시는지 공유받고 싶습니다.
정보보안
취약점진단을 어떻게 생각하시나요?
21년 02월 04일 | 조회수 651
k
kiunsen
댓글 15개
공감순
최신순
뚝
뚝돌배기
21년 02월 15일
1. 진단 항목의 실효성 :
- 진단 항목은 kisa 가이드 기반, 금융이라면 금보원 금결원재)제공 가이드에 맞추어 시행하고
그리고 보안회사 스크립트 말입니다만.. os마다 그리고 메이저 버젼 리눅스 서버 마다 방식이 다 다른데
툴이 좀 이상하더군요. 그래서 저는 제가 수정해서 씁니다.
(제가 쓰는 환경에 맞게 구성)
2. 판단 자 경험 :
- 명확한 기준이 없어서 입니다. 기업이라면 자체 기준을 만들필요가 있습니다. 그리고 각 보안 제품에 프로그램 구성정보(아파치 버젼 db종류 및 버젼 등,os정보 등)는 익혀 두셔야갰죠. 금결위 기준도 있는걸로 압니다.
3. 가이드의 불명확 :
- 연계성 있다면 이런부분들은 고객이 각 제품을 어느정도 알아야합니다. 납품 받은 제품들의 각 구성 정보와 프로그램들 버젼등을 확보해 두시면 나중에 취약점 점검 요청시 도움이 되죠.(버젼업을통한패치시 보안설정추가 등으로 인한 사이드 이펙트는 조심해야합니다.)
저도 rfp에 명시 했다 하여도 기업개별 커스텀 통합 보안패치 스크립트는 별도비용으로 하지않을까싶네요
1. 진단 항목의 실효성 :
- 진단 항목은 kisa 가이드 기반, 금융이라면 금보원 금결원재)제공 가이드에 맞추어 시행하고
그리고 보안회사 스크립트 말입니다만.. os마다 그리고 메이저 버젼 리눅스 서버 마다 방식이 다 다른데
툴이 좀 이상하더군요. 그래서 저는 제가 수정해서 씁니다.
(제가 쓰는 환경에 맞게 구성)
2. 판단 자 경험 :
- 명확한 기준이 없어서 입니다. 기업이라면 자체 기준을 만들필요가 있습니다. 그리고 각 보안 제품에 프로그램 구성정보(아파치 버젼 db종류 및 버젼 등,os정보 등)는 익혀 두셔야갰죠. 금결위 기준도 있는걸로 압니다.
3. 가이드의 불명확 :
- 연계성 있다면 이런부분들은 고객이 각 제품을 어느정도 알아야합니다. 납품 받은 제품들의 각 구성 정보와 프로그램들 버젼등을 확보해 두시면 나중에 취약점 점검 요청시 도움이 되죠.(버젼업을통한패치시 보안설정추가 등으로 인한 사이드 이펙트는 조심해야합니다.)
저도 rfp에 명시 했다 하여도 기업개별 커스텀 통합 보안패치 스크립트는 별도비용으로 하지않을까싶네요
(수정됨)
답글 쓰기
1
k
kiunsen
작성자
21년 02월 16일
네 감사합니다. 저도 뚝돌배기님과 같은 입장입니다. 그래서 시스템구성과 소프트웨어 구성을 만들려는데, 보안의 롤이 아니라는 이슈가 생겼습니다. 그래도 어떻게든 만들어 볼까 합니다.
네 감사합니다. 저도 뚝돌배기님과 같은 입장입니다. 그래서 시스템구성과 소프트웨어 구성을 만들려는데, 보안의 롤이 아니라는 이슈가 생겼습니다. 그래도 어떻게든 만들어 볼까 합니다.
0
뚝
뚝돌배기
21년 02월 16일
누구의 롤이냐 따지면 시작도 못합니다. ㅋㅋㅋ
그냥 답답해서 일을 진행하는 누군가가 있어야 일이 흘러갑니다.
누구의 롤이냐 따지면 시작도 못합니다. ㅋㅋㅋ
그냥 답답해서 일을 진행하는 누군가가 있어야 일이 흘러갑니다.
0
지금 바로 리멤버 회원이 되어
모든 댓글을 확인하세요
모든 댓글을 확인하세요
리
리멤버
@멘션된 회사에서 재직했었음
19년 05월 28일
회사에서 풀지 못한 고민, 여기서
회사에서 업무를 하다가 풀지 못한 실무적인 어려움, 사업적인 도움이 필요한 적이 있으셨나요? <리멤버 커뮤니티>는 회원님과 같은 일을 하는 사람들과 이러한 고민을 해결할 수 있는 온라인 공간입니다.
회원 가입 하고 보다 쉽게 같은 일 하는 사람들과 소통하세요
회사에서 풀지 못한 고민, 여기서
회사에서 업무를 하다가 풀지 못한 실무적인 어려움, 사업적인 도움이 필요한 적이 있으셨나요? <리멤버 커뮤니티>는 회원님과 같은 일을 하는 사람들과 이러한 고민을 해결할 수 있는 온라인 공간입니다.
회원 가입 하고 보다 쉽게 같은 일 하는 사람들과 소통하세요
답글 쓰기
0
리
리멤버
@멘션된 회사에서 재직했었음
19년 05월 28일
일하는 사람과 기회를 연결하여 성공으로 이끈다
일하는 사람과 기회를 연결하여 성공으로 이끈다
답글 쓰기
0
추천글
