🏢 한국도로공사서비스 정보보안 진단 실습

기준: CSR-002 정보시스템 취약점 점검 | 실제 수행 산출물 기반
보안장비 8대 · 계정/기능/로그/접근/패치 5개 분류 · 32개 핵심 점검항목

✅ 보안장비 취약점 진단 체크리스트

아래 항목을 실제 진단하듯 점검하고 결과를 기록하세요.

초기화

계정 관리

# 중요도 점검 항목 설명 진단 결과
SEC-001 상 보안장비 Default 계정 변경 최초 설치 시 제공되는 기본 계정(admin/admin, root/root 등)을 변경하지 않으면 무차별 대입 공격에 취약
SEC-002 상 보안장비 Default 패스워드 변경 기본 패스워드를 변경하지 않으면 인터넷에 공개된 기본 정보로 로그인 가능
SEC-003 상 보안장비 계정별 권한 설정 운영자별 최소 권한 원칙(최소 권한) 미적용 시 불필요한 권한 남용 가능
SEC-004 상 보안장비 계정 관리 사용하지 않는 계정이 존재하면 침해사고 발생 시 추적이 어려움
SEC-005 중 로그인 실패횟수 제한 실패횟수 제한이 없으면 무차별 대입 공격으로 계정 탈취 가능
SEC-006 중 계정 잠금 임계값 설정 5회 이상 실패 시 계정을 일정 시간 잠금 처리해야 하나 미설정
SEC-007 상 패스워드 복잡도 설정 영문/숫자/특수문자 조합 최소 8자리 이상 요구 필요
SEC-008 상 패스워드 주기적 변경 90일 이내 주기적 패스워드 변경 정책 미적용

기능 관리

# 중요도 점검 항목 설명 진단 결과
SEC-009 상 정책 관리 보안정책이 문서화되어 있지 않거나 주기적 검토 미흡
SEC-010 상 NAT 설정 내부 IP를 그대로 외부에 노출하면 네트워크 구조 정보 노출
SEC-011 상 DMZ 설정 내부망과 외부 서비스 망이 물리적/논리적으로 분리되지 않음
SEC-012 상 최소한의 서비스만 제공 불필요한 포트/서비스가 열려 있으면 공격 표면 증가
SEC-013 상 이상징후 탐지 모니터링 침입탐지/차단 로그를 주기적으로 모니터링하지 않음
SEC-014 상 장비 사용량 검토 CPU/메모리/디스크 사용량을 주기적으로 검토하지 않음
SEC-015 상 SNMP 서비스 확인 SNMP 서비스가 불필요하게 활성화되어 있음
SEC-016 상 SNMP Community String 복잡성 설정 SNMP Community String이 public/private 등 기본값 사용
SEC-017 중 유해 트래픽 차단 정책 설정 악성 IP/포트 차단 정책이 미흡함

로그 관리

# 중요도 점검 항목 설명 진단 결과
SEC-018 중 보안장비 로그 설정 로그 기록 설정이 활성화되어 있지 않음
SEC-019 중 보안장비 로그 정기적 검토 로그를 정기적으로 검토하지 않아 침해사고 탐지 불가
SEC-020 중 보안장비 로그 보관 로그 보관 기간이 법적 요구사항(1년) 미만
SEC-021 중 보안장비 정책 백업 설정 장비 설정 백업이 정기적으로 수행되지 않음
SEC-022 중 원격 로그 서버 사용 로그를 원격 syslog 서버에 전송하지 않아 장애 시 로그 손실
SEC-023 하 로그 전송 설정 관리 로그 전송 시 암호화하지 않아 로그 변조 가능
SEC-024 중 NTP 서버 연동 정확한 시간 동기화가 되지 않아 로그 분석 시 신뢰성 저하

접근 관리

# 중요도 점검 항목 설명 진단 결과
SEC-025 상 보안장비 원격 관리 접근 통제 관리자 페이지에 지정된 IP에서만 접근 가능하도록 제한 필요
SEC-026 상 보안장비 보안 접속 HTTP 미사용, HTTPS/TLS 1.2 이상 필수
SEC-027 상 Session timeout 설정 관리자 세션 타임아웃이 설정되어 있지 않아 자리비움 시 세션 탈취 위험
SEC-028 중 불필요 관리자 계정 존재 퇴직자/전근자 계정이 미삭제되어 잠재적 침해 위험
SEC-029 중 2차 인증 미적용 중요 관리 시스템에 2차 인증(OTP)이 적용되지 않음

패치 관리

# 중요도 점검 항목 설명 진단 결과
SEC-030 상 벤더 최신 업데이트 적용 보안 패치가 적용되지 않아 알려진 취약점에 노출
SEC-031 중 펌웨어 버전 관리 펌웨어 버전이 최신이 아니며 관리되지 않음
SEC-032 중 취약점 스캐닝 주기적 수행 정기적인 취약점 스캔을 수행하지 않음