의료자문 플랫폼 ISMS-P 인증 대응 보안 취약점 조치 (8월 15일 완료 필수)

비밀 댓글입니다.

비밀 댓글입니다.

oi******

클라이언트

1. 우선 위약점에서 발견된 내용의 요약부분을 전달드립니다.
1) 웹 접근 제어 : 파일 업로드 시 프록시 툴 상으로 file_path 파라미터에 절대경로가 노출됨
2) 암호화 통신 : 스캐너 사용 결과 낮은 버전의 TLS 프로토콜 사용 확인, 스캐너 사용 결과 TLS1.0, TLS1.1, TLS1.2 프로토콜 구간에서 3DES(EDE_CBC_SHA) 계열 암호화 알고리즘 사용 중임을 확인
3) XSS : 고객지원>Q&A>글쓰기 페이지의 내용 입력란에 악성 스크립트 삽입 후 저장 시 해당 스크립트 실행됨
4) 인증정책 : 비밀 게시글 클릭 후 비밀번호 입력 시 인증오류 횟수 제한이 없어 자동화 공격을 통한 인증 우회가 가능함
5) 인증변조 : 의료자문신청내역 조회 시 요청 패킷의 파라미터 값을 변조하여 타 사용자의 의료내역 및 개인정보 확인 가능함, Q&A 게시글 등록 시 요청 패킷의 파라미터 값을 변조하여 권한이 없는 공지사항 게시글 작성이 가능함 3) Q&A 게시글 삭제 시 요청 패킷의 파라미터 값을 변조하여 권한이 없는 공지사항 게시글 삭제가 가능함

2. 로그와 파기 정책 범위 : 현재 로그기록이 일정부분 이루어지고 있고 가 일정부분 가능합니다. 현재 시스템에서 로그조회 항목을 추가하는 것이 필요합니다. (접속자가 조회한 로그기록, 파일 다운로드 한 로그기록) 로그기록 보관기간은 최소 2년 이상입니다. 데이터 파기는 종료일 기준 30일 이후 파기 필요합니다. (현재 첨부파일의 파기는 이루어지고 있는데 향후에는 첨부파일 외에 다른 부가적인 영역도 파기를 해야할 항목들이 생겼습니다. 이건 저희 홈페이지를 보면서 논의해야 할 부분입니다.)로그 UI도 현재 저희 관리자 급에서만 볼 수 있도록 웹상에서 표현되고 있는 것이 있습니다. 이것을 기반으로 해야 할 것 같습니다.