SDL Security Bug Bar(샘플)

참고: 이 예제 문서는 일러스트레이션 목적으로만 사용됩니다. 아래에 제공된 콘텐츠는 보안 프로세스를 만들 때 고려해야 할 기본 조건을 간략하게 설명합니다. 이는 작업 또는 조건에 대한 완전한 목록이 아니며 그렇게 취급해서는 안 됩니다.

이 섹션의 용어 정의를 참조하세요.

서버

서버 DoS 시나리오의 전체 매트릭스는 서비스 거부 매트릭스를 참조하세요.

사용자 상호 작용이 악용 프로세스의 일부인 경우 서버 막대는 일반적으로 적절하지 않습니다. 위험 취약성이 서버 제품에만 존재하고, 사용자 상호 작용이 필요한 방식으로 악용되며, 서버 손상을 유발하는 경우, 클라이언트 심각도 피벗의 시작 부분에서 제공되는 광범위한 사용자 상호 작용의 NEAT/데이터 정의에 따라 심각도 수준이 ‘위험’에서 ‘중요’ 수준으로 하향될 수 있습니다.

서버
위험

서버 요약: 네트워크 웜 또는 서버를 "소유"한 경우에 피할 수 없는 사례입니다.

  • 권한 상승: 임의 코드를 실행하거나 권한 부여보다 더 많은 권한을 얻을 수 있는 기능

    • 원격 익명 사용자

      • 예:

        • 권한 없는 파일 시스템 액세스: 파일 시스템에 임의로 쓰기

        • 임의 코드 실행

        • SQL 삽입(코드 실행 허용)

    • 모든 AV(쓰기 액세스 위반), 악용 가능한 읽기 AV 또는 원격 익명 호출 가능 코드의 정수 오버플로
중요한

서버 요약: 기본값이 아닌 위험 시나리오 또는 위험 시나리오를 방지하는 데 도움이 되는 완화 기능이 있는 사례입니다.

  • 서비스 거부: 소량의 데이터를 전송하여 "악용하기 쉽습니다"이거나 그렇지 않으면 신속하게 유도되어야 합니다.

    • 익명

      • 지속적 DoS

        • 예:

          • 단일 악성 TCP 패킷을 보내면 BSoD(Blue Screen of Death)가 발생합니다.

          • 서비스 오류를 일으키는 적은 수의 패킷 보내기

      • 증폭을 사용하는 임시 DoS

        • 예:

          • 일정 시간 동안 시스템을 사용할 수 없게 하는 적은 수의 패킷을 보내는 경우

          • 1분 이상 중단되는 웹 서버(예: IIS)

          • 단일 원격 클라이언트는 세션을 설정하고 열어 두어 서버에서 사용 가능한 모든 리소스(세션, 메모리)를 사용합니다.

    • 인증됨

      • 고부가가치 자산에 대한 영구 DoS

        • 예시:

          • 도메인 인증 사용자가 도메인 컨트롤러에서 DoS를 수행할 수 있는 경우와 같이, 서버 역할(인증서 서버, Kerberos 서버, 도메인 컨트롤러)에서 높은 값의 자산에 대한 서비스 실패를 야기하는 적은 수의 패킷을 보내는 경우

  • 권한 상승: 임의의 코드를 실행하거나 또는 의도한 것보다 많은 권한을 얻을 수 있는 기능입니다.

    • 원격 인증된 사용자

    • 로컬 인증 사용자(터미널 서버)

      • 예:

        • 권한 없는 파일 시스템 액세스: 파일 시스템에 임의로 쓰기

        • 임의 코드 실행

    • 관리자가 아닌 원격 또는 로컬 인증 사용자가 액세스할 수 있는 코드의 모든 쓰기 AV, 악용 가능한 읽기 AV 또는 정수 오버플로(관리자 시나리오는 정의에 따른 보안 문제가 없지만 안정성 문제임).

  • 정보 공개(지정된 대상)

    • 공격자가 노출되도록 의도하거나 설계하지 않은 시스템 정보를 포함하여 시스템의 어떤 곳에서 나온 정보를 찾고 읽을 수 있는 경우

      • 예:

        • PII(개인 식별 정보) 공개

          • PII 공개(이메일 주소, 전화 번호, 신용 카드 정보)

          • 공격자는 사용자 동의 없이 또는 은밀한 방식으로 PII를 수집할 수 있습니다.

  • 스푸핑(속임수)

    • 엔터티(컴퓨터, 서버, 사용자, 프로세스)는 사용자가 선택한 특정 엔터티(사용자 또는 컴퓨터)로 가장할 수 있습니다.

      • 예:

        • 웹 서버는 SSL(클라이언트 인증서 인증)을 잘못 사용하여 공격자가 선택한 사용자로 식별되도록 허용합니다.

        • 새 프로토콜은 원격 클라이언트 인증을 제공하도록 설계되었지만 악의적인 원격 사용자를 원하는 다른 사용자의 선택으로 볼 수 있는 프로토콜에 결함이 있습니다.

  • 변조

    • 영향을 받는 소프트웨어를 다시 시작한 후 수정이 지속되는 공통 또는 기본 시나리오에서 "고가의 자산" 데이터 수정

    • 일반 또는 기본 시나리오에서 사용되는 사용자 또는 시스템 데이터의 영구 또는 영구 수정

      • 예:

        • 인증된 SQL 삽입과 같은 일반적인 또는 기본 시나리오에서 애플리케이션 데이터 파일 또는 데이터베이스 수정

        • 일반적인 시나리오 또는 기본 시나리오에서 프록시 캐시 중독

        • 공통 또는 기본 시나리오에서 사용자 동의 없이 OS 또는 애플리케이션 설정 수정

  • 보안 기능: 제공된 보안 기능을 중단하거나 무시합니다.
    보안 기능의 취약성은 기본적으로 "중요"로 평가되지만 SDL 버그 표시줄에 설명된 대로 다른 고려 사항에 따라 등급이 조정될 수 있습니다.

    • 예:

      • 사용자에게 알리거나 동의를 얻지 않고 방화벽 비활성화 또는 무시

      • 방화벽을 다시 구성하고 다른 프로세스에 대한 연결 허용
보통

  • 서비스 거부

    • 익명

      • 기본/일반 설치에서 증폭이 없는 임시 DoS입니다.

        • 예시:

          • 세션을 설정하고 열어 두어 서버에서 사용 가능한 모든 리소스(세션, 메모리)를 사용하는 여러 원격 클라이언트

    • 인증됨

      • 지속적 DoS

        • 예시:

          • Exchange에 로그인한 사용자는 특정 메일 메시지를 보내고 Exchange Server를 크래시할 수 있으며, 이 충돌은 쓰기 AV, 악용 가능한 읽기 AV 또는 정수 오버플로로 인한 것이 아닙니다 .

      • 기본/일반 설치에서 증폭이 있는 임시 DoS

        • 예시:

          • 일반 SQL Server 사용자는 일부 제품에 의해 설치된 저장 프로시저를 실행하고 몇 분 동안 CPU의 100%를 사용합니다.

  • 정보 공개(지정된 대상)

    • 공격자가 특정 위치에서 시스템에 대한 정보를 쉽게 읽을 수 있는 경우(의도되지 않았거나 노출되도록 설계된 시스템 정보 포함).

      • 예시:

        • 익명 데이터의 특정 공개

        • 파일의 존재 여부에 대한 대상 공개

        • 파일 버전 번호의 선택적 공개

  • 스푸핑(속임수)

    • 엔터티(컴퓨터, 서버, 사용자, 프로세스)는 특별히 선택할 수 없는 다른 임의 엔터티로 가장할 수 있습니다.

      • 예시:

        • 클라이언트는 서버에 올바르게 인증하지만 서버는 동시에 서버에 연결된 다른 임의의 사용자의 세션을 다시 실행합니다.

  • 변조

    • 사용자 또는 시스템 데이터의 영구 변경이나 지속 변경이 특정 시나리오에서 발생함

      • 예:

        • 특정 시나리오에서 애플리케이션 데이터 파일 또는 데이터베이스 수정

        • 특정 시나리오에서의 프록시 캐시 중독

        • 특정 시나리오에서 사용자 동의 없이 OS/애플리케이션 설정 수정

    • OS/애플리케이션/세션을 다시 시작한 후 유지되지 않는 일반 또는 기본 시나리오에서 데이터의 임시 수정

  • 보안 보증:

    • 보안 보증은 고객이 보안 보호를 제공하기를 기대하는 보안 기능 또는 다른 제품 기능/기능입니다. 통신은 고객이 기능의 무결성에 의존할 수 있다는 메시지를 (명시적 또는 암시적으로) 제공했으며, 이것이 바로 보안 보증입니다. 고객의 의존도 또는 신뢰를 저해하는 보안 보증의 단점을 위해 보안 공지가 공개됩니다.

      • 예:

        • 정상적인 "사용자" 권한으로 실행되는 프로세스는 의도적으로 권한이 부여된 메서드를 통해 관리자 암호/자격 증명을 제공하지 않는 한 "관리자" 권한을 얻을 수 없습니다.

        • Internet Explorer에서 실행되는 인터넷 기반 JavaScript는 사용자가 기본 보안 설정을 명시적으로 변경하지 않는 한 호스트 운영 체제를 제어할 수 없습니다.
낮음

  • 정보 공개(대상 지정되지 않음)

    • 런타임 정보

      • 예시:

        • 랜덤 힙 메모리 누수

  • 변조

    • OS/애플리케이션을 다시 시작한 후 유지되지 않는 특정 시나리오에서 데이터의 임시 수정

클라이언트

광범위한 사용자 작업은 다음과 같이 정의됩니다.

  • "사용자 상호 작용"은 클라이언트 기반 시나리오에서만 발생할 수 있습니다.

  • 메일 미리 보기, 로컬 폴더 보기 또는 파일 공유와 같은 일반적이고 간단한 사용자 동작은 광범위한 사용자 상호작용이 아닙니다.

  • "광범위"에는 사용자가 특정 웹 사이트(예: URL 입력)로 수동으로 이동하거나 예/아니요 결정을 클릭하여 이동하는 것이 포함됩니다.

  • "광범위하지 않음"에는 전자 메일 링크를 클릭하는 사용자가 포함됩니다.

  • NEAT 한정자(경고에만 적용됨) UX는 다음과 같습니다.

    • Necessary(필요: 정말 사용자에게 의사 결정을 표시해야 하나요?)

    • Explained(UX에서 사용자가 이 결정을 내리는 데 필요한 모든 정보를 제공하나요?)

    • 실행 가능: 사용자가 무해한 시나리오와 악성 시나리오 모두에서 좋은 결정을 내릴 수 있는 단계가 있습니까?

    • Tested(테스트됨: 여러 사용자가 경고를 검토하여 경고에 응답하는 방법을 이해하고 있는지 확인하였나요?)

  • 설명: 광범위한 사용자 상호 작용의 효과는 심각도의 한 수준 감소가 아니라 버그 표시줄에 광범위한 사용자 상호 작용이 나타나는 특정 상황에서 심각도의 감소입니다. 이 의도는 고객이 사용자의 상호 작용으로 인해 느려지는 공격과 빠르게 확산되고 웜처럼 퍼질 수 있는 공격을 구분할 수 있도록 돕는 것입니다. 이 버그 표시줄에서는 사용자 상호 작용으로 인해 중요 이하의 권한 상승을 줄일 수 없습니다.

클라이언트
위험

클라이언트 요약:

  • 경고 또는 프롬프트 없이 클라이언트가 "소유"되는 네트워크 웜 또는 피할 수 없는 일반적인 검색/사용 시나리오입니다.

  • 권한 상승(원격): 임의의 코드를 실행하거나 의도한 것보다 더 많은 권한을 얻을 수 있는 기능

    • 예:

      • 권한 없는 파일 시스템 액세스: 파일 시스템에 쓰기

      • 광범위한 사용자 작업 없이 임의의 코드 실행

      • 원격으로 호출 가능한 코드의 모든 쓰기 AV, 악용 가능한 읽기 AV, 스택 오버플로 또는 정수 오버플로(광범위한 사용자 작업 없음 )
중요한

클라이언트 요약:

  • 경고 또는 프롬프트가 있거나 프롬프트 없이 광범위한 작업을 통해 클라이언트가 '소유'되는 일반적인 검색/사용 시나리오입니다. 이는 프롬프트의 품질/유용성과 사용자가 프롬프트를 클릭할 수 있는 가능성을 구분하지 않지만 일부 양식의 프롬프트만 존재합니다.

  • 권한 상승(원격)

    • 광범위한 사용자 작업을 사용하여 임의 코드 실행

      • 모든 쓰기 AV, 악용 가능한 읽기 AV 또는 원격 호출 가능 코드의 정수 오버플로(광범위한 사용자 작업 포함)

  • 권한 상승(로컬)

    • 로컬 낮은 권한 사용자는 자신을 다른 사용자, 관리자 또는 로컬 시스템으로 승격할 수 있습니다.

      • 모든 쓰기 AV, 악용 가능한 읽기 AV 또는 로컬 호출 가능 코드의 정수 오버플로

  • 정보 공개(지정된 대상)

    • 공격자가 의도하지 않거나 노출되도록 설계되지 않은 시스템 정보를 비롯하여 시스템 정보를 찾고 읽을 수 있는 경우.

    • 예시:

      • 권한 없는 파일 시스템 액세스: 파일 시스템에서 읽기

      • PII 공개

        • PII 공개(전자 메일 주소, 전화 번호)

      • 가정 전화를 통한 시나리오

  • 서비스 거부

    • 시스템 손상 DoS에서 시스템 및/또는 구성 요소를 다시 설치해야 합니다.

      • 예시:

        • 웹 페이지를 방문하면 레지스트리 손상으로 인해 컴퓨터가 부팅할 수 없게 됩니다.

    • 드라이브바이 DoS 공격

      • 조건:

        • 인증되지 않은 시스템 DoS

        • 기본 노출

        • 기본 보안 기능 또는 경계 완화 없음(방화벽)

        • 사용자 상호 작용 없음

        • 감사 및 처벌 흔적 없음

        • 예시:

          • 모바일 폰에서 무차별 블루투스 시스템 DoS 또는 SMS 공격

  • 스푸핑(속임수)

    • 공격자가 기본/일반적인 시나리오에서 유효한 신뢰 결정을 내리는 데 의존해야 하는 UI와는 다르지만 시각적으로 동일한 UI를 제공하는 기능입니다. 신뢰 결정은 사용자가 특정 엔터티(시스템 또는 특정 로컬 또는 원격 원본)에서 일부 정보를 제공하는 것으로 판단하는 작업을 수행할 때마다 정의됩니다.

      • 예:

        • 브라우저가 실제로 기본/공통 시나리오에서 표시하는 URL과 다른 사이트의 URL을 브라우저의 주소 표시줄에 표시하는 경우

        • 브라우저의 주소 표시줄 위에 주소 표시줄과 동일하게 보이지만 기본/일반 시나리오에서 가짜 데이터를 표시하는 창 표시

        • "이 프로그램을 실행하시겠습니까?"에 다른 파일 이름을 표시합니다. 기본/일반 시나리오에서 실제로 로드되는 파일의 대화 상자와 비교하면

        • "가짜" 로그인 프롬프트를 표시하여 사용자 또는 계정 자격 증명을 수집하는 경우

  • 변조

    • OS/애플리케이션을 다시 시작한 후에도 유지되는 공통 또는 기본 시나리오에서 신뢰 결정을 내리는 데 사용되는 모든 사용자 데이터 또는 데이터를 영구적으로 수정합니다.

      • 예:

        • 웹 브라우저 캐시 중독

        • 사용자 동의 없이 중요한 OS/애플리케이션 설정 수정

        • 사용자 데이터 수정

  • 보안 기능: 제공된 보안 기능 중단 또는 무시

    • 예:

      • 사용자에게 알리거나 동의를 얻어 방화벽 사용 안 하거나 무시

      • 방화벽 다시 구성 및 다른 프로세스에 대한 연결 허용

      • 약한 암호화 사용 또는 일반 텍스트에 저장된 키 유지

      • AccessCheck 바이패스

      • Bitlocker 바이패스; 예를 들어 드라이브의 일부를 암호화하지 않음

      • Syskey 바이패스, 암호 없이 syskey를 디코딩하는 방법
보통

  • 서비스 거부

    • 영구 DoS를 사용하려면 콜드 재부팅이 필요하거나 블루 스크린/버그 검사가 발생합니다.

      • 예시:

        • Word 문서를 열면 컴퓨터의 블루 스크린/버그 확인이 발생합니다.

  • 정보 공개(지정된 대상)

    • 공격자가 의도되거나 노출되도록 설계되지 않은 시스템 정보를 포함하여 알려진 위치에서 시스템에 대한 정보를 읽을 수 있는 경우입니다.

      • 예:

        • 지정된 파일의 존재

        • 대상 파일 버전 번호

  • 스푸핑(속임수)

    • 공격자가 사용자에게 신뢰에 익숙한 UI와 다르지만 시각적으로는 동일한 UI를 특정 시나리오에서 표시하는 능력입니다. 사용자가 운영 체제 또는 애플리케이션과 일반적으로 상호 작용할 때 잘 알고 있지만 보통 "신뢰 결정"으로 여기지 않는 것을 "익숙하게 신뢰하는"이라고 정의합니다.

      • 예:

        • 웹 브라우저 캐시 중독

        • 사용자 동의 없이 중요한 OS/애플리케이션 설정 수정

        • 사용자 데이터 수정
낮음

  • 서비스 거부

    • 임시 DoS를 사용하려면 애플리케이션을 다시 시작해야 합니다.

      • 예시:

        • HTML 문서를 열면 Internet Explorer의 작동이 중단됩니다.

  • 스푸핑(속임수)

    • 공격자가 더 큰 공격 시나리오의 단일 부분인 UI와 다르지만 시각적으로 동일한 UI를 제공하는 기능입니다.

      • 예시:

        • 사용자가 "악의적인" 웹 사이트로 이동되고 스푸핑 대화 상자에서 단추를 클릭하면 다른 브라우저 버그에 따라 취약해지게 됩니다.

  • 변조

    • OS/애플리케이션을 다시 시작한 후 유지되지 않는 데이터의 임시 수정입니다.

    • 정보 공개(대상 지정되지 않음)

      • 예시:

        • 랜덤 힙 메모리 누수

용어 정의

인증
네트워크에서 인증을 포함해야 하는 모든 공격입니다. 이는 공격자를 식별할 수 있도록 일부 형식의 로깅이 발생할 수 있어야 함을 의미합니다.

익명
완료하기 위해 인증할 필요가 없는 모든 공격입니다.

client
단일 컴퓨터에서 로컬로 실행되는 소프트웨어 또는 네트워크를 통해 서버에서 제공하는 공유 리소스에 액세스하는 소프트웨어.

기본/일반
활성 상태이거나 사용자의 10% 이상에 도달하는 모든 기능입니다.

scenario
특별한 사용자 지정 또는 사용 사례를 통해 사용하도록 설정해야 하며, 사용자 중 10% 미만만 도달하는 모든 기능.

server
다른 컴퓨터에서 실행되는 클라이언트 프로세스의 요청을 기다리고 처리하는 소프트웨어를 실행하도록 구성된 컴퓨터입니다.

위험
손상 가능성이 가장 높은 것으로 평가되는 보안 취약성입니다.

중요
심각한 손상 가능성이 있지만 위험보다 적은 것으로 평가되는 보안 취약성입니다.

온화한
적당히 손상될 가능성이 있지만 중요보다 적은 것으로 평가되는 보안 취약성입니다.

낮음
손상 가능성이 낮은 것으로 평가되는 보안 취약성입니다.

대상 정보 공개
원하는 정보를 의도적으로 선택(대상)하는 기능입니다.

임시 DoS
임시 DoS는 다음 조건이 충족되는 상황입니다.

  • 공격으로 인해 대상이 정상적인 작업을 수행할 수 없습니다.

  • 공격에 대한 응답은 공격 크기와 거의 동일합니다.

  • 대상이 공격이 완료된 직후 정상 수준의 기능으로 돌아갑니다. "곧"의 정확한 정의는 각 제품에 대해 평가되어야 합니다.

예를 들어 공격자가 네트워크를 통해 패킷 스트림을 지속적으로 전송하는 동안 서버는 응답하지 않으며, 패킷 스트림이 중지된 후 몇 초 후에 서버가 정상으로 돌아갑니다.

증폭을 사용하는 임시 DoS

증폭이 있는 임시 DoS는 다음 조건이 충족되는 상황입니다.

  • 공격으로 인해 대상이 정상적인 작업을 수행할 수 없습니다.

  • 공격에 대한 대응은 공격의 크기를 훨씬 초과하며, 여러 배로 더 큰 규모입니다.

  • 대상이 공격이 완료된 후 정상 수준의 기능으로 돌아옵니다. 그러나 시간이 좀 걸립니다(아마도 몇 분).

예를 들어, 악의적인 10바이트 패킷을 보내고 네트워크에서 2048킬로바이트의 응답을 발생시킬 수 있다면, 이는 공격 효과를 증폭시켜 서비스 거부 공격(DoS)으로 대역폭을 마비시키는 것입니다.

영구 DoS

영구 DoS는 관리자가 시스템의 전체 또는 일부를 시작, 다시 시작 또는 다시 설치해야 하는 DoS입니다. 시스템을 자동으로 다시 시작하는 모든 취약점은 영구적 DoS이기도 합니다.

서비스 거부(서버) 매트릭스

인증된 공격 및 익명 공격 기본/일반 및 시나리오 임시 DoS 대 영구 평가
인증됨 기본값/일반 영구 보통
인증됨 기본값/일반 증폭을 사용하는 임시 DoS 보통
인증됨 기본값/일반 임시 DoS 낮음
인증됨 시나리오 영구 보통
인증됨 시나리오 증폭을 사용하는 임시 DoS 낮음
인증됨 시나리오 임시 DoS 낮음
익명 기본값/일반 영구 중요한
익명 기본값/일반 증폭을 사용하는 임시 DoS 중요한
익명 기본값/일반 임시 DoS 보통
익명 시나리오 영구 중요한
익명 시나리오 증폭을 사용하는 임시 DoS 중요한
익명 시나리오 임시 DoS 낮음

내용 고지 사항

이 설명서는 Microsoft의 SDL 사례에 대한 완전한 참조가 아닙니다. 제품 팀이 재량에 따라 추가 보증 작업을 수행할 수 있습니다(반드시 문서화되지는 않음). 따라서 이 예제는 Microsoft가 모든 제품을 보호하기 위해 따르는 정확한 프로세스로 간주해서는 안 됩니다.

이 설명서는 "있는 그대로" 제공됩니다. URL 및 기타 인터넷 웹 사이트 참조 정보를 포함한 이 문서에 포함된 내용 및 견해는 예고 없이 변경될 수 있습니다. 이 문서의 사용으로 발생하는 위험은 귀하의 책임입니다.

이 설명서는 Microsoft 제품의 지적 재산권에 대한 법적 권리를 제공하지 않습니다. 이 문서는 내부 참조용으로 복사 및 사용할 수 있습니다.

© 2018 Microsoft Corporation. 모든 권리 보유.

다음 라이선스에 따라 이용 가능합니다:Creative Commons Attribution-NonCommercial-ShareAlike 3.0 범용
  • Last updated on