WAS 보안, 꺾이지 않는 마음으로 지키세요!

심볼릭 링크 및 Alias 사용 제한을 통해 시스템 파일 접근을 막아야 함

파일 다운로드/업로드 용량 제한 설정을 통해 서버 과부하 방지

IIS, Apache, Tomcat, Nginx 등 주요 WAS별 설정 방법 제시

심볼릭 링크, Alias 설정의 위험성

심볼릭 링크와 Alias는 편리함을 제공하지만, 잘못 설정 시 시스템 파일 접근을 허용할 수 있다. 구체적으로, 리눅스에서 심볼릭 링크를 통해 /etc/passwd 파일에 접근 가능해진다. 따라서, WAS 설정 시 심볼릭 링크 사용 제한은 필수적이다.

다운로드/업로드 용량 제한의 중요성

대용량 파일 다운로드/업로드는 서버 자원 소모를 증가시켜 과부하를 유발한다. 악성 코드 업로드 시 시스템 권한 탈취 위험도 존재한다. 따라서, IIS, Apache, Tomcat, Nginx 등 각 WAS별 설정으로 용량 제한을 설정해야 한다.

WAS별 보안 설정 가이드

각 WAS별 설정 파일에서 심볼릭 링크 및 Alias 관련 설정을 확인하고, 불필요한 설정을 제거해야 한다. IIS의 경우, 디렉터리 검색 설정을 확인하고, Apache는 `FollowSymLinks` 옵션을 제거한다. Tomcat은 `allowLinking` 옵션을, Nginx는 root 설정을 점검해야 한다.