http method와 보안 관련하여 궁금한 점 있습니다.

Question

질문의 발단은 파견지의 보안 메뉴얼입니다.GET, POST, HEAD, OPTIONS 외의 http method는 tomcat 설정으로 차단하라고 되어 있고이유는&#34;GET, POST, HEAD, OPTIONS 이외의 다른 HTTP Method 를 지원하는 경우, 악의적인 공격자가 임의의 파일을 삭제하거나 업로드하여 서버의 정상 운영에 지장을 줄 수 있으므로 HTTP Method에 대해 불필요한 설정을 제어하고 있는지 점검&#34;이라고 되어 있습니다.근데 DELETE 메서드로 http 메시지를 보낸다고 하여 이 DELETE라는 메서드 자체로 server에 강제적인 영향을 주는 것은 아니지 않나요?http는 서로간 통신 양식, 약속이지 어떤 프로그래밍이 아닌데 왜 다른 메서드들을 '보안상의 이유로' 막아놓았는지 잘 모르겠어요.저렇게 하는 이유가 있는지, 보안에 어떤 도움이 되는 것인지 궁금합니다.

코린이듈리 · Answer

보안 취약점 때문입니다 하나의 예로 TRACE 메소드를 방치하면 XST 공격에 취약해집니다

Mambo · Answer

기술과 인프라는 발전하는 반면에 가이드를 전부 이해하고 보완할 사람이 없으니까요.보안 메뉴얼이나 솔루션에 의해 검출되는 것 중 시스템에 맞지 않는 것은 최대한 조치 후 예외하도록 전달해야합니다.

르매 · Answer

나름 한 회사의 보안 매뉴얼인데 맞다 틀리다를 얘기하긴 조심스럽죠 ㅎㅎ다만 REST API 기준으로 PUT과 DELETE 정도는 열어 주는 게 좋을 것 같은데요.. 오히려 OPTIONS 는 보안을 이유로 막는 경우가 더 많은 것 같긴 합니다.그래도 규칙이 그렇다면야.. 따라 가야겠죠.

장독깨기 · Answer

비슷한 내용인데, 여기 한 번 참고해보세요.https://docs.fluidattacks.com/criteria/vulnerabilities/044/공격 가능성을 차단하려고 하는거 같습니다.

http method와 보안 관련하여 궁금한 점 있습니다.

4개의 답변

Q&A 목록