교차 사이트 스크립팅 공격 완화
네트워크가 안전하므로 활성 컨텐츠 필터를 꺼도 된다고 판단되면 이 주제에서 설명하는 구성 옵션 중 하나를 사용하여 공격이 발생한 경우 해당 공격을 완화하는 방법을 고려하십시오.
이 태스크 정보
- 격리된 도메인 사용
- 공격 위험이 있는 컴포넌트가 완전히 분리된 도메인에 설치되어 있는지 확인하십시오. 예를 들어 블로그 애플리케이션이 활성 컨텐츠 게시를 허용하면 별도의 도메인(예: blogs.acme.org)에 설치하십시오. 활동 애플리케이션이 활성 컨텐츠를 허용하면 별도의 도메인(예: activities.acme.org)에 설치하십시오. 또한 애플리케이션의 파일 다운로드에 대해 별도의 도메인을 사용하여 단일 애플리케이션에서 다중 도메인을 사용하는 방법도 고려하십시오.
- 싱글 사인온을 사용하지 않음
- 공격을 포함하려면 활성 컨텐츠를 허용하는 애플리케이션에서 사용자를 인증하는 데 싱글 사인온(SSO) 인증이 사용되지 않아야 합니다. 싱글 사인온이 사용 가능하면 사용자의 쿠키가 저장되고 이를 사용하여 다른 도메인에 있는 데이터에 액세스할 수 있습니다. 컴포넌트에서 활성 컨텐츠 필터링을 끈 경우 싱글 사인온 사용은 권장되지 않지만, HTTP 전용 쿠키에서는 싱글 사인온을 사용할 수 있습니다. WebSphere® Application Server 버전 6.1.0.11에서는 싱글 사인온 쿠키에 대한 "HTTP 전용" 쿠키를 생성하는 기능을 도입했습니다. HTTP 전용 브라우저와 함께 이 애플리케이션을 사용하는 경우 XSS 취약점이 포함될 수 있습니다.
- 별도의 도메인에서 다운로드하도록 파일 구성
- 다운로드한 파일을
다운로드한 애플리케이션과는 독립된 컨텐츠로
웹 브라우저에서 강제로 인식하고 이에 따라 적절히 처리하도록
IBM® HTTP Server
구성 파일에 재작성 규칙을 추가하십시오. 공유되지 않는 인증을 통해
하위 도메인에서 다운로드하지 않으면, 다른 컨텐츠 유형이
호스트하는 도메인의 신임 정보로
컨텐츠를 실행할 수 있으므로 취약점이 발생합니다. 호스트된 도메인에서
실행할 수 있는 또 다른 컨텐츠 유형의 예는
Adobe Flash입니다. Flash Player 9를 사용하는 경우
호스트된 모든 Flash에서는 호스트하는 도메인 서비스를 호출하고
XSS 공격을 실행하도록 허용됩니다. Flash Player 10에서는
Content-Disposition:
inline을 사용해도 이 취약점은 여전히 존재합니다. 블로그는
이 Content-Disposition 모드를 사용합니다. 따라서 블로그에서 최대 보안을 위해
별도의 다운로드 도메인을 사용하거나 Flash를 사용하지 않도록
해야 합니다. 파일 다운로드를 위해 하위 도메인을 설정하려는 경우 하위 도메인 및 코어 애플리케이션의 도메인 사이에서 싱글 사인온의 사용 여부를 판별하십시오.하위 도메인 작성 방법에 대한 자세한 정보는 별도의 파일 다운로드 도메인 지정을 참조하십시오.
- 싱글 사인온을 사용하려는 경우 HTTP 전용 쿠키를 구성하십시오.
다음 단계를 완료하십시오.
- WebSphere Application Server Integrated Solution Console을 여십시오.
- 보안을 펼치고 글로벌 보안을 선택하십시오.
- 사용자 정의 특성을 클릭하십시오.
- 새로 작성을 클릭하여 특성을 추가하고
다음 값을 필드에 추가하십시오.
- 이름
- com.ibm.ws.security.addHttpOnlyAttributeToCookies
- 값
- true
- 적용을 클릭한 다음 확인을 클릭하십시오.
- 싱글 사인온을 사용하지 않으려는 경우 파일을 다운로드할 때 다시 인증하도록 사용자에게 요청합니다.
- 싱글 사인온을 사용하려는 경우 HTTP 전용 쿠키를 구성하십시오.
다음 단계를 완료하십시오.
상위 주제: 악의적인 공격에서 애플리케이션 보안