S-18 최소한의 서비스만 제공

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

# 1. 방화벽 정책 확인
show access-list

# 취약 예시 (All Allow)
access-list outside_in permit ip any any  ← 문제!

# 양호 예시 (All Deny)
access-list outside_in deny ip any any
access-list outside_in permit tcp any host 203.0.113.10 eq 80
access-list outside_in permit tcp any host 203.0.113.10 eq 443

# 2. 허용된 서비스 목록 확인
# - 웹: 80/tcp, 443/tcp
# - 메일: 25/tcp, 587/tcp
# - DNS: 53/tcp, 53/udp
# - VPN: 1194/udp, 443/tcp

# 3. 불필요한 포트 확인
nmap -p- 203.0.113.10
# 열린 포트가 업무에 필요한 포트만 있는지 확인

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

# 1. 기본 정책 설정
access-list OUTSIDE_IN deny ip any any

# 2. 필요한 서비스만 명시적 허용
# 웹 서비스
access-list OUTSIDE_IN permit tcp any host 203.0.113.10 eq 80
access-list OUTSIDE_IN permit tcp any host 203.0.113.10 eq 443

# 메일 서비스
access-list OUTSIDE_IN permit tcp any host 203.0.113.11 eq 25
access-list OUTSIDE_IN permit tcp any host 203.0.113.11 eq 587

# DNS 서비스
access-list OUTSIDE_IN permit udp any host 203.0.113.12 eq 53
access-list OUTSIDE_IN permit tcp any host 203.0.113.12 eq 53

# 3. 정책 적용
access-group OUTSIDE_IN in interface outside

# 4. 확인
show access-list

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# 1. 현재 허용된 서비스 분석
show access-list

# 2. 불필요한 서비스 식별
# - 테스트용 서비스
# - 더 이상 사용하지 않는 서비스
# - 업무와 무관한 서비스

# 3. 불필요한 서비스 제거
no access-list OUTSIDE_IN permit tcp any host 203.0.113.10 eq 8080

# 4. 문서화
# 제거한 서비스, 제거 사유, 일자 기록