반응형 주요정보통신기반시설 취약점 점검 가이드13 U-45) root 계정 su 제한 이번 글에서는 주통기 점검 가이드의 45번째 항목인 "root 계정 su 제한"에 대해 다뤄보도록 하겠습니다. 개정 전 가이드에서는 6번째로 나와있던 점검 항목이면서 계정 관리 부분에 포함된 부분이죠. 오늘 설명드리는 항목도 지난 "U-44) root 이외의 UID가 '0' 금지" 항목처럼 일반 계정의 root의 권한을 사용할 수 없도록 점검하는 것과 비슷한 맥락으로 보시면 됩니다. 이번에는 이전에 언급하지 못했던 리눅스의 권한 체계와 그룹 계정에 대해서 설명드릴텐데, 일단 점검 항목에 대해 개요를 간단하게 정리하도록 하겠습니다. 점검 내용을 보시면, su 명령어를 사용할 수 있는 사용자 계정을 지정한 그룹이 존재하는지 점검한다고 써있죠. 리눅스에서 su 명령어는 한 번씩 써 보셨겠지만 "Switch U.. 2022. 6. 19. U-44) root 이외의 UID가 '0' 금지 오늘 말씀드릴 리눅스 서버 취약점 점검 항목은 "root 이외의 UID가 '0' 금지"라는 항목입니다. 아무래도 리눅스 시스템의 권한 체계나 파일의 소유자에 대해 자세하게 공부하시 않으셨다면, 해당 제목만 보고 어떤 것을 점검하는 것인지 잘 와닿지 않으실 수 있는데요. 좀 더 명확한 점검 항목 제목은 "root 계정 이외의 User ID가 0이 아닌 계정 존재 유무 점검"이라고 해야지 조금 더 정확할 것 같습니다. 저번 글에서 말씀드린 /etc/passwd 파일 점검에 이어진 내용으로 보시면 될 것 같은데 먼저 취약점 개요에 대해 정리를 해보죠. 저번 점검 항목이었던 "U-04) 패스워드 파일 보호"에서 /etc/passwd의 구조를 설명드리면서, UID와 GID에 대해 짧게나마 말씀드린적이 있었죠. 다.. 2022. 6. 18. U-02) 패스워드 복잡성 설정 이번 글에서는 주통기 점검 가이드의 "패스워드 복잡성 설정" 점검 항목에 대해서 이야기해보고자 합니다. 이번 항목은 지난번 다뤘던 항목인 "01) root 계정 원격 접속 제한"에 비해서는 시스템 정책 측면이 강하기도 하고, 패스워드를 복잡하게 설정해야 해킹을 당할 확률이 낮아진다는 건 모두들 아실거라 넘어갈까 생각도 했었는데요. 제가 정보보안기사 시험을 봤던 해인 2018년에 실기 서술형에서 비밀번호 작성규칙이 출제되었는데, 여기에 나오는 패스워드 복잡성 설정과도 연관이 되어있어서 이 부분도 함께 언급하면서 간단히 정리를 해보겠습니다. 먼저 주통기 점검 가이드에 나온 취약점 개요를 간단하게 정리를 해봤습니다. 그런데 지금 KISA에 올라온 주통기 점검 가이드에서는 오타를 수정하지 않은 것인지 양호와 취.. 2022. 6. 6. U-01) root 계정 원격접속 제한 오늘부터 "주요정보통신기반시설 기술적 취약점 분석 평가 방법 상세가이드"(이하 주통기 점검 가이드)를 기반으로 각 취약점 점검 항목을 쉽게 풀어서 정리해보도록 하겠습니다. 사실 이런 내용들은 구글에 검색하면 이미 티스토리를 포함한 많은 블로그에서 다루고는 있지만, 주통기 점검 가이드의 점검 항목을 요약하거나 핵심만 정리한 글들이 많아서 제가 쓰는 글에서는 책을 읽는 느낌으로 좀 더 자세히 설명을 하고자 합니다. 물론 최근 트렌드가 필요한 정보만 딱 집어서 핵심만 전달하고 그런 글들이 인기가 많다는 것을 알고 있지만, 추후 책 집필도 염두해두고 있기에 제 경험을 살려서 나름대로 진행해보고자 합니다. 주통기 점검 가이드에서는 첫 번째 대단원으로 Unix 서버 보안을 다루고 있고, 그 안에 계정 관리와 파.. 2022. 6. 5. 이전 1 2 다음 반응형
