서버 취약점 점검(p.115)
1. 계정관리
root계정 원격 접속 제한 : /etc/securetty, /etc/pam.d/login
패스워드 복잡성 설정 : 패스워드 관리 방법
영문(대소), 숫자, 특수문자를 조합
2종류 이상 최소 10자리, 3종류 이상 최소 9자리
시스템 마다 상이한 패스워드 사용
가급적 자주 패스워드를 변경
/etc/pam.d/system-auth 파일 설정
password requisite pam_cracklib.so retry=5 minlenth=9 lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1
계정 잠금 임계값 설정 : /etc/pam.d/system-auth (pam_tally2.so deny=5 unlock_time=120)
패스워드 파일 보호 : /etc/shadow 사용 (perm root 400)
root 이외의 UID가 '0' 금지 : UID와 GID가 모두 0으로 설정된 것 확인
root 계정 su 제한 : su 가 관련 그룹에서만 허용
groupadd wheel
chgrp wheel /usr/bin/su
chmod 4750 /usr/bin/su
usermod –G wheel <user_name>
패스워드 최소 길이 설정 : /etc/login.defs (PASS_MIN_LEN 9)
패스워드 최대 사용기간 설정 : /etc/login.defs (PASS_MAX_DAYS 90)
패스워드 최소 사용기간 설정 : /etc/login.defs (PASS_MIN_DAYS 1)
불필요한 계정 제거 : lp, uucp, nuucp
관리자 그룹에 최소한의 계정 포함 : /etc/group 에 “0“ 확인
계정이 존재하지 않은 GID 금지 : /etc/group
동일한 UID 금지 : /etc/passwd
사용자 Shell 점검 : /etc/passwd (/sbin/nologin, /bin/false)
Session Timeout 설정 : /etc/profile(TMOUT=600)
2. 파일 및 디렉터리 관리
root 홈, 패스 디렉터리 권한 및 패스 설정 : PATH 환경변수에 “.” 삭제
파일 및 디렉터리 소유자 설정
소유자/소유그룹이 존재하지 않는 파일/디렉터리 검색
find . \( -nouser –o –nogroup \) -exec ls –al {} \;
결과를 소유자/소유그룹 변경, 불필요시 삭제 한다.
/etc/passwd 파일 소유자 및 권한 설정 : root 소유, 644 이하
/etc/shadow 파일 소유자 및 권한 설정 : root 소유, 400 이하
/etc/hosts 파일 소유자 및 권한 설정 : root 소유, 600 이하
/etc/(x)inetd.conf 파일 소유자 및 권한 설정 : root 소유, 600 이하
/etc/syslog.conf 파일 소유자 및 권한 설정 : root 소유, 644 이하
/etc/services 파일 소유자 및 권한 설정 : root 소유, 644 이하
SUID, SGID, Sticky bit 설정 파일 점검
chmod –s <file_name> #삭제
find / -user root –type f \( -perm –4000 –o –perm –2000 \) -xdev –exec ls –al {} \;
사용자, 시스템 시작파일 및 환경파일 소유자 및 권한 설정 :소유자,권한 확인
chown , chmod o-w
world writable 파일 점검
world writable : 모든 사용자에게 쓰기 권한이 부여되어있는 파일 즉, 퍼미션 777
find / -perm –2 –exec ls –al {} \;
쓰기권한을 제거하거나, 불필요한 파일/디렉터리는 삭제한다.
chmod o-w 파일명
/dev 에 존재하지 않는 device 파일 점점 : find /dev –type f –exec ls –l {} \;
$HOME/.rhosts, hosts.equiv 사용 금지 : “r”command 사용 금지
접속 IP 및 포트 제한 : /etc/hosts.deny (all:all)
/etc/hosts.allow (sshd:허용ip)
hosts.lpd 파일 소유자 및 권한 설정 : (로컬 프린트 서비스)파일 삭제 및 권한 변경
NIS 서비스 비활성화 : 비활성화(서비스 중지)
UMASK 설정 관리 : /etc/profile (UMASK=022)
홈디렉토리 소유자 및 권한 설정
홈디렉토리로 지정한 디렉토리의 존재 관리
숨겨진 파일 및 디렉토리 검색 및 제거 : find / -type f –name “.*” , find / -type d –name “.*”
windows 로컬보안정책 : secpol.msc
댓글 0
번호 | 제목 | 날짜 | 조회 수 |
---|---|---|---|
140 | HP-UX 서버 H/W Spec 조사 | 2017.09.07 | 1563 |
139 | TCP 프로토콜 Header 구조 | 2017.11.01 | 1554 |
138 | name server 보안 (bind) | 2018.04.26 | 1492 |
137 | Oracle begin end backup | 2017.08.24 | 1482 |
136 | EP Oracle WebLogic Server | 2017.08.25 | 1464 |
135 | 정보보안 국가기술자격 출제기준 개정 안내 | 2019.03.27 | 1376 |
134 | HP-UX에서 rsyncd 를 이용한 백업 설정 | 2017.09.07 | 1363 |
133 | 시스템보안 | 2017.11.01 | 1314 |
132 | Smurf Attack / Land Attack / Ping of Death | 2017.10.17 | 1292 |
131 | usage: raspistill [options] - Image parameter commands | 2018.11.16 | 1266 |
130 | 리눅스 기본 방화벽 iptable 요약정리 | 2017.09.26 | 1206 |
129 | netcat | 2018.10.09 | 1194 |
128 | 불필요한 HTTP Method 차단 | 2019.04.01 | 1167 |
127 | UDP 플러드 공격 - NTP, DNS, SSDP Amplification DDoS Attack | 2017.10.18 | 1136 |
126 | HPUX Trust Mode | 2018.02.21 | 1052 |