[63] SAM 파일 접근 통제 설정

[63] SAM 파일 접근 통제 설정

명령어 : cacls C:\Windows\system32\config\SAM

결과 : C:\Windows\system32\config\SAM NT AUTHORITY\SYSTEM:F
                               BUILTIN\Administrators:F

해석 :     N    없음/ R   읽기/ W  쓰기 / C  바꾸기(쓰기) / F  모든 권한
-> SAM 파일의 권한은 SYSTEM 과 Administroator  계정이 연결되어 있는데 모든 권한(F)가 부여되어 있다.

Continue reading

[1.14] 사용자 쉘 점검

로그인이 필요 없는 계정을 이용해 시스템에 접근하여 사용자의 명령어를 해석하고 악용할 가능성이 있으므로, /bin/false 쉘을 부여애 로그인을 금지함

판단 기준
양호 : 로그인이 필요하지 않은 계정에 /bin/false(nologin) 쉘이 부여되어 있는 경우
취약 : 로그인이 필요하지 않은 계정에 /bin/false(nologin) 쉘이 부여되지 않은 경우

조치방법
로그인이 필요하지 않은 계정에 대해 /bin/false(nologin) 쉘 부여

** bin/false 와 /sbin/nologin 의 차이

/bin/false
: 로긴을 허용하지만 쉘과 ssh 터널 그리고 홈디렉터리를 제공하지 않는다.
주로 메일만 사용가능한 계정을 만들때 사용한다.

예) adduser -M -s /bin/false User_id (-M은 홈디렉토리를 만들지 않는다.)

/sbin/nologin
: 완전히 로그인을 허용하지 않고 계정을 이용할 수 없다는 정책적 메시지만을 답한다.
주로 데몬 계정의 쉘로써 많이 사용함





참고 사이트
- http://hanbyoru.tistory.com/72
- http://mrain7.egloos.com/2725507

** 다양한 리눅스 계정과 이에 대한 설명
root:x:0:0:root:/root:/bin/bash bin:x:1:1:bin:/bin:/sbin/nologin daemon:x:2:2:daemon:/sbin:/sbin/nologin adm:x:3:4:adm:/var/adm:/sbin/nologin lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin = 로컬 프린트 서버 sync:x:5:0:sync:/sbin:/bin/sync = 원격지 서버 동기화 shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown = soft 시스템 종료 halt:x:7:0:halt:/sbin:/sbin/halt = 강제시스템 종료 mail:x:8:12:mail:/var/spool/mail:/sbin/nologin = 메일 서비스 계정 news:x:9:13:news:/etc/news:/sbin/nologin uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin = 유닉스 시스템간 파일을 복사 할 수 있는 프로토콜 operator:x:11:0:operator:/root:/sbin/nologin = 설정에 따라 다르지만 /etc/syslog.conf 에 대해서 daemon.err operator라고 표기가 되어 있다면 데몬 관련 에러를 operator계정을 이용해서 출력하라는 의미다. games:x:12:100:games:/usr/games:/sbin/nologin gopher:x:13:30:gopher:/var/gopher:/sbin/nologin = 웹(www)가 나오기전 대표적인 서비스중 하나 gopher사이트 접속후 잘정리된 메뉴를 이용해서 웹서핑을 즐기도록 한 서비스 ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin = ftp사용시 필요 nobody:x:99:99:Nobody:/:/sbin/nologin = 익명 연결(웹 서비스등 누구나 연결이 가능해야 되는 서비스가 있는 경우 필요) dbus:x:81:81:System message bus:/:/sbin/nologin = 시스템 메세지 vcsa:x:69:69:virtual console memory owner:/dev:/sbin/nologin = 가상메모리 생성시 계정 rpm:x:37:37::/var/lib/rpm:/sbin/nologin = 레드헷 패키지 매니저 haldaemon:x:68:68:HAL daemon:/:/sbin/nologin = 디바이스 장치 인식을 위한 데몬 ident:x:98:98::/home/ident:/sbin/nologin inetd에서 구동되는 데몬 netdump:x:34:34:Network Crash Dump user:/var/crash:/bin/bash = 네트워크 오류를 파일로 저장하는 계정 nscd:x:28:28:NSCD Daemon:/:/sbin/nologin = 네임서비스에 대한 캐쉬기능 제공 sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin = 보안쉘 계정 rpc:x:32:32:Portmapper RPC user:/:/sbin/nologin = 원격 호출에 관한 데몬 mailnull:x:47:47::/var/spool/mqueue:/sbin/nologin = 메일큐 smmsp:x:51:51::/var/spool/mqueue:/sbin/nologin = sendmail관련으로 메일을 보낼때 root가 아닌 smmsp로 보내게 된다 rpcuser:x:29:29:RPC Service User:/var/lib/nfs:/sbin/nologin nfsnobody:x:65534:65534:Anonymous NFS User:/var/lib/nfs:/sbin/nologin pcap:x:77:77::/var/arpwatch:/sbin/nologin = 패킷 캡쳐 관련 라이브러리 계정 apache:x:48:48:Apache:/var/www:/sbin/nologin = httpd 사용 squid:x:23:23::/var/spool/squid:/sbin/nologin = 프록시 서버 webalizer:x:67:67:Webalizer:/var/www/usage:/sbin/nologin = 웹로그 분석 프로그램 xfs:x:43:43:X Font Server:/etc/X11/fs:/sbin/nologin = 저널링 파일 시스템 ntp:x:38:38::/etc/ntp:/sbin/nologin = 컴퓨터간 시간을 동기화 시켜주기 위하여 만들어진 Network Time Protocol 이다. gdm:x:42:42::/var/gdm:/sbin/nologin = x-window사용 pegasus:x:66:65:tog-pegasus OpenPegasus WBEM/CIM services:/var/lib/Pegasus:/sbin/nologin = System Center Operation Manager가 이기종 환경을 관리할 수 있도록 확장(window에서 linux등의 이기종 환경에 대해 Cross-Platform Extension을 제공 htt:x:100:103:IIIMF Htt:/usr/lib/im:/sbin/nologin = 한국어 일본어 중국어에 대한 입력 방식 named:x:25:25:Named:/var/named:/sbin/nologin = 도메인 서버사용시 사용하는 계정 pvm:x:24:24::/usr/share/pvm3:/bin/bash = 병렬 컴퓨팅(클러스터링 관련 계정)

Continue reading

파일 시스템의 무결성 점검

자료를 검색하던 중 정말 괜찮은 기사를 발견하게 되었다.
지금부터 내가 적는 내용은 기사의 내용을 정리한 내용임을 미리 밝혀둔다.

시스템 보안이라고 하면, 방화벽, 네트워크 설정, 서비스 관리, 사용자 정책 등에 대한 생각을 하게 된다. 드물지만 루트킷 점검과 같은 수동적 방어에 대해서도 고려하게 된다.

그러나 보안을 정말 중요시하는 시스템 관리자에게 있어서 정말 중요한 것은 '파일시스템 무결성 점검' 이다.

이 무결성 점검은 파일시스템의 상태추적, 그리고 허가를 받지 않은 변경사항이 있는지 주기적으로 검사하는 과정이 포함된다. 수상한 변화가 감지되면 침입자에 의한 것인지 검사한후 피해복구를 해야 한다.

리눅스나 유닉스 환경에서 가장 잘 알려진 파일시스템 무결성 점검 도구는 트립와이어 (tripwire)

트립와이어의 개념

• 트립와이어는 개념적으로 매우 간단하다.
• 파일시스템의 '스냅샷'을 찍은 데이터베이스를 유지한다. 이 데이터베이스는 파일시스템에서 어느 부분에서 허가 받지 않은 변경을 했는지 검사하는 정책에 의해 만들어진다.

트립와이어의 정책

• 트립와이어의 정책은 일반적으로 스냅샷뿐만 아니라 파일시스템의 무허가 혹은 의심쩍은 변화를 규정하는 일련의 규칙도 제공한다. 트립와이어가 시스템을 점검하는 경우 정책을 활용하여 파일시스템의 현 상태를 검사하고 비교한 뒤 발견한 내용에 바탕을 둔 보고서를 생성한다.
• 보통 트립와이어는 하루에 한번 수행되며, 주로 시스템 사용자가 들어와있지 않은 야간에 이뤄진다.

주의할 점

• 트립와이어에는 두가지 문제점이 있다.
• 첫번째는 편리함의 문제이다. 
• 트림와이어의 보고서가 검토하기에 길고 지루할 수 있다는 사실에 기인한다.
• 또한 트립와이어 정책에 의해 검사된 파일에 변화를 자주 가한다면 트립와이어 데이터베이스를 주기적으로 업데이트해야 한다는 사실에도 기인한다.
• 두번째는 약점의 문제이다.
• 파일시스템 무결성 검사가 실시간이 아니라 주기적으로 이뤄져야 한다는 사실에 기인한다.
• 이유는 실시간 파일시스템 검사가 엄청난 시스템 자원을 요구하며 성능을 크게 떨어트리기 때문이다.

상세 트립와이어의 사용 명령어는 아래 참고 url 에서 확인할 수 있음.

<참고>

• 리눅스 파일시스템의 [무결성 점검] - http://www.zdnet.co.kr/news/news_view.asp?artice_id=00000039144301&type=det&re=

Continue reading