스크랩 [보안] 실전 - 리눅스 기본 보안 지침

[동우]

• [보안] 실전 - 리눅스 기본 보안 지침
• =============================================================================== 설치시 시스템 보안- 파티션 옵션 설정 =============================================================================== 1. 보안에 입각한 파티션 분배 - setuid등의 관리는 mount-option에서 관리하게 된다. SetUID프로그램은 주로 /sbin 방에 존재한다. 경로 용량 mount-option / 500M defaults : /bin, /sbin에 설치되는 프로그램 고려 /boot 70-100M noexec,nosuid,nodev : 커널 사이즈가 증가하고 커널 종류가 증가 512M : 보통 메모리의 2배정도로 하는데 실제 서버의 경우 메모리가 1G정도라면 스왑2G는 의미가 없음 최대한 메모리를 늘리고 스왑은 256M 정도도 괜찮음 /usr 2G nodev,ro : /usr/sbin방에 setuid프로그램 있을수도 있음, ro옵션으로 설치, 변조가 불가능하게(관리자도 변경안됨 바꿀려면 rw로 변경하여 재 부팅하거나 unmount한후 rw로 변경하여 mount하여 사용해야 함 : sendmail 업그레이드시) /usr/local 나머지용량 nosuid,nodev /home 사용자수 * 100M nosuid,nodev[,noexec] : 사용자들이 CGI사용하지 않을 경우 noexec로 실행되지 않게 CGI 사용자들은 /usr/local/home등으로 따로 방을 만들어 사용가능하게 하자. /var 3-5G noexec,nosuid,nodev[,noatime] : log파일이나 메일에 용량이 많이 할당되므로 더 주어도 된다. 넉넉하게 잡자 noatime옵션을 주어 파일 접근 갱신을 필요없게 하기도 한다. 속도 증가 /tmp 500M noexec,nosuid,nodev : upload시에 사용된다. 기타 등등.. /chroot : 환경설정이 어려우므로 좀 더 고려하자 /var/lib : mysql을 rpm으로 설치시 이용되는 폴더이므로 소스설치하면 필요없겠지요.. =============================================================================== 일반적 시스템 보안 - 퍼미션 변경 1. chattr +i 2. permissio 변경 ( 업데이트 후에는 다시 변경해 주어야 한다.) =============================================================================== 1. 보안설정 하기전 리눅스의 네트워크를 단절시키자.. - ifdown eth0, /etc/rc.d/init.d/network stop, 랜선 뽑자 ^^.. 2. root의 접속시간을 제한하자. - /etc/profile : TMOUT=600 라인 추가하자 시간은 적절하게 3. 부팅시 암호 지정 - single 모드로 접속시에도 암호 지정 : /etc/inittab에서 id:3:initdefault: --:S:wait:/sbin/sulogin : 라인을 추가한다. : /sbin/init q 명령으로 적용한다. - lilo 이용한 암호 접속 : /etc/lilo.conf timeout=10 : 00으로 지정하면 싱글모드로 접속시 힘들어진다. restricted : lilo에서 옵션이 있으때만 암호 입력 password=xxx : 당근 바로 암호입력하자. * Ctrl-Alt-Del 키도 막아주자 4. 파일 수정및 변경 불가 - chattr -R +i /etc/ : /etc 방 및 파일 전부를 변경하지 못하게. 조금 억지가 있다. 선별하자. * chattr +i /etc/passwd /etc/shadow /etc/gtoup /etc/gshadow * chattr +a /var/log/* : 로그방의 모든 파일에 추가만 가능하게 하는 것 * chattr /usr/local/mysql/bin : mysql 명령어 수정 변조 불가 5. 퍼미션 수정 - 보통 일반사용자들에게 허가된 명령어 : ls, cd, vi, chmod - 일반사용자들에게 거부되는 명령어 ; ps, mount, df, du, find, whereis, which, locate, w, chown, crond /usr/sbin, /sbin 등은 750으로 ; /usr/bin, /bin 등은 선별적으로 * chmod 700 ps, mount, df, du, find, whereis, which, locate, w, chown, uname, crond (경로 필요, 계속 추가하자) * chmod -R 600 /etc/* : 문제가 발생할 수 있다. * chmod 600 /etc/lilo.conf /etc/crontab /etc/rc.d(??) /etc/named.conf /etc/xinetd.conf /etc/xinetd.d/ * chmod 640 /etc/syslog.conf * chmod -R 640 /var/log/* * chmod 700 /bin/rpm, /bin/last, /bin/lastlog * chmod -R 700 /boot /etc/rc.d/init.d/* /usr/sbin/* /sbin/* * chmod -R 750 /proc * chmod -R 755 /usr/local/mysql/bin 단 mysql 명령어는 755로 * chmod -R 755 /usr/local/apache/htdocs and /icons 나머지는 700으로 * chmod +t /var/lib/mysql : stick bit 설정 * imap, ipop등의 허가권은 755 해야함 * sendmail의 경우 suid제거하면 서비스 안됨. * /etc/pam.d 도 일반사용자들이 읽을수 있게 * /etc/hosts, services, security/는 일반 사용자가 읽을수 있게 6. 시스템의 불필요한 사용자 삭제 - /etc/passwd, shadow, group, gshadow 수정 7. boot를 읽기 전용으로 - fstab에서 ro 옵션을 주면 에러난다. 현재는 부팅과정에서 /boot에 파일이 기록된다. - 정 하고 싶다면 마지막 부팅과정인 rc.local파일의 마지막에 mount /boot option으로 처리하자 옵션이 생각안나 ??? - chmod 700 /boot 해주자 * fstab 변경후 다시 읽을때 : mount /home -o remount : mount -a : 전체 다시 mount * remount시 device busy error : fuser -km /home : /home에서 작업하는 사용자 방출 8. history file 제거 - /etc/profile : HISTSIZE=10, HISTFILESIZE=0 or export HISTFILE=/dev/null : root사용자는 HISTFILESIZE=0이 되도록 설정하는 것이 좋으나 일반 사용자가 이렇다면 주의하자. 9. rc.local의 내용수정_로그인시 컴퓨터 정보를 출력(현재 8.0은 필요없음) - /etc/issue, issue.net, redhat-release 지워주거나 퍼미션 바꾸자 10. SUID 프로그램 찾아서 지우거나 퍼미션 바꾸어 주자 - find / -type f -perm -4000 -exec ls -l {} ; > suidfile - chmod a-s filename or chmod o-x filename이 더 확실하다. - 진짜 필요한 suid 프로그램은 su, sendmail...