15-1. 유닉스 서버 보안

유닉스

    유닉스의 특징

        호환성과 이식성이 뛰어남

        통신 기능이 뛰어남

    유닉스의 종류

        오라클 솔라리스, AIX, HP-UX

    유닉스의 구성

        하드웨어, 커널, 셸, 응용 프로그램

        커널

            항상 메모리에 상주

        셸

            명령어 해석기

        파일시스템

            /etc

                주요 설정 파일 존재 

            /dev

                장치를 다루기 위한 특수 파일

            /usr/bin

                실행 가능한 파일

            /usr/sbin

                명령어가 저장되는 디렉터리

            /home

                홈 디렉터리가 저장되는 디렉터리

                파일시스템의 구조

                    부트 블록, 슈퍼 블록, i-node 리스트, 데이터 블록

                    i-node

                        파일에 대한 속성정보를 관리하기 위한 블록

                        120byte의 고정된 크기의 구조체

    유닉스의 파일시스템

        ls

            디렉터리 정보 출력

        접근권한

            읽기 r(4), 쓰기 w(2), 실행 x(1)

            파일에는 666, 디렉터리엔 777을 부여

        chmod

            접근권한 변경

    프로세스 응용

        새로운 프로세스를 생성하는 시스템 호출은 없고 기존의 프로세스를 복제해서 생성한다.

        PID0 : swapper / PID1 : init / PID2 : pagedaemon

        스와퍼라는 첫 번째 프로세스는 부팅시간 동안 운영체제에 의해서 생성되고 init과 페이지데몬을 만들기 위하여 fork/exec를 2번 실행한다.

        스와퍼와 페이지데몬은 커널프로세스

        시스템의 모든 다른 프로세스들은 init프로세스의 자손이 된다.

        PID가 0인 프로세스를 제외한 모든 프로세스는 실행 중에 부모 프로세스를 갖게 된다.

        프로세스 종료 시 자신을 생성한 부모 프로세스에게 자신의 종료를 알림

        부모프로세스가 이를 확인하지 않으면 좀비프로세스로 남는다.

    시스템 시작과 종료

        런 레벨

            시스템의 운영 상태를 숫자 혹은 문자로 표현한 것

            S, s

                시스템 싱글 유저 모드, 로컬 파일시스템이 마운트 되지 않은 상태

            3

                멀티 유저 모드(유닉스 기본 런 레벨)

            init명령어 다음에 런 레벨을 쓰면 해당 런 레벨로 이동

        시스템 종료

            showdown

                시스템을 안전하게 종료할 때 사용

        하드디스크 동기화

            시스템을 종료하는 중에 해야 할 가장 중요한 작업

    파일시스템 관리

        연결

            mount

        연결 해제

            umount

    프로세스 스케줄 관리

        cron

            유닉스 시스템에서 정기적인 작업을 지정시간에 처리하기 위해 사용

        cron파일구조

            필드1 분, 필드2 시, 필드3 일, 필드4 월, 필드5 요일(0-6의 숫자로 기술 / 0 : 일요일), 필드6 작업 

            * 모든 값

            - 범위

            , 값을 구분

            / 간격값

    유닉스 서버 보안

        /etc/password

            등록된 사용자 계정마다 정보가 담겨 있는 파일

            7개의 필드로 구성

            로그인 ID

                root 계정은 시스템에 대한 총괄 권한을 가지고 있는 계정

                원격 접속을 금지하는 것이 보안상 안전함

            비밀번호

                섀도우 비밀번호 방식을 사용할 때 이 필드는 x로 표시

                /etc/password에 저장

            사용자 ID

                0번은 시스템 관리자

            그룹 ID

                사용자가 속한 기본 그룹 ID

            사용자 설명

                일반적으로 사용자 이름

            홈 디렉터리

                홈 디렉터리의 절대 경로

            로그인 셸

                로그인 셸의 절대 경로

        /etc/shadow

            User Account

                사용자 계정

            Encrypted password

                암호화된 비밀번호

            LAST DAY

                마지막으로 비밀번호를 변경한 날

            MIN DAYS

                최소 변경 일수

            MAX DAYS

                최대 변경 일수

            WARN DAYS

                경고일 수

            INACTIVE DAYS

                최대 비활성 일수

            EXPIRE DATE

                사용자계정이 만료되는 날

        접근권한 마스크(umask)

            보통은 022를 많이 사용함(디렉터리 755, 파일 644)

        디렉터리 접근권한

            4775 : -rwsr-xr-x(user가 실행권한이 있음)

            4665 : -rwSr-xr-x(user가 실행권한이 없음)

        슈퍼 서버 [inetd데몬]

            N개의 개별 서버를 하나로 통합하여 클라이언트로부터 서비스 요청이 올 때마다 해당 서비스와 관련된 실행 모듈을 실행해 준다.

        접근통제(TCPWrapper)

            외부에서 들어오는 클라이언트에 대해 접근통제 기능을 제공

            TCPWrapper가 설치되면, inetd 데몬은 tcpd 데몬에 연결을 넘김

            tcpd에서는 hosts.allow와 hosts.deny로 접근을 통제함

        PAM

            리눅스 배포판에서 사용자 인증의 핵심

           형식 : type / control / module-path / module-arguments

            type

                account 사용권한을 확인 / auth 인증기능 / password 패스워드를 설정하거나 확인 / session 인증성공 시 세션을 맺어주는 모듈

            control

                requisite

                    모듈 실행에 실패하면 바로 인증을 거부

                required

                    모듈 실행에 실패하더라도 즉시 인증을 거부하지 않고 동일 유형 모듈 실행을 완료한 시점에서 인증을 거부

                sufficient

                    이전 모듈이 실패해도 이 모듈에서 인증에 성공하면 인증을 승인. 실패하면 평가를 계속

                optional

                    모듈의 성공, 실패 응답을 상관 안 함