U-51(상) DNS Zone Transfer 설정

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 Unix 점검 항목

■ 취약점 개요

○ 점검개요 : Secondary Name Server로만 Zone 정보 전송 제한 여부 점검

○ 점검목적 : 허가되지 않는 사용자에게 Zone Transfer를 제한함으로써 호스트 정보, 시스템 정보 등 정보 유출의 방지

○ 보안위협 : 비인가자 Zone Transfer를 이용해 Zone 정보를 전송받아 호스트 정보, 시스템 정보, 네트워크 구성 형태 등의 많은 정보를 파악

○ 점검대상 : SOLARIS, LINUX, AIX, HP-UX 등

○ 판단기준

- 양호 : DNS 서비스 미사용 또는, Zone Transfer를 허가된 사용자에게만 허용한 경우

- 취약 : DNS 서비스를 사용하며 Zone Transfer를 모든 사용자에게 허용한 경우

 

■ 점검방법

○ SOLARIS, LINUX, AIX, HP-UX

DNS 서비스 사용 시 “/etc/named.conf” 파일의 allow-transfer 및 xfrnets 확인

 #ps -ef | grep named | grep –v “grep”

 #cat /etc/named.conf | grep ‘allow-transfer’

 #cat /etc/named.boot | grep “xfrnets”

※ “DNS” 서비스 사용 시 위에 제시된 파일의 DNS 설정을 조치방안에 따라 수정한다.

DNS 서비스를 사용하지 않는 경우

DNS 서비스 데몬 확인(DNS 동작 SID 확인)

 #ps -ef | grep named

   root 3809 3721 0 08:44:40 ? 0 : 00 /usr/sbin/in. named

※ “DNS” 서비스를 사용하지 않는 경우 서비스 데몬을 중지한다.

 

■ 조치방안

○ DNS 서비스를 사용할 경우

 

○ BIND 8 DNS 설정(named.conf) 수정 예

Step 1

Options { allow-transfer(Zone 파일 전송을 허용하고자 하는 IP;); };

 

○ BIND 4.9 DNS 설정(named.conf) 수정 예

Step 1

Options xfrnets 허용하고자 하는 IP

 

■ DNS 서비스를 사용하지 않는 경우

○ LINUX, ADC, HP-UX, SOLARIS 5.9 이하 버전

Step 1

DNS 서비스 데몬 중지 #kill -9 [PID]

 

○ SOLARIS 5.10 이상 버전

Step 1	DNS 서비스 데몬 확인 enabled 16:22:31 svc:/network/dns/server:default
Step 2	svcadm disable “중지하고자 하는 데몬” 명령으로 서비스 데몬 중지 #svcadm disable svc:/network/dns/server:default

 

■ 조치 시 영향

Zone 파일 전송을 허용할 대상을 정상적으로 등록할 경우 일반적으로 무관

 

■ DNS Zone Transfer

○ Primary Name Server와 Secondary Name Server 간에 Zone 정보를 일관성 있게 유지하기 위하여 사용하는 기능