U-61(중) ftp 계정 shell 제한

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 Unix 점검 항목

■ 취약점 개요

○ 점검개요 : FTP 기본 계정에 쉘 설정 여부 점검

○ 점검목적 : FTP 서비스 설치 시 기본으로 생성되는 ftp 계정은 로그인이 필요하지 않은 계정으로 쉘을 제한하여 해당 계정으로의 시스템 접근을 차단

○ 보안위협 : 불필요한 기본 계정에 쉘(Shell)을 부여할 경우, 공격자에게 해당 계정이 노출되어 ftp 기본 계정으로 시스템 접근하여 공격이 가능

○ 점검대상 : SOLARIS, LINUX, AIX, HP-UX 등

○ 판단기준

- 양호 : FTP 계정에 /bin/false 쉘이 부여되어 있는 경우

- 취약 : FTP 계정에 /bin/false 쉘이 부여되어 있지 않은 경우

 

■ 점검방법

○ LINUX, AIX, HP-UX, SOLARIS

ftp 계정에 대한 /bin/false 부여 확인

 #cat /etc/passwd

  ftp:x:500:100:Anonymous FTP USER:/var/ftp:/sbin/bash

※ “passwd” 파일 내 로그인 쉘 설정이 “/bin/false”가 아닌 경우 조치방안에 따라 설정을 변경한다.

 

■ 조치방안

○ LINUX, AIX, HP-UX, SOLARIS

1. vi 편집기를 이용하여 "/etc/passwd" 파일 열기

2. ftp 계정의 로그인 쉘 부분인 계정 맨 마지막에 /bin/false 부여 및 변경

 (수정 전)ftp:x:500:100:Anonymous FTP USER:/var/ftp:/sbin/bash

 (수정 후)ftp:x:500:100:Anonymous FTP USER:/var/ftp:/bin/faIse

3. # usermod -s /bin/false [계정ID] 부여로 변경 가능

 ※Step 2로 적용이 되지 않을경우는 Step 3의 usermod 명령어를 사용하여 쉘 변경

 

■ 조치 시 영향

일반적인 경우 무관

 

■ 쉘(Shell)

○ 대화형 사용자 인터페이스로써, 운영체제(0S) 가장 외곽계층에 존재하여 사용자의 명령어를 이해하고 실행

■ 기반시설 시스템에서 ftp 서비스의 이용

○ 기반시설 시스템에서 ftp 서비스의 이용은 원칙적으로 금지하나, 부득이 해당 기능을 활용해야 하는 경우 shell 제한 등의 보안 조치를 반드시 적용

■ 관련 점검 항목

○ U-62(하), U-63(중)