N-07(중) VTY 접속 시 안전한 프로토콜 사용

※ 해당 가이드는 2017년 기준입니다.

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 네트워크 장비 점검 항목

■ 취약점 개요

○ 점검개요 : 네트워크 장비 정책에 암호화 프로토콜(ssh)을 이용한 터미널 접근만 허용하도록 설정되어 있는지 점검

○ 점검목적 : 암호화 프로토콜을 이용한 터미널 접근만 허용하도록 설정되어 있는지 점검하여 네트워크 터미널 접근 시 전송되는 데이터의 스니핑 공격에 대한 대비가 되어 있는지 확인

○ 보안위협 : 암호화 프로토콜이 아닌 평문 프로토콜(telnet)을 이용하여 네트워크 장비에 접근할 경우, 네트워크 스니핑 공격에 의해 관리자 계정 정보(계정, 패스워드)가 비인가자에게 유출될 위험이 존재

○ 점검대상 : CISCO, Alteon, Juniper 등

○ 판단기준

- 양호 : 장비 정책에 VTY 접근 시 암호화 프로토콜(ssh) 이용한 접근만 허용하고 있는 경우

- 취약 : 장비 정책에 VTY 접근 시 평문 프로토콜(telnet) 이용한 접근을 허용하고 있는 경우

 

■ 점검방법

○ 장비별 점검방법 예시

CISCO	Router# show ip ssh SSH Enabled - version 1.5 Authentication timeout: 120 secs; Authentication retries: 3(활성화) %SSH has not been enabled (비활성화) SSH 활성화 확인
Alteon	/sys/sshd에서 SSH 활성화 확인
Juniper	user@juniper# set ssh SSH 버전 확인

 

■ 조치방안

○ CISCO

Step 1

SSH 설정 방법 사전 작업 : 라우터명, 도메인명 설정   Router# config terminal Router (config) # hostname〈호스트명〉 Router(config)# ip domain-name < 도메인명〉 Router(config)# username <ID> password <PASS> Router(config)# crypto key generate rsa ! How many bits in the modulus [512] : 1024 <- 입력 ! Router(config)# ip ssh time-out [초] <- timeout 시간 (단위: second) Router (config) # ip ssh authentication-retries [횟수] <- 재시도 횟수 Router (config) # line vty 0 4 Router(config-line)# login local Router(config-line)# transport input ssh

Step 2

SSH 접속 SSH 접속 프로그램 사용   # ssh -c rsa –l <ID> <라우터IP>

Step 1

SSH 설정 방법 사전 작업 : 라우터명, 도메인명 설정   Router# config terminal Router (config) # hostname〈호스트명〉 Router(config)# ip domain-name < 도메인명〉 Router(config)# username <ID> password <PASS> Router(config)# crypto key generate rsa ! How many bits in the modulus [512] : 1024 <- 입력 ! Router(config)# ip ssh time-out [초] <- timeout 시간 (단위: second) Router (config) # ip ssh authentication-retries [횟수] <- 재시도 횟수 Router (config) # line vty 0 4 Router(config-line)# login local Router(config-line)# transport input ssh

Step 2

SSH 접속 SSH 접속 프로그램 사용   # ssh -c rsa –l <ID> <라우터IP>

○ Alteon

Step 1

SSH 설정 방법   switch로 접속   # cfg   # /sys/sshd ena   # /sys/sshd on   # apply   # save

○ Juniper

Step 1	SSH 버전 확인   user@juniper# set ssh
Step 2	services로 검색하여 ssh를 사용하지 않을 경우 접속 가능 IP를 제한   user@juniper> configure [edit] user@juniper# set ssh enable

 

■ 조치 시 영향

일반적으로 무관

 

■ 스니핑(Sniffing) 공격

○ 스니퍼(Sniffer)는 "컴퓨터 네트워크상에 흘러 다니는 트래픽을 엿듣는 도청장치”라고 말할 수 있으며 "스니핑”이란 이러한 스니퍼를 이용하여 네트워크상의 데이터를 도청하는 행위