[클라우드 취약점 진단-XenServer] 30. syslog 전송 포트 차단

4. 하이퍼바이저 정책 설정

30. syslog 전송 포트 차단

가. 상세 설명

UDP 514 Port는 Remote로 Syslog를 전송하는 Port로 사용되며, 사용 시 보안상 취약하며, 서비스 포트가 열려있으면 침해사고의 위험성이 있다. Remote Log 서버를 사용하지 않을 경우 Syslog 전송 Port 차단을 권고한다.

 

나. 진단기준

양호 : Remote Log 서버를 사용하지 않을 경우 Syslog 전송 Port 차단한 경우

취약 : Remote Log 서버를 사용하지 않고 UDP 514 Port를 사용 중인 경우

 

다. 진단방법

<XenServer>

■ syslog 전송 포트 차단 설정 확인

1) 인터뷰를 통해 Remote Log 서버 사용 유무 확인

2) udp514 포트 확인

# netstat -an | grep "udp" 또는 # netstat -an | grep " udp" | egrep "514"

 

 

라. 조치방안

<XenServer>

■ Remote Log 서버 필요 시

1) Remote Log 사용 시 보안담당자 및 담당 매니저와의 협의 필요

 

■ Remote Log 서버 불필요 시

1) Syslog.conf 파일 수정("/etc/sysconfig/syslog" 파일에 "SYSLOGD_OPTIONS"의 "-r" 옵션 삭제)

# vi /etc/sysconfig/syslog
SYSLOGD_OPTIONS="-m 0“

 

 

마. 참고사항

■ 버전 7, 8으I 경우 "/etc/rsyslog.conf" 파일에서 확인 및 설정