시스템 보안에 대한 6가지 보안 주제
- 계정과 패스워드 관리
- 세션 관리
- 접근 제어
- 권한 관리
- 로그 관리
- 취약점 관리
세션 관리
사용자와 시스템, 시스템과 시스템 간의 접속에 대한 관리 사용자 ---(로그인)---> 시스템
일정 시간이 지나면 자동으로 세션을 종료하고 비안가자에 의한 세션 가로채기를 차단
접근 제어(Access Control)
시스템 또는 서비스가 공격자로 부터 적절히 보호될수 있도록 네트워크 관점에서 접근 통제
권한 관리
시스템의 각 사용자가 적절한 권한으로 적절한 정보 자산을 접근할 수 있도록 통제
로그 관리
시스템 또는 네트워크를 통한 외부에서 시스템에 영향을 미칠 경우 해당 사항을 기록
취약점 관리
시스템 자체의 결함을 체게적으로 관리하는 것이 중요
1. 계정과 패스워드 관리
- 계정과 패스워드 관리
- 세션 관리
- 접근 제어
- 권한 관리
- 로그 관리
- 취약점 관리
사용자 계정과 패스워드 ---> 가장 기본적인 인증 수단
패스워드 보안의 4가지 인증 방법
- 알고 있는 것(Something You know)
-> 알고 있는 정보를 이용하여 인증하는 방법 (EX : password) - 가지고 있는 것(Something You Have)
-> 신분증이나 OTP(One Time Password) 장치를 통한 인증 방법 (EX : 출입카드) - 스스로의 모습(Something You Are)
-> 생체 정보를 통해 인증하는 방법 (EX : 지문인식, 홍채인식) - 위치하는 곳(Something You Are)
-> 현재 접속을 시도하는 위치의 적절성 판단 (EX : 콜백)
계정관리
- 운영체제 계정 관리
- 데이터베이스 계정 관리
- 응용프로그램 계정 관리
- 네트워크/보안 장비의 계정 관리
- 약한 패스워드 사용 금지
- 길이가 너무 짧거나 널(NULL) 패스워드 점검
- 사전에 나오는 단어나 이들의 조합
- 키보드 자판의 일련 나열
- 사용자 계정 종보로 유추 가능한 단어들 - 좋은 패스워드
- 기억하기 쉽고, 크래킹하기 어려운 패스워드 - 패스워드 관리 정책 설정
- 패스워드 설정 정책
(EX : 패스워드 최소 길이와 복잡도 설정)
- 패스워드 변경 정책
(EX : 60일 또는 90일에 한번씩 패스워드 변경)
- 잘못된 패스워드 입력시 계정 잠금
(EX : 반복적인 잘못된 패스워드 입력에 대한 계정 잠금 기능 설정)
2. 세션(Session) 관리
- 계정과 패스워드 관리
- 세션 관리
- 접근 제어
- 권한 관리
- 로그 관리
- 취약점 관리
세션 관리
사용자와 시스템, 시스템과 시스템 간의 접속에 대한 관리 사용자 ---(로그인)---> 시스템
일정 시간이 지나면 자동으로 세션을 종료하고 비안가자에 의한 세션 가로채기를 차단
- 사용자와 컴퓨터 또는 두 컴퓨터 간의 활성화된 접속
- 세션에 대한 지속적 인증(Continuous Authentication)
- 지속적 점검, 세션 점검
3. 접근 제어
- 계정과 패스워드 관리
- 세션 관리
- 접근 제어
- 권한 관리
- 로그 관리
- 취약점 관리
접근 제어(Access Control)
시스템 또는 서비스가 공격자로 부터 적절히 보호될수 있도록 네트워크 관점에서 접근 통제
- 적절한 권한을 가진 사용자만 특정 시스템이나 정보에 접근할 수 있도록 접근 통제
- 시스템 이나 네트워크에 대한 접근 제어에 기본은 IP와 서비스 포트 제어
-> 호스트 접근 제어, 사용자 접근 제어
호스트/네트워크 접근제어 - 운영체제 접근 제어 (OS Firewall, tcp_wrappers)
- 데이터베이스 접근 제어 (Oracle(Sqlnet.tra))
- 응용 프로그램 접근 제어 (Firewall, 각 서비스 설정 파일)
- 네트워크 장비 접근 제어 (ACL)
사용자 접근 제어 - 각 서비스에 해당하는 설정파일에 존재
4. 로그 관리
- 계정과 패스워드 관리
- 세션 관리
- 접근 제어
- 권한 관리
- 로그 관리
- 취약점 관리
로그 관리
시스템 또는 네트워크를 통한 외부에서 시스템에 영향을 미칠 경우 해당 사항을 기록
운영체제 로그 관리
데이터베이스 로그 관리
응용 프로그램 로그 관리
네트워크 장비 로그 관리
(통합 로그 관리 시스템(SIEM{Security Information and Event Management}_)
5. 취약점 관리
패치 관리(최신버전 유지x , 프로그램에 대한 오류발생 할 수 있음. 안정성을 우선시)
응용 프로그램별 위험 관리
응용 프로그램을 통한 정보 수집 제한
참고 사이트
http://www.kisa.or.kr/public/laws/laws3.jsp
주요정보통신기반시설.pdf
05_(부록)취약점 분석평가 기술적 점검항목 설명서.pdf
'Learning > └◆리눅스 서버 보안' 카테고리의 다른 글
| 01_패스워드 최소 길이 설정_Password Aging (0) | 2017.02.17 |
|---|---|
| 리눅스 서버 보안 04_주요정보통신기반시설_패스워드 (0) | 2017.02.16 |
| 리눅스 서버 보안 03_주요정보통신기반시설_계정관리 (0) | 2017.02.16 |
| 리눅스 서버 보안 02_ 리눅스 서버 점검 가이드 예제 (0) | 2017.02.16 |
