(U-51/하) 리눅스 보안 계정 관리 계정이 존재하지 않은 GID 금지 IT몽상가

안녕하세요 IT몽상가입니다.

현재 지속적으로 유닉스 점검 항목 중에 계정 관리에 대해서 알아보고 있는데요.

이번에 확인해볼 점검 항목은 “계정이 존재하지 않은 GID 금지” 항목인데요

사실 해당 항목은 기존에 점검 방법과 현재 점검 방법이 조금 변경되었는데요.

변경 전에는 대부분의 서버에서 취약으로 판단 할 수 있었으나, 현재는 취약으로 판단 하기 많이 어려운 항목이 되었습니다.

그럼 해당 항목에 대해서 조금 더 자세히 알아보도록 하겠습니다.

– 계정이 존재하지 않는 GID 금지 점검 내용 및 목적

해당 점검항목은 그룹 설정 파일에 불필요한 그룹(계정이 존재하지 않고 시스템 관리나 운영에 사용되지 않은 그룹, 계정이 존재하고 시스템 관리나 운영에 사용되지 않은 그룹 등)이 존재하는지 점검하는 것인데요.

시스템에 불필요한 그룹이 존재하는지 점검하여 불필요한 그룹의 소유권으로 설정되어 있는 파일의 노출에 의해 발생할 수 있는 위험에 대한 대비가 되어 있는지 확인하는데요.

해당 점검 항목은 앞서 이야기 드린 것 처럼 초창기 점검시에는 거의 모든 서버의 취약점으로 판단하였으나 현재는 시스템 관리나 운영에 사용되지 않은 그룹 등이라는 항목으로 인해 취약으로 판단 할 수 있는 근거가 크지 않습니다.

계정이 존재하지 않는 그룹은 현재 사용되고 있는 그룹이 아닌 불필요한 그룹으로 삭제 조치가 필요한데요.

해당 점검항목은 사실 보안적인 취약부분이라기 보다는 관리적이 측면이 더 많다고 생각하면 될 거 같습니다.

그룹이 존재한다고 위협이 되는 경우는 많지 않습니다.

계정과 다른게 그룹관리를 통해서 권한을 부여 할 수 있으나, 사실 리눅스의 권한 관리는 파일에 직접적으로 설정하기에 해당 항목이 잘못되어 있다고 큰 위협이 되지는 않습니다.

해당 점검항목은 그룹에 불필요한 그룹이 존재하는지 그룹이 관리가 되고 있는지 확인하는 것인데요.

시스템 관리나 운영에 불필요한 그룹이 삭제 되어 있는 경우 그렇지 않은 경우를 판단하는데요.

이게 사실 운영에 불필요한 그룹이라는 것을 판단하기가 쉽지 않습니다.

자동으로 생성되는 것들이 대부분이기에 해당 항목이 확실히 불필요한 그룹이다 라고 하기가 쉽지 않습니다.

* 설정 방법

vi 편집기를 통해서 “/etc/group” 파일에서 불필요한 그룹을 삭제하는 것인데요.

초기의 진단 방법은 그룹은 존재하나 계정이 존재하지 않는 경우 취약으로 판단하고 있었으나, 현재는 불필요한 그룹에 대해서 진단하기에 취약으로 판단할 근거가 크지 않습니다.

* 점검 방법

#cat /etc/group 를 확인하고 불필요한 그룹으로 판단하는 것인데요.

사실 불필요한 그룹이라고 확인 하는게 쉽지 않습니다.

실제 서버에서 확인해 보겠는데요.

테스트 환경은 CentOS 7 버전에서 진행 됩니다.

이 처럼 그룹에 계정들이 존재하지 않는데요.

기존의 점검항목은 해당 부분을 점검하고 있었으나, 지금은 해당 그룹이 불필요한 그룹인지 확인하는 것으로 사실 불필요한 그룹이라고 판단하는게 쉽지 않게 되었죠

기존의 점검방법은 etc/passwd 파일에 계정과 group파일을 비교하여 진단하였으나, 현재는 따로 확인하지 않고 불필요한 그룹을 확인하고 있습니다.

“계정이 존재하지 않는 GID 금지”에 대해서 알아봤는데요.

해당 항목을 진단하는 과정에서 어떻게 진단해야 하는지 어떠한 근거로 취약으로 판단해야 하는지 정하기가 쉽지 않은데요.

거기에 점검항목의 판단기준이 변경되어 현재는 거의 취약으로 판단하는것이 쉽지 않게 되어 거의 대부분의 시스템은 현재 양호로 판단되고 있다고 보면 될 거 같습니다.