목차
안녕하세요 IT몽상가입니다.
리눅스 보안에 두번째 중 분류인 파일 및 디렉토리 관리에 대해서 알아보고 있는데요.
이번에 확인해보고자 하는 항목은 “/dev에 존재하지 않는 device 파일 점검” 항목인데요.
사실 현재 해당 폴더를 점검하는게 큰 의미가 없긴 합니다.
예전에 자주 사용되던 rootkit을 숨기는 던 곳으로 현재는 사실 많이 사용되지는 않습니다.
* rootkit : 시스템 침입 후 침입 사실을 숨긴 채 차후의 침입을 위한 백도어, 트로이목마 설치, 원격 접근, 내부 사용 흔적 삭제, 관리자 권한 획득 등 주로 불법적인 해킹에 사용되는 기능들을 제공하는 프로그램의 모음
– /dev에 존재하지 않는 device 파일 점검 내용 및 목적
존재하지 않는 device 파일 존재 여부 점검하는 것인데요.
실제 존재하지 않는 디바이스를 찾아 제거함으로써 root 파일 시스템 손상 및 다운 등의 문제를 방지하기 위해서 점검을 진행하는데요.
사실 현재 시스템에서 문제가 발생될 가능성은 극도로 낮습니다.
하지만 예전에 자주 사용하던 rootkit이 주로 /dev 폴더에 숨겨져 있었기에 해당 폴더를 점검한다고 생각하면 될거 같습니다.
– /dev에 존재하지 않는 device 파일 점검 보안 위협
공격자는 rootkit 설정 파일들을 서버 관리자가 쉽게 발견하지 못하도록 /dev에 device 파일인 것처럼 위장하는 수법을 많이 사용하기에 점검을 진행하는데요.
현재는 보안관제 및 방화벽 등으로 현실적으로 rootkit을 통한 공격은 쉽지 않긴 합니다.
또한 해당 폴더까지 접근도 쉽지 않은데요.
그렇기에 해당 폴더에 rootkit이 숨겨져 있을 가능성이 높지 않은데요.
하지만 오랜 기간 사용하던 공격 방법이기에 해당 폴더를 점검하는 것이 좋습니다.
* /dev 디렉터리 : 논리적인 장치 파일을 담고 있는 /dev 디렉터리는 /devices 디렉터리에 있는 물리적인 장치 파일에 대한 심볼릭 링크임.
– /dev에 존재하지 않는 device 파일 점검 방법 및 점검 방법
dev에 대한 파일 점검 후 조재하지 않은 device 파일을 제거한 경우에는 양호로 보는데요.
그렇지 않은 경우에는 취약으로 판단하고 있으나, 현실적으로 해당 부분으로 점검하는 것 자체가 거의 의미가 없긴합니다.
시스템에서 자동으로 설정되는 경우가 대부분이고 장애가 발생할 가능성이 매우 낮기에 해당 부분으로 점검하는게 의미가 크지 않습니다.
사실 해당 점검항목은 rootkit이 자주 숨겨저 있던 폴더이기에게 해당 부분을 점검하는 것으로 보는게 맞긴한데요.
그럼에도 너무 과도한 파일이 존재하거나 이상한 파일이 있는거 같으면 취약으로 판단하고 확인 받는것이 좋습니다.
- SOLARIS, LINUX, AIX, HP-UX
* 설정 방법
/dev 폴더를 점검하는데요.
해당 폴더에 불필요한 파일이나 잘못 설정되어 있는 경우 확인이 필요합니다.
불필요한 파일로 판단되는 경우 영향도를 확인하여 삭제하는것을 권고 합니다.
* 점검 방법
/dev 폴더에 일반 파일을 찾는데요.
해당 파일에서 확인되는 일반 파일은 주로 백도어로 판단 합니다.
find /dev –type f –exec ls –l {} \;
이렇게 검색하여 파일이 검색되는 경우 확인이 필요합니다.
– /dev에 존재하지 않는 device 파일 점검 확인 방법 및 점검 테스트
실제 서버에서 확인해 보겠는데요.
우선 테스트 환경은 제가 작성하였던 VMware 다운로드 및 설치 방법(무료 설치)와 CentOS Linux Containers 설치하기!를 참조하시면 됩니다.
테스트 환경은 CentOS 7 버전에서 진행 됩니다.
이렇게 dev 폴더에 다수의 파일이 존재하는데요.
하지만 해당 파일은 모두 디바이스 파일이라고 할 수 있는데요.
(*c : 문자 다바이스 파일(character Device file, 입출력 장치)
(*b : 블록 디바이스 파일(block Device file)
해당 명령어를 실행하면 다수의 파일이 검색되는데요.
해당 폴더는 이렇게 시스템 파일들만 존재합니다. 그렇지 않은 경우 확인이 필요한데요.
find /dev –type f –exec ls –l {} \;
해당 명령어를 입력하여 파일이 검색 되는 경우 확인이 필요합니다.
– 마무리
/dev에 존재하지 않는 device 파일 점검에 대해서 알아봤는데요.
사실 양호 판단 기준과 해당 항목을 점검하는 이유가 연결되지는 않는데요.
해당 항목을 점검하는 이유는 rootkit이 해당 폴더에 숨겨져 있는 경우가 많아서 점검하는 것이지만 가이드에서 이야기 하는 양호 취약 판단 기준이 차이가 있습니다.
가이드에서 이야기 하는 양호 판단 기준은 현재 시스템에서 취약한 기준을 보기 매우 힘들기에 판단기준을 해당 폴더에 불필요 파일 존재 여부는 점검하는것이 맞을거 같습니다.
