본문 바로가기

서버보안

Telnet , SSH 접속 사용자에 대한 행위 추적 기능에 대한 고찰 Windows, Linux, Unix 등 서버엔 많은 관리자나 엔지니어들이 접속하여 관리를 수행한다. 여기서 "접속"이라 함은 일반적인 웹서비스나 일반 업무 프로그램을 통한 접속이 아니라 telnet, ssh, terminal service 등 서버의 관리를 위해 운영체제에서 기본적으로 제공하는 접속 환경을 말한다. SSH 혹은 telnet을 통해 Unix/Linux 서버에 접속하면 아래와 같은 화면이 표시된다. 이때부터 서버의 관리는 그 옛날 DOS시절보다 더 복잡한 명령어를 실행하거나 설정함으로써 이루어진다. 서버의 보안관리상의 문제는 여기서 부터 발생한다. 1. 누가(사람) 언제 어디서 접속하였는가 ? 2. 어떤 계정으로 접속하였는가 ? 3. 어떤 명령을 실행하였는가? 4. 명령 실행 후 어떤 결과.. 더보기
320 사태에 대한 나름대로의 분석 [보안사고사례분석] I. 사건 개요 2013년 3월20일 오후 12시 경 방송사와 금융기관의 내부 네트워크에 연결된 모든 PC를 공격하여 PC의 디스크 파괴를 통해 업무 전산망을 마비시키는 대형 보안사고가 발생하였음. l 발생일시 : 2013년 3월20일 오후 12시 ~ 14시 l 공격대상기업 : 3개 방송사(공중파 2개, 케이블 1개)와 3개 금융기관(1금융권) l 공격대상자원 : 기업 내부의 업무전산망에 연결된 모든 PC l 공격방법 : PC에 악성코드를 유포하여 PC내의 디스크 파괴 l 공격결과 : 기업 내부의 업무 전산망 마비로 인한 업무 마비 및 중요 데이터 파괴 II. 사건 분석 3월20일 발생한 보안사고는 다음과 같은 절차에 의해 수행된 것으로 보임. l 공격 대상 기업의 내부 전산망에 위치한 PC용 백신의 관.. 더보기
[서버보안정책가이드] 2. Unix / Linux 수퍼유저(root) 및 어플리케이션 관리자 계정 권한 분리 정책 Unix와 Linux 서버의 운영체제에서 보안을 위해 가장 주의해야하는 것은 바로 수퍼유저 계정, 즉 root 계정의 권한 탈취다. 만약 해커가 root 권한을 탈취한다면 해커는 서버에서 하고자 하는 모든 것을 할 수 있다. 해커가 root의 패스워드를 모르는데 어떻게 root 권한을 탈취할 수 있는가? Unix와 Linux 운영체제는 보안에 신경쓰지 않고 개발한 연구용 운영체제다. 그러다 보니 개발 과정에서 일반 사용자 계정에서 root 권한을 필요로 할 경우 root 의 패스워드 없이 root 권한을 얻을 수 있는 다음과 같은 기능을 넣었다. - 파일 퍼미션의 setuid bit에 의해 다른 계정의 권한을 임시로 얻는 기능 - 프로그램 내에서 setuid() 함수를 실행하여 현재 실행중인 프로세스의 .. 더보기
[서버보안정책가이드] 1. Unix / Linux 운영체제의 계정 통제 정책 최근 발생한 현대캐피탈과 농협 그리고 이번 KBS, MBC, YTN, 신한은행, 농협의 치명적인 보안사고로 인해 금융산업분야 뿐만 아니라 비지니스를 위해 혹은 전산시스템이 비즈니스 그 자체인 많은 기업과 공공기관에 초비상이 걸렸다. 덕분에 나도 너무 많이 바빠진 사람중의 하나가 되었다. 하지만 Unix/Linux 운영체제는 자체적인 보안기능이 매우 부족하다. Unix/Linux가 애초부터 “보안”을 염두에 두고 개발한 운영체제가 아니기 때문에 운영체제 자체적으로 엄청나게 많은 관리적/기술적 취약성을 갖고 있다. 기술적 취약성 중 일부는 운영체제의 설정을 변경하여 보완할 수도 있지만 근본적으로 한계를 갖고 있으며 관리적 취약성은 운영체제 차원에서는 대응할 수 있는 방안이 없다. 그래서 공공기관 및 금융부문.. 더보기
밤사이 밝혀진 방송사 해킹사고의 취약점은 안랩의 백신관리서버 였다. 밤사이 부지런한 분석가들로 인해 KBS, MBC, YTN 그리고 일부 금융사 해킹으로 인한 전산시스템 다운의 원인이 밝혀진듯 하다. 원인은 각 사에서 사용하는 PMS 서버에 PC로 배포할 프로그램으로 위장하여 침투하고 정해진 시간에 일거에 동작하여 장애를 유발 시킨 지응적인 APT 공격으로 밝혀지는 듯 하다. PMS (Patch Management System) ??? 그리고 PMS의 취약점은 ?? Windows에는 제어판의 프로그램 추가/제거 기능이 있고 이 기능은 Windows 자체의 버그패치와 보안패치 그리고 windows 자체의 프로그램 설치와 제거를 할 수 있는 일종의 모듈관리 기능을 갖고 있다. 하지만 일반인 수준의 사용자들은 Windows 자체의 버그패치나 보안 패치를 잘 하지 않는다는 점에.. 더보기
[보안사고사례] KBS, MBC, YTN 의 전산망 마비 사태 2013년 3월 20일... 또 보안사고 역사에 길이(?) 남을 만한 보안사고가 발생했다. 조금은 특이한 형태의 공격인 듯 한데 KBS, MBC, YTN 3개 방송사의 내부 전산망이 일시에 다운이 된 사고다. 그런데 이 표현 "방송사 내부 전산망이 일시에 다운"이라는 표현은 참으로 무지한 표현이다. "전산망" 이라함은 "서버와 서버 혹은 서버와 PC를 연결하는 Network"를 일컫는 표현이다. DDOS와 같은 공격에 장애가 발생할 경우 "전산망" 공격이라는 표현이 옳은 표현이겠지만 이번의 경우는 "전산망 다운"이라고 부르면 안된다고 생각된다. "KBS, MBC, YTN" 공격의 특징 여기 저기서 들려오는 소문과 객관적 사실들을 정리해보면 1. KBS 아나운서의 트위터 : 오후 2시경 갑자기 PC가 리부.. 더보기
APT 공격 방어를 위해 공인인증을 연동한 서버 접근제어 구현 보안 강화의 어려움 보안 업계에서 일하면서 느끼는 것 중 하나가 유독 보안업계에는 서버나 네트워크 혹은 업무 시스템의 개발과 구축 경험을 가지지 않은 "보안 전문가"가 많다는 것이다. 그러다 보니 "보안"을 문서나 말로만 하는 사람들이 많고 실제 서비스 운영이나 업무 영역의 소프트웨어를 개발하는 실무자들과 트러블이 많아진다. 우리나라 IT 분야의 특성 상 보안 업무는 개발이나 운영 그리고 IT 시스템을 사용하는 비지니스 업무 담당자들로부터 "방해꾼"의 오명을 뒤집어 쓰는 경우가 많다. 당연히 보안 실무자들의 업무 수행은 어려워질 수 밖에 없다. 가뜩이나 "보안을 강화하면 현업 업무가 불편하고 어려워진다" 는 인식이 강한데다 현업 업무 담당자들이나 업무 시스템 개발자, 운영자들이 볼 때는 현업 업무도 모르.. 더보기
[2 factor 인증] 공인인증서/OTP/ARS를 이용한 자연인 기반의 서버 접근제어(텔넷, SSH, FTP 등) 기법 2011년에 발생한 굵직 굵직한 보안사고를 자세히 살펴보면 두가지 형태의 보안사고로 나뉘는 것을 알 수 있다. 첫째는 개인정보를 획득하기 위해 인터넷에 공개된 웹서버를 공격하여 서버에 침투한 뒤 개인정보를 탈취하는 형태의 전통적인 해킹이고.... 둘째는 다양한 기법을 이용하여 내부의 PC를 거점으로 확보하고 그 PC를 이용하여 내부의 서버에 침투하는 해킹을 수행하는 APT 공격이다. 그 중에서도 두번째의 APT 공격은 사회공학적 기법의 해킹 기술부터 최신 해킹기술을 총 망라하여 지속적으로 해킹을 시도하는 무척이나 지능적인 공격기법이다. APT 공격의 특징은 직접 서버를 공격하지 않는데 있다. 외부에서 내부망에 존재하는 수많은 PC들 중 보안에 취약한 특정 PC를 해킹하고 해킹된 PC를 이용해 서버에 접근.. 더보기
[네이트닷컴 해킹] SK컴즈의 3500만명 개인정보 해킹사고, 암호화된 패스워드가 3초만에 해킹된다. 즉시 비번 변경해야 한다~!! 2011년 7월 26일, 대한민국 IT 역사상 최대 규모의 개인정보 해킹 사고가 발생했다. 대한민국의 중딩(?) 이상 국민이라면 하나쯤 ID를 갖고 있는 네이트닷컴과 싸이월드에서 발생한 보안사고 이기에 그 심리적인 충격은 상상하기 어려울 만큼 크다. "공지확인"을 타고 들어가면 다음과 같이 개인정보 유출 여부를 확인할 수 있다. 아무짝에도 쓸모없는 패스워드 암호화 ? SK컴즈는 유출된 정보에 ID와 패스워드가 포함되어 있으나 패스워드는 암호화되어 있으므로 아무문제가 없다고 말한다. 하지만 SBS의 기자가 테스트한 결과 숫자와 알파벳으로 구성된 6자리의 패스워드의 경우 짧으면 3초, 길면 30여초 내에 패스워드를 확인할 수 있다고 한다. (남들 다 쓰는 단순한 hashing알고리즘만을 썼다면 당연한 결과다.. 더보기
[HP-UX 11.23 이상] IP Filter Enable 하기 최신 Unix 운영체제들은 서버의 보안을 강화하기 위해 내부적으로 Firewall Module을 기본적으로 탑재하고 있다. Solaris, HP-UX와 같은 상용 Unix의 경우 오픈소스인 IP Filter를 자신들의 운영체제에 최적화하여 기본 운영체제 패키지 안에 포함시켜 설치되도록 하고 있다. HP-UX에도 기본적으로 탑재되어 있는 IPF는 무척 강력한 패킷필터링 기능을 갖고 있으며 다양한 옵션에 의해 상용 네트워크 방화벽 못지않은 성능을 발휘한다. IPF를 사용하기 위해서는 다음 두 개의 서비스모듈이 커널에 로드되어야 한다. - ipf - pfil 이 두개의 커널모듈이 커널에 적재(load)되어 있는지 여부는 kcmodule 명령으로 확인할 수 있다. (HPUX 11.23 이상) 이 두개의 커널모듈.. 더보기
농협의 서버 해킹이 북한의 소행이라고 볼 수 없는 이유 농협의 보안 사고에 대한 검찰의 수사 결과가 어처구니 없게도 "북한의 소행"으로 몰려가는 듯 한 분위기다. 대부분의 전산 전문가들은 검찰의 수사 결과에 고개를 갸우뚱~~하고 있지만 누구도 대놓고 의문제기를 하지 못하고 있다. 그랬다간.... 빨간 딱지가 터억~~하고 붙여질 것이 뻔하기 때문이다. 자칫, 21세기에 20세기 중반 미국에서 일었던 "메카시 광풍"이 다시 일어날지도 모른다는 내 기우가 그저 기우로 그치기를 바랄 뿐이다. 만약 농협 서버들의 보안사고가 진정 북한의 소행이라면 우리나라의 주요 대북 기밀정보가 보유되어 있는 정부기관과 금융기관의 시스템들은 이미 북한이 대부분 훓고 지나갔다고 볼 수 있다. 그만큼 농협에서 발생한 서버 침투 및 파일 삭제를 중국을 거치는 인터넷을 통해 외부에서 자행한 .. 더보기
금융업계의 보안 수준을 짐작케하는 현대캐피탈 해킹 사건(2011년 4월) 또한 번의 보안사고가 전산업계를 뒤흔들고 있다. 하지만 이전의 보안사고들과는 달리 외부(인터넷을 통해)에서 침입하여 현대캐피탈 고객 42만명의 개인정보는 물론 일부 금융정보까지 빼내어간 완벽(?)한 해킹사고라는 점에서 충격의 여파는 상당히 크고 오래 지속될 것으로 보인다. 비록 1금융권이 아닌 대출전문 캐피탈 업체이긴 하지만 업계 1위의 업체인데다가 "현대그룹" 이라는 간판으로 인해 1금융권도 보안에 취약한 것이 아니냐는 우려마저 나오고 있다. = 대캐피탈 해킹사건의 전말. (이데일리 기사 발췌)= ◇ 해킹 피해 `42만명+α`..신용정보도 새나가 현대캐피탈 고객정보보호를 담당하는 황유노 부사장은 10일 서울 여의도 본사에서 열린 기자회견에서 "해킹 당한 고객 정보가 더 있을 수 있다고 판단하고 있다"고.. 더보기