[U-45 (하)] 1. 계정관리 > 1.6 root 계정 su 제한

by SS_StudySteadily 2024. 1. 20. 18:29

728x90

점검내용

su 명령어 사용을 허용하는 사용자를 지정한 그룹이 설정되어 있는지 점검

점검목적

su 관련 그룹만 su 명령어 사용 권한이 부여되어 있는지 점검하여 su 그룹에 포함되지 않은 일반 사용자의 su 명령 사용을 원천적으로 차단하는지 확인하기 위함

보안위협

무분별한 사용자 변경으로 타 사용자 소유의 파일을 변경할 수 있으며 root 계정으로 변경하는 경우 관리자 권한을 획득할 수 있음

점검대상 및 판단기준

■ 대상 : SOLARIS, LINUX, AIX, HP-UX 등

■ 판단기준

양호 : su 명령어를 특정 그룹에 속한 사용자만 사용하도록 제한되어 있는 경우
※ 일반사용자 계정 없이 root 계정만 사용하는 경우 su 명령어 사용제한 불필요
취약 : su 명령어를 모든 사용자가 사용하도록 설정되어 있는 경우

■ 조치방법

일반 사용자의 su 명령 사용 제한
- Step 1) Group 생성(생성할 그룹 요청, 일반적으로 wheel 사용)
- Step 2) su 명령어의 그룹을 su 명령어 허용할 그룹으로 변경
- Step 3) su 명령어의 권한 변경(4750)
- Step 4) su 명령어 사용이 필요한 계정을 새로 생성한 그룹에 추가(추가할 계정 요청)

※ LINUX의 경우, PAM(Pluggable Authentication Module)을 이용한 설정 가능

PAM(Pluggable Authentication Module): 사용자를 인증하고 그 사용자의 서비스에 대한 액세스를 제어하는 모듈화 된 방법을 말하며, PAM은 관리자가 응용프로그램들의 사용자 인증 방법을 선택할 수 있도록 해줌

점검 및 조치 사례

OS별 점검 파일 위치 및 점검 방법
SOLARIS, LINUX, AIX, HP-UX	Step 1) “wheel” 그룹 (su 명령어 사용 그룹) 및 그룹 내 구성원 존재 여부 확인 #cat /etc/group wheel:x:10:root,admin Step 2) wheel 그룹이 su 명령어를 사용할 수 있는지 설정 여부 확인 [SOLARIS] #ls –al /usr/bin/su #chgrp security su #chmod 4750 su [AIX] #cat /etc/security/user ---> default의 “sugroup=staff” 설정 확인 [HP-UX] #vi /etc/default/security ---> SU_ROOT_GROUP=wheel 설정 확인 Step 3) 파일 권한 확인 #ls –l /usr/bin/su -rwsr-x--- /usr/bin/su (파일 권한이 4750인 경우 양호)
LINUX PAM 모듈 이용 시	Step 1) “wheel” 그룹 (su 명령어 사용 그룹) 및 그룹 내 구성원 존재 여부 확인 #cat /etc/group wheel:x:10:root,admin Step2) 허용 그룹 (su 명령어 사용 그룹) 설정 여부 확인 #cat /etc/pam.d/su auth required /lib/security/pam_wheel.so debug group=wheel 또는, auth required /lib/security/$ISA/pam_wheel.so use_id
위에 제시한 설정이 적용되지 않은 경우 아래의 보안설정방법에 따라 설정을 변경함

■ SOLARIS, LINUX, HP-UX

Step 1) wheel group 생성 (wheel 그룹이 존재하지 않는 경우)
#groupadd wheel
Step 2) su 명령어 그룹 변경
#chgrp wheel /usr/bin/su
Step 3) su 명령어 사용권한 변경
#chmod 4750 /usr/bin/su
Step 4) wheel 그룹에 su 명령 허용 계정 등록
#usermod –G wheel
또는, 직접 /etc/group 파일을 수정하여 필요한 계정 등록
wheel:x:10: -> wheel:x:10:root,admin

■ AIX

Step 1) wheel group 생성(wheel 그룹이 존재하지 않는 경우)
#mkgroup wheel
Step 2) su 명령어 그룹 변경
#chgrp wheel /usr/bin/su
Step 3) su 명령어 사용권한 변경
#chmod 4750 /usr/bin/su
Step 4) wheel 그룹에 su 명령 허용 계정 등록
#chgroup users= wheel
(예) chgroup users=admin wheel

■ LINUX PAM 모듈을 이용한 설정 방법

Step 1) “/etc/pam.d/su” 파일을 아래와 같이 설정(주석제거)
auth sufficient /lib/security/pam_rootok.so
auth required /lib/security/pam_wheel.so debug group=wheel 또는,
auth sufficient /lib/security/$ISA/pam_rootok.so
auth required /lib/security/$ISA/pam_wheel.so use_uid
Step 2) wheel 그룹에 su 명령어를 사용할 사용자 추가
#usermod –G wheel
또는, 직접 “/etc/group” 파일을 수정하여 필요한 계정 추가
wheel:x:10: -> wheel:x:10:root,admin

조치 시 영향

실습

sudo groupadd wheel

sudo chgrp wheel /usr/bin/su

chmod 4750 /usr/bin/su

usermod –G wheel <name>

진단결과

양호 : su 명령어를 특정 그룹에 속한 사용자만 사용하도록 제한되어 있는 경우

728x90