SSH를 돌리면 /var/log/secure 에 22번포트로 접속시도가 많이 보인다. 부적절하게 접속시도하는 IP 들을 자동으로 차단하는 스크립트를 만들어 보겠다.

과정은 /var/log/secure 에서 불량 ssh 접속 ip를 추려내서 /etc/hosts.deny 에 등록된다.

# grep "Failed password for" /var/log/secure | egrep -v "invalid user" | egrep -v "{USERID}|{LOGINIP}" | awk '{ print $11}' | uniq | sed "s/^/all:/" > /root/ssh-login-ip
# grep "Failed password for invalid user" /var/log/secure.1 | awk '{ print $13}' | uniq | sed "s/^/all:/" >> /root/ssh-login-ip

[위의 명령어 설명]    USERID=관리자 ssh 접속계정  LOGINIP=관리자 ssh접속계정의 공인 ip  :  직접 입력해야함.

-------------------------------------------------------------------------------------------------------------

grep "Failed password for" /var/log/secure     : /var/log/secure 파일 내에서 "Failed password for" 문장이 들어간 행만 뽑아냄

egrep -v "invalid user"   : 위 결과에서 "invalid user" , "USERID" , "LOGINIP" 가 들어간 부분은 제외

egrep -v "{USERID}|{LOGINIP}"   : 위 결과에서 관리상 필요에 의해 접속했던 계정, IP는 제외

awk '{print $11}'    : 위 결과에서 각 행마다 11번째 문장을 뽑아냄  -> 비정상 IP

uniq     : 중복된 문장을 하나씩만 출력

sed "s/^/all:/" > /root/ssh-login-ip   : 각 행의 맨 앞에 "all:" 을 입력 후 /root/ssh-login-ip 파일에 저장

grep "Failed password for invalid user" /var/log/secure.1     : var/log/secure.1 파일에서 "Failed .... user" 문장이 들어간 행만 추출

awk '{print $13}'     : 각 행마다 11번째 문장만 뽑아냄  ->  비정상 IP

>> /root/ssh-login-ip     : 위의 /root/ssh-login-ip 파일에 뒤이어 내용을 첨가함

-------------------------------------------------------------------------------------------------------------

# cat /root/ssh-login-ip /etc/hosts.deny | sort  | uniq >> /root/hosts.deny      : hosts.deny에 블럭킹할 ip 등록

▶crontab 등록

# crontab -e

------------------------------------------------------------------------------------------------------------------

05,15,25,35,45,55 * * * * grep "Failed password for" /var/log/secure | egrep -v "invalid user" | egrep -v "{USERID} | {LOGINIP}" | awk '{ print $11}' | uniq | sed "s/^/all:/" > /root/ssh-login-ip

06,16,26,36,46,56 * * * * cat /root/ssh-login-ip /etc/hosts.deny | sort | uniq > /root/hosts.deny

07,17,27,37,47,57 * * * * cp /root/hosts.deny /etc/hosts.deny

-------------------------------------------------------------------------------------------------------------------

계속 그래 왔지만 왠지 느낌이 요즘에 더 비번히 발생하는듯하네요.

하루도 안쉬고 들어오는 ssh 접근시도 머 얻어갈것도 없는 서버에 왜이리 접근을 하는지

디스크 공간만 잡아먹고 참 불필요한 행위가 서버로 계속시도 되고 있습니다.

ssh 스캔 공격을 막는 방법은 포트를 변경한다던지 여러가지 방법이 나와 있지요.

iptables의 recent 라는 모듈을 이용해 차단하는 방법입니다.

[iptables] SSH 스캔(접속시도) 공격 차단 룰 - recent 모듈 이용

----------------------------------------------------------------------------------------------
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set --name SSHSCAN
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 10 --rttl --name SSHSCAN -j LOG --log-prefix SSH_Scan:
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 10 --rttl --name SSHSCAN -j DROP
----------------------------------------------------------------------------------------------

위 룰에 필요한 입맛대로 수정 가능.

[출처] 365매니지드 (http://community.365managed.com/865)

10분간의 로그 중 20회 이상 Fail Password를 발생시킨 아이피를 차단한다.

php 스크립트로 작성.

동작원리
1. /var/log/secure 파일에서 10분전의 로그 추출.
2. 아이피 별로 갯수 통계
3. 한 아이피에서 20회 이상 sshd로 비밀번호가 틀렸다면 /etc/hosts.deny에 "ALL : 아이피"의 형태로 저장
4. xinetd 데몬 재시작
5. 등록한 아이피 목록을 메일 주소로 발송

실행
./secure_analysis.sh sshd

crontab 등록
*/10 * * * * /경로명/secure_analysis.sh sshd

소스
#!/usr/local/php/bin/php
<?
//개요
// secure log를 분석해서 sshd로 불법적인 접속을 시도하는 IP를 /etc/hosts.deny에 등록하는 작업을 한다.
// Log Example : Jun 5 07:48:18 p1 sshd[1110]: Failed password for root from 211.114.190.196 port 52944 ssh2
// 추출 명령어 : grep "Jun 7 09" secure | grep "sshd" | grep "Failed password" | awk -F "from" '{print $2}' | awk '{print $1}'
// 지정된 입력값을 입력하지 않으면 실행하지 않는다.
 
if ($argc > 1) {
        $RECEIVE_EMAIL = "withsky@withsky.co.kr";
        $Hostname = trim(exec("hostname"));
        $Date = date("Y-m-d H:i:s");
        // 10분전 분을 구한다.
        $TenAgo = substr(date("i",mktime(date("H"), date("i")-10, 0, date("m"), date("d"), date("Y"))), 0, 1);
        if (!file_exists("/var/log/sshd_log")) {
                exec("mkdir -p /var/log/sshd_log");
        }
        if (!file_exists("/var/log/sshd_log/secure_analysis.log")) {
                exec("touch /var/log/sshd_log/secure_analysis.log");
        }
        // 날짜에 따라서 검색어의 공백처리가 틀린 관계로...
        $DayLength = strlen(date("j"));
        if ($DayLength == 2) {
                $now = date("M j H:");
        } else {
                $now = date("M j H:");
        }
        if ($argv[1] == "sshd") {
                exec("grep "$now$TenAgo" /var/log/secure | grep "sshd" | grep "Failed password" | awk -F "from" '{print $1}' > /var/log/sshd_log/secure_log_".$argv[1]);
        }
        $Fail_IP_File = file("/var/log/sshd_log/secure_log_".$argv[1]);
        for ($i = 0; $i < count($Fail_IP_File); $i++) {
                $Fail_IP_File[$i] = trim($Fail_IP_File[$i]);
        }
        $Fail_Statistics = array_count_values($Fail_IP_File);
        exec("echo "" > /var/log/sshd_log/denyIP.list_".$argv[1]);
        while (list ($Ip, $Count) = each ($Fail_Statistics)) {
                // 여기의 20을 수정하여 등록을 조절 할 수 있다.
                if ($Count > 20) {
                        $Now_Time = date("Y년 m월 d일 H시 i분 s초");
                        exec("echo "#Regist $Now_Time" >> /etc/hosts.deny");
                        exec("echo "ALL : $Ip" >> /etc/hosts.deny");
                        $Restart_Xinetd = 1;
                        exec("echo "$Now_Time | $Ip | $Count 회" >> /var/log/sshd_log/denyIP.list_".$argv[1]);
                }
                exec("echo "$Datet$Ipt$Count" >> /var/log/sshd_log/secure_analysis.log");
        }
        if ($Restart_Xinetd) {
                exec("killall -HUP xinetd");
                exec("cat "/var/log/sshd_log/denyIP.list_".$argv[1]."" | mail -s "$Hostname Deny IP LIST - $Date " $RECEIVE_EMAIL");
        }
} else {
        echo("Missing Argument... Confirm Execute...n");
}
?>

[출처] 밍구's life (http://blog.withsky.co.kr/152)

1. SUID 점검하기.(root 소유의 SetUID및 SetGID 파일들 점검

    find / -user root -perm -4000 -print (SetUID)
    find / -user root -perm -2000 -print (SetGID)
    find / -user root -perm -4000 -print -xdev

2. 파티션별 디스크사용량 점검
    df -h

3. 파일무결성 점검.

    http://weblog.websea.co.kr/tripwire/tripwire

4. 백도어 설치여부 점검.(/dev 체크 및 rootkit 점검)

    find /dev -type f -exec ls -l {} ;
    ./chkrootkit
    
5. 현재 열려진 포트 및 응답가능한 포트 점검.

    netstat -atp | grep LISTEN (사용 프로토콜 : TCP인가? 또는 UDP인가?
           사용중인 포트번호
           서버와 연결된 IP 및 도메인명
           생성 PID
           서비스중인 프로세스명
           현재 응답가능상태인가?
    lsof | grep LISTEN(현재 서비스 중인 프로세스명(데몬명)
               현재 생성중인 PID번호.
           현재 서비스중인 프로세스의 소유자
           프로토콜 버전 : Ipv4 또는 Ipv6
           TCP 또는 UDP의 여부
           응답가능 상태인가?

6. 실생중인 프로세스 및 데몬점검.(프로세스의 생성관계)

    pstree

7. 시스템 운용상황 점검.

   top -d2

8. 백업점검.

   /home2/backup/nexfor/
   /home2/backup/websea/

9. 스팸메일 점검.(메일큐 디렉토리 점검)

  /var/spool/mqueue    (동일한 날짜, 동일한 사이즈를 가진 다수 파일구분)

10. Core 점검.

 서버내에 긴급한 이상이 발생하였을 경우나 시스템의 정확한 분석을 위해
 서버의 메모리 상태를 순간적으로 dump 받는 경우의 파일
  find / -name core -exec ls -l {} ;
  
11. 파일용량 점검

 repquota -av -ag
 df -h

12. 최근 서버 접속자 점검.

  vi /var/log/secure
  last -n 10  최근 10번째까지의 접속기록을 확인.

13. 계정별 최후접속기록 점검.

           lastlog는 현재 /etc/passwd에 존재하는 모든 계정을 대상으로 하
여 언제 마지막으로
           서버에 접속을 했는가를 확인.
           Mail, adm, bin 등의 계정들은 모두 "** Never logged in **" 이라
고 되어 있는것이 정상.

  lastlog

14. 현재 서버접속자 보기

   w (telnet)
   ftpwho(ftp)

15. root명령어 사용기록 점검.

           vi /root/.bash_history  (.set nu) 
           cat /root/..bash_history | wc -l    (1000라인 이상 되어야 정상)

16. 계정별 사용명령어파일 점검.

           find / -name .bash_history -exec ls -l {} ;    (각 계정
별 .bash_history 파일의 존재여부)
           find / -name .bash_history -exec cat {} ;     (파일의 내용까
지 모두 확인해 볼 수 있음)

17. root소유자 점검(UID와 GID가 0인 사용자 점검)

           cat /etc/passwd | grep 0:0

18. 서버내에 중요한 디렉토리 점검

           /etc/xinetd.d/    (xinetd로 서비스되는 인터넷서비스 파일들이 존재하는 디렉토리)
           /etc/rc.d/           (부팅에 관계된 파일) (파일들을 복사 후 파일용량등을 비교하기) (커널패닉의원인)
           /etc/rc.d/init.d/ (부팅시에 특정 서비스나 데몬들을 시작시키는 스키립트 파일)

19. .rhosts 파일 점검

           원격에서 패스워드등의 확인과정없이 바로 접속하기 위해서 사용되는 파일
           
           find / -name .rhosts -exec ls -l {} ;
           find / -name .rhosts -exec cat {} ;

20. 메모리사용량 점검.

           free -m
           cat /proc/meminfo   (free 와 top 는 이 파일을 참조하여 보여준다.)
           top -d2

21. 중요 관리자용명령어 점검.

           아래의 명령어들을 퍼미션을 100으로 설정한다. 변경 후 퍼미션 변경여부를 확인.
           
           chmod 100 /usr/bin/top
           chmod 100 /usr/bin/pstree
           chmod 100 /usr/bin/w
           chmod 100 /bin/ps
           chmod 100 /usr/bin/who
           chmod 100 /usr/bin/find
           chmod 100 /bin/df
           chmod 100 /bin/netstat
           chmod 100 /sbin/ifconfig
           chmod 100 /usr/sbin/lsof
           chmod 100 /usr/bin/make
           chmod 100 /usr/bin/gcc
           chmod 100 /usr/bin/g++
           chmod 100 /usr/bin/c++

22. su 명령어를 이용한 root권한 사용자 점검.

           su 명령어의 사용내역을 확인할 수 있음.

           cat /var/log/messages | grep root

23. 최근 n 일전 변경된 파일 점검. (단위는 일)

           find / -ctime -1 -print | more

24. http://weblog.websea.co.kr/

25. find 를 이용한 특정파일 점검하기.

           .exec 파일찾기
           find / -name '.exec' -exec cat {} ; -print

           .forward 파일체크
           find / -name '.forward' -exec cat {} ; -print

           write 퍼미션이 있는 파일(디렉토리)찾기
           find / -type f  ( -perm -2 -o -perm -20 ) -exec ls -lg {} ;
           find / -type d ( -perm -2 -o -perm -20 ) -exec ls -ldg {} ;

           SteUID SetGID 체크하기
           find / -type f ( -perm -004000 -o -perm -002000 ) -exec ls -
lg {} ;

           /dev 체크
           find /dev -type f -exec ls -l {} ;

           소유자없는 파일 및 디렉토리 찾기
           find / -nouser -o -nogroup -print

           원격리모트 접속허용 파일(.rhosts)찾기
           find / -name .rhosts -print

           최근 변경된 파일들 찾기.(파일or디렉토리) 단위는 일
           find / -ctime -20 -type f or d

           현재 서버에서 열려진 포트 및 접근저보 점검

           netstat -an | grep LISTEN   (포트들과 열결되어 있는 실행데몬들을 확인)
           lsof | grep LISTEN   (좀 더 자세히 확인)

26. 관리자용 명령어 퍼미션 수정하기.

           chmod 100 /usr/bin/top
           chmod 100 /usrbin/pstree
           chmod 100 /usr/bin/w
           chmod 100 /bin/ps
           chmod 100 /usr/bin/who
           chmod 100 /usr/bin/find
           chmod 100 /bin/df
           chmod 100 /bin/netstat
           chmod 100 /sbin/ifconfig
           chmod 100 /usr/sbin/lsof
           chmod 100 /usr/bin/make
           chmod 100 /usr/bin/gcc
           chmod 100 /usr/bin/g++
           chmod 100 /usr/bin/c++

27. 중요한 파일퍼미션과 소유권 제한 및 점검.

           chmod 644 /etc/service
           chmod 600 /etc/xinetd
           chmod 644 /etc/mail/aliases
           chmod 600 /etc/httpd/conf/httpd.conf
           chmod 644 /var/log/wtmp
           chmod 644 /var/run/utmp
           chmod 644 /etc/motd
           chmod 644 /etc/mtab
           chmod 600 /etc/syslog.conf
           
           /etc, /usr/etc, /bin, /usr/bin, /sbin, /usr/sbin

           chmod 1777 /tmp
           chmod 1777 /var/tmp
           
28. umask 값 확인하기.

           root의 umask 값 확인하기.
           umask
           022 -->파일은 644 디렉토리는 755로 생성됨.
           027 -->파일은 640 디렉토리는 750로 생성됨.

29. /dev 에 device 파일 이외의 것이 존재하고 있는지 확인.

           find /dev -type f -exec ls -l {} ;

30. 일반사용자의 명령어 패스

           /usr/local/bin:usr/local/mysql/bin:/home/hosting/bin/
           일반사용자가 사용가능한 명령어를 모두 이것에 둠.

31. 관리자의 명령어 패스

           :/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/bin

           /X11:/usr/X11R6/bin:/usr/kerberos/bin:/root/bin

32. 특정 그룹만의 su 사용권한 허용하기

           vi /etc/group  (wheel구릅에 su 사용권한을 가질 유저 추가하기)
           wheel:x:10:root,cream

           vi /etc/pam.d/su (두줄 추가하기)

           auth            sufficient            /lib/security/pam_rootok.so
           auth            required                        /lib/security/pam_wheel.so allow group=wheel

           vi /var/log/message 에서 확인

33. chmod 400 /etc/shadow

34. 시스템 기본로그파일.

           /var/log/messages
           /var/log/secure
           /var/log/wtmp
           /var/run/utmp
           /var/log/lastlog

35. utmp, wtmp, lastlog 파일

           utmp파일 : 현재시스템에 접속해 있는 사용자의 정보를 가지고 있음.
           
           strings utmp | more
           
           정보 이용 명령어
           login(1), who(1), init(8), last(8), lastcomm(8)

           wtmp파일 : 처음부터 접속했던 모든 사용자의 로그인정보와 로그아웃정보를 가지고 있음.

           strings wtmp | more

           정보 이용 명령어
           login(1), who(1), init(8), last(8), lastcomm(8)

           lastlog 파일

           가장 최근에 로그인한 정보를 저장함.

           last 라는 명령어로 확인할 수 있음.

36.  패스워드 유출대처방안(웹)

           perl을 이용한 방법.


   AllowOverride FileInfo AuthConfig Limit
   Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec
   Options Indexes SymLinksIfOwnerMatch IncludesNoExec ExecCGI
   Options Indexes SymLinksIfOwnerMatch IncludesNoExec
   
       Order allow,deny
       Allow from all
   
   
       Order deny,allow
       Deny from all
   


           SSI의 exec 명령어를 이용하는 방법

#    AddType text/html .shtml
#    AddHandler server-parsed .shtml

27. PortSentry를 이용한 실시간 해킹방어 구현.(잘못 사용할시 서버접속 안됨)

           tar -xvzf portsentry-1.1.tar.gz
           make linux
           make install

           /usr/local/psionic/portsentry/portsentry -tcp
           /usr/local/psionic/portsentry/portsentry -udp
           /usr/local/psionic/portsentry/portsentry -stcp
           /usr/local/psionic/portsentry/portsentry -atcp
           /usr/local/psionic/portsentry/portsentry -stdp

           vi /etc/hosts.deny 점검.

28. Chkrootkit 로 백도어 점검.

           tar -xvzf chkrootkit.tar.gz
           make sense
           ./chkrootkit     (점검명령어)

29 ping 을 이용한 DOS 공격 막는 방법.

           vi  /etc/sysctl.conf
           net.ipv4.icmp_echo_ignore_broadcasts = 1

           sysctl -w
           /etc/rc.d/init.d/network restart
           sysctl -a | grep ignore_broadcasts

30. Nmap를 이용 포트스켄 하여 해킹가능성 체크.

           nmap -sS -p80 211.42.48.110 -O -v www.armian.net
           nmap -sS -O -v 211.42.48.114

http://www.whangun.net/whangun/?no=109
퍼왔습니다. 프린트 하셔서 참고하세요.

============================================================

아래 내용은 인터피아측으로부터 받은 메일입니다. 
서버관리를 위해서 한번쯤 보면 도움이 될것 같아 
이곳에 올립니다. 

============================================================

이글에 대한 의문은 PART I을 작성한 분께 문의해 주시면 감사하겠습니다. 

        노영환 

PART II는 PART I에서 수정되어야 하는 부분이나 기타 관련 
내용을 당사 직원이 적은 것입니다. 

/인터넷제국 운영센터 
544-0915 




2000년 12월 2일 (주)베스트한컴 www.besthan.net에서 발표하는 
자료입니다.  다른 질문과 답은 www.koreaphp.co.kr에서 해주시기 
바랍니다. 

현재 데이터센터내의 서버들이 무차별적으로 해킹을 당하고 
있습니다.  현재로선 뚜렷한 방법이 없습니다.  다만 아래 적는 
방법을 통하여 현재 저희 서버는 다소(???) 안전하다고 생각합니다. 

데이터센터 내에 서버를 가지고 계신분들은 아래의 권고사항을 
꼭 참조하시여 아래와 같이 서버에 보안작업하시고 필요없는 
서비스나 포트는 가능한 닫아 주시고 모든 패키지를 업그레이드 
하시기 바랍니다. 

현재 해킹의 수준은 거의 모든 서버가 가능하다고 하더군요.  본 
보안수준은 절대적인 것이 아니며 단독 서버에 여러 도메인을 
보유하신 경우에는 꼭 해주실 권고합니다. 



<보안관련및 기본명령> 

1. chmod 700변경하기 

본 권한변경 목적은 계정을 통하지 않은 불법적인 접근을 막기 
위한 방법으로 가능한 필요하지 않은 파일들의 권한을 변경해 
주시기 바랍니다.  특히 suid가 걸린 파일의 경우 절대적으로 
권한변경을 해주시기 바랍니다. 

/usr/bin/finger(chmod 700 적용) <-- 서버 이용자 파악을 하지 못하게 함 
/usr/bin/nslookup(chmod 700 적용) 
/usr/bin/gcc(chmod 700 적용)  <-- 당연히 막아줘야져. 
/usr/bin/suidperl(chmod 700 적용) <--suid 걸린 파일 
/usr/bin/whereis(chmod 700 적용) 
/usr/bin/cc(chmod 700 적용)    <--- 소스 컴파일은 루트이외에 못하도록 조치 
/usr/bin/sperl5.00503(chmod 700 적용)  <--- perl중에 suid걸린 파일임 
/usr/bin/c++(chmod 700 적용) 
/usr/bin/make(chmod 700 적용) 
/usr/bin/pstree(chmod 700 적용) 
/usr/bin/rlog(chmod 700 적용) 
/usr/bin/rlogin(chmod 700 적용)  <-- 필요없는 경우에는 삭제 하시길 

/usr/bin/which(chmod 700 적용) 
/usr/bin/who(chmod 700 적용) 
/usr/bin/w(chmod 700 적용) 
/bin/mail(chmod 700 적용)  <-- 아웃룩익스프레스가 아닌 계정상에서 
                               텔넷으로 메일을 확인하지 못하게 하십시요. 
/bin/ps(chmod 700 적용) 
/etc/hosts(chmod 700 적용) 
/etc/hosts.deny(chmod 700 적용) 
/etc/hosts.allow(chmod 700 적용) 


2. anonymous ftp 막기 
#vi proftpd.conf (/etc 에 위치) 
   중략 
   에서 
  UserAlias                anonymous ftp //이부분을 주석처리 해준다. 
  wq (저장후 종료) 


3. telnet 사용막기  <--가장 추천하는 방법입니다. 
  현재 텔넷이 막힌 경우에는 해킹의 위험이 극히 줄어듭니다. 
  텔넷을 사용하시고자 하시는 분은 데이터 센터의 보안 서비스나 
  다른 방법을 사용하시기 바랍니다. 


ip 거부 
#vi hosts.deny  (/etc 에 위치) 
in.telnet:ALL 
wq (저장후 종료) 

#hosts.allow  (/etc에 위치) 
ALL:(IP 추가)      <--- 텔넷으로 들어올 아이피만 적는다. 
wq (저장후 종료) 

저장후 다음과 같이 
#/etc/rc.d/init.d/inet restart 

telnet 서비스 제공업체측 ip를 추가해야 telnet 사용가능 


4. ping 막는법  <---당연히 핑도 막아야 겟죠. 
#echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all  //ping 막기 
#echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all  //ping 열기 


5. chkconfig 사용법(부팅시 수행되는 서비스) <--중요합니다. 

#chkconfig --list (/sbin 밑에 위치) 
#chkconfig --help (참고) 

#chkconfig --level 3 sendmail off (사용방법예) 
보통 부팅의 경우 레벨3으로 부팅이 됩니다. 
그러므로 레벨3에서 필요하지 않은 데몬은 위와 같은 방법으로 
모두 꺼두시기 바랍니다. 

#chkconfig --list (하면 나오는것들) 
xfs             0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
anacron         0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
apmd            0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
arpwatch        0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
atd             0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
keytable        0:끔    1:끔    2:켬    3:켬    4:켬    5:켬    6:끔 
gpm             0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
inet            0:끔    1:끔    2:끔    3:켬    4:켬    5:켬    6:끔 
netfs           0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
network         0:끔    1:끔    2:켬    3:켬    4:켬    5:켬    6:끔 
random          0:끔    1:켬    2:켬    3:켬    4:켬    5:켬    6:끔 
ipchains        0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
pcmcia          0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
kdcrotate       0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
kudzu           0:끔    1:끔    2:끔    3:켬    4:켬    5:켬    6:끔 
linuxconf       0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
lpd             0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
nfs             0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
nfslock         0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
identd          0:끔    1:끔    2:끔    3:켬    4:켬    5:켬    6:끔 
portmap         0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
rstatd          0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
rusersd         0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
rwalld          0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
rwhod           0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
sendmail        0:끔    1:끔    2:켬    3:켬    4:켬    5:켬    6:끔 
syslog          0:끔    1:끔    2:켬    3:켬    4:켬    5:켬    6:끔 
snmpd           0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
crond           0:끔    1:끔    2:켬    3:켬    4:켬    5:켬    6:끔 
ypbind          0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
yppasswdd       0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
ypserv          0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 
proftpd         0:끔    1:끔    2:끔    3:켬    4:켬    5:켬    6:끔 
named           0:끔    1:끔    2:끔    3:끔    4:끔    5:끔    6:끔 

이중 켜야할것은 보통 9개정도밖에 안됩니다.  3번레벨을 
기준으로, keytable,inet, network,random,kudzu,sendmail,syslog, 
crond,proftpd 나머지는 off 시켜주는것이 바람직합니다. (자기의 
환경에 맞춰서) 

참조문서는 http://www.osfs.net/redhat/security-guide-01.doc 


6. find 관련 명령 
#find /dev -type f  // /dev/MAKEDEV만떠야함 (백도어 찾기) 
#find / -ctime -1 //하루동안 만들어진 화일 (해킹당한듯 싶으면 확인 ) 
#find / -perm -4000 // setuid 걸린 파일을 찾는 명령어 


7. /etc/inetd.conf 화일 수정 

  네트워크의 서비스를 정의하고 있는 화일로서 , 정의되어 있는 
  서비스가 많이 있다.  보안사고를 피하기 위해서는 최대한 
  필요하지 않은 서비스는 차단하는게 바람직하다.  기본적으로 , 
  telnet,ftp,pop3외의것은 주석처리 하는것이 좋다.  닫아놨는데, 
  이외의 것이 열려있다면 해킹의 가능성이 있다. 이때는 다시 
  주석처리를 하고 

  #ps -ef | grep inetd  //프로세스 확인 
  #kill -HUP PID   //리셋 
  #vi inetd.conf (/etc 에 위치) 
  telnet 
  ftp 
  pop3 
  나머지는 주석처리 
  wq (저장후 종료) 
  tip> #kill -9 PID  //프로세스 죽이기 


8.해킹이 확실한경우 대처법 

  해킹이 확실한상태에서 그냥 컴퓨터를 종료시키면, 재부팅이 
  안될수가 있다.  이것을 막기 위해, 

#/etc/rc.d/rc.SYSinit 권한을 755를 준다.  최소한 부팅은 된다. 

서버 & 보안 관련 문의 
http://www.besthan.net 또는 http://www.koreaphp.co.kr 

  해킹시 연락처 
   http://www.certcc.or.kr/ 해킹시 신고처 
   cyber 테러대응센터 02-3939-112 
   cyber 수사대       02-365-7128 

해킹 없는 세상에 살고싶은 오렌지블루였슴돠. 




PART II는 PART I에서 수정되어야 하는 부분이나 추가 되어야 할 
내용을 추가 했습니다. 보안을 위해 이문서를 참조하는 것도 좋습니다. 
그러나  서버 운영 특성상 꼭 필요한 경우도 있으나 이 제한을 걸어서 
사용할수 없는 경우가 있으니 꼭 확인후 조치를 부탁합니다. 
(이 문서를 끝까지 읽어 주시면 서버운영에 많은 도움이 될듯합니다.) 
- 문의 사항은 khsheen@inempire.com으로 해 주십시요 

설명순서는 PART I 에서 설명을 보충하고 기타 더 필요한 설명을 
추가 하겠습니다. 


<보안관련및 기본명령> 

1. chmod 700변경하기 

첨부 명령어 
/usr/bin/top (chmod 700 적용) 
/usr/bin/find (chmod 700 적용) 

/usr/bin/lynx (chmod 700 적용) 
/usr/bin/wget(chmod 700 적용) 
--> 이두 명령어는  일반적으로 해커들이 해킹툴을 가져올때 자주쓰는 
     명령어 

shell-prompt>lynx --dump  가져올화일이 있는 url  경로 
shell-prompt>wget  가져올화일이 있는  url 경로 


/usr/bin/gcc(chmod 700 적용)  <-- 당연히 막아줘야져. 
/usr/bin/c++(chmod 700 적용) 
/usr/bin/make(chmod 700 적용) 

이 명령어를 막게 되면 일반사용자들이 C언어로 작성된 프로그램을 
컴파일하지 못하여 불평을 호소하는 경우가 있다. 

이런 경우는 이 명령어를 사용할수 있는 그룹을 설정해 주면 준다. 
(일반적으로 wheel이라는 그룹을 많이 사용함, 다른 그룹을 등록해서 
사용해도 무관) 

* example) find 명령어의 사용자를 제한 할 경우 
shell-prompt>grep wheel /etc/group 
wheel:x:10:root 

/etc/group 화일에 wheel:x:10:root 이분에 wheel이라는 그룹에 user를 
추가 한다.(khsheen이라는 user가 있을경우임) 
wheel:x:10:root,khsheen 
이러면 wheel이라는 그룹에 khsheen 이라는 user가 등록된다. 
shell-prompt>ls -la /usr/bin/find 
-rwxr-xr-x    1 root     root        54544 Feb  3  2000 /usr/bin/find* 
shell-prompt>chgrp wheel find 
shell-prompt>chmod 755 find 
shell-prompt>ls -la /usr/bin/find 
-rwxr-x---    1 root     wheel       54544 Feb  3  2000 find* 

이런식으로 설정하면 find 명령어는 root와 khsheen만 사용할수 있다. 
이 명령어를 su 명령어에도 적용하는 것을 권장함, root로 전환할 
유저 (su 명령어 사용자)를 제한 할수 있다. 


2. anonymous ftp 막기 

특정 user가 ftp 접속후 본인의 Directory 외에 다른 유저의 
Directory를 접근 못하게 할 경우 
(접근을 해서 read 권한만있어도 그 유저의 설정을 모두볼수있다.) 

*proftp를 사용하는 경우 

shell-prompt> vi /etc/proftpd.conf 
이 화일에  이 한줄을 추가한다. 
DefaultRoot                     ~ member 
shell-prompt>/etc/rc.d/init.d/proftpd  restart 

이러면 본인의 Directory외에 다른 유저의 계정은 접근 불가. 


3. telnet 사용막기 

telnet을 막는 다는 것은 특히 유저가 많은 경우는 불가능 일인것 
같다.  (특히 웹호스팅업체) 이런 경우는 ssh(Secure Shell)을 
설치해서 사용하는 것을 권장합니다. 


6. find 관련 명령어 관련 명령어 사용하기 

shell-prompt> find / -nouser  (화일에 소유자가 없는 경우의 화일) 
   일반사용자의 사용 디렉토리에서 ... 
   화일에 소유자가 없다는것은 의심을 해볼필요가 있다. 

shell-prompt> find /home/khsheen -user root 
   (일반사용자인데 root로 되어 있는 화일도 의심해볼 필요가 있다) 
                 

8. 해킹이 확실한경우 대처법 

a.우선 가장 좋은 방법은 port(랜선)를 제거하는 것이 가장 좋다. 
b.그 다음에 설치 되어 있는 해킹툴을 제거한다. 
-프로세스 확인 
  [ 이상한(필요없는) 프로세스 확인해서 설치된 위치 확인후 지우기] 

shell-prompt> kill -9 이상한 프로세스 id 

그러나 100%제거 한다는 것은 힘들것 같다. 
서버를 제 세팅하는 것을 권장한다. 

c.중요 data 백업 


9. 기타 보안에 관련된 내용 

  a.php , mysql db 지원하는 경우 
    -일반적으로 php로  mysql에 db에 접속하는 경우 php에서 
     connect하는 스크립트를 사용하는 화일을 일반적으로 Web상에 
    공개된 소스에는 화일명이 대부분 connect.inc 를 사용하는데 
    이것을 웹브라우저에 불러오게 되면 바로 읽혀 져서 mysql db접속 
    아이디와 패스워드를 알수가 있게된다. 

    이럴경우는 웹서버의 설정화일(httpd.conf)에     

    AddType application/x-httpd-php .php .html .php3 .php3  .inc 
    ~~~~~!! 
    AddType application/x-httpd-php-source .phps 

    추가하고 웹서버를 제구동한다. 
    그러면 .inc로 끝나는 화일도 php로 인식하므로 스크립트 
    노출을 막을수 있다. 
       
    또한가지 telnet ftp에 사용시 group을 같게 해주고  각 계정의 
    root Directory를 퍼미션을 705로 처리해 주면 다른 유저가 
    다른 사용자의 계정에 들어 갈수가 없다. 
    만약 755로 한다면 다른 유저에게도 읽을 권한이 생겨서 connect 
    스크립트를 읽을 수 있어  db접속 아이디/passwd를 얻을수 있다. 

b.사용자들의 passwd 
   - 등록된 user의 passwd를 자주 갱신하게 만든다. 
shell-prompt>vi /etc/login.defs 
이중 아래의 스크립트를 일정기간 설정해서 사용자들의 
        passwd를 바꾸게 만든다. 
PASS_MAX_DAYS   99999 
                 ~~~~~ 일정기간으로 잡아준다. 

c.shell 없애기 
   - 메일계정으로만 사용하는 경우(shell이 필요없는 경우)의 
     유저가 많다. 특히 웹호스팅 사용자 
     이런 경우 shell을 주지 않으면 된다. 
     shell-prompt>vipw 
     khsheen:x:500:502::/home/gdm:/bin/false 
                              ~~~~~~~~~~ 
     khsheen이라는 유저에게 shell을 부여하지 않는다.           


- 서버에 등록된 사용자가 많은 경우 사용자가 관리에 
   신경을 많이 써야 한다. last 명령을 사용하여 자주 telnet으로 
   접속하는 사용자는 history를 자주 살펴보는 것도 좋다. 
   shell-prompt> last | grep pts 
                 


d.보안패치하기 

  -서버 보안에서 가장 중요한 것이 패치이다. 
   서버에 버그가 발표되면  해커도 그것을 접한다고 생각하면 된다. 
   그래서 서버에 최신 패키지를  설치해야 하며 보안 뉴스를 빨리 
   접해야 한다. 그중 커널 업테이드등은 중요한다. 

* 커널 최신 정보 확인하기 
shell-prompt>finger @www.kernel.org 
[zeus.kernel.org] 

    The latest stable version of the Linux kernel is:     2.2.17 
                                                          ~~~~~~ 
    The latest beta version of the Linux kernel is:       2.4.0-test11 
    The latest prepatch (alpha) version *appears* to be:  2.4.0-test12-pre4 


         2. 2.  17 
        |   |    |     
        |   |    -> 몇번의 패치가 있었는지 나타낸다.     
        |   -> 안정화 버전인지 개발화 버전이지를 나타낸다. 
        |      (홀수:개발, 짝수:안정) 
        -> 획기적인 변화가 있을때 바뀐다 


그리고 기타 패키지에 대한 버그는 빨리 접하고 패치를 해야 한다. 

  http://www.redhat.com/support/errata/index.html(redhat인 경우) 

해킹관련 소식 접하기 
  http://certcc.or.kr/ (한국정보 보호센터) 
  http://www.hackersnews.org/ 
  http://www.securenews.co.kr/ 



/etc/hosts.deny에 
아래 줄을 추가하면 불법(?)적인 접속자 IP를 root에게 메일로 보고하죠~~ 

^^ 

hosts.deny 
------------------------------------------------------------------ 
ALL: ALL: spawn (/usr/sbin/safe_finger -l @%h | /bin/mail -s %d-%h root) & 
------------------------------------------------------------------

1. 로그 확인

/var/log/messages, secure

2. 임시 디렉토리 확인

ls -alR /tmp 그리고 ls -alR /var/tmp 그리고 /dev/shm 디렉토리의 숨겨진 파일 및 디렉토리 확인

3. /etc/passwd, /etc/shadow 파일 확인 
/etc/passwd 파일에서 UID가 0이거나 불법적인 새로운 계정이 있는지 확인합니다.
/etc/shadow 파일에서 암호가 없는 계정이 있는지 확인합니다.

4. 구동중인 프로세스 확인

pstree -ap

내가 알지 못하는 프로그램이 돌고 있는지 확인합니다.

수시로 확인하여 주로 사용되는 프로그램이 무엇인지도 알아두는것이 좋습니다.

4. 열린 포트 확인
ps -ef나 netstat -an으로 현재 연결되어 있는 상태를 점검합니다.
lsof 명령은 시스템에서 돌아가는 모든 프로세스와 연결되어진 파일들에 대한 정보를 보여줍니다.
(예: lsof -p [PID])

5. rkhunter 설치
http://downloads.rootkit.nl/rkhunter-1.2.7.tar.gz
tar zxf rkhunter-1.2.7.tar.gz
cd rkhunter
./installer.sh
rkhunter -c

7. setuid나 setgid파일 확인 
setuid를 가지는 실행 프로그램은 실행도중에 root의 권한을 가지고 실행되므로 find를 이용하여 setuid나 setgid 파일이 있는지 확인합니다.
find / -user root -perm -4000 -print>suidlist 
find / -user root -perm -2000 -print>sgidlist 

8. find /dev -type f -print
(/dev 밑에 일반파일이 있는지 찾음->원래 dev밑에는 일반화일이 있으면 안됨)
* fc3 이후에는 /dev내에 /udev관련 파일이 존재함

9. rpm 변조 여부 체크
rpm -Va | grep ^..5