주요정보통신기반시설 유닉스/리눅스 서버 U-03 계정 잠금 임계값 설정

■ 개념

2021 주요정보통신기반시설 취약점 분석 및 평가 중 점검대상 유닉스(Unix) 서버의 U-03 계정 잠금 임계값 설정 점검항목에 대해 알아보겠습니다. 해당 포스팅은 리눅스(CentOS 7)을 기준으로 진단 및 실습합니다.

항목명		계정 잠금 임계값 설정
항목코드		U-03
위험도		상
점검내용		사용자 계정 로그인 실패 시 계정잠금 임계값이 설정되어 있는지 점검
점검목적		계정탈취 목적의 무작위 대입 공격 시 해당 계정을 잠금하여 인증 요청에 응답하는 리소스 낭비를 차단하고 대입 공격으로 인한 비밀번호 노출 공격 을 무력화하기 위함

보안위협		패스워드 탈취 공격(무작위 대입 공격, 사전 대입 공격, 추측 공격 등)의 인 증 요청에 대해 설정된 패스워드와 일치 할 때까지 지속적으로 응답하여 해 당 계정의 패스워드가 유출 될 수 있음 ※ 사용자 로그인 실패 임계 값: 시스템에 로그인 시 몇 번의 로그인 실패에 로그인을 차 단할 것인지 결정하는 값
판단기준	양호	계정 잠금 임계값이 10회 이하의 값으로 설정되어 있는 경우
	취약	계정 잠금 임계값이 설정되어 있지 않거나, 10회 이하의 값으로 설정되 지 않은 경우
조치방법		계정 잠금 임계값을 10회 이하로 설정

 

■ 실습

U-03 점검항목은 유닉스 계열의 계정 잠금 임계값 설정 여부를 확인하여 양호/취약을 판단합니다. 총 두 가지를 진단하여야 하며, 아래 표를 확인하셔서 진단 업무에 도움이 되길 바랍니다.

번호	구분	설정 내용
1	/etc/pam.d/system-auth	auth required /lib/security/pam_tally.so deny=5 unlock_time=120 no_magic_root
2	/etc/pam.d/password-auth	auth required /lib/security/pam_tally.so deny=5 unlock_time=120 no_magic_root

아래 표는 위 표의 설정 내용을 풀어 설명했습니다.

번호	옵션	내용
1	no_magic_root	root에게는 패스워드 잠금 설정을 적용하지 않음
2	deny=5	5회 입력 실패 시 패스워드 잠금
3	unlock_time	계정 잠김 후 마지막 계정 실패 시간부터 설정된 시간이 지나면 자동 계정 잠김 해제 (단위: 초)
4	reset	접속 시도 성공 시 실패한 횟수 초기화

 

본 포스팅 내용은 한국인터넷진흥원(KISA)에서 발행한 주요정보통신기반시설 평가기준을 바탕으로 작성했습니다.