실기 · 시스템 보안

정의사용자명 : 패스워드(x) : UID : GID : 설명 : 홈디렉토리 : 로그인셸 — 7개 필드

정의$1=MD5, $5=SHA-256, $6=SHA-512 · * 또는 ! = 계정 잠김 · 빈칸 = 패스워드 없음(위험)

정의/sbin/nologin, /bin/false — /etc/passwd 7번째 필드에 지정

정의root 권한. root 외에 UID 0인 계정이 있으면 백도어 계정으로 의심

정의chage -l 사용자명

정의PASS_MAX_DAYS(최대 사용일 90) · PASS_MIN_DAYS(최소 1) · PASS_MIN_LEN(최소 길이 8) · PASS_WARN_AGE(경고 7)

정의SUID 4000 · SGID 2000 · Sticky 1000

정의find / -perm -4000 -type f 2>/dev/null

정의파일 = 666 − umask, 디렉토리 = 777 − umask. umask 022 → 파일 644, 디렉토리 755

정의파일에 불변(immutable) 속성 부여 — root도 수정·삭제 불가. 로그 파일 보호에 사용. 확인은 lsattr

정의/tmp (drwxrwxrwt) — 누구나 쓰지만 소유자만 삭제 가능

정의파일 이름. inode에는 유형·권한·소유자·크기·타임스탬프·링크수·블록포인터가 들어가고, 파일명은 디렉토리 엔트리에 있다

정의하드링크는 같은 inode를 공유(파일시스템 넘기 불가, 디렉토리 불가), 심볼릭링크는 경로를 가리키는 별도 inode 파일

정의nosuid(SUID 무시) · noexec(실행 금지) · nodev(장치파일 무시) · ro(읽기전용)

정의RAID 0=2(스트라이핑, 내결함성 없음) · 1=2(미러링) · 5=3(분산 패리티, 1개 장애 허용) · 6=4(2개 장애 허용) · 10=4

정의전체(Full) · 증분(마지막 백업 이후 변경분) · 차등(마지막 전체 백업 이후 변경분)

정의wtmp=로그인 성공 이력(last) · btmp=로그인 실패 이력(lastb) · utmp=현재 접속자(who,w) · lastlog=마지막 로그인(lastlog)

정의pacct(acct) — 조회 명령은 lastcomm

정의/var/log/xferlog

정의RedHat 계열 /var/log/secure, Debian 계열 /var/log/auth.log

정의utmp, wtmp, btmp, lastlog — cat으로 볼 수 없고 who/last/lastb/lastlog 전용 명령 필요

정의emerg(0) alert crit err warning notice info debug(7)

정의원격 로그 서버 전송(*.* @IP), chattr +i 불변 설정, 권한 최소화(640 이하), logrotate로 주기 관리

정의0=종료 1=단일사용자 2=다중(NFS X) 3=텍스트다중 4=미사용 5=GUI 6=재부팅

정의런레벨 1은 패스워드 없이 root 진입 가능 → GRUB 부트로더 패스워드 설정

정의/etc/cron.allow, /etc/cron.deny, /etc/at.allow, /etc/at.deny — allow가 있으면 그 목록만 허용, allow 없고 deny만 있으면 deny 외 전부 허용

정의분(0-59) 시(0-23) 일(1-31) 월(1-12) 요일(0-7)

정의PermitRootLogin no

정의PermitRootLogin no · PermitEmptyPasswords no · Protocol 2 · MaxAuthTries 3~5 · AllowUsers/DenyUsers · LoginGraceTime 60

정의root가 직접 로그인할 수 있는 터미널(콘솔) 목록. 내용을 비우면 root 콘솔 직접 로그인 차단

정의/etc/pam.d/su 에서 pam_wheel.so 활성화 → wheel 그룹 구성원만 su 가능

정의/etc/hosts.equiv, ~/.rhosts — 신뢰 기반 인증으로 패스워드 없이 접속 가능. 권한 600 + 내용 제거, r-service 제거

정의/etc/hosts.allow → /etc/hosts.deny 순서로 검사. 둘 다 해당 없으면 허용

정의auth(인증) · account(계정 유효성) · password(패스워드 정책) · session(세션 관리)

정의required(실패해도 진행 후 최종 실패) · requisite(즉시 실패 반환) · sufficient(성공 시 즉시 통과) · optional

정의pam_tally2 또는 pam_faillock — deny=5 unlock_time=120 형태로 설정

정의DAC=소유자가 권한 부여(임의적) · MAC=시스템이 보안등급으로 강제(SELinux) · RBAC=역할에 권한 부여

정의SAM(계정·해시 저장) · LSA(로컬 보안정책·인증 처리) · SRM(접근 허용/거부 결정, SID 부여, 감사로그 생성)

정의500=Administrator, 501=Guest, 1000 이상=일반 사용자

정의HKCR(파일연결) HKCU(현재사용자) HKLM(시스템전역) HKU(모든사용자) HKCC(현재하드웨어)

정의HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

정의4624=로그온 성공 · 4625=로그온 실패 · 4672=특수권한 할당 · 4720=계정 생성 · 1102=감사로그 삭제

정의2=대화식(콘솔) · 3=네트워크 · 4=배치 · 5=서비스 · 10=원격 대화식(RDP)

정의NTFS의 대체 데이터 스트림. file.txt:hidden.exe 형태로 데이터 은닉에 악용. 탐지는 dir /r 또는 streams.exe

정의C$, ADMIN$, IPC$ — $가 붙으면 숨김 공유. NULL 세션으로 IPC$ 익명 접속 시 계정·공유 정보 유출 → RestrictAnonymous로 차단

정의netstat -ano(포트+PID) · tasklist /svc · net user / net localgroup · net share · sc query · wmic startup list full

정의CVE=취약점 고유 식별번호 · CWE=취약점 유형 분류 체계 · CVSS=심각도 점수(0.0~10.0, 9.0 이상 심각)

정의strcpy, strcat, sprintf, gets, scanf — 대체 함수는 strncpy, strncat, snprintf, fgets

정의상호배제 · 점유와 대기 · 비선점 · 환형대기. 회피 기법은 은행가 알고리즘

정의페이징=고정 크기 분할, 내부 단편화 발생 · 세그먼테이션=논리 단위 가변 분할, 외부 단편화 발생

정의Type1=베어메탈(하드웨어 위 직접, ESXi·Hyper-V·Xen) · Type2=호스트형(호스트 OS 위, VirtualBox·VMware Workstation)

정의IaaS=OS·미들웨어·앱·데이터까지 사용자 책임 · PaaS=앱·데이터 · SaaS=데이터·접근관리 (SaaS가 가장 좁음)

정의CASB=클라우드 접근 보안 중개 · CSPM=클라우드 설정 오류 관리 · CWPP=워크로드 보호

정의SYN: 열림=SYN+ACK, 닫힘=RST+ACK / FIN·NULL·XMAS: 열림=무응답, 닫힘=RST+ACK / UDP: 닫힘=ICMP Type3 Code3

정의Tripwire, AIDE — 정상 상태 해시 DB와 비교해 위변조 탐지

정의rkhunter, chkrootkit

정의Volatility — 메모리 덤프에서 프로세스·네트워크 연결·인젝션 흔적 분석

정의Windows 128, Linux/Unix 64, Cisco 255

정의버퍼 크기 검증 없이 데이터를 복사해 인접 메모리를 침범하고, 스택의 리턴주소를 덮어써 프로그램 실행 흐름을 탈취하는 공격

원리① 경계 검사 없는 함수로 버퍼에 과도한 입력 ② 지역변수 영역을 넘어 저장된 리턴주소(RET) 덮어쓰기 ③ RET를 셸코드 주소로 변경 ④ 함수 반환 시 셸코드 실행

영향임의 코드 실행, 관리자 권한 탈취, 시스템 완전 장악

대응① 스택가드(Canary) — RET 앞 난수 변조 검사 ② ASLR — 주소공간 무작위 배치 ③ DEP/NX bit — 데이터 영역 실행 권한 제거 ④ 안전한 함수(strncpy, fgets) 사용 ⑤ 스택쉴드

명령find로 SUID 프로그램 점검, 컴파일 시 -fstack-protector

정의검사 시점과 사용 시점의 시간차를 이용해, SUID 프로그램이 임시파일을 생성하는 찰나에 심볼릭 링크로 바꿔치기하여 권한을 탈취하는 공격

원리① SUID 프로그램이 임시파일 존재 여부 확인 ② 공격자가 그 사이 심볼릭 링크를 /etc/passwd 등으로 생성 ③ 프로그램이 root 권한으로 링크 대상 파일에 기록

영향시스템 파일 위변조, 권한 상승

대응① 파일 생성 시 O_EXCL 플래그로 원자적 처리 ② 검사와 사용 사이 간격 제거 ③ 임시파일 권한 최소화 및 고유 이름 사용 ④ 불필요한 SUID 제거

정의시스템에 침입한 뒤 관리자 권한을 유지하면서 자신의 존재(프로세스·파일·포트·로그)를 은닉하는 악성 프로그램 집합

원리① 시스템 명령어(ps, ls, netstat) 변조 또는 커널 모듈 후킹 ② 시스템 콜 테이블 조작 ③ 관리자 조회 결과에서 자신을 제외

영향침해 사실 은폐, 지속적 백도어 유지, 탐지 회피

대응① 무결성 검사 도구(Tripwire, AIDE)로 시스템 파일 변조 탐지 ② rkhunter·chkrootkit 정기 점검 ③ 신뢰할 수 있는 매체로 부팅해 점검 ④ 커널 모듈 로딩 제한 ⑤ 근본적으로는 재설치

정의사용자 파일을 강제로 암호화한 뒤 복호화 키를 대가로 금전을 요구하는 악성코드

원리① 메일 첨부·취약점·SMB 등으로 침투 ② 문서·DB 파일 탐색 후 대칭키로 암호화 ③ 대칭키를 공격자 공개키로 암호화 ④ 볼륨 섀도 복사본 삭제 후 금전 요구

영향업무 마비, 데이터 영구 손실, 백업까지 감염 시 복구 불가

대응① 오프라인·분리 보관 백업(3-2-1 원칙) ② 최신 보안패치 및 SMB 등 불필요 서비스 차단 ③ 백신·EDR로 행위 기반 탐지 ④ 메일 첨부파일 필터링 ⑤ 권한 최소화로 확산 차단

정의특정 대상을 표적으로 정해 장기간 잠복하며 단계적으로 침투하는 지능형 지속 위협

원리① 정보수집 ② 침투(스피어피싱·워터링홀) ③ 거점 확보(백도어) ④ 권한 상승 ⑤ 내부 확산(측면 이동) ⑥ 정보 유출 ⑦ 흔적 삭제

영향장기간 탐지되지 않는 핵심 자산·기밀 유출

대응① 다계층 방어(Defense in Depth) ② 이메일·첨부 샌드박스 분석 ③ EDR·SIEM으로 이상행위 상관분석 ④ 망분리·최소권한 ⑤ 임직원 보안 인식 교육

정의소유자 권한으로 실행되는 SUID 파일의 취약점을 악용해 일반 사용자가 root 권한을 획득하는 공격

원리① SUID가 설정된 프로그램 탐색 ② 해당 프로그램의 버퍼 오버플로우·명령어 삽입·심볼릭 링크 취약점 악용 ③ 소유자(root) 권한으로 셸 실행

영향로컬 사용자의 관리자 권한 탈취

대응① 불필요한 SUID/SGID 제거(chmod -s) ② 주기적 SUID 파일 목록 점검 및 변경 감시 ③ 파티션에 nosuid 마운트 옵션 적용 ④ 보안 패치 적용

명령find / -perm -4000 -type f 2>/dev/null

정의printf 계열 함수에 포맷 지정자 없이 사용자 입력을 직접 전달할 때, 포맷 지정자를 삽입해 메모리를 읽거나 쓰는 공격

원리① printf(input) 형태의 취약 코드 존재 ② %x, %s로 스택 메모리 열람 ③ %n으로 임의 주소에 값 기록 ④ 리턴주소·GOT 변조

영향메모리 정보 유출, 임의 코드 실행

대응① printf("%s", input) 형태로 포맷 문자열 명시 ② 컴파일러 경고(-Wformat-security) 활용 ③ 입력값 검증

정의저장된 패스워드 해시를 사전공격·무차별대입·레인보우 테이블로 역산해 원문을 알아내는 공격과 그 방어 기법

원리① 해시 파일(/etc/shadow, SAM) 탈취 ② 사전 단어 또는 전수 조합을 해시화해 비교 ③ 미리 계산된 레인보우 테이블로 즉시 매칭

영향계정 탈취, 권한 상승, 타 서비스 자격증명 재사용 피해

대응① 솔트(salt) 추가 — 같은 패스워드도 다른 해시가 되어 레인보우 테이블 무력화 ② 반복 해싱(key stretching, bcrypt·PBKDF2) ③ 패스워드 복잡도·길이 정책 ④ 계정 잠금 정책 ⑤ 다중 인증(MFA)

정의시스템 주요 파일의 해시값을 사전에 DB로 저장해 두고 주기적으로 비교하여 위·변조를 탐지하는 기술

원리① 정상 상태에서 대상 파일의 해시·권한·크기·타임스탬프를 DB화 ② 주기적으로 현재 값을 재계산 ③ 기준 DB와 비교해 차이 발생 시 경보

영향루트킷·백도어·설정 변조를 조기 탐지

대응① Tripwire·AIDE 운영 ② 기준 DB를 읽기전용 매체 또는 원격에 분리 보관 ③ 점검 결과 자동 보고 ④ chattr +i로 핵심 파일 보호

정의inetd 기반 서비스에 대해 접속을 요청한 호스트의 IP를 기준으로 허용·차단하는 호스트 기반 접근통제 도구

원리① 서비스 요청 시 /etc/hosts.allow 먼저 검사 ② 일치하면 허용 ③ 없으면 /etc/hosts.deny 검사, 일치하면 차단 ④ 양쪽 모두 해당 없으면 허용

영향불필요한 외부 접근을 서비스 단위로 차단

대응① hosts.deny에 ALL:ALL로 기본 차단 ② hosts.allow에 필요한 서비스·대역만 허용 ③ 방화벽과 병행 운영

정의원격 접속 서비스인 SSH를 안전하게 운영하기 위한 sshd_config 설정 및 접근통제 방안

원리Telnet은 ID·패스워드를 평문 전송해 스니핑에 노출되므로, 암호화 채널을 제공하는 SSH로 대체하고 접근을 제한한다

영향설정 미흡 시 root 계정 무차별 대입, 원격 시스템 장악

대응① PermitRootLogin no로 root 직접 로그인 차단 ② PermitEmptyPasswords no ③ Protocol 2 사용 ④ MaxAuthTries·LoginGraceTime 제한 ⑤ AllowUsers로 접속 계정 제한 ⑥ 키 기반 인증 사용, 접근 IP 제한

명령/etc/ssh/sshd_config 수정 후 systemctl restart sshd

정의주체가 객체에 접근할 권한을 결정하는 방식에 따른 세 가지 접근통제 모델

원리① DAC — 객체의 소유자가 재량으로 권한 부여, 일반 리눅스 파일 권한 ② MAC — 시스템이 주체·객체의 보안등급을 비교해 강제 결정, SELinux ③ RBAC — 조직 내 역할에 권한을 부여하고 사용자를 역할에 배정

영향모델 선택에 따라 권한 전파 범위와 관리 비용이 달라진다

대응① 기밀성이 중요한 환경은 MAC ② 대규모 조직은 RBAC로 관리 효율 확보 ③ 최소권한·직무분리 원칙 병행

정의시스템·단말 보호를 목적으로 하는 대표 보안 솔루션들로, 각각 방어하는 위협 지점이 다르다

원리① HIDS — 호스트 내부의 파일 변조·로그 이상을 탐지(Tripwire, OSSEC) ② EDR — 단말의 행위를 기록·분석해 탐지와 대응·추적까지 수행 ③ DLP — 매체 제어와 콘텐츠 검사로 정보 유출을 차단 ④ NAC — 인가되지 않았거나 보안 정책 미준수 단말의 네트워크 접속을 차단·격리

영향조합 없이 단일 솔루션만 쓰면 사각지대 발생

대응① 단말 EDR + 네트워크 NAC + 유출 DLP를 계층적으로 배치 ② SIEM으로 로그 통합 상관분석 ③ 정책 위반 단말 자동 격리

정의가상머신 또는 컨테이너 내부에서 격리를 우회해 하이퍼바이저나 호스트 OS의 권한을 획득하는 공격

원리① 하이퍼바이저·컨테이너 런타임의 취약점 악용 ② 게스트에서 호스트 메모리·커널에 접근 ③ 호스트 장악 후 동일 호스트의 다른 VM·컨테이너로 확산

영향멀티테넌트 환경에서 타 고객 자원까지 침해

대응① 하이퍼바이저·런타임 최신 패치 ② 컨테이너 root 실행 금지, 최소 권한(Capabilities 제한) ③ 최소 베이스 이미지 사용 및 이미지 취약점 스캔 ④ 테넌트별 물리·네트워크 분리 ⑤ 시크릿을 이미지에 포함하지 않기

정의모바일 OS의 관리자 권한 제한을 해제하여(Android=루팅, iOS=탈옥) 샌드박스 등 보안 통제를 무력화하는 행위와 그 대응

원리① 커널·부트로더 취약점으로 권한 상승 ② 앱 샌드박스 격리 해제 ③ 시스템 영역 임의 변경, 보안 앱 우회

영향앱 데이터 탈취, 악성 앱 설치, 기업 데이터 유출

대응① MDM으로 루팅·탈옥 단말 접속 차단 ② 앱 내 루팅 탐지 및 무결성 검증 ③ 코드 난독화·안티 디버깅 ④ 중요 데이터 서버 보관, 단말 저장 최소화 ⑤ 원격 잠금·초기화

정의연산·저장 자원이 제한된 사물인터넷 기기의 취약점과 이를 악용한 대규모 위협에 대한 보안 대책

원리① 기본 계정(admin/admin) 방치 ② 펌웨어 업데이트 부재, 하드코딩된 키 ③ 통신 평문 전송 ④ 디버그 포트(UART/JTAG) 물리 노출 → 대량 감염 후 봇넷화(Mirai)

영향대규모 DDoS 자원으로 악용, 영상·센서 데이터 유출, 물리 설비 오작동

대응① 초기 패스워드 강제 변경 ② 펌웨어 서명·검증 및 정기 업데이트 ③ 보안 부팅(Secure Boot) ④ 통신 암호화 ⑤ 네트워크 분리 및 불필요 포트 차단

🖥️ 시스템 보안