[U-11] 항목, 헷갈리기 쉬운 부분만 짚었습니다. 명령어로 바로 판정하고, 취약하면 어떻게 고치는지까지 정리했습니다.
조치가 필요하면 어떻게 고치는지, 점검 결과서에는 뭘 첨부해야 하는지까지 순서대로 정리했습니다.
1. 확인 명령어
ls -ld /etc/syslog.conf /etc/rsyslog.conf /etc/rsyslog.d실제 출력은 서버 구성에 따라 달라질 수 있습니다.
2. 양호·취약 판단
| 구분 | 내용 |
|---|---|
| 양호 | /etc/syslog.conf 파일의 소유자가 root(또는 bin, sys)이고, 권한이 640 이 하인 경우 |
| 취약 | /etc/syslog.conf 파일의 소유자가 root(또는 bin, sys)가 아니거나, 권한이 640 이하가 아 닌 경우 |
확인 명령 결과를 위 기준과 비교해 바로 판단하세요.
취약이면 3번으로 이동합니다.
3. 취약이면 이렇게 조치
“/etc/syslog.conf” 파일의 소유자 및 권한 변경 (소유자 root( 또는 bin, sys), 권 한 644 이하)
실제 조치 명령어 (배포판에 따라 경로·명령이 다를 수 있으니 실행 전 파일을 백업하세요. <계정명>처럼 꺾쇠로 표시된 부분은 실제 값으로 바꿔서 실행합니다):
sudo chown root:root /etc/rsyslog.conf
sudo chmod 640 /etc/rsyslog.conf설정 파일 이름은 로깅 구현에 따라 다릅니다.
journald만 사용하는 서버를 누락하지 마세요.
조치 후 영향:
권한을 제한해도 로그 수집 자체는 영향받지 않습니다.
syslog 데몬은 root로 동작하므로 정상적으로 계속 씁니다.
4. 점검 결과 첨부(증적) 만들기
점검 결과보고서에는 보통 아래를 함께 첨부합니다.
1) 명령어 + 출력 화면
아래처럼 호스트명과 시각을 함께 붙여서 실행하면, 캡처 한 장에 호스트명·시각·결과가 함께 남습니다.
date; hostname; ls -ld /etc/syslog.conf /etc/rsyslog.conf /etc/rsyslog.d2) 설정 근거
/etc/syslog.conf 관련 확인 결과를 별도로 캡처합니다.
3) 판정 한 줄
"양호" 또는 "취약"과 이유를 캡처 아래 적어, 점검 결과표(작성상태)와 매칭되게 합니다.
취약 → 조치한 경우라면, 조치 전/후 캡처를 각각 남기세요.
변경 이력을 증빙하는 데 필요합니다.
5. 참고: 왜 점검하는 항목인가
이 파일을 조작할 수 있으면 공격자 흔적이 남는 로그만 기록되지 않게 하거나, 반대로 로그를 폭주시켜 디스크를 채워 시스템을 마비시킬 수 있습니다.
6. 핵심 요약
① 위 명령어로 확인 → ② 기준과 비교해 양호/취약 판단 → ③ 취약이면 조치 후 재확인 → ④ 명령어+결과+판정을 캡처해 결과서에 첨부
참고자료: 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드, Unix 서버, U-11; PDF 35–35쪽 (인쇄 27–27쪽)
댓글 쓰기