| 탐색 링크 건너뛰기 | |
| 인쇄 보기 종료 | |
|
Oracle Solaris 11 보안 지침 Oracle Solaris 11 Information Library (한국어) |
| 탐색 링크 건너뛰기 | |
| 인쇄 보기 종료 | |
|
|
Oracle Solaris 11 보안 지침 Oracle Solaris 11 Information Library (한국어) |
Oracle Solaris의 보안 기능은 사이트의 보안 정책을 구현하도록 구성할 수 있습니다.
다음 섹션에서는 Oracle Solaris의 보안 기능에 대해 간단히 소개합니다. 설명에는 자세한 추가 설명 및 이 설명서의 절차, 이러한 기능을 보여 주는 다른 Oracle Solaris 시스템 관리 설명서에 대한 참조가 포함됩니다.
감사는 시스템 리소스 사용에 대한 데이터의 모음입니다. 감사 데이터는 보안 관련 시스템 이벤트의 레코드를 제공합니다. 그런 다음 이 데이터를 사용하여 시스템에서 발생한 작업에 대한 책임을 지정할 수 있습니다.
감사는 보안 평가, 검증 및 인증 주체에 대한 기본 요구 사항입니다. 감사는 잠재적인 침입자에 대한 억제력을 제공할 수도 있습니다.
자세한 내용은 다음을 참조하십시오.
감사 관련 매뉴얼 페이지 목록은 Oracle Solaris 관리: 보안 서비스의 29 장, 감사(참조)를 참조하십시오.
자세한 내용은 로그온/로그아웃 이외의 중요 감사 이벤트 및 매뉴얼 페이지를 참조하십시오.
감사 개요는 Oracle Solaris 관리: 보안 서비스의 26 장, 감사(개요)를 참조하십시오.
감사 작업은 Oracle Solaris 관리: 보안 서비스의 28 장, 감사 관리(작업)를 참조하십시오.
Oracle Solaris의 BART(기본 감사 보고 도구)를 사용하면 시간 경과에 따른 시스템에 대한 파일 레벨 검사를 수행하여 시스템을 포괄적으로 검증할 수 있습니다. BART 매니페스트를 만들면 배치된 시스템에 설치된 소프트웨어 스택의 구성 요소에 대한 정보를 쉽고 안정적으로 수집할 수 있습니다.
BART는 한 시스템 또는 시스템 네트워크에서 무결성 관리를 위한 유용한 도구입니다.
자세한 내용은 다음을 참조하십시오.
선택한 매뉴얼 페이지에는 bart(1M), bart_rules(4) 및 bart_manifest(4)가 포함됩니다.
자세한 내용은 시스템의 BART 스냅샷 만들기, 기본 감사 보고 도구 사용 및 매뉴얼 페이지를 참조하십시오.
BART 개요는 Oracle Solaris 관리: 보안 서비스의 6 장, 기본 감사 보고 도구 사용(작업)을 참조하십시오.
BART 사용 예를 보려면 Oracle Solaris 관리: 보안 서비스의 BART 사용(작업) 및 매뉴얼 페이지를 참조하십시오.
Oracle Solaris의 암호화 프레임워크 기능 및 Oracle Solaris의 KMF(키 관리 프레임워크) 기능은 암호화 서비스 및 키 관리에 대한 중앙 저장소를 제공합니다. 하드웨어, 소프트웨어 및 일반 사용자는 최적화된 알고리즘을 효과적으로 사용할 수 있습니다. 다양한 PKI(공용 키 인프라)에 대한 다른 저장소 방식, 관리 유틸리티 및 프로그래밍 인터페이스에서는 KMF 인터페이스를 채택할 경우 통합 인터페이스를 사용할 수 있습니다.
암호화 프레임워크는 개별 명령, 사용자 레벨의 프로그래밍 인터페이스, 커널 프로그래밍 인터페이스 및 사용자 레벨/커널 레벨 프레임워크를 통해 사용자 및 응용 프로그램에 암호화 서비스를 제공합니다. 암호화 프레임워크는 이러한 암호화 서비스를 일반 사용자에게 효과적인 방식으로 응용 프로그램 및 커널 모듈에 제공합니다. 또한 파일에 대한 암호화 및 암호 해독과 같은 직접적인 암호화 서비스도 일반 사용자에게 제공합니다.
KMF는 중앙에서 관리되는 공용 키 객체(예:X.509 인증서 및 공용/개인 키 쌍)에 대한 도구 및 프로그래밍 인터페이스를 제공합니다. 이러한 객체의 저장 형식은 다양할 수 있습니다. 또한 KMF는 응용 프로그램의 X.509 인증서 사용을 정의하는 정책 관리용 도구를 제공합니다. KMF는 타사 플러그인을 지원합니다.
자세한 내용은 다음을 참조하십시오.
선택한 매뉴얼 페이지에는 cryptoadm(1M), encrypt(1), mac(1), pktool(1) 및 kmfcfg(1)이 포함됩니다.
암호화 서비스에 대한 개요는 Oracle Solaris 관리: 보안 서비스의 11 장, 암호화 프레임워크(개요) 및 Oracle Solaris 관리: 보안 서비스의 13 장, 키 관리 프레임워크를 참조하십시오.
암호화 프레임워크에 대한 예는 Oracle Solaris 관리: 보안 서비스의 12 장, 암호화 프레임워크(작업) 및 매뉴얼 페이지를 참조하십시오.
파일 시스템에서 객체를 보호하기 위한 첫번째 방어선은 모든 파일 시스템 객체에 지정되는 기본 UNIX 권한입니다. UNIX 권한은 객체 소유자, 객체에 지정되는 그룹 및 모든 항목에 대한 고유한 액세스 권한 지정을 지원합니다. 또한 ZFS는 ACE(액세스 제어 항목)라고도 부르는 ACL(액세스 제어 목록)을 지원하여 파일 시스템 객체의 개별 항목 또는 그룹에 대한 액세스를 보다 세밀하게 제어합니다.
자세한 내용은 다음을 참조하십시오.
ZFS에서 ACL 설정에 대한 자세한 내용은 chmod(1) 매뉴얼 페이지를 참조하십시오.
파일 권한에 대한 개요를 보려면 Oracle Solaris 관리: 보안 서비스의 UNIX 사용 권한으로 파일 보호을 참조하십시오.
ZFS 파일 보호에 대한 개요 및 예를 보려면 Oracle Solaris 관리: ZFS 파일 시스템의 8 장, ACL 및 속성을 사용하여 Oracle Solaris ZFS 파일 보호 및 매뉴얼 페이지를 참조하십시오.
패킷 필터링은 네트워크 기반 공격에 대한 기본 보호를 제공합니다. Oracle Solaris에는 IP 필터 기능과 TCP 래퍼가 포함됩니다.
Oracle Solaris의 IP 필터는 네트워크 기반 공격을 방어하기 위한 방화벽을 만듭니다.
특히 IP 필터는 stateful 패킷 필터링 기능을 제공하며, IP 주소 또는 네트워크, 포트, 프로토콜, 네트워크 인터페이스 및 트래픽 방향에 따라 패킷을 필터링할 수 있습니다. 또한 stateless 패킷 필터링 및 주소 풀 만들기 및 관리를 위한 기능이 포함됩니다. 또한 IP 필터는 NAT(네트워크 주소 변환) 및 PAT(포트 주소 변환)를 수행하는 기능도 포함합니다.
자세한 내용은 다음을 참조하십시오.
선택한 매뉴얼 페이지에는 ipfilter(5), ipf(1M), ipnat(1M), svc.ipfd(1M) 및 ipf(4)가 포함됩니다.
IP 필터에 대한 개요를 보려면 Oracle Solaris 관리: IP 서비스의 20 장, Oracle Solaris의 IP 필터(개요)를 참조하십시오.
IP 필터 사용 예를 보려면 Oracle Solaris 관리: IP 서비스의 21 장, IP 필터(작업) 및 매뉴얼 페이지를 참조하십시오.
IP 필터 정책 언어의 구문에 대한 자세한 내용 및 예를 보려면 ipnat(4) 매뉴얼 페이지를 참조하십시오.
TCP 래퍼는 ACL에 대하여 특정 네트워크 서비스를 요청하는 호스트의 주소를 확인함으로써 액세스 제어를 구현하는 방식을 제공합니다. 요청은 이에 따라 허용 또는 거부됩니다. TCP 래퍼는 또한 유용한 모니터링 기능인 네트워크 서비스에 대한 호스트 요청을 기록합니다. Secure Shell 및 Oracle Solaris의 sendmail 기능은 TCP 래퍼를 사용하도록 구성됩니다. 액세스 제어하에 배치되는 네트워크 서비스에는 ftpd 및 rpcbind가 포함됩니다.
TCP 래퍼는 조직이 보안 정책을 전역뿐만 아니라 서비스별 기반으로도 지정할 수 있도록 하는 다양한 기능의 구성 정책 언어를 지원합니다. 서비스에 대한 추가 액세스는 호스트 이름, IPv4 또는 IPv6 주소, netgroup 이름, 네트워크 및 심지어 DNS 이름에 따라서도 허용하거나 제한할 수 있습니다.
자세한 내용은 다음을 참조하십시오.
TCP 래퍼에 대한 자세한 내용은 Oracle Solaris 관리: IP 서비스의 TCP 래퍼를 사용하여 TCP 서비스에 대한 액세스를 제어하는 방법을 참조하십시오.
TCP 래퍼의 액세스 제어 언어의 구문에 대한 자세한 내용 및 예를 보려면 hosts_access(4) 매뉴얼 페이지를 참조하십시오.
강력한 사용자 암호는 무차별 대입을 포함한 여러 공격을 방어하는 데 도움이 됩니다.
Oracle Solaris에는 강력한 사용자 암호를 촉진하기 위해 사용할 수 있는 다양한 기능이 포함됩니다. 암호 길이, 내용, 변경 빈도, 수정 요구 사항을 설정하고 암호 기록을 유지할 수 있습니다. 사용하지 않아야 하는 암호에 대해서도 암호 사전이 제공됩니다. 일부 사용 가능한 암호 알고리즘도 제공됩니다.
자세한 내용은 다음을 참조하십시오.
선택한 매뉴얼 페이지에는 passwd(1) 및 crypt.conf(4)가 포함됩니다.
PAM(Pluggable Authentication Module) 프레임워크에서는 계정, 인증서, 세션 및 암호에 대한 사용자 인증 요구 사항을 조정하고 구성합니다.
PAM 프레임워크를 통해 조직은 계정, 세션 및 암호 관리 기능뿐만 아니라 사용자 인증 환경을 사용자 정의할 수 있습니다. login 및 ftp와 같은 시스템 입력 서비스는 PAM 프레임워크를 사용하여 시스템의 모든 입력 지점이 보안되도록 보장합니다. 이 아키텍처는 새로 발견된 취약점으로부터 시스템을 보호하기 위해 PAM 프레임워크를 사용하는 시스템 서비스를 변경하지 않고 필드에서 인증 모듈을 교체하거나 수정할 수 있게 해줍니다.
자세한 내용은 다음을 참조하십시오.
권한은 커널에 강제 적용되는 프로세스에 대한 세밀하게 조정된 고유한 권한입니다. Oracle Solaris는 file_read와 같은 기본 권한에서부터 proc_clock_highres와 같은 보다 전문적인 권한까지 80개 이상의 권한을 정의합니다. 권한은 명령, 사용자, 역할 또는 시스템에 부여할 수 있습니다. 여러 Oracle Solaris 명령 및 데몬은 해당 작업을 수행하는 데 필요한 권한만 갖고 실행됩니다. 권한 사용은 프로세스 권한 관리라고도 부릅니다.
권한 인식 프로그램은 침입자가 프로그램 자체에서 사용하는 것보다 많은 권한을 부여하지 못하도록 방지합니다. 또한 권한을 통해 조직은 자신의 시스템에서 실행되는 서비스 및 프로세스에 부여되는 권한을 제한할 수 있습니다.
자세한 내용은 다음을 참조하십시오.
Developer’s Guide to Oracle Solaris 11 Security의 2 장, Developing Privileged Applications
선택한 매뉴얼 페이지에는 ppriv(1) 및 privileges(5)가 포함됩니다.
원격 액세스 공격은 시스템 및 네트워크를 손상시킬 수 있습니다. 현대의 인터넷 환경에서는 네트워크 액세스에 대한 보안이 필수적이며 WAN 및 LAN 환경에서도 네트워크 액세스 보안이 유용할 수 있습니다.
IPsec(IP 보안)는 패킷을 인증 또는 암호화하거나, 두 가지를 모두 수행하여 IP 패킷을 보호합니다. Oracle Solaris는 IPv4 및 IPv6 모두에 대해 IPsec를 지원합니다. IPsec는 응용 프로그램 계층 아래에서 올바르게 구현되기 때문에 인터넷 응용 프로그램은 해당 코드를 수정할 필요 없이 IPsec를 활용할 수 있습니다.
IPsec 및 해당 키 교환 프로토콜인 IKE는 암호화 프레임워크의 알고리즘을 사용합니다. 또한 암호화 프레임워크는 메타 슬롯을 사용하는 응용 프로그램을 위해 softtoken 키 저장소를 제공합니다. IKE가 메타슬롯을 사용하도록 구성된 경우 조직에서는 키를 디스크, 연결된 하드웨어 키 저장소 또는 softtoken 키 저장소에 저장할 수 있습니다.
올바르게 관리할 경우 IPsec는 네트워크 보안 작업에 효과적으로 활용할 수 있습니다.
자세한 내용은 다음을 참조하십시오.
선택한 매뉴얼 페이지에는 ipsecconf(1M) 및 in.iked(1M)이 포함됩니다.
Oracle Solaris의 Secure Shell 기능을 사용하면 사용자 또는 서비스가 암호화된 통신 채널을 통해 원격 시스템 간에 파일을 액세스하거나 전송할 수 있습니다. Secure Shell에서는 모든 네트워크 트래픽이 암호화됩니다. Secure Shell는 또한 X Window 시스템 트래픽을 전달하거나 인증되고 암호화된 네트워크 링크를 통해 로컬 시스템과 원격 시스템 간의 개별 포트 번호에 연결할 수 있는 요청 시 VPN(가상 사설망)으로 사용될 수도 있습니다.
따라서 Secure Shell는 잠재적인 침입자가 가로챈 통신 내용을 읽지 못하도록 방지하고 시스템을 스푸핑하지 못하도록 방지합니다. 기본적으로 Secure Shell는 새로 설치된 시스템에서 유일하게 활성화된 원격 액세스 방식입니다.
자세한 내용은 다음을 참조하십시오.
선택한 매뉴얼 페이지에는 ssh(1), sshd(1M), sshd_config(4) 및 ssh_config(4)가 포함됩니다.
Oracle Solaris의 커버로스 기능은 커버로스를 실행하는 이기종 네트워크에서도 Single Sign-On 및 보안 트랜잭션을 사용으로 설정합니다
커버로스는 MIT(Massachusetts Institute of Technology)에서 개발된 Kerberos V5 네트워크 인증 프로토콜을 기반으로 합니다. 커버로스 서비스는 네트워크에서 보안 트랜잭션을 제공하는 클라이언트-서버 구조입니다. 이 서비스는 무결성 및 프라이버시를 비롯하여 강력한 사용자 인증을 제공합니다. 커버로스 서비스를 사용하면 다른 시스템에 한번만 로그인하여, 명령을 실행하고, 데이터를 교환하고, 파일을 안전하게 전송할 수 있습니다. 또한 서비스를 통해 관리자가 서비스 및 시스템에 대한 액세스를 제한할 수 있습니다.
자세한 내용은 다음을 참조하십시오.
선택한 매뉴얼 페이지에는 kerberos(5) 및 kinit(1)이 포함됩니다.
RBAC는 조직이 고유한 요구 및 요구 사항에 따라 사용자 또는 역할에 관리 권한을 선택적으로 부여할 수 있도록 함으로써 최소 권한의 원칙을 적용합니다.
Oracle Solaris의 RBAC(역할 기반 액세스 제어) 기능은 일반적으로는 root 역할로 제한되는 작업에 대한 사용자 액세스를 제어합니다. 프로세스 및 사용자에게 보안 속성을 제공하는 RBAC는 여러 관리자 간에 관리 권한을 분배할 수 있습니다. RBAC는 또한 사용자 권한 관리라고도 부릅니다.
자세한 내용은 다음을 참조하십시오.
선택한 매뉴얼 페이지에는 rbac(5), roleadd(1M), profiles(1) 및 user_attr(4)가 포함됩니다.
Oracle Solaris의 SMF(Service Management Facility) 기능은 서비스 추가, 제거, 구성 및 관리를 위해 사용됩니다. SMF는 RBAC를 사용하여 시스템에서 Service Management Facility에 대한 액세스를 제어합니다. 특히 SMF는 권한을 사용하여 서비스를 관리할 수 있는 사용자 및 사용자가 수행할 수 있는 작업을 결정합니다.
SMF를 통해 조직에서는 서비스에 대한 액세스를 제어하고 이러한 서비스의 시작, 중지 및 새로 고침 방법을 제어할 수 있습니다.
자세한 내용은 다음을 참조하십시오.
선택한 매뉴얼 페이지에는 svcadm(1M), svcs(1) 및 smf(5)가 포함됩니다.
ZFS는 Oracle Solaris 11의 기본 파일 시스템입니다. ZFS 파일 시스템은 기본적으로 Oracle Solaris 파일 시스템의 관리 방식을 변경합니다. ZFS는 강력하고, 확장 가능하며, 관리하기도 쉽습니다. ZFS에서는 파일 시스템 만들기가 간단하므로 할당량 및 예약된 공간을 쉽게 설정할 수 있습니다. UNIX 권한 및 ACE 보호 파일 그리고 RBAC는 ZFS 데이터 집합에 대한 위임된 관리를 지원합니다.
자세한 내용은 다음을 참조하십시오.
Oracle Solaris 관리: ZFS 파일 시스템의 1 장, Oracle Solaris ZFS 파일 시스템(소개)
Oracle Solaris 관리: ZFS 파일 시스템의 3 장, Oracle Solaris ZFS와 전통적인 파일 시스템의 차이
Oracle Solaris 관리: ZFS 파일 시스템의 6 장, Oracle Solaris ZFS 파일 시스템 관리
Oracle Solaris Zones 소프트웨어 분할 기술을 사용하면 하드웨어 리소스를 동시에 공유하면서 서버당 하나의 응용 프로그램 배치 모델을 유지 관리할 수 있습니다.
영역은 여러 응용 프로그램이 동일한 물리적 하드웨어에서 서로 격리된 상태로 실행할 수 있게 해주는 가상화된 작동 환경입니다. 이러한 격리성은 한 영역 내에서 실행되는 프로세스가 다른 영역에서 실행되는 프로세스를 모니터링하거나 영향을 주거나, 서로 데이터를 보거나, 기본 하드웨어를 조작하지 않도록 방지합니다. 영역은 또한 물리적 장치 경로 및 네트워크 인터페이스 이름과 같이 응용 프로그램이 배치된 시스템의 물리적 속성으로부터 응용 프로그램을 구분하는 추상화 계층을 제공합니다.
자세한 내용은 다음을 참조하십시오.
선택한 매뉴얼 페이지에는 brands(5), zoneadm(1M) 및 zonecfg(1M)이 포함됩니다.
Oracle Solaris의 Trusted Extensions 기능은 데이터 보안 정책을 데이터 소유권과 구분하도록 하는 보안 레이블 지정 기술에서 선택적으로 사용으로 설정된 계층입니다. Trusted Extensions는 소유권을 기반으로 하는 기존의 DAC(임의의 액세스 제어) 및 레이블 기반의 MAC(필수 액세스 제어) 정책을 모두 지원합니다. Trusted Extensions 계층이 사용으로 설정되지 않은 한 모든 레이블이 서로 동일하여 커널이 MAC 정책을 적용하도록 구성되지 않습니다. 레이블 기반 MAC 정책이 사용으로 설정된 경우 액세스를 요청하는 프로세스(주체) 및 데이터를 포함하는 객체와 연관된 레이블의 비교에 따라 모든 데이터 흐름이 제한됩니다. 다른 다중 레벨 운영 체제와 달리 Trusted Extensions에는 다중 레벨 데스크탑이 포함됩니다.
Trusted Extensions는 공통 조건 LSPP(레이블이 있는 보안 보호 프로파일), RBACPP(역할 기반 액세스 보호 프로파일) 및 CAPP(제어 액세스 보호 프로파일)의 요구 사항을 충족합니다. 하지만 Trusted Extensions 구현은 호환성을 극대화하고 오버헤드를 최소화하면서 높은 보장성을 제공한다는 점에서 고유한 특성을 갖습니다.
자세한 내용은 다음을 참조하십시오.
Trusted Extensions 구성 및 유지 관리에 대한 자세한 내용은 Trusted Extensions 구성 및 관리를 참조하십시오.
다중 레벨 데스크탑 사용에 대한 자세한 내용은 Trusted Extensions 사용자 설명서를 참조하십시오.
선택한 매뉴얼 페이지에는 trusted_extensions(5) 및 labeld(1M)이 포함됩니다.
|