root 액세스 모니터 및 제한(작업)

기본적으로 root 역할이 초기 사용자에게 지정되며 로컬 시스템에 직접 로그인하거나 모든 Oracle Solaris 시스템에 원격으로 로그인할 수 없습니다.

su 명령을 사용 중인 사용자 모니터 방법

sulog 파일은 사용자에서 root로의 전환에 사용되는 su 시도뿐 아니라 사용자 전환(su) 명령의 모든 사용을 나열합니다.

시작하기 전에

root 역할을 맡아야 합니다. 자세한 내용은 지정된 관리 권한을 사용하는 방법을 참조하십시오.

• 정기적으로 /var/adm/sulog 파일의 내용을 모니터합니다.

  # more /var/adm/sulog
  SU 12/20 16:26 + pts/0 stacey-root
  SU 12/21 10:59 + pts/0 stacey-root
  SU 01/12 11:11 + pts/0 root-rimmer
  SU 01/12 14:56 + pts/0 jdoe-root
  SU 01/12 14:57 + pts/0 jdoe-root

  항목에는 다음 정보가 표시됩니다.

  • 명령이 입력된 날짜 및 시간

  • 시도 성공 여부. 플러스 기호(+)는 시도 성공을 나타냅니다. 마이너스 기호(-)는 시도 실패를 나타냅니다.

  • 명령이 실행된 포트

  • 사용자 이름 및 전환된 ID의 이름

  이 파일의 su 로깅은 /etc/default/su 파일의 다음 항목을 통해 기본으로 사용으로 설정되어 있습니다.

  SULOG=/var/adm/sulog

일반 오류

???가 포함된 항목은 su 명령에 대한 제어 터미널을 식별할 수 없음을 나타냅니다. 일반적으로 데스크탑이 표시되기 전에 시스템에서 su 명령을 호출하면 ???가 SU 10/10 08:08 + ??? root-root에서처럼 포함됩니다. 사용자가 데스크탑 세션을 시작한 후에는 ttynam 명령이 제어 터미널의 값을 sulog: SU 10/10 10:10 + pts/3 jdoe-root에 반환합니다.

su 명령이 명령줄에서 호출되지 않았음을 나타내는 항목은 SU 10/10 10:20 + ??? root-oracle과 유사하게 표시될 수 있습니다. Trusted Extensions 사용자가 GUI를 사용하여 oracle 역할로 전환되었을 수도 있습니다.

root 로그인 제한 및 모니터 방법

이 방법은 root의 로컬 시스템에 대한 액세스 시도를 즉시 감지합니다.

시작하기 전에

root 역할을 맡아야 합니다. 자세한 내용은 지정된 관리 권한을 사용하는 방법을 참조하십시오.

1. /etc/default/login 파일에서 CONSOLE 항목을 확인합니다.

   CONSOLE=/dev/console

   기본적으로 콘솔 장치는 /dev/console로 설정되어 있습니다. 이 설정을 사용하여 root가 콘솔에 로그인할 수 있습니다. root는 원격으로 로그인할 수 없습니다.

2. root가 원격으로 로그인할 수 없는지 확인합니다.

   원격 시스템에서 root로 로그인해 봅니다.

   mach2 % ssh -l root mach1
   Password: <Type root password of mach1>
   Password: 
   Password: 
   Permission denied (gssapi-keyex,gssapi-with-mic,publickey,keyboard-interactive).

   기본 구성에서 root가 역할이고, 역할은 로그인할 수 없습니다. 또한 기본 구성에서 ssh 프로토콜이 root 사용자 로그인을 막습니다.

3. root로 로그인하려는 시도를 모니터합니다.

   기본적으로 root로 로그인하려는 시도는 SYSLOG 유틸리티를 통해 콘솔에 인쇄됩니다.

   1. 데스크탑에서 터미널 콘솔을 엽니다.
   2. 다른 창에서는 su 명령을 사용하여 root로 로그인합니다.

      % su -
      Password: <Type root password>
      #

      메시지가 터미널 콘솔에 인쇄됩니다.

      Sep 7 13:22:57 mach1 su: 'su root' succeeded for jdoe on /dev/pts/6

예 3-5 root 액세스 시도 기록

이 예에서는 root 시도가 SYSLOG를 통해 기록되지 않습니다. 따라서 관리자가 /etc/default/su 파일의 #CONSOLE=/dev/console 항목에서 주석을 제거하여 해당 시도를 기록하고 있습니다.

# CONSOLE determines whether attempts to su to root should be logged
# to the named device
#
CONSOLE=/dev/console

사용자가 root로 로그인하려고 시도하면 터미널 콘솔에 해당 시도가 인쇄됩니다.

SU 09/07 16:38 + pts/8 jdoe-root

일반 오류

/etc/default/login 파일에 기본 CONSOLE 항목이 포함된 경우 원격 시스템에서 root가 되려면 사용자가 먼저 자신의 사용자 이름을 사용하여 로그인해야 합니다. 사용자 이름으로 로그인한 후 su 명령을 사용하여 root로 로그인할 수 있습니다.

콘솔에 Last login: Wed Sep 7 15:13:11 2011 from mach2와 비슷한 항목이 표시되면 시스템이 원격 root 로그인을 허용하도록 구성된 것입니다. 원격 root 액세스를 방지하려면 /etc/default/login 파일에서 #CONSOLE=/dev/console 항목을 CONSOLE=/dev/console로 변경하십시오. ssh 프로토콜을 기본값으로 되돌리려면 sshd_config(4) 매뉴얼 페이지를 참조하십시오.