서버 보안 취약점 평가_SRV-028

※ 이 글에서는 LINUX 기준으로만 작성하였습니다.

 

평가항목 ID	구분	평가항목	상세설명	주요 정보통신기반시설 취약점 분석 평가기준 (과학기술정보통신부고시)
SRV-028	기술적 보안	원격 터미널 접속 타임아웃 미설정	사용자 부재시, 비인가자에 의한 시스템 무단 사용을 방지하기 위해 일정시간 사용하지 않는 세션에 대한 자동 종료시간 설정 여부를 점검하고, 세션 종료시간이 설정되어 있을 경우 과도하게 설정 되어 있는지 점검	(하) [계정 관리] U-54 Session Timeout 설정

 

평가대상 (AIX)	평가대상 (HP-UX)	평가대상 (LINUX)	평가대상 (SOLARIS)	평가대상 (WIN)
O	O	O	O	O

● 점검목적

- 사용자의 고의 또는 실수로 시스템에 계정이 접속된 상태로 방치됨을 차단하기 위함

 

● 보안위협

- session timeout 값이 설정되지 않은 경우 유휴 시간 내 비인가자의 시스템 접근으로 인해 불필요한 내부 정보의 노출 위험이 존재함

 

● 판단기준

* 양호 - 세션 타임아웃 값이 900초 이하(15분)로 설정 되어 있을 경우

* 취약 - 세션 타임아웃 값이 900초 이하(15분)로 설정 되어 있지 않을 경우 (아래 내용 중 해당사항이 있는 경우)

              1) 내부 규정에 세션 종료 시간이 명시되어 있을 경우
                   - 세션 타임아웃이 내부 규정에 명시된 세션 종료 시간보다 초과 설정 시 "취약"으로 판단
              2) 내부 규정에 세션 종료시간이 명시되어 있지 않을 경우
                   - 세션 타임아웃이 15분 초과 설정 시 "취약"으로 판단

 

● 확인방법

- /etc/profile(.profile) 파일 내 TMOUT, TIMEOUT 설정값 확인

 

 

● 조치방법

step 1) vi /etc/profile

step 2) 아래 내용을 수정 또는 추가

           TMOUT=600

           export TMOUT

 

※현재 로그인한 사용자에게만 적용할 경우 ~/.profile 또는 ~/.bash_profile에 설정할 것