리눅스(Linux) 서버 취약점 점검/진단 도구 v1.0 개발 히스토리 (2016년도)

2016년도는 ISMS 인증심사 준비 및 대응을  보안팀에서 자체적으로 수행을 하다보니 갖추어야 하는 회사내 보안 관리체계 정비가 너무 많은 가운데 PC 취약점 점검/진단 도구를 먼저 개발하게 됨.

리눅스(Linux) 서버는 내가 오기전부터 존재하던 Linux용 취약점 점검 스크립트가 존재하였으나, 해당 스크립트는 점검자의 역량에 따라 그나마 정보가 추출된 서버의 설정값을 가지고 점검자가 진단을 하나 평가 기준이 상이하고, 운영체제 환경이 맞지 않을 경우 정보가 추출되지 않는 문제가 있었음.

또한 해당 설정값이 대한 점검자가 컨설팅 업체를 통하지 않다보니 이를 보안팀에서 수집하여 서버 설정에 대한 취약점 평가에는 어려움이 발생하여, 서버 담당자가 해당 추출된 정보로 주관적 평가로 시스템의 보안설정을 유지하다보니 적합하지 않은 보안 기준 및 지침과 운영에 맞지 않는 설정등이 발견됨.

 

이를 개선하기 위해 많은 시간을 투자할수가 없어 리눅스(Linux) 서버 취약점 점검/진단 도구를 개발하기로 마음 먹음.

많은 부분을 개선하지는 못하고, 운영체제에 맞게 동작하도록 하는것이 급하여 해당 부분만 개선함. 

 

리눅스(Linux) 서버 취약점 점검 도구 v1.0 - Dev. History

취약점 점검 도구 v1.0 버전 개선 및 변경사항

- 운영체제별 종류를 식별하기 위해 식별코드 추가
- 다양한 리눅스 운영체제의 확인하여야 하는 환경 설정 파일의 위치를 운영체제별로 정의

- 기존 공유되거나 공개된 리눅스 취약점 점검 스크립트를 클래스, 펑션 단위로 새로 제작, 향후 취약점 점검 스크립트를 손쉽게 관리하기 위해 구조 전면 변경(함수 호출 방식 처럼)
- PC 취약점 점검/진단 도구처럼 HTML 보고서 생성을 위한 코드 추가 

- CentOS, Utuntu 운영체제에 따라 식별하여 동작하도록 정의된 환경 설정 변수를 참조하도록 코드 개선 

별도의 보고서는 없고 개별 항목 추출정보가 위의 내용이 TXT파일로 저장되는 구조