리눅스(Linux) 서버 취약점 점검/진단 도구 v3.x 개발 히스토리 (2018년도 ~ 2022년도)

기존 v1.x, v2.x 버전의 리눅스 서버 취약점 점검/진단 도구에 대한 아래와 같은 문제점을 도출하여 개선하고자 하였으며, 개발해온 구조를 유지하면서 소스 전체 수정하여, 이후 취약점 점검 평가 기준 적용 및 소스 유지보수를 원활히 할 수 있도록 전반적인 전체소스를 새로운 구조로 새롭게 제작함. (현재 1만줄 이상 소스 코드 ㅜ..ㅜ)

리눅스(Linux) 서버 취약점 점검 도구 v3.x - Dev. History

취약점 점검 도구 v3.x 버전 개선 및 변경사항

- 취약점 점검 항목을 유연하게 수정, 변경, 제외를 할 수 있도록 클래스화 및 전체 소스 새로 제작 (2018년도 ~ 2021년도)

- 취약점 점검 도구 실행시 운영체제를 식별하게 해당 운영체제의 설정 항목에 맞게 분기하도록 개선

- 많은 취약점 점검 항목을 전체적으로 식별할 수 있도록 현황판 추가 (2019년도)

- 운영체제에 보안점검 및 조치를 직접 수행하면서 취약점 평가 오류 정합성(90%이상) 향상 (2018년도 ~ 2021년도)

- 운영체제별 OS방화벽 모듈 종류를 체크하여 그에 맞도록 OS방화벽 정보 수집 및 점검하도록 개선

- CentOS 7.x 계열 취약점 점검 및 평가가 되도록 추가 (2019년도)

  ; CentOS 7.x 계열의 설정 파일 변경에 따른 취약점 평가 기준 반영  (패스워드 복잡도, 패스워드 설정 등)

- 알려진 포트(SSH, TELNET 등)로 정의되어 있을 경우 , Custom Port를 사용하지 않을 경우 취약 판정이 되도록 기능 추가
- 사내 보안설정 기준에 대한 양호/취약 판단 기준 추가

- 다중 웹데몬(멀티 쓰레드)이 기동중인 경우 취약점 평가가 되지 않는 문제 개선(다중 웹설정 체크)

- 각 취약점 점검 항목별 세부 내역에 취약점 판단 기준 추가하여 가독성 향상 

- 취약점 점검도구 옵션 기능 추가 (-h, -c , -v) (2019년도)

- 취약점 진단시 단순 양호/취약 판정이 아닌 시스템에 대한 설정 현황을 추출하여, 보안 취약점 및 시스템 보안 강화  적용시 참고가 되도록 정보 제공

- 취약점 항목에 대한 보안위협, 취약점 평가 기준, 조치 가이드 표시 기능 추가 (콘솔 -v옵션, HTML 보고서 정보 반영)

- V3.0 버전에서 시스템 보안 조치후 개별 취약점에 대한 취약점 진단과 조치 결과를 Linux Shell에서 바로 확인할 수 있도록 기능 추가

- 전체 취약점 진단시 HTML 결과를 생성하도록 하고, 개별 취약점에 대하여 Linux Shell(Terminal)에서 취약점에 대한 관리를 할수 있도록 기능 강화

- Linux Shell(Terminal)에서 전체 취약점 진단의 양호/취약 판정에 대하여 쉽게 식별하도록 색상(COLOR) 표시

- 리눅스 스크립트 실행후 서버에 대한 패스워드 입력시 패스워드 정보가 표시 되지 않도록 수정 (패스워드 노출 보호)

- DNS서버 환경을 분석하여 취약점 진단 반영 (Ubuntu 16.04)
- Apache서버 환경을 분석하여 취약점 진단 반영 (CentOS 7)

- CentOS 8.x 계열 취약점 점검 및 평가가 되도록 추가 (2020년도)

  ; CentOS 8.x 계열의 설정 파일 변경에 따른 취약점 평가 기준 반영 (패스워드 복잡도, 패스워드 설정 등)

- ISMS인증심사 기술적 보안결함사항에 대한 취약점 점검 평가 반영(UL-74 항목 추가) (2020년도)

  ; 불필요한 서비스, 관리자 Permit IP 설정, 운영서버에 컴파일러 존재 유무 등

- 취약점 점검시 HTML 보고서와 Console 출력에 대한 줄넘김(<br>, /n) 처리가 되도록 소스 추가

- 취약점 점검 도구 실행시 파일 퍼미션을 과도하게 설정할 경우 해당 점검 도구로 인해 공격자에게 악영향을 미칠 가능성이 존재하여 실행 권한 및 관리자 권한 실행 확인

- Rocky Linux 8.x 계열 취약점 점검 및 평가가 되도록 추가 (2022년도)

  ; Rocky Linux 8.x 계열의 설정 파일 변경에 따른 취약점 평가 기준 반영 (패스워드 복잡도, 패스워드 설정 등)

취약점 점검 도구 옵션에 대한 도움말 기능 추가

취약점 점검 도구 결과표출 및 정보 제공에 대한 가독성 향상을 위한 Color 표시 기능 추가(콘솔 화면)

 

취약점 점검 도구 옵션(-r) 사용시 콘솔 출력 결과 (취약점 점검 진행 결과 표시 및 HTML보고서 생성 옵션)

 

취약점 점검 도구 옵션(-v) 사용시 콘솔 출력 결과 (취약점 점검 항목 개별 상세 조회 옵션)

 

취약점 점검도구에 ISMS 보안결함 기술적 함목에 대한 취약점 평가 기준 추가(UL-74)