┗System∑Sec†ion┛

♧ 대부분의 리눅스 시스템은 시스템에서 발생하는 많은 활동의 로그를 구성한다.

/var/log 디렉토리 혹은 서브 디렉토리에 위치한 로그파일에 쓴다.

이 로긴은 Syslog를 통해 이루어진다.

우분투는 sysklogd 그리고 klogd 패키지에서 시스템 로깅을 관리하는

syslogd(시스템 로그 데몬) 및 klogd(커널 로그 데몬)를 사용한다.

이러한 데몬은 syslog init 스크립트(/etc/init.d/sysklogd)에서 자동적으로 시작한다.

시스템에 대한 활동 정보는 /etc/syslog.conf 설정을 기반으로

message, secure, cron 그리고 boot.log 같은 것으로 /var/log 디렉토리 안의 파일에 다이렉트 한다.

자동 로그 회전은 /etc/logrotate.conf 파일 그리고 /etc/logrotate.d 디렉토리 설정을 기반으로

logrotate를 다룬다. /etc/cron.daily/logrotate 크론잡(cronjob)은 매일 로그 회전을 맡는다.

vi 혹은 좋아하는 텍스트 편집을 사용하여 로그 파일은 수동으로 언제든지 확인할 수 있다.

그러나 만약 logwatch 패키지를 설치했다면, 로그 파일의 하이라이트는 매일 root 사용자의

사서함에 자동적으로 우송된다. /etc/cron.daily/0logwatch파일을 편집하여 메일의

받는주소와 보내는 주소를 변경할 수 있다.

이메일 루프를 방지하려면, 수신자가 로컬 머신에 없을 때 실제 이메일 주소를 보내는 주소로 변경해야 한다.

수신자를 변경하는 또 다른 방법은 /etc/aliases 편집하여 root의 이메일 주소를 다른 주소로 포워드한다.

그리고 newaliases를 실행하여 변화를 제정한다.

그렇지 않으면, logwatch이메일 메시지를 읽을 때 root로 로그인하고 메일 클라이언트를 사용한다.

logger 명령어를 사용하여 syslogd 로깅으로 자신의 메시지를 보낼 수 있다.

첫 번째 예는, Added new video card 문장을 메시지 파일에 보낸다.

두 번째 예는, 메시지의 우선순위가 정보로 설정되어 있고 CARD의 태크가 메시지 각 라인에 추가하였다.

텍스트 메시지는 /tmp/my.txt 파일에서 가지고 온 것이다.

실시간으로 로그 항목을 보려면 tail -f 혹은 less를 사용하라.

♧ 컴퓨터의 네트워크 인터페이스의 모든 데이터 패킷을 검사하여 컴퓨터를 보호하고,

그때 설정한 파라미터를 기반으로 패킷을 함께 해야 할지에 대해 결정한다. 현재 리눅스

커널에 내장된 방화벽은 iptables라고 한다(커널2.2의 iptables의 전신은 ipchains)

우분투는 완벽하게 iptables를 시작하고 리눅스를 설치할 때 구성한다.

iptables(www.netfilter.org)는 예외적으로 강력하지만 아직 커맨드라인에서의 사용은 복잡.

그래픽 인터페이스를 사용하여 방화벽 규칙을 설정 : firestarter 패키지 설치.

firestarter는 방화벽 구성 마법사 및 설정을 제공한다. 또한 그래픽 방화벽 구성을 위해서

FWBuilder(fwbuilder 패키지), Shorewall(shorewall 패키지) 같은 패키지를 추가할 수 있다.

▶ 리눅스 시스템의 방화벽이 현재 규칙을 어떻게 설정하는지 표시

☞ 우분투를 처음 설치할 때, 앞의 명령어 출력은 정의에 대한 어떠한 규칙도 없다.

☞ iptables을 방화벽 테이블 기본 필터를 보여준다.

☞ udp 상에서 인터넷 프린팅 프로토콜(ipp)을 위한 패킷이 컴퓨터의 네트워크 인터페이스가 들어오는 것을

보여주고 tcp 프로토콜을 허용.

☞ 마찬가지로 FTP(ftp)와 매치되는 tcp 패킷, 시큐얼 쉘(ssh), 웹(http) 목적지 포트를 수용한다.

패킷이 활성화된 패킷과 연관이 있다면 또한 수용.

▶ 현재 iptables nat 테이블을 표시.

☞ nat 테이블은 단지 네트워크 주소 변환 기능이 적용되는 것을 보여줌.

☞ NAT 방화벽 뒤에 개인 어드레스 같은 것들을 허용한다.

☞ 내부 LAN 머신에서 패킷은 방화벽을 종료한다.

비공개 소스 어드레스는 방화벽의 외부 인터페이스의 IP 어드레스를 재작성한다.

방화벽은 LAN 머신을 통하여 트래픽 반환을 허용하기 위하여 세션 추적을 유지한다.

이 모든 것은 POSTROUTING체인에 있는 MASQUERADE 라인으로 구성된다.

☞ PREROUTING 체인에 DNAT 라인은 내부 LAN IP 어드레스 10.0.0.155:22번 포트에서 포워드하여

IP 어드레스 11.22.33.44에 8785번 포트에 어떤 요청을 발생한다

(비표준 포트를 통해 방화벽 뒤에 컴퓨터에서 ssh로 누군가 트릭)

▶ 방화벽에 대한 정보를 나열( ipstate 명령어는 iptstate 패키지의 일부)

다음은 우분투 시스템에서 모든 iptables 규칙을 멈출 수 있는지 혹은 플러시할 수 있는 방법이다.

이 명령어는 모든 규칙을 제거한다. 그래서 실행할 때 주의하여야 한다.

바로 새로운 규칙의 추가를 원할지 모르기 때문이다.

▶ iptables 명령어로 활성화 방화벽 규칙을 어떻게 변경하여 사용하는지 몇 가지 예를 들어보자.

☞ 첫 번째 예 : 시스템의 25번 포트에 새로운 응답을 허용하는 규칙을 생성한다.

메일서버(센드메일, postfix, 혹은 SMTP 서비스)가 컴퓨터에 구성되어 있기 때문이다.

☞ 두 번째 예 : 소스 네트워크 어드레스 변환(SNAT)을 방화벽에 허용하여 nat 테이블에 규칙을 생성한다.

SNAT 기능을 사용하면 공용 인터넷 방화벽의 외부 IP 어드레스를 사용하여 통신할 수 있도록 방화벽 뒤에

있는 사설 IP 어드레스를 가지고 있다.

SNAT 혹은 다른 폼의 NAT를 사용하려면, 머신에서 IP 포워딩을 활성화해야만 한다.

/etc/sysctl.conf 파일을 편집하여 수행할 수 있고 다음 변수에 uncommenting 할 수 있다.

방화벽 뒤에 머신에서 인터넷 서비스를 제공하는 경우,

머신이 서비스에 대한 요청을 포워드하도록 방화벽에 지시할 수 있다.

다음 예는 방화벽 뒤에 있는 머신에 방화벽을 통해 서비스에 대한 요청을 전달하도록 port forwarding 기능을 사용.

방화벽 동작의 변경을 만들 수 있는 많은 유형의 규칙이 있다.

iptables 사용의 더 많은 정보를 보려면 iptables 맨 페이지 혹은 Netfilter 웹사이트(www.netfilter.org)를 참조.

위와 같이 변경 후, 정의된 다음 규칙을 볼 수 있다.

모든 iptables 규칙 변경은 이 세션에서만 적용이 된다. 우분투를 재부팅하는 경우,

일반적으로 원하지 않은 기본 설정 규칙을 얻어 온다. iptables 규칙을 보존하려면, iptables-save 실행하라.

2단계 프로세스는 /etc/ 디렉토리에 대한 제한 때문에 필요하다.

( 제한을 변경할 수 있지만, 좋은 생각은 아니다) 여태까지 규칙은 나중에 사용을 위해 저장한다.

다음은 이더넷 인터페이스(시스템상에서 특정 각각의 네트워크 카드 혹은 인터페이스)가 가능하게

매시간 저장된 규칙을 로드할 수 있게 구성할 수 있다. /etc/network/interfaces 파일을 편집하라.

eth0 같은 이더넷 인터페이스를 위해 iface 구성후, 미리보기 표시된 iptables-restore를 호출.

인터페이스 파일에 추가로 /etc/iptables.rules 파일 이전에 규칙을 복원하기 위해 iptables-restore를 호출

ipTables HowTo 문서 : https://help.ubuntu.com/community/IptablesHowTo

♧ 사용자 계정을 생성한 후, 그리고 사용자가 컴퓨터를 풀어버리면

컴퓨터를 사용하는 방법을 추적하는데 사용할 수 있는 몇 가지 명령어.

◈ find 명령 : 시스템에서 저장되어 있는 파일이 어디 있는지 시스템에서 검색.

◈ du 명령 : 사용자의 홈 디렉토리에 얼마나 많은 공간이 사용 되었는지 확인.

◈ fuser, ps, top 명령 : 어떤 사용자가 프로세스를 실행하는지 보려면.

▶ last : 가장 최근에 시스템에 로그인한 사람의 정보

☞ 언제 로그인햇는지, 얼마나 오랫동안 로그인 했는지, 혹은 'still 로그인'했는지 볼 수 있다.

☞ pts 라인은 원격 컴퓨터 혹인 로컬 X 디스플레이(:0.0)에서 쉘을 연 사용자를 표시.

☞ 원격 클라이언트가 호스트 이름 쉽게 읽음 : $ last -a

▶ lastb :가장 최근 로그인에 성공하지 못한 목록

▶ who -u : 현재 로그인한 목록(긴 형식)

▶ users : 현재 로그인한 목록(짧은 형식)

▶ 개별 사용자들에 대한 정보를 찾기 위한 몇 가지 명령어.