안녕들 하시죠 !
이번시간에는 Linux 취약점 진단 '패스워드 복잡성 설정'에 대해 알아보겠습니다.
1. 계정관리 > 1.2 패스워드 복잡성 설정 U-02 ( 상 )
1.2.1 점검내용
ㆍ 시스템 정책에 사용자 계정 ( root 및 일반 계정 모두 해당 ) 패스워드 복잡성 관련 설정이 되어 있는지 점검
1.2.2 점검목적
ㆍ 패스워드 복잡성 관련 정책이 설정되어 있는지 점검하여 비인가자의 공격 ( 무작위 대입 공격, 사전 대입 공격 등 ) 에 대비가 되어 있는지 확인하기 위함
1.2.3 보안위협
ㆍ 패스워드 복잡성 설정이 되어 있지 않은 사용자 계정 패스워드 존재 시 비인가자가 각종 공격 ( 무작위 대입 공격, 사전 대입 공격 등 )을 통해 취약한 패스워드가 설정된 사용자 계정의 패스워드를 획득하여 획득한 사용자 계정정보를 통해 해당 사용자 계정의 시스템에 접근할 수 있는 위험이 존재함
1.2.4 판단기준
ㆍ 양호 : 영문, 숫자, 특수문자를 조합하여 2종류 조합 시 10자리 이상, 3종류 이상 조합 시 8자리 이상의 패스워드가 설정된 경우 ( 공공기관 9자리 이상 )
ㆍ 취약 : 영문, 숫자, 특수문자를 조합하지 않거나 2종류 조합 시 10자리 미만, 3종류이상 조합 시 8자리 미만의 길이가 패스워드로 설정된 경우 ( 공공기관 9자리 미만 )
1.2.5 조치방법
ㆍ 계정과 유사하지 않은 8자 이상의 영문, 숫자, 특수문자의 조합으로 암호 설정 및 패스워드 복잡성 옵션 설정
Step 2) /etc/pam.d/system-auth
수정 전)
수정 후)
Step 3) /etc/login.defs
수정 전)
PASS_MAX_DAYS : 비밀번호 사용가능 최대 기간
PASS_MIN_DAYS : 비밀번호를 변경하고 다시 변경할 때까지 최소 기간
PASS_MIN_LEN : 비밀번호 최소 길이
PASS_WARN_AGE : 비밀번호 만료 경고를 알리는 기간
수정 후)
'보안 > Linux 취약점 진단' 카테고리의 다른 글
| [U-01] root 계정 원격 접속 제한 (0) | 2018.11.19 |
|---|---|
| Linux 취약점 진단 (0) | 2018.11.18 |
| 정보보안 3요소 C.I.A (0) | 2018.11.09 |
한국인터넷진흥원_주요정보통신기반시설_기술적_취약점_분석_평가_상세_가이드_.pdf
