[리눅스/서비스 관리] Apache 웹 프로세스 권한 제한 (U-36)

Apache 웹 프로세스 권한 제한

 

취약점 개요

■ 위험도
- 상

■ 점검 목적
- Apache 데몬을 root 권한으로 구동하지 않고 별도의 권한으로 서비스함으로써 침해사고 발생 시 피해범위 확산 방지를 목적으로 함

■ 보안 위협
- 웹 프로세스 취약점 공격으로 Apache 권한이 탈취 당할 경우 Apache 프로세스의 권한이 root이면 시스템 전체의 제어권을 탈취 당해 피해범위가 확산될 가능성이 있음

점검 및 조치 방법

■ 판단 기준
- 양호 : Apache 데몬이 root 권한으로 구동되지 않는 경우
- 취약 : Apache 데몬이 root 권한으로 구동되는 경우

■ 조치 방법
- Apache 데몬을 root가 아닌 별도 계정으로 구동

■ 점검 및 조치 사례

● SOLARIS, LINUX, AIX, HP-UX
Step 1) 데몬 User & Group 변경
User & Group 부분에 root가 아닌 별도 계정으로 변경

Step 2) Apache 서비스 재시작

■ 스크립트

echo "U-36 START"
echo " "                                                                                                                >>  $COMPUTERNAME 2>&1
echo "[ U-36 Apache 웹 프로세스 권한 제한 ]"                                                                                >>  $COMPUTERNAME 2>&1
if [ `ps -ef | grep httpd | grep -v "grep" | wc -l` -eq 0 ]                                         
then                                         
     echo "Apache 미실행중입니다."                                                                                        >>  $COMPUTERNAME 2>&1
else                                         
     ps -ef | grep httpd | grep -v "grep"                                                                          >>  $COMPUTERNAME 2>&1
fi                                           
echo " "                                                                                                                >>  $COMPUTERNAME 2>&1
echo "U-53 END"                                                                                                              >>  $COMPUTERNAME 2>&1
echo "======================================================================================"       >>  $COMPUTERNAME 2>&1
echo " "                                                                                                                >>  $COMPUTERNAME 2>&1
echo " "                                                                                                                >>  $COMPUTERNAME 2>&1