[리눅스/유닉스 서버] RPC 서비스 확인

 

 

U-27 RPC 서비스 확인

 

■ 점검영역 : 서비스 관리

 

■ 항목 중요도 : 상

 

■ 점검내용

 

불필요한 RPC 서비스의 실행 여부 점검

 

■ 점검목적

 

다양한 취약성(버퍼 오버플로우, Dos, 원격실행 등)이 존재하는 RPC 서비스를 점검하여 해당 서비스를 비활성화 하도록 함

 

■ 보안위협

 

버퍼 오버플로우(Buffer Overflow), Dos, 원격실행 등의 취약성이 존재하는 RPC 서비스를 통해 비인가자의 root 권한 획득 및 침해사고 발생 위험이 있으므로 서비스를 중지하여야 함

 

■ 참고

 

※ RPC(Remote Procedure Call)

별도의 원격 제어를 위한 코딩 없이 다른 주소 공간에서 함수나 프로시저를 실행할 수 있게 하는 프로세스 간 프로토콜

 

※ 불필요한 RPC 서비스

rpc.cmsd, rpc.ttdbserverd, sadmind, rusersd, walld, sprayd, rstatd, rpc.nisd, rexd, rpc.pcnfsd, rpc.statd, rpc.ypupdated, rpc.rquotad, kcms_server,cachefsd

 

 

점검대상 및 판단기준

 

■ 대상 : SOLARIS, LINUX, AIX, HP-UX 등

 

양호

불필요한 RPC 서비스가 비활성화 되어 있는 경우

 

취약

불필요한 RPC 서비스가 활성화 되어 있는 경우

 

■ 조치방법

 

일반적으로 사용하지 않는 RPC 서비스들을 inetd.conf 파일에서 주석 처리한 후 inetd 재구동

(진단 보고서에 발견된 RPC 서비스 조치)

 

 

점검 방법

 

■ OS별 점검 파일 위치 및 점검 방법

 

LINUX, AIX, HP-UX, SOLARIS 5.9 이하 버전

불필요한 RPC 서비스 비활성화 여부 확인 #cat /etc/inetd.conf

 

LINUX(xinetd)

“/etc/xinetd.d" 디렉터리 내 서비스별 파일 비활성화 여부 확인 #vi /etc/xinetd.d/[서비스별 파일명]

 

SOLARIS 5.10 이상 버전

RPC 서비스 관련 데몬 확인 #inetadm | grep rpc | grep enabled | egrep "ttdbserver|rex |rstart|rusers|spray|wall|rquota"

불필요한 “RPC" 서비스가 활성화된 경우 아래의 보안설정방법에 따라 서비스 데몬 중지

 

■ LINUX, AIX, HP-UX, SOLARIS 5.9 이하 버전

 

Step 1) “/etc/inetd.conf” 파일에서 해당 라인 #처리(주석처리)
(수정 전) rpc.cmsd/2-4 dgram rpc/udp wait root /usr/dt/bin/rpc.cmsd rpc.cmsd

(수정 후) #rpc.cmsd/2-4 dgram rpc/udp wait root /usr/dt/bin/rpc.cmsd rpc.cmsd

 

Step 2) inetd 서비스 재시작
#ps -ef | grep inetd
root 141 1 0 15:03:22 ? 0:01 /usr/sbin/inetd -s
#kill -HUP 141

 

■ LINUX (xinetd일 경우)

 

Step 1) vi 편집기를 이용하여 “/etc/xinetd.d/” 디렉터리 내의 불필요한 RPC 서비스 파일 열기

 

Step 2) 아래와 같이 설정 (Disable = yes 설정)

service finger { disable = yes socket_type = stream wait = no - 이하 생략 - }

Step 3) xinetd 서비스 재시작
#service xinetd restart

■ SOLARIS 5.10 이상 버전

 

Step 1) 불필요한 rpc 서비스 관련 데몬 확인

svc:/network/rpc/cde-ttdbserver:tcp • svc:/network/rpc/rex:default • svc:/network/rpc/rstat:default • svc:/network/rpc/rusers:default • svc:/network/rpc/spray:default • svc:/network/rpc/wall:default • svc:/network/fs/rquota:default - 이하 생략 -

Step 2) svcadm disable “중지하고자 하는 데몬“ 명령으로 서비스 데몬 중지
#inetadm –d svc:/network/rpc/rusers:default

 

■ 조치 시 영향 : 일반적인 경우 영향 없음