9.2. 호스트 기반 IDS
호스트 기반 IDS는 시스템 오용 (네트워크 내부에서 악의성이나 시스템을 악용하는 행위) 또는 외부로부터의 침입 행위를 찾아내기 위해 여러 영역을 분석합니다. 호스트 기반 IDS는 다양한 유형의 로그 파일 (커널, 시스템, 서버, 네트워크, 방화벽 등)을 자주 발생하는 알려진 공격 유형이 담긴 내부 데이터베이스와 비교합니다. UNIX와 리눅스 호스트 기반 IDS에서는 syslog이 발생한 사건을 심각성 수준에 따라 구분하여 기록하는 (예, 중요치 않은 프린터 메시지 대 중요한 커널 경고) 기능이 매우 중요하게 사용합니다. 호스트 기반 IDS는 로그를 거르고 (경우에 따라 네트워크 로그와 커널 이벤트 로그는 매우 상세하게 기록됩니다), 걸러진 로그 파일을 분석 후 자체적인 심각성 등급에 따라 예외적인 메시지를 다시 표시한 후 관리자가 분석할 수 있도록 자체적인 특수 로그 파일에 이 메시지들을 따로 모읍니다.
호스트 기반 IDS는 또한 중요한 파일과 실행 파일의 데이터 무결성을 확인 가능합니다. IDS는 기밀 파일 (및 관리자가 추가한 모든 파일)의 데이터베이스를 확인하고 md5sum (128-비트 알고리즘) 또는 sha1sum (160-비트 알고리즘)과 같은 메시지 파일 요약 유틸리티를 사용하여 각 파일의 체크섬(checksum)을 생성합니다. 그 후 호스트 기반 IDS는 체크섬 내용을 평문 파일에 저장하여 정기적으로 파일 체크섬과 텍스트 파일의 값을 비교합니다. 만일 어떠한 파일의 체크섬이라도 일치하지 않는다면 IDS는 관리자의 이메일이나 휴대폰으로 통지합니다. 9.2.1 절에서 설명된 Tripwire는 이러한 과정을 사용합니다.
9.2.1. Tripwire
Tripwire는 리눅스에서 가장 많이 사용되는 호스트 기반 IDS 입니다. Tripwire를 개발한 Tripwire, Inc.에서는 리눅스 버전 용 소프트웨어 소스 코드를 공개했으며 GNU 일반 공중 사용 허가서의 조항에 따라 라이센스를 획득했습니다. Tripwire는 http://www.tripwire.org/ 사이트에서 찾으실 수 있습니다.
 | 알림 |
|---|---|
Tripwire는 Red Hat Enterprise Linux에 포함되어 있지 않으며 지원되지 않습니다. 이 문서에서는 이 응용 프로그램을 사용하고자 하시는 사용자를 위한 참고 자료로서 언급되었습니다. |
9.2.2. IDS로 사용되는 RPM
RPM 패키지 관리자 (RPM)는 호스트 기반 IDS로 사용될 수 있는 또 다른 프로그램입니다. RPM은 패키지 및 패키지의 내용을 조회할 수 있는 다양한 옵션을 포함하고 있습니다. 이러한 검증 옵션은 관리자가 수정되었는지 의심이 가는 중요한 시스템 파일과 실행 파일을 검증할 수 있게 해줍니다.
다음 목록에서는 Red Hat Enterprise Linux 시스템에서 파일 무결성을 확인하는데 사용 가능한 RPM 옵션들을 보여줍니다. Red Hat Enterprise Linux 시스템 관리 가이드에서 RPM 사용 방법에 대한 자세한 정보를 찾으실 수 있습니다.
 | 중요 | |
|---|---|---|
다음 목록에 나온 일부 명령을 실행하기 위해서는 시스템의 RPM 키링에 Red Hat GPG 공개키를 가져와야 합니다. 이 키는 시스템 상에 설치된 패키지가 Red Hat 패키지 서명을 가지고 있는지 확인하는 역할을 합니다. 서명을 확인함으로서 이 패키지가 Red Hat에서 제공한 것임을 보장할 수 있습니다. 루트로 로그인하신 후 다음 명령을 입력하여 키를 가져오기(import) 하실 수 있습니다. (<version> 부분을 시스템에 설치된 RPM 버전으로 바꾸십시오):
|
- rpm -V package_name
-V 옵션은 package_name라는 설치된 패키지에 포함된 파일들을 검증합니다. 만일 아무런 결과가 출력되지 않고 종료한다면, RPM 데이터베이스가 마지막으로 업데이트된 이후로 모든 파일이 수정되지 않았다는 것을 의미합니다. 만일 다음과 같은 오류가 발생한다면
S.5....T c /bin/ps
파일이 수정되었다는 것을 의미하므로 (/etc/ 디렉토리에 수정된 설정 파일과 함께) 파일을 계속 보존할 것인지 또는 파일을 삭제하고 그 파일을 포함한 패키지를 재설치할 것인지 결정하셔야 합니다. 다음 목록에서는 검증 실패를 통지하는 8 문자열 (앞서 예시에서 S.5....T)의 항목들을 설명합니다.
. — 검사가 이 확인 단계를 거쳤습니다.
? — 검사 결과 파일을 읽을 수 없습니다, 아마도 파일 허가와 관련있는 문제일 가능성이 많습니다.
S — 검사 과정에서 원래 시스템에 설치된 크기 보다 크거나 작아진 파일을 발견하였습니다.
5 — 검사 과정에서 md5 체크섬이 처음 설치된 파일의 원래 체크섬과 일치하지 않는 파일이 발견되었습니다.
M — 검사 과정에서 파일 허가 오류나 파일 형식 오류가 있는 파일이 검색되었습니다.
D — major/minor 번호가 일치하지 않는 장치 파일이 발견되었습니다.
L — 다른 파일 경로로 변경된 심볼릭 링크를 발견했습니다.
U — 사용자 소유권이 변경된 파일을 발견했습니다.
G — 그룹 소유권이 변경된 파일을 발견했습니다.
T — mtime 확인 오류가 있는 파일을 발견했습니다.
- rpm -Va
-Va 옵션은 설치된 모든 패키지를 검증하여 확인 검사에 실패한 파일이 있는지 확인합니다. (-V 옵션과 유사하지만 설치된 모든 패키지를 확인하기 때문에 출력 결과가 보다 상세합니다).
- rpm -Vf /bin/ls
-Vf 옵션은 설치된 패키지에서 개별 파일을 검증합니다. 의심이 가능 파일을 빠르게 검증하고자 할때 유용합니다.
- rpm -K application-1.0.i386.rpm
-K 옵션은 RPM 패키지 파일의 md5 체크섬과 GPG 서명을 확인하는데 사용됩니다. 설치될 패키지가 Red Hat이나 여러분이 GPG 키링으로 가져오기한 GPG 공개키가 있는 다른 회사에 의해 서명되었는지 확인해보는데 유용합니다. 적절하게 서명되지 않은 패키지는 다음과 같은 오류 메시지를 보여줍니다:
application-1.0.i386.rpm (SHA1) DSA sha1 md5 (GPG) NOT OK (MISSING KEYS: GPG#897da07a)
서명되지 않은 패키지를 설치하실 때에는 매우 신중하셔야 합니다. 이 패키지들은 Red Hat, Inc.에 의해 승인되지 않았기 때문에 악의성 코드가 포함되어 있을 수 있습니다.
RPM은 설치된 패키지와 RPM 패키지 파일을 다양한 방법으로 검증할 수 있는 강력한 도구입니다. Red Hat Enterprise Linux를 설치하신 후 RPM 데이터베이 디렉토리 (/var/lib/rpm/)의 내용을 CD-ROM과 같은 읽기 전용 매체에 백업하시기 바랍니다. 백업본을 가지고 계시면 만일 악의를 가진 사용자가 시스템 상 데이터베이스를 손상시키고 결과를 왜곡할 경우에 파일과 패키지를 시스템 데이터베이스에 비교하지 않고 읽기 전용 데이터베이스에 비교하여 올바른 결과를 얻을 수 있습니다.
9.2.3. 다른 호스트 기반 IDS
다음 목록에서는 자주 사용되는 기타 다른 호스트 기반 침입 탐지 시스템에 대하여 설명하고 있습니다. 이 IDS를 설치하고 설정하는 방법에 대하여 보다 자세한 정보를 원하신다면 각 시스템의 웹사이트를 참조하시기 바랍니다.
| 알림 |
|---|---|
이 프로그램들은 Red Hat Enterprise Linux에 포함되어 있지 않으며 지원되지 않습니다. 이 문서에서는 이 응용 프로그램을 사용하고자 하시는 사용자를 위한 참고 자료로서 언급되었습니다. |
SWATCH http://www.stanford.edu/~atkins/swatch/ — Simple WATCHer (SWATCH) 프로그램은 syslog이 생성한 로그 파일을 사용하여 사용자 설정 파일에 예외적인 증상이 발견될 경우 관리자에게 통보합니다. SWATCH는 사용자가 설정 파일에서 모니터하고 싶은 사건을 기록하도록 설계되었지만, 현재 호스트 기반 IDS로 널리 사용되고 있습니다.
LIDS http://www.lids.org/ — 리눅스 침입 탐지 시스템 (LIDS)은 커널 패키와 관리 도구로서 ACL (접근 제어 목록)을 사용하여 파일 수정을 제어할 수 있으며 루트 사용자도 프로세스와 파일을 수정하지 못하도록 보고 가능합니다.