영남이공대 사이버보안연구센터, 리눅스용 취약점진단 스크립트 개발
주요정보통신기반시설 가이드 기반으로 취약점 점검 스크립트 개발
보안환경 열악한 영세기업 위해 리눅스용 취약점진단 스크립트 무료 제공

[보안뉴스 김경애 기자] 영남이공대학교 사이버보안연구센터(센터장 이종락)는 중소기업 등 보안관리가 어려운 환경에서 운영되는 리눅스 서버의 보안강화를 위해 ‘주요정보통신기반시설 기술적 취약점 분석·평가 상세가이드(이하 주통기 취약점 가이드)’를 기반으로 한 취약점 점검 스크립트를 무료로 공개한다고 밝혔다.


주통기 취약점 분석·평가 기준은 주요정보통신기반시설의 보안성 강화를 위한 내용으로 과학기술정보통신부에 의해 고시됐다. 한국인터넷진흥원에서 서버, 네트워크, 보안장비 등의 영역별로 점검항목, 판단기준, 조치방법 둥의 구체적인 가이드라인을 제공한다. 해당 가이드라인은 취약점 진단에 있어 표준으로 여겨지지만, 공식적인 점검 스크립트가 별도로 제공되지는 않아 그동안 실제적인 점검 수행에 어려움이 있었다.

이와 관련하여 프로젝트를 수행한 영남이공대 김제이, 서경민, 양수연, 이예은, 정다연 연구원은 프로젝트 취지에 대해 “주통기 취약점 분석·평가 수행 기업 대부분은 대기업 이상의 규모로 보안 컨설팅을 받거나 취약점 진단을 자동화하는 솔루션 구매 등 별도로 비용을 들여 점검을 수행했다”면서, “보안예산이 부족한 중소기업과 영세기업을 대상으로 지원하기 위해 취약점 점검 스크립트를 개발하게 됐다. 무료 사용인 만큼 보안을 강화할 수 있는 계기가 되길 바란다”고 밝혔다.

영남이공대는 별도의 라이센스 필요없이 사용할 수 있는 리눅스 운영체제를 기준으로 진단 스크립트를 우선 공개한다고 밝혔다. 스크립트는 Ubuntu(16.04, 18.04, 20.04)와 CentOS(6, 7), 록키리눅스, Fedora 38 버전 등에서 사용할 수 있다. 스크립트를 실행하면 약 72개의 항목을 자동으로 검사한 후, 같은 경로에 TXT 파일로 결과를 생성한다. 스크립트의 실행 결과는 주통기 취약점 가이드와 맵핑되어 가이드를 참고하며 세부적인 내용을 검토할 수 있다.

이종락 사이버보안연구센터장은 “리눅스를 최초 설치한 후 스크립트를 실행해보면, root 계정의 원격접속 제한 등 계정관련 설정, 서비스 및 시스템 파일에 대한 권한 설정 미흡 등 총 27개의 항목이 취약한 것으로 나타났다”며 “보통 운영체제를 새로 설치하면 안전할 것으로 생각하지만, 보안조치가 필요함을 알 수 있는 대목이다. 여기에 각종 서비스를 추가적으로 설치하고 운영을 하다보면 취약 항목은 더 늘어날 수 있어 주기적인 점검이 필요하다”고 당부했다. 또한 “현재 학과에서 운영 중인 설비를 기반으로 연구를 지속해, 향후 Windows 운영체제, 네트워크 장비 등의 영역으로 스크립트 제공범위를 넓혀 나가겠다”고 덧붙였다.

영남이공대 사이버보안연구센터에서 제공하는 리눅스 진단 스크립트는 깃허브(catember) 홈페이지를 통해 다운로드 할 수 있다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>