주식회사 누리아이티

정보자산의 보안강화를 위한 3단계 인증 보안SW(BaroPAM) 전문기업인 누리아이티

동적보안 22

VPN 겨냥한 비밀번호 분사 공격을 방어하기 위한 방안

가상사설망(VPN, Virtual Private Network)는 별도의 사설 전용망 없이도 암호 기술에 기반한 터널링(tunneling) 프로토콜(통신규약)을 이용해 지점간을 연결함으로써, 저렴한 비용으로 원거리 통신망(WAN)을 구축할 수 있는 네트워크 솔루션을 의미한다. 요즘 들어, 하루가 멀다 하고 해커들의 사이버 공격이 때를 가르지 않고 밤낮없이 발생하고 있다.방심한 사이를 틈타 눈 깜짝할 사이에 시스템을 마비시키거나 소중한 개인정보를 탈취해 간다.더욱이 사이버 범죄자들은 날이 갈수록 체계적이고 지능화되어 조직화되는 양상으로 진화하고 있다.VPN도 마찬가지로 점점 더 노골적인 공격 대상이 되어가고 있다. 이 때문에 회사들은 외부에서 접속하는 우리 직원과 남의 직원을 구분하기가 어려워지고 있다. ..

Mattermost의 보완 강화를 위하여 비밀번호를 3단계 인증 솔루션인 BaroPAM으로 대체 가이드

목차 1. Mattermost 1.1 개 요 1.2 Matermost 구성 환경 2. Postgresql 설정 2.1 환경설정 파일 변경 2.2 사용자 설정 3. Tomcat(WAS) 설정 3.1 Java 설치 3.2 Tomcat 설치 3.3 BaroPAM 모듈 반영 4. Mattermost 설정 4.1 Mattermost 반영 4.2 Mattermost 로그인 5. About BaroPAM  1. Mattermost1.1 개 요 Mattermost는 파일 공유, 검색, 통합 기능을 제공하는 오픈 소스로 셀프 호스팅이 가능한 온라인 채팅 서비스이다.  단체와 기업을 위한 내부 채팅으로 설계되어 있으며 대부분 그 자체를 슬랙과 마이크로소프트 팀즈의 오픈 소스 대안이다. 고정되어 있는 정..

서버 접근제어 솔루션이 적용되어 있는 경우 BaroPAM을 적용 했는데, 로그인 되지 않는 현상

현상 : 서버 접근제어 솔루션이 적용되어 있는 경우 BaroPAM을 적용 했는데, 로그인 되지 않는 현상 원인 : 서버 접근제어 솔루션에서 /etc/pam.d/sshd 설정한 것 보다 BaroPAM 설정이 앞에 설정하여 발생함 조치 : 다음과 같이 /etc/pam.d/sshd 설정의 순서를 변경하면 됨. 변경 전) auth required /usr/baropam/pam_baro_auth.so nullok secret=/usr/baropam/.baro_auth encrypt=no auth required pam_sepermit.so auth include password-auth account required pam_nologin.so account include password-auth password ..

오픈 소스로 셀프 호스팅이 가능한 온라인 채팅 서비스인 Mattermost의 보안을 강화하기 위한 방안

"정적인 비밀번호, 서명, 사인, 지문, 안면, 홍체 등과 같은 패턴과 시그니처를 기반으로 한 정적인 보안의 시대는 끝났고, 이젠 정적인 보안이 아닌 매번 변하거나 한번 사용하고 버리는 일회성 또는 휘발성 같은 동적인 보안의 시대로!"Mattermost는 파일 공유, 검색, 통합 기능을 제공하는 오픈 소스로 셀프 호스팅이 가능한 온라인 채팅 서비스이다.  단체와 기업을 위한 내부 채팅으로 설계되어 있으며 대부분 그 자체를 슬랙과 마이크로소프트 팀즈의 오픈 소스 대안이다. Mattermost의 보안을 강화하기 위하여 로그인 시 비밀번호를 BaroPAM의 일회용 인증키로 대체하는 것이다.  이와 같이 말도 많고 딸도 많고, 보안에 취약한 정적인 비밀번호를 BaroPAM 같은 동적보안 솔루션의 일회용 인증키로..

No supported authentication methods available (server sent publickey,gssapt-keyex,gssapt-with-mic)

현상 : No supported authentication methods available (server sent publickey,gssapt-keyex,gssapt-with-mic) 원인 : Interactive mode를 지원하지 않음.(/etc/pam.d/sshd 설정 시 nullok를 설정하지 말고 forward_pass로 설정해야 함) 조치 : "/etc/ssh/sshd_config" 파일에서 "AuthorizedKeysFile .ssh/authorized" 주석처 및 "PasswordAuthentication yes" 변경 후 sshd restart

새로운 정보보호 패러다임(제로 트러스트 보안)의 보안 강화를 위해서는 가장 중요한 기본 사항

전통적인 IT 보안 시스템은 일반적으로 경계 보안 모델을 바탕으로 하며 허용된 사용자, 디바이스, 네트워크만 IT 시스템에 접근할 수 있도록 하였다. 경계 보안 모델은 네트워크 경계 외부는 신뢰하지 않는 영역, 네트워크 경계 내부는 신뢰하는 영역으로 간주한 모델이다. 이러한 경계 보안 모델은 기업망에서만 근무하던 환경에서는 적합할 수 있지만 재택근무 확대, 업무환경의 다변화(스마트 워크 플레이스 등)로 인해 경계 보안 모델의 한계성과 취약성 이슈가 대두되고 있다. 이제 근본적으로 정보보호 패러다임이 바뀌어야 할 때입니다. 이를 위해 등장한 개념이 바로 제로 트러스트(Zero trust) 보안이다.  제로 트러스트 보안은 기업망 내외부에 언제나 공격자가 존재할 수 있고 침해가 발생할 수 있음을 인정하는 새..

정보자산의 '자동 로그인' 설정으로 인한 해킹의 피해를 예방할 수 있는 최선책은?

"간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것!" 웹 사이트에 로그인하는 경우 아이디(ID)와 비밀 번호(PW)를 최초에 입력해 놓으면 차후 이를 다시 입력하지 않아도 곧바로 로그인이 되도록 한 것이다.  이 방식은 자주 방문하는 사이트를 이용할 때는 편리하지만, 최초 접속자와 다음 접속자가 동일하지 않을 경우 주민 등록 번호 등 개인 정보가 누출될 수도 있어 보안에 취약한 단점이 있다. 특히, 편리하다는 이유로 아이디·비밀번호 자동 저장기능을 자주 사용하는 이용자들은 더욱 주의가 요망된다. 해당 기능 사용자가 ‘인포스틸러’에 감염되면, 웹 브라우저에 저장된 아이디·비밀번호 등 로그인 정보가 탈취될 수 있다. 해커는 아이디·비밀번호 등 개인정보 탈취를 위해, 악의..

정보자산의 보안 강화를 위하여 비밀번호 대체 또는 2차 인증(추가 인증)은 선택이 아닌 반드시 적용해야 할 솔루션

최근 침해사고 키워드로 △크리덴셜 스터핑 △공급망 공격 △백업 솔루션 취약점 △무단 문자 발송 △공유기 디도스 △국내 웹사이트 대상 웹변조/정보유출을 들을 수 있다. 공격자들은 유명 포털 사이트로 위장한 피싱 사이트를 만들어 사용자 계정을 탈취하고 확보한 아이디, 패스워드를 활용해 다양한 불법적인 행위로 사용자들에게 피해를 발생시킨다. 크리덴셜 스터핑 공격을 막기란 쉽지 않다. 국내외 IP를 활용해 지속적으로 피싱 사이트 공격이 발생하고 있다. 이를 통해 개인정보 유출이나 상품권 무단 사용 등 피해가 발생하게 되는데 이러한 2차 피해를 예방하기 위해서는 각 사이트에서 2차 인증(추가 인증)이 적용이 반드시 필요하다. 그리고 평소와 다른 IP에서 로그인이 발생할 때 이를 감지, 차단하는 방법도 적극 활용해..

PAM RADIUS 클라이언트 설치 및 구성 가이드(Linux)

일반적으로 RADIUS 인증은 라우터, L3스위치, L4스위치 등 네트워크 장비의 관리자 계정 또는 무선 네트워크 접속 시 사용자 인증을 위해 사용하는 경우가 많지만 리눅스 서버의 사용자 접속 시 인증을 위해서도 사용할 수 있다. 이는 리눅스나 유닉스가 PAM (Pluggable Authentication Module)이라는 방식을 지원하기 때문에 가능하다. 이 가이드를 사용하여 SSH 클라이언트에 대한 다중 인증(MFA)을 Linux 또는 Unix에 허용하도록 BaroPAM 플랫폼 어플라이언스를 RADIUS 서버로 구성한다. BaroPAM 플랫폼 어플라이언스 RADIUS 서버는 모든 RADIUS 클라이언트의 요청을 인증하여 가상 사설망(VPN), Linux 또는 Unix 서버 또는 모든 호환 RADIU..

복잡하고 세세한 비밀번호 설정 규정을 단순화

"비밀번호가 도난되지 않은 상황에서 빈번하게 비밀번호를 바꾸면 비밀번호가 패턴화되고 추측하기 쉬워지거나 비밀번호를 어딘가에 적어야 하는 등 오히려 보안 위험이 될 수 있다" 하루가 멀다하고 떠지는 계정정보 유출 및 도용 사고가 끊이질 않고 있다. 그래서, 기기마다, 플랫폼마다, 계정마다 각기 다른 비밀번호를 설정하고 주기적으로 변경할 것을 권장한다. 하지만 여러 개의 비밀번호를, 그것도 특수문자와 대문자를 포함하고 생년월일과 무관하며 연속성이 없는 최소 8자 이상의 글자 조합을 외우는 것은 좀체 만만한 일이 아니다. 그렇다고 컴퓨터 앞에 적어 둘 수도 없는 노릇이다. 그러니 기존에 사용한 적이 없으면서도 잊어버리지 않을 만한 비밀번호의 조합을 만들어내는 것은 이제 창의성의 영역에 있는지도 모르겠다.   ..