How-To-Secure-A-Linux-Server — 단계별 가이드: Linux 서버 보안 강화 - SSH 보안, 방화벽, 침입 탐지, 감사, 시스템 구성을 다루며 공격 표면을 줄이고 방어력을 향상시킵니다. | Kitploit

5. 필요에 따라 *group_vars/variables.yml*의 모든 변수를 변경하십시오.
6. 플레이북을 실행하기 전에 SSH 루트 액세스를 활성화하십시오:  ```
nano /etc/ssh/sshd_config
[...]
PermitRootLogin yes
[...]

서버에 연결하는 데 사용할 컴퓨터(서버 자체가 아닌 클라이언트)에서 ssh-keygen을 사용하여 Ed25519 키를 생성하세요:

ssh-keygen -t ed25519

Generating public/private ed25519 key pair.
Enter file in which to save the key (/home/user/.ssh/id_ed25519):
Created directory '/home/user/.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/user/.ssh/id_ed25519.
Your public key has been saved in /home/user/.ssh/id_ed25519.pub.
The key fingerprint is:
SHA256:F44D4dr2zoHqgj0i2iVIHQ32uk/Lx4P+raayEAQjlcs user@client
The key's randomart image is:
+--[ED25519 256]--+
|xxxx  x          |
|o.o +. .         |
| o o oo   .      |
|. E oo . o .     |
| o o. o S o      |
|... .. o o       |
|.+....+ o        |
|+.=++o.B..       |
|+..=**=o=.       |
+----[SHA256]-----+

참고: 암호를 설정한 경우 ssh-agent를 사용하지 않으면 이 키로 서버에 연결할 때마다 암호를 입력해야 합니다.

이제 클라이언트의 공개 키 ~/.ssh/id_ed25519.pub를 서버의 ~/.ssh/authorized_keys 파일에 추가해야 합니다. 아직 LAN에 있으므로 MIM 공격으로부터 안전할 가능성이 높으므로 ssh-copy-id를 사용하여 공개 키를 전송하고 추가하겠습니다:

ssh-copy-id user@server

/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/home/user/.ssh/id_ed25519.pub"
The authenticity of host 'host (192.168.1.96)' can't be established.
ECDSA key fingerprint is SHA256:QaDQb/X0XyVlogh87sDXE7MR8YIK7ko4wS5hXjRySJE.
Are you sure you want to continue connecting (yes/no)? yes
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
user@host's password:

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'user@host'"
and check to make sure that only the key(s) you wanted were added.

그룹을 생성하세요:
```
sudo groupadd sshusers
```
계정을 그룹에 추가하세요:
```
sudo usermod -a -G sshusers user1
sudo usermod -a -G sshusers user2
sudo usermod -a -G sshusers ...
```
서버에서 SSH 접속이 필요한 모든 계정에 대해 이 작업을 수행해야 합니다.

OpenSSH 서버의 구성 파일 /etc/ssh/sshd_config를 백업하고 주석을 제거하여 읽기 쉽게 만듭니다:

sudo cp --archive /etc/ssh/sshd_config /etc/ssh/sshd_config-COPY-$(date +"%Y%m%d%H%M%S")
sudo sed -i -r -e '/^#|^$/ d' /etc/ssh/sshd_config

/etc/ssh/sshd_config를 편집하고 다음 설정을 찾아 편집하거나 추가합니다. 이 설정은 구성/설정에 관계없이 적용되어야 합니다:

참고: SSH는 중복된 모순 설정을 좋아하지 않습니다. 예를 들어 ChallengeResponseAuthentication no 다음에 ChallengeResponseAuthentication yes가 있으면 SSH는 첫 번째 설정을 존중하고 두 번째 설정을 무시합니다. /etc/ssh/sshd_config 파일에 아래 설정/줄 중 일부가 이미 있을 수 있습니다. 문제를 피하려면 /etc/ssh/sshd_config 파일을 수동으로 검토하여 중복된 모순 설정을 처리해야 합니다.

참고: OpenSSH 9.1 이상을 사용하는 경우 아래 구성에서 RequiredRSASize 3072 줄의 주석 처리를 해제하세요. 이 설정은 최소 RSA 키 크기를 3072비트로 강제하며 인증 중에 더 작은 RSA 키를 거부합니다. 이는 RSA 키에만 영향을 미칩니다. ED25519 또는 ECDSA 키를 사용하는 경우 영향을 받지 않습니다. ssh-keygen -l -f ~/.ssh/id_rsa로 키 유형과 크기를 확인할 수 있습니다. 이전 OpenSSH 버전에서는 이 줄을 주석 처리된 상태로 두세요. sshd가 시작되지 않을 수 있습니다.

########################################################################################################
# start settings from https://infosec.mozilla.org/guidelines/openssh#modern-openssh-67 as of 2019-01-01
########################################################################################################

# Supported HostKey algorithms by order of preference.
HostKey /etc/ssh/ssh_host_ed25519_key
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key

KexAlgorithms [email protected],ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256

Ciphers [email protected],[email protected],[email protected],aes256-ctr,aes192-ctr,aes128-ctr

MACs [email protected],[email protected],hmac-sha2-512,hmac-sha2-256,[email protected]

# LogLevel VERBOSE logs user's key fingerprint on login. Needed to have a clear audit track of which key was using to log in.
LogLevel VERBOSE

# Use kernel sandbox mechanisms where possible in unprivileged processes
# Systrace on OpenBSD, Seccomp on Linux, seatbelt on MacOSX/Darwin, rlimit elsewhere.
# Note: This setting is deprecated in OpenSSH 7.5 (https://www.openssh.com/txt/release-7.5)
# UsePrivilegeSeparation sandbox

########################################################################################################
# end settings from https://infosec.mozilla.org/guidelines/openssh#modern-openssh-67 as of 2019-01-01
########################################################################################################

# don't let users set environment variables
PermitUserEnvironment no

# Log sftp level file access (read/write/etc.) that would not be easily logged otherwise.
Subsystem sftp  internal-sftp -f AUTHPRIV -l INFO

# disable X11 forwarding as X11 is very insecure
# you really shouldn't be running X on a server anyway
X11Forwarding no

# disable port forwarding
AllowTcpForwarding no
AllowStreamLocalForwarding no
GatewayPorts no
PermitTunnel no

# don't allow login if the account has an empty password
PermitEmptyPasswords no

# ignore .rhosts and .shosts
IgnoreRhosts yes

# verify hostname matches IP
UseDNS yes

Compression no

# TCP keepalive is spoofable (runs outside the encrypted channel)
# Use ClientAlive instead (runs inside the encrypted channel)
TCPKeepAlive no

AllowAgentForwarding no
PermitRootLogin no

# don't allow .rhosts or /etc/hosts.equiv
HostbasedAuthentication no

# OpenSSH 9.1 and later
# Enforce a minimum RSA key size of 3072 bits
# https://www.keylength.com/en/compare/
# RequiredRSASize 3072

# https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/115
HashKnownHosts yes

그런 다음 찾아 편집하거나 추가할 설정과 요구 사항에 따라 값을 설정하세요:
서로 모순되는 중복 설정이 없는지 확인하세요. 아래 명령어는 출력이 없어야 합니다.
```
awk 'NF && $1!~/^(#|HostKey)/{print $1}' /etc/ssh/sshd_config | sort | uniq -c | grep -v ' 1 '
```
ssh를 다시 시작하세요:
```
sudo service sshd restart
```

sshd -T를 사용하여 구성이 적용되었는지 확인하고 출력을 확인할 수 있습니다:

sudo sshd -T

port 22
addressfamily any
listenaddress [::]:22
listenaddress 0.0.0.0:22
usepam yes
logingracetime 30
x11displayoffset 10
maxauthtries 2
maxsessions 2
clientaliveinterval 15
clientalivecountmax 3
streamlocalbindmask 0177
permitrootlogin no
ignorerhosts yes
ignoreuserknownhosts no
hostbasedauthentication no
...
subsystem sftp internal-sftp -f AUTHPRIV -l INFO
maxstartups 2:30:2
permittunnel no
ipqos lowdelay throughput
rekeylimit 0 0
permitopen any

SSH 모듈리 파일 /etc/ssh/moduli를 백업하세요:

sudo cp --archive /etc/ssh/moduli /etc/ssh/moduli-COPY-$(date +"%Y%m%d%H%M%S")

짧은 모듈리를 제거하세요:

sudo awk '$5 >= 3071' /etc/ssh/moduli | sudo tee /etc/ssh/moduli.tmp
sudo mv /etc/ssh/moduli.tmp /etc/ssh/moduli

libpam-google-authenticator를 설치합니다.

Debian 기반 시스템에서:
```
sudo apt install libpam-google-authenticator
```

2FA/MFA를 활성화하려는 ID로 로그인했는지 확인하고 google-authenticator를 실행하여 필요한 토큰 데이터를 생성합니다.

google-authenticator

인증 토큰을 시간 기반으로 하시겠습니까? (y/n) y
https://www.google.com/chart?chs=200x200&chld=M|0&cht=qr&chl=otpauth://totp/user@host%3Fsecret%3DR4ZWX34FQKZROVX7AGLJ64684Y%26issuer%3Dhost

...

새 비밀 키는 다음과 같습니다: R3NVX3FFQKZROVX7AGLJUGGESY
인증 코드는 751419입니다.
긴급 스크래치 코드는 다음과 같습니다:
  12345678
  90123456
  78901234
  56789012
  34567890

"/home/user/.google_authenticator" 파일을 업데이트하시겠습니까? (y/n) y

동일한 인증 토큰의 여러 사용을 허용하지 않으시겠습니까?
이렇게 하면 약 30초마다 한 번의 로그인으로 제한되지만, 
중간자 공격을 인지하거나 방지할 가능성이 높아집니다. (y/n) 동일한 인증 토큰의 여러 사용을 허용하지 않으시겠습니까?
이렇게 하면 약 30초마다 한 번의 로그인으로 제한되지만, 
중간자 공격을 인지하거나 방지할 가능성이 높아집니다. (y/n) y

기본적으로 토큰은 30초 동안 유효합니다. 클라이언트와 서버 간의 시간 차이를 보정하기 위해
현재 시간 전후에 추가 토큰을 허용합니다. 시간 동기화가 좋지 않은 문제가 발생하면
기본 크기인 +-1분(윈도우 크기 3)에서 약 +-4분(윈도우 크기
17개의 허용 가능한 토큰)으로 늘릴 수 있습니다.
그렇게 하시겠습니까? (y/n) y

로그인하려는 컴퓨터가 무차별 대입 로그인 시도에 대해 강화되지 않은 경우,
인증 모듈에 대한 속도 제한을 활성화할 수 있습니다.
기본적으로 이는 공격자를 30초당 3회 이하의 로그인 시도로 제한합니다.
속도 제한을 활성화하시겠습니까? (y/n) y

이것은 루트가 아닌 상태에서 실행된다는 점에 유의하세요.

모든 질문에 기본 옵션(대부분 y)을 선택하고 긴급 스크래치 코드를 저장하는 것을 잊지 마세요.

PAM의 SSH 구성 파일 /etc/pam.d/sshd의 백업을 만듭니다:
```
sudo cp --archive /etc/pam.d/sshd /etc/pam.d/sshd-COPY-$(date +"%Y%m%d%H%M%S")
```

이제 SSH에 대한 인증 방법으로 활성화하기 위해 /etc/pam.d/sshd에 다음 줄을 추가합니다:

auth       required     pam_google_authenticator.so nullok

참고: nullok의 의미는 여기를 확인하세요.

게으른 사람들을 위해:

echo -e "\nauth       required     pam_google_authenticator.so nullok         # $(whoami) 님이 $(date +"%Y-%m-%d @ %H:%M:%S")에 추가" | sudo tee -a /etc/pam.d/sshd

SSH가 이를 활용하도록 /etc/ssh/sshd_config에서 다음 줄을 추가하거나 편집합니다:

ChallengeResponseAuthentication yes

게으른 사람들을 위해:

sudo sed -i -r -e "s/^(challengeresponseauthentication .*)$/# \1         # $(whoami) 님이 $(date +"%Y-%m-%d @ %H:%M:%S")에 주석 처리/I" /etc/ssh/sshd_config
echo -e "\nChallengeResponseAuthentication yes         # $(whoami) 님이 $(date +"%Y-%m-%d @ %H:%M:%S")에 추가" | sudo tee -a /etc/ssh/sshd_config

ssh를 다시 시작합니다:
```
sudo service sshd restart
```

설치 과정에서 이미 이 작업이 수행되었거나 이 목적을 위한 특별 그룹이 이미 있을 수 있으므로 먼저 확인하세요.
- Debian은 sudo 그룹을 생성합니다. 이 그룹의 구성원(sudo 권한이 있는 사용자)을 보려면:
```
cat /etc/group | grep "sudo"
```
- RedHat은 wheel 그룹을 생성합니다.
일부 배포판에서 sudo가 비밀번호를 요구하지 않도록 설정하는 경우에 대한 참고 사항은 https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/39를 확인하세요. 공유해 주신 sbrl 님께 감사드립니다.

그룹을 만듭니다:
```
sudo groupadd sudousers
```
그룹에 계정을 추가합니다:
```
sudo usermod -a -G sudousers user1
sudo usermod -a -G sudousers user2
sudo usermod -a -G sudousers  ...
```
sudo 권한이 필요한 서버의 모든 계정에 대해 이 작업을 수행해야 합니다.
sudo의 구성 파일 /etc/sudoers의 백업을 만듭니다:
```
sudo cp --archive /etc/sudoers /etc/sudoers-COPY-$(date +"%Y%m%d%H%M%S")
```
sudo의 구성 파일 /etc/sudoers를 편집합니다:
```
sudo visudo
```
아직 없는 경우 다음 줄을 추가하여 sudo가 sudousers 그룹의 사용자만 sudo를 사용하도록 지시합니다:
```
%sudousers   ALL=(ALL:ALL) ALL
```

그룹을 만듭니다:
```
sudo groupadd suusers
```
그룹에 계정을 추가합니다:
```
sudo usermod -a -G suusers user1
sudo usermod -a -G suusers user2
sudo usermod -a -G suusers  ...
```
sudo 권한이 필요한 서버의 모든 계정에 대해 이 작업을 수행해야 합니다.
이 그룹의 사용자만 /bin/su를 실행할 수 있도록 설정합니다:
```
sudo dpkg-statoverride --update --add root suusers 4750 /bin/su
```

소프트웨어를 설치합니다:
```
sudo apt install firejail firejail-profiles
```
참고: Debian 10 Stable의 경우 공식 백포트가 권장됩니다:
```
sudo apt install -t buster-backports firejail firejail-profiles
```

애플리케이션(/usr/bin 또는 /bin에 설치됨)이 샌드박스에서만 실행되도록 허용합니다(아래 몇 가지 예 참조):

sudo ln -s /usr/bin/firejail /usr/local/bin/google-chrome-stable
sudo ln -s /usr/bin/firejail /usr/local/bin/firefox
sudo ln -s /usr/bin/firejail /usr/local/bin/chromium
sudo ln -s /usr/bin/firejail /usr/local/bin/evolution
sudo ln -s /usr/bin/firejail /usr/local/bin/thunderbird

평소처럼 애플리케이션을 실행하고(터미널 또는 실행기를 통해) 감옥에서 실행 중인지 확인합니다:
```
firejail --list
```
샌드박스 처리된 앱을 이전처럼 다시 실행할 수 있도록 허용합니다(예: firefox):
```
sudo rm /usr/local/bin/firefox
```

NTP 동기화를 활성화합니다:
```
sudo timedatectl set-ntp true
```
작동 중인지 확인합니다:
```
timedatectl status
```
출력에 NTP service: active 및 System clock synchronized: yes가 표시되어야 합니다.

신뢰할 수 있는 NTP 서버를 구성합니다. 구성 파일의 백업을 만든 다음 편집합니다:

sudo cp --archive /etc/systemd/timesyncd.conf /etc/systemd/timesyncd.conf-COPY-$(date +"%Y%m%d%H%M%S")

/etc/systemd/timesyncd.conf를 편집하고 [Time] 섹션의 주석을 해제/설정합니다:

[Time]
NTP=pool.ntp.org
FallbackNTP=0.debian.pool.ntp.org 1.debian.pool.ntp.org 2.debian.pool.ntp.org

게으른 사람들을 위해:

sudo sed -i -r -e "s/^#?NTP=.*$/NTP=pool.ntp.org         # $(whoami) 님이 $(date +"%Y-%m-%d @ %H:%M:%S")에 추가/" /etc/systemd/timesyncd.conf
sudo sed -i -r -e "s/^#?FallbackNTP=.*$/FallbackNTP=0.debian.pool.ntp.org 1.debian.pool.ntp.org 2.debian.pool.ntp.org         # $(whoami) 님이 $(date +"%Y-%m-%d @ %H:%M:%S")에 추가/" /etc/systemd/timesyncd.conf

변경 사항을 적용하려면 서비스를 다시 시작합니다:
```
sudo systemctl restart systemd-timesyncd
```

동기화 상태를 확인합니다:

timedatectl timesync-status

       Server: 108.61.56.35 (pool.ntp.org)
Poll interval: 32s (min: 32s; max: 34min 8s)
         Leap: normal
      Version: 4
      Stratum: 2
    Reference: C342F10A
    Precision: 1us (2^0)
 Root distance: 24.054ms (max: 5s)
       Offset: +2.156ms
        Delay: 48.567ms
       Jitter: 1.452ms
 Packet count: 3

ntp를 설치합니다.

Debian 기반 시스템에서:
```
sudo apt install ntp
```
NTP 클라이언트의 구성 파일 /etc/ntp.conf의 백업을 만듭니다:
```
sudo cp --archive /etc/ntp.conf /etc/ntp.conf-COPY-$(date +"%Y%m%d%H%M%S")
```

적어도 Debian의 기본 구성은 이미 상당히 안전합니다. 유일한 확인 사항은 server 지시어가 아닌 pool 지시어를 사용하는지 확인하는 것입니다. pool 지시어는 NTP 클라이언트가 응답하지 않거나 잘못된 시간을 제공하는 서버를 중단할 수 있게 합니다. /etc/ntp.conf에서 모든 server 지시어를 주석 처리하고 아래 내용을 추가하여 이 작업을 수행합니다.

pool pool.ntp.org iburst

게으른 사람들을 위해:

sudo sed -i -r -e "s/^((server|pool).*)/# \1         # $(whoami) 님이 $(date +"%Y-%m-%d @ %H:%M:%S")에 주석 처리/" /etc/ntp.conf
echo -e "\npool pool.ntp.org iburst         # $(whoami) 님이 $(date +"%Y-%m-%d @ %H:%M:%S")에 추가" | sudo tee -a /etc/ntp.conf

예시 /etc/ntp.conf:

driftfile /var/lib/ntp/ntp.drift
statistics loopstats peerstats clockstats
filegen loopstats file loopstats type day enable
filegen peerstats file peerstats type day enable
filegen clockstats file clockstats type day enable
restrict -4 default kod notrap nomodify nopeer noquery limited
restrict -6 default kod notrap nomodify nopeer noquery limited
restrict 127.0.0.1
restrict ::1
restrict source notrap nomodify noquery
pool pool.ntp.org iburst         # 사용자가 2019-03-09 @ 10:23:35에 추가

ntp를 다시 시작합니다:
```
sudo service ntp restart
```

ntp 서비스의 상태를 확인합니다:

sudo systemctl status ntp

● ntp.service - LSB: Start NTP daemon
   Loaded: loaded (/etc/init.d/ntp; generated; vendor preset: enabled)
   Active: active (running) since Sat 2019-03-09 15:19:46 EST; 4s ago
     Docs: man:systemd-sysv-generator(8)
  Process: 1016 ExecStop=/etc/init.d/ntp stop (code=exited, status=0/SUCCESS)
  Process: 1028 ExecStart=/etc/init.d/ntp start (code=exited, status=0/SUCCESS)
    Tasks: 2 (limit: 4915)
   CGroup: /system.slice/ntp.service
           └─1038 /usr/sbin/ntpd -p /var/run/ntpd.pid -g -u 108:113

Mar 09 15:19:46 host ntpd[1038]: Listen and drop on 0 v6wildcard [::]:123
Mar 09 15:19:46 host ntpd[1038]: Listen and drop on 1 v4wildcard 0.0.0.0:123
Mar 09 15:19:46 host ntpd[1038]: Listen normally on 2 lo 127.0.0.1:123
Mar 09 15:19:46 host ntpd[1038]: Listen normally on 3 enp0s3 10.10.20.96:123
Mar 09 15:19:46 host ntpd[1038]: Listen normally on 4 lo [::1]:123
Mar 09 15:19:46 host ntpd[1038]: Listen normally on 5 enp0s3 [fe80::a00:27ff:feb6:ed8e%2]:123
Mar 09 15:19:46 host ntpd[1038]: Listening on routing socket on fd #22 for interface updates
Mar 09 15:19:47 host ntpd[1038]: Soliciting pool server 108.61.56.35
Mar 09 15:19:48 host ntpd[1038]: Soliciting pool server 69.89.207.199
Mar 09 15:19:49 host ntpd[1038]: Soliciting pool server 45.79.111.114

ntp의 상태를 확인합니다:

sudo ntpq -p

     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
 pool.ntp.org    .POOL.          16 p    -   64    0    0.000    0.000   0.000
*lithium.constan 198.30.92.2      2 u    -   64    1   19.900    4.894   3.951
 ntp2.wiktel.com 212.215.1.157    2 u    2   64    1   48.061   -0.431   0.104

/etc/fstab의 백업을 만듭니다:

sudo cp --archive /etc/fstab /etc/fstab-COPY-$(date +"%Y%m%d%H%M%S")

/proc이 hidepid=2로 마운트되도록 /etc/fstab에 다음 줄을 추가합니다:

proc     /proc     proc     defaults,hidepid=2     0     0

게으른 사람들을 위해:

echo -e "\nproc     /proc     proc     defaults,hidepid=2     0     0         # $(whoami) 님이 $(date +"%Y-%m-%d @ %H:%M:%S")에 추가" | sudo tee -a /etc/fstab

시스템을 재부팅합니다:
```
sudo reboot now
```
참고: 또는 재부팅하지 않고 sudo mount -o remount,hidepid=2 /proc로 /proc을 다시 마운트할 수 있습니다.

libpam-pwquality를 설치합니다.

Debian 기반 시스템에서:
```
sudo apt install libpam-pwquality
```

PAM의 비밀번호 구성 파일 /etc/pam.d/common-password를 백업합니다:

sudo cp --archive /etc/pam.d/common-password /etc/pam.d/common-password-COPY-$(date +"%Y%m%d%H%M%S")

파일 /etc/pam.d/common-password를 편집하여 PAM이 libpam-pwquality를 사용하여 강력한 비밀번호를 강제하도록 지시하고, 다음과 같이 시작하는 줄을 변경합니다:
```
password        requisite                       pam_pwquality.so
```
를 다음과 같이 변경합니다:
```
password        requisite                       pam_pwquality.so retry=3 minlen=10 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 maxrepeat=3 gecoschec
```
위 옵션은 다음과 같습니다:
- retry=3 = 오류를 반환하기 전에 사용자에게 3번 입력을 요청합니다.
- minlen=10 = 다음 항목의 크레딧(또는 차감)을 고려한 비밀번호의 최소 길이:
  - dcredit=-1 = 최소 한 개의 숫자가 있어야 함
  - ucredit=-1 = 최소 한 개의 대문자가 있어야 함
  - lcredit=-1 = 최소 한 개의 소문자가 있어야 함
  - ocredit=-1 = 최소 한 개의 비알파벳 문자가 있어야 함
- difok=3 = 새 비밀번호에서 이전 비밀번호에 없어야 하는 최소 문자 수 3개
- maxrepeat=3 = 최대 3개의 반복 문자 허용
- gecoschec = 계정 이름이 포함된 비밀번호를 허용하지 않음
게으른 사용자를 위한:
```
sudo sed -i -r -e "s/^(password\s+requisite\s+pam_pwquality.so)(.*)$/# \1\2         # commented by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")\n\1 retry=3 minlen=10 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 maxrepeat=3 gecoschec         # added by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")/" /etc/pam.d/common-password
```

unattended-upgrades, apt-listchanges, apticron을 설치합니다:
```
sudo apt install unattended-upgrades apt-listchanges apticron
```

이제 unattended-upgrades를 구성하여 업데이트를 자동으로 적용해야 합니다. 일반적으로 패키지에서 생성된 /etc/apt/apt.conf.d/20auto-upgrades 및 /etc/apt/apt.conf.d/50unattended-upgrades 파일을 편집하여 수행합니다. 그러나 이러한 파일은 향후 업데이트에서 덮어쓸 수 있으므로 대신 새 파일을 생성하겠습니다. /etc/apt/apt.conf.d/51myunattended-upgrades 파일을 만들고 다음을 추가합니다:

// Enable the update/upgrade script (0=disable)
APT::Periodic::Enable "1";

// Do "apt-get update" automatically every n-days (0=disable)
APT::Periodic::Update-Package-Lists "1";

// Do "apt-get upgrade --download-only" every n-days (0=disable)
APT::Periodic::Download-Upgradeable-Packages "1";

// Do "apt-get autoclean" every n-days (0=disable)
APT::Periodic::AutocleanInterval "7";

// Send report mail to root
//     0:  no report             (or null string)
//     1:  progress report       (actually any string)
//     2:  + command outputs     (remove -qq, remove 2>/dev/null, add -d)
//     3:  + trace on    APT::Periodic::Verbose "2";
APT::Periodic::Unattended-Upgrade "1";

// Automatically upgrade packages from these
Unattended-Upgrade::Origins-Pattern {
      "o=Debian,a=stable";
      "o=Debian,a=stable-updates";
      "origin=Debian,codename=${distro_codename},label=Debian-Security";
};

// You can specify your own packages to NOT automatically upgrade here
Unattended-Upgrade::Package-Blacklist {
};

// Run dpkg --force-confold --configure -a if a unclean dpkg state is detected to true to ensure that updates get installed even when the system got interrupted during a previous run
Unattended-Upgrade::AutoFixInterruptedDpkg "true";

//Perform the upgrade when the machine is running because we wont be shutting our server down often
Unattended-Upgrade::InstallOnShutdown "false";

// Send an email to this address with information about the packages upgraded.
Unattended-Upgrade::Mail "root";

// Always send an e-mail
Unattended-Upgrade::MailOnlyOnError "false";

// Remove all unused dependencies after the upgrade has finished
Unattended-Upgrade::Remove-Unused-Dependencies "true";

// Remove any new unused dependencies after the upgrade has finished
Unattended-Upgrade::Remove-New-Unused-Dependencies "true";

// Automatically reboot WITHOUT CONFIRMATION if the file /var/run/reboot-required is found after the upgrade.
Unattended-Upgrade::Automatic-Reboot "true";

// Automatically reboot even if users are logged in.
Unattended-Upgrade::Automatic-Reboot-WithUsers "true";

참고:

/usr/lib/apt/apt.systemd.daily에서 APT::Periodic 옵션에 대한 세부 정보를 확인하세요.
https://github.com/mvo5/unattended-upgrades에서 Unattended-Upgrade 옵션에 대한 세부 정보를 확인하세요.

구성 파일이 올바른지 확인하기 위해 unattended-upgrades의 dry-run을 실행합니다:
```
sudo unattended-upgrade -d --dry-run
```
모든 것이 정상이면 예약된 시간에 실행하거나 unattended-upgrade -d로 강제 실행할 수 있습니다.
apt-listchanges를 원하는 대로 구성합니다:
```
sudo dpkg-reconfigure apt-listchanges
```
apticron의 경우 기본 설정으로 충분하지만 변경하려면 /etc/apticron/apticron.conf에서 확인할 수 있습니다. 예를 들어, 내 구성은 다음과 같습니다:
```
EMAIL="root"
NOTIFY_NO_UPDATES="1"
```

rng-tools를 설치합니다.

Debian 기반 시스템에서:
```
sudo apt-get install rng-tools
```
이제 /etc/default/rng-tools에 다음을 추가하여 난수 생성에 사용되는 하드웨어 장치를 설정해야 합니다:
```
HRNGDEVICE=/dev/urandom
```
게으른 사용자를 위한:
```
echo "HRNGDEVICE=/dev/urandom" | sudo tee -a /etc/default/rng-tools
```

서비스를 다시 시작합니다:

sudo systemctl stop rng-tools.service
sudo systemctl start rng-tools.service

난수성 테스트:
- https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security_guide/sect-security_guide-encryption-using_the_random_number_generator
- https://wiki.archlinux.org/index.php/Rng-tools

([Table of Contents](#table-of-contents))

## 네트워크

### UFW(Uncomplicated Firewall)를 사용한 방화벽

#### 왜 필요한가

편집증적이라고 생각하셔도 좋고 동의하지 않으셔도 됩니다. 하지만 저는 명시적으로 허용한 트래픽을 제외하고 서버의 모든 인바운드 및 아웃바운드 트래픽을 차단하고 싶습니다. 내가 모르는 트래픽을 서버가 왜 외부로 보내야 할까요? 그리고 내가 누군지, 무엇인지 모르는 외부 트래픽이 왜 내 서버에 접근하려 할까요? 좋은 보안에 관해 제 의견은 기본적으로 거부/차단하고 예외적으로 허용하는 것입니다.

물론 동의하지 않으셔도 전혀 문제없으며 필요에 맞게 UFW를 구성하시면 됩니다.

어느 쪽이든, 명시적으로 허용한 트래픽만 허용되도록 하는 것이 방화벽의 역할입니다.

#### 작동 방식

Linux 커널은 네트워크 트래픽을 모니터링하고 제어하는 기능을 제공합니다. 이러한 기능은 방화벽 유틸리티를 통해 최종 사용자에게 제공됩니다. Linux에서 가장 일반적인 방화벽은 [iptables](https://en.wikipedia.org/wiki/Iptables)입니다. 하지만 iptables는 상당히 복잡하고 혼란스럽습니다(IMHO). 이때 UFW가 등장합니다. UFW를 iptables의 프론트엔드로 생각하세요. 네트워크 트래픽을 어떻게 처리할지 Linux 커널에 지시하는 iptables 규칙을 관리하는 과정을 단순화합니다.

**UFW**는 다음과 같은 규칙을 구성할 수 있게 해줍니다:

- **허용** 또는 **차단**
- **인바운드** 또는 **아웃바운드** 트래픽
- 포트 **대상** 또는 **출발지**

포트를 명시적으로 지정하거나 포트를 지정하는 애플리케이션 구성을 통해 규칙을 만들 수 있습니다.

#### 목표

- 명시적으로 허용한 트래픽을 제외한 모든 인바운드 및 아웃바운드 네트워크 트래픽 차단

#### 참고 사항

- 다른 프로그램을 설치할 때 필요한 포트/애플리케이션을 활성화해야 합니다.

#### 참고 자료

- https://launchpad.net/ufw

#### 단계

1. ufw를 설치합니다.

   Debian 기반 시스템의 경우:

   ``` bash
   sudo apt install ufw
   ```

1. 모든 아웃바운드 트래픽을 차단합니다:

   ``` bash
   sudo ufw default deny outgoing comment 'deny all outgoing traffic'
   ```

   > ```
   > 기본 아웃바운드 정책이 '차단'으로 변경되었습니다.
   > (그에 따라 규칙을 업데이트하세요)
   > ```

   저처럼 편집증적이지 않고 모든 아웃바운드 트래픽을 차단하고 싶지 않다면 대신 허용할 수 있습니다:

   ``` bash
   sudo ufw default allow outgoing comment 'allow all outgoing traffic'
   ```

1. 모든 인바운드 트래픽을 차단합니다:

   ``` bash
   sudo ufw default deny incoming comment 'deny all incoming traffic'
   ```

1. 당연히 SSH 연결은 허용해야 합니다. allow 대신 limit을 사용하면 30초 이내에 6회 이상 연결을 시도하는 IP 주소의 연결을 자동으로 차단합니다:

   ``` bash
   sudo ufw limit in ssh comment 'allow SSH connections in'
   ```

   > ```
   > 규칙이 업데이트되었습니다
   > 규칙이 업데이트되었습니다 (v6)
   > ```

1. 필요에 따라 추가 트래픽을 허용합니다. 몇 가지 일반적인 사용 사례:

   ``` bash
   # allow traffic out to port 53 -- DNS
   sudo ufw allow out 53 comment 'allow DNS calls out'
   
   # allow traffic out to port 123 -- NTP
   sudo ufw allow out 123 comment 'allow NTP out'

   # allow traffic out for HTTP, HTTPS, or FTP
   # apt might needs these depending on which sources you're using
   sudo ufw allow out http comment 'allow HTTP traffic out'
   sudo ufw allow out https comment 'allow HTTPS traffic out'
   sudo ufw allow out ftp comment 'allow FTP traffic out'

   # allow whois
   sudo ufw allow out whois comment 'allow whois'
   
   # allow mails for status notifications -- choose port according to your provider
   sudo ufw allow out 25 comment 'allow SMTP out'
   sudo ufw allow out 587 comment 'allow SMTP out'

   # allow traffic out to port 68 -- the DHCP client
   # you only need this if you're using DHCP
   sudo ufw allow out 67 comment 'allow the DHCP client to update'
   sudo ufw allow out 68 comment 'allow the DHCP client to update'
   ```
   
   **참고**: 패키지 설치 등 여러 작업을 위해 HTTP/HTTPS를 허용해야 합니다.

1. ufw를 시작합니다:

   ``` bash
   sudo ufw enable
   ```

   > ```
   > 명령이 기존 SSH 연결을 중단시킬 수 있습니다. 작업을 계속하시겠습니까 (y|n)? y
   > 방화벽이 활성화되었으며 시스템 시작 시 사용 설정되었습니다.
   > ```

1. 상태를 확인하려면:

   ``` bash
   sudo ufw status
   ```

   > ```
   > 상태: 활성
   > 
   > 대상                        작업        출발지
   > --                         ------      ----
   > 22/tcp                     LIMIT       Anywhere                   # SSH 연결 허용
   > 22/tcp (v6)                LIMIT       Anywhere (v6)              # SSH 연결 허용
   > 
   > 53                         ALLOW OUT   Anywhere                   # DNS 호출 허용
   > 123                        ALLOW OUT   Anywhere                   # NTP 허용
   > 80/tcp                     ALLOW OUT   Anywhere                   # HTTP 트래픽 허용
   > 443/tcp                    ALLOW OUT   Anywhere                   # HTTPS 트래픽 허용
   > 21/tcp                     ALLOW OUT   Anywhere                   # FTP 트래픽 허용
   > Mail submission            ALLOW OUT   Anywhere                   # 메일 발송 허용
   > 43/tcp                     ALLOW OUT   Anywhere                   # whois 허용
   > 53 (v6)                    ALLOW OUT   Anywhere (v6)              # DNS 호출 허용
   > 123 (v6)                   ALLOW OUT   Anywhere (v6)              # NTP 허용
   > 80/tcp (v6)                ALLOW OUT   Anywhere (v6)              # HTTP 트래픽 허용
   > 443/tcp (v6)               ALLOW OUT   Anywhere (v6)              # HTTPS 트래픽 허용
   > 21/tcp (v6)                ALLOW OUT   Anywhere (v6)              # FTP 트래픽 허용
   > Mail submission (v6)       ALLOW OUT   Anywhere (v6)              # 메일 발송 허용
   > 43/tcp (v6)                ALLOW OUT   Anywhere (v6)              # whois 허용
   > ```

   또는

   ``` bash
   sudo ufw status verbose
   ```

   > ```
   > 상태: 활성
   > 로깅: 켜짐 (낮음)
   > 기본: 차단 (인바운드), 차단 (아웃바운드), 비활성화 (라우팅)
   > 새 프로필: 건너뛰기
   > 
   > 대상                        작업        출발지
   > --                         ------      ----
   > 22/tcp                     LIMIT IN    Anywhere                   # SSH 연결 허용
   > 22/tcp (v6)                LIMIT IN    Anywhere (v6)              # SSH 연결 허용
   > 
   > 53                         ALLOW OUT   Anywhere                   # DNS 호출 허용
   > 123                        ALLOW OUT   Anywhere                   # NTP 허용
   > 80/tcp                     ALLOW OUT   Anywhere                   # HTTP 트래픽 허용
   > 443/tcp                    ALLOW OUT   Anywhere                   # HTTPS 트래픽 허용
   > 21/tcp                     ALLOW OUT   Anywhere                   # FTP 트래픽 허용
   > 587/tcp (Mail submission)  ALLOW OUT   Anywhere                   # 메일 발송 허용
   > 43/tcp                     ALLOW OUT   Anywhere                   # whois 허용
   > 53 (v6)                    ALLOW OUT   Anywhere (v6)              # DNS 호출 허용
   > 123 (v6)                   ALLOW OUT   Anywhere (v6)              # NTP 허용
   > 80/tcp (v6)                ALLOW OUT   Anywhere (v6)              # HTTP 트래픽 허용
   > 443/tcp (v6)               ALLOW OUT   Anywhere (v6)              # HTTPS 트래픽 허용
   > 21/tcp (v6)                ALLOW OUT   Anywhere (v6)              # FTP 트래픽 허용
   > 587/tcp (Mail submission (v6)) ALLOW OUT   Anywhere (v6)              # 메일 발송 허용
   > 43/tcp (v6)                ALLOW OUT   Anywhere (v6)              # whois 허용
   > ```

7. 규칙을 삭제해야 하는 경우

   ``` bash
   sudo ufw status numbered
   [...]
   sudo ufw delete 3 #line number of the rule you want to delete
   ```

#### 기본 애플리케이션

ufw에는 몇 가지 기본 애플리케이션이 포함되어 있습니다. 다음 명령으로 확인할 수 있습니다:``` bash
sudo ufw app list
```
> ```
> Available applications:
>   AIM
>   Bonjour
>   CIFS
>   DNS
>   Deluge
>   IMAP
>   IMAPS
>   IPP
>   KTorrent
>   Kerberos Admin
>   Kerberos Full
>   Kerberos KDC
>   Kerberos Password
>   LDAP
>   LDAPS
>   LPD
>   MSN
>   MSN SSL
>   Mail submission
>   NFS
>   OpenSSH
>   POP3
>   POP3S
>   PeopleNearby
>   SMTP
>   SSH
>   Socks
>   Telnet
>   Transmission
>   Transparent Proxy
>   VNC
>   WWW
>   WWW Cache
>   WWW Full
>   WWW Secure
>   XMPP
>   Yahoo
>   qBittorrent
>   svnserve
> ```

앱에 대한 자세한 정보(예: 포함된 포트)를 확인하려면 다음을 입력하세요.``` bash
sudo ufw app info [app name]
```
> ``` bash
> sudo ufw app info DNS
> ```
> 
> ```
> Profile: DNS
> Title: Internet Domain Name Server
> Description: Internet Domain Name Server
> 
> Port:
>   53
> ```

#### 사용자 정의 애플리케이션

포트 번호를 명시적으로 제공하여 규칙을 만들고 싶지 않다면, 자신만의 애플리케이션 구성을 생성할 수 있습니다. 이를 위해 `/etc/ufw/applications.d`에 파일을 만드십시오.

예를 들어, [Plex](https://support.plex.tv/articles/201543147-what-network-ports-do-i-need-to-allow-through-my-firewall/)에 대해 사용할 내용은 다음과 같습니다:``` bash
cat /etc/ufw/applications.d/plexmediaserver
```
> ```
> [PlexMediaServer]
> title=Plex Media Server
> description=This opens up PlexMediaServer for http (32400), upnp, and autodiscovery.
> ports=32469/tcp|32413/udp|1900/udp|32400/tcp|32412/udp|32410/udp|32414/udp|32400/udp
> ```

그런 다음 다른 앱과 마찬가지로 활성화할 수 있습니다:```bash
sudo ufw allow plexmediaserver
```
([Table of Contents](#table-of-contents))

### iptables 침입 탐지 및 방지 (PSAD 사용)

#### 이유

방화벽으로 문을 보호하고 있더라도, 보호된 문 중 하나를 무차별 대입(brute-force)으로 통과하려는 시도가 있을 수 있습니다. 잠재적인 침입 시도(예: 반복된 접속 시도)를 탐지하고 차단하기 위해 모든 네트워크 활동을 모니터링하려고 합니다.

#### 작동 원리

https://serverfault.com/의 사용자 [FINESEC](https://serverfault.com/users/143961/finesec)이 https://serverfault.com/a/447604/289829에서 설명한 것보다 더 잘 설명할 수 없습니다.

> Fail2BAN은 아파치, SSH 또는 FTP와 같은 다양한 애플리케이션의 로그 파일을 스캔하고 자동 로그인 시도와 같은 악성 징후를 보이는 IP를 자동으로 차단합니다. 반면 PSAD는 iptables 및 ip6tables 로그 메시지(일반적으로 /var/log/messages)를 스캔하여 스캔, DDoS, OS 지문 수집 시도 등 기타 의심스러운 트래픽을 탐지하고 선택적으로 차단합니다. 두 프로그램은 서로 다른 수준에서 작동하므로 동시에 사용해도 괜찮습니다.

그리고 이미 [UFW](#ufw-uncomplicated-firewall)를 사용하고 있으므로 [netson](https://gist.github.com/netson)의 훌륭한 지침(https://gist.github.com/netson/c45b2dc4e835761fbccc)을 따라 PSAD를 UFW와 함께 작동하도록 설정하겠습니다.

#### 참고 자료

- http://www.cipherdyne.org/psad/
- http://www.cipherdyne.org/psad/docs/config.html
- https://www.thefanclub.co.za/how-to/how-install-psad-intrusion-detection-ubuntu-1204-lts-server
- https://serverfault.com/a/447604/289829
- https://serverfault.com/a/770424/289829
- https://gist.github.com/netson/c45b2dc4e835761fbccc
- `psadwatchd` 관련 문제([#61](https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/61))를 발견해 주신 [moltenbit](https://github.com/moltenbit)님께 감사드립니다.

#### 단계

1. psad를 설치합니다.

   데비안 기반 시스템:

   ``` bash
   sudo apt install psad
   ```

1. psad 구성 파일 `/etc/psad/psad.conf`를 백업합니다:

   ``` bash
   sudo cp --archive /etc/psad/psad.conf /etc/psad/psad.conf-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. `/etc/psad/psad.conf`의 구성 옵션을 검토하고 업데이트합니다. 다음 항목에 특히 주의하세요:

  |설정|설정값
  |--|--|
  |[`EMAIL_ADDRESSES`](http://www.cipherdyne.org/psad/docs/config.html#EMAIL_ADDRESSES)|귀하의 이메일 주소|
  |`HOSTNAME`|서버의 호스트 이름|
  |`EXPECT_TCP_OPTIONS`|`EXPECT_TCP_OPTIONS Y;`|
  |`ENABLE_PSADWATCHD`|`ENABLE_PSADWATCHD Y;`|
  |[`ENABLE_AUTO_IDS`](http://www.cipherdyne.org/psad/docs/config.html#ENABLE_AUTO_IDS)|`ENABLE_AUTO_IDS Y;`|
  |`ENABLE_AUTO_IDS_EMAILS`|`ENABLE_AUTO_IDS_EMAILS Y;`|

  자세한 내용은 http://www.cipherdyne.org/psad/docs/config.html에서 psad 문서의 구성 파일을 확인하세요.

1. <a name="psad_step4"></a>이제 PSAD가 트래픽을 분석할 수 있도록 UFW에 모든 트래픽을 로그하도록 지시하여 UFW가 PSAD와 함께 작동하도록 약간 수정해야 합니다. **두 개의 파일**을 편집하고 **COMMIT 줄 앞**에 다음 줄을 추가하면 됩니다.

   백업:

   ``` bash
   sudo cp --archive /etc/ufw/before.rules /etc/ufw/before.rules-COPY-$(date +"%Y%m%d%H%M%S")
   sudo cp --archive /etc/ufw/before6.rules /etc/ufw/before6.rules-COPY-$(date +"%Y%m%d%H%M%S")
   ```

   파일 편집:

   - `/etc/ufw/before.rules`
   - `/etc/ufw/before6.rules`

   그리고 **COMMIT 줄 앞**에 다음을 추가합니다:

   ```
   # log all traffic so psad can analyze
   -A INPUT -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   -A FORWARD -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   ```

   **참고**: 모든 iptables 로그에 로그 접두사를 추가하고 있습니다. 이는 [iptables 로그를 별도의 파일로 분리](#separate-iptables-log-file)할 때 필요합니다.

   예:

   > ```
   > ...
   > 
   > # log all traffic so psad can analyze
   > -A INPUT -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   > -A FORWARD -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   > 
   > # don't delete the 'COMMIT' line or these rules won't be processed
   > COMMIT
   > ```

1. 이제 변경 사항을 적용하기 위해 ufw와 psad를 다시 로드/재시작해야 합니다:

   ``` bash
   sudo ufw reload

   sudo psad -R
   sudo psad --sig-update
   sudo psad -H
   ```

1. iptables 규칙에서 오류를 분석합니다:

   ``` bash
   sudo psad --fw-analyze
   ```

   > ```
   > [+] Parsing INPUT chain rules.
   > [+] Parsing INPUT chain rules.
   > [+] Firewall config looks good.
   > [+] Completed check of firewall ruleset.
   > [+] Results in /var/log/psad/fw_check
   > [+] Exiting.
   > ```

   **참고**: 문제가 있으면 오류가 포함된 이메일을 받게 됩니다.

1. psad 상태 확인:

   ``` bash
   sudo psad --Status
   ```

   > ```
   > [-] psad: pid file /var/run/psad/psadwatchd.pid does not exist for psadwatchd on vm
   > [+] psad_fw_read (pid: 3444)  %CPU: 0.0  %MEM: 2.2
   >     Running since: Sat Feb 16 01:03:09 2019
   > 
   > [+] psad (pid: 3435)  %CPU: 0.2  %MEM: 2.7
   >     Running since: Sat Feb 16 01:03:09 2019
   >     Command line arguments: [none specified]
   >     Alert email address(es): root@localhost
   > 
   > [+] Version: psad v2.4.3
   > 
   > [+] Top 50 signature matches:
   >         [NONE]
   > 
   > [+] Top 25 attackers:
   >         [NONE]
   > 
   > [+] Top 20 scanned ports:
   >         [NONE]
   > 
   > [+] iptables log prefix counters:
   >         [NONE]
   > 
   >     Total protocol packet counters:
   > 
   > [+] IP Status Detail:
   >         [NONE]
   > 
   >     Total scan sources: 0
   >     Total scan destinations: 0
   > 
   > [+] These results are available in: /var/log/psad/status.out
   > ```

([Table of Contents](#table-of-contents))

### 애플리케이션 침입 탐지 및 방지 (Fail2Ban 사용)

#### 이유

UFW는 서버에서 어떤 문을 봉쇄하여 아무도 볼 수 없게 하고, 어떤 문을 통해 인증된 사용자가 통과할 수 있도록 허용할지 알려줍니다. PSAD는 네트워크 활동을 모니터링하여 잠재적인 침입(반복된 접속 시도)을 탐지하고 방지합니다.

하지만 서버에서 실행 중인 SSH, Apache와 같은 애플리케이션/서비스는 어떨까요? 방화벽이 접근을 허용하도록 구성되어 있더라도, 모든 접근 시도가 유효하고 무해한 것은 아닙니다. 서버에서 실행 중인 웹 앱에 무차별 대입으로 침입하려는 시도가 있다면 어떻게 될까요? 여기서 Fail2ban이 필요합니다.

#### 작동 원리

Fail2ban은 애플리케이션(SSH, Apache 등)의 로그를 모니터링하여 잠재적인 침입을 탐지하고 방지합니다. 네트워크 트래픽/로그를 모니터링하고 의심스러운 활동(예: 짧은 시간 내에 여러 번의 연속 실패 연결)을 차단하여 침입을 방지합니다.

#### 목표

- 의심스러운 활동에 대한 네트워크 모니터링 및 위반 IP 자동 차단

#### 참고 사항

- 현재 이 서버에서 실행 중인 것은 SSH뿐이므로 Fail2ban이 SSH를 모니터링하고 필요에 따라 차단하도록 할 것입니다.
- 다른 프로그램을 설치할 때는 적절한 감옥(jail)을 생성/구성하고 활성화해야 합니다.

#### 참고 자료

- https://www.fail2ban.org/
- https://blog.vigilcode.com/2011/05/ufw-with-fail2ban-quick-secure-setup-part-ii/
- https://dodwell.us/security/ufw-fail2ban-portscan.html
- https://www.howtoforge.com/community/threads/fail2ban-and-ufw-on-debian.77261/

#### 단계

1. fail2ban을 설치합니다.

   데비안 기반 시스템:

   ``` bash
   sudo apt install fail2ban
   ```

1. `/etc/fail2ban/fail2ban.conf` 또는 `/etc/fail2ban/jail.conf`를 편집하지 않는 것이 좋습니다. 향후 업데이트에서 덮어쓸 수 있기 때문에 대신 로컬 복사본을 만듭니다. `/etc/fail2ban/jail.local` 파일을 만들고 `[LAN SEGMENT]`와 `[your email]`을 적절한 값으로 바꾼 후 다음 내용을 추가합니다:

   ```
   [DEFAULT]
   # the IP address range we want to ignore
   ignoreip = 127.0.0.1/8 [LAN SEGMENT]

   # who to send e-mail to
   destemail = [your e-mail]

   # who is the email from
   sender = [your e-mail]

   # since we're using exim4 to send emails
   mta = mail

   # get email alerts
   action = %(action_mwl)s
   ```

   **참고**: 서버가 이메일을 보낼 수 있어야 Fail2ban이 의심스러운 활동과 IP 차단 시 알림을 보낼 수 있습니다.

1. SSH에 대한 감옥을 생성해야 합니다. 이 감옥은 fail2ban이 SSH 로그를 보고 필요에 따라 ufw를 사용하여 IP를 차단/해제하도록 지시합니다. `/etc/fail2ban/jail.d/ssh.local` 파일을 만들고 다음 내용을 추가합니다:

   ```
   [sshd]
   enabled = true
   banaction = ufw
   port = ssh
   filter = sshd
   logpath = %(sshd_log)s
   maxretry = 5
   ```

   [게으른 분들을 위해](#editing-configuration-files---for-the-lazy):

   ``` bash
   cat << EOF | sudo tee /etc/fail2ban/jail.d/ssh.local
   [sshd]
   enabled = true
   banaction = ufw
   port = ssh
   filter = sshd
   logpath = %(sshd_log)s
   maxretry = 5
   EOF
   ```

1. 위에서 fail2ban에 `banaction`으로 ufw를 사용하도록 지정했습니다. Fail2ban에는 ufw용 작업 구성 파일이 함께 제공됩니다. `/etc/fail2ban/action.d/ufw.conf`에서 확인할 수 있습니다.

1. fail2ban을 활성화합니다:

   ``` bash
   sudo fail2ban-client start
   sudo fail2ban-client reload
   sudo fail2ban-client add sshd # sshd 감옥이 기본적으로 추가된 경우 일부 시스템에서 실패할 수 있습니다.
   ```

1. 상태 확인:

   ``` bash
   sudo fail2ban-client status
   ```

   > ```
   > Status
   > |- Number of jail:      1
   > `- Jail list:   sshd
   > ```

   ``` bash
   sudo fail2ban-client status sshd
   ```

   > ```
   > Status for the jail: sshd
   > |- Filter
   > |  |- Currently failed: 0
   > |  |- Total failed:     0
   > |  `- File list:        /var/log/auth.log
   > `- Actions
   >    |- Currently banned: 0
   >    |- Total banned:     0
   >    `- Banned IP list:
   > ```

#### 사용자 정의 감옥

아직 사용자 정의 감옥을 만들어야 할 필요는 없었습니다. 필요하게 되고 방법을 알게 되면 이 가이드를 업데이트하겠습니다. 또는 방법을 아신다면 [기여](#contributing)해 주시기 바랍니다.

#### IP 차단 해제

IP 차단을 해제하려면 다음 명령을 사용합니다:``` bash
fail2ban-client set [jail] unbanip [IP]
```
`[jail]`은 차단된 IP가 있는 감옥의 이름이고, `[IP]`는 차단 해제하려는 IP 주소입니다. 예를 들어, SSH에서 `192.168.1.100`을 차단 해제하려면 다음과 같이 합니다:``` bash
fail2ban-client set sshd unbanip 192.168.1.100
```
([Table of Contents](#table-of-contents))

### CrowdSec를 활용한 애플리케이션 침입 탐지 및 방지

#### 왜 필요한가

UFW는 서버에 어떤 문을 막아 아무도 볼 수 없게 하고, 어떤 문을 허가된 사용자가 통과할 수 있게 할지 알려줍니다. PSAD는 네트워크 활동을 모니터링하여 잠재적인 침입(반복적인 접속 시도)을 탐지하고 방지합니다.

CrowdSec는 Fail2Ban과 유사하게 애플리케이션(SSH, Apache 등)의 로그를 모니터링하여 잠재적인 침입을 탐지하고 방지합니다. 그러나 CrowdSec는 위협 인텔리전스를 CrowdSec에 공유하는 커뮤니티와 연동되어, 이후 모든 사용자에게 커뮤니티 차단 목록(Community Blocklist)을 배포합니다.

#### 작동 방식

CrowdSec는 애플리케이션(SSH, Apache 등)의 로그를 모니터링하여 잠재적인 침입을 탐지하고 방지합니다. 네트워크 트래픽/로그를 모니터링하고 의심스러운 활동(예: 짧은 시간 내에 여러 번의 연속적인 실패한 연결)을 차단하여 침입을 방지합니다. 악성 IP가 탐지되면 로컬 결정 목록에 추가되고, 위협 정보가 CrowdSec에 공유되어 커뮤니티 차단 목록이 업데이트됩니다. IP 주소가 일정 수준의 악성 활동 임계값에 도달하면, 다른 모든 CrowdSec 사용자에게 자동으로 전파되어 사전에 차단됩니다.

#### 목표

- 의심스러운 활동에 대한 네트워크 모니터링 및 문제 IP 자동 차단

#### 참고사항

- 현재 이 서버에서 실행 중인 것은 SSH뿐이므로, CrowdSec가 SSH를 모니터링하고 필요시 차단하도록 설정할 것입니다.
- 다른 프로그램을 설치할 때는 추가 컬렉션을 설치하고 적절한 수집 설정을 구성해야 합니다.

#### 참고 자료

- https://www.crowdsec.net/
- [CrowdSec가 커뮤니티 차단 목록을 관리하는 방법 읽기](https://www.crowdsec.net/our-data)
- [CrowdSec와 공유되는 위협 인텔리전스 읽기](https://docs.crowdsec.net/docs/next/central_api/intro#signal-meta-data)
- https://docs.crowdsec.net/

#### 단계

1. CrowdSec 보안 엔진(IDS) 설치

   모든 Linux 배포판(Debian 계열 포함)에서
   
   CrowdSec 저장소 설치:
   ``` bash
   curl -s https://install.crowdsec.net | sudo sh
   ```

   CrowdSec 보안 엔진 설치:
   ``` bash
   sudo apt install crowdsec
   ```

> [!TIP]
> `curl | sh` 방식이 마음에 들지 않는다면, 다른 설치 방법은 [여기](https://docs.crowdsec.net/u/getting_started/installation/linux)에서 확인할 수 있습니다.

기본적으로 CrowdSec 보안 엔진을 설치하는 동안, 설치된 애플리케이션을 자동으로 검색하여 적절한 파서와 시나리오를 설치합니다. 대부분의 Linux 서버가 기본적으로 SSH를 실행하고 있으므로 CrowdSec가 자동으로 이를 구성합니다.

2. 복구 구성 요소(IPS) 설치

   CrowdSec 자체는 탐지 엔진으로, 대부분의 최신 인프라에서는 업스트림 방화벽이나 WAF가 있을 수 있으므로 CrowdSec가 IP 주소를 직접 차단하지는 않습니다. 복구 구성 요소를 설치하여 CrowdSec가 탐지한 IP 주소를 차단할 수 있습니다.
   ```bash
   sudo apt install crowdsec-firewall-bouncer-iptables
   ```

> [!TIP]
> UFW 설치가 `iptables`를 백엔드로 사용하지 않는 경우, 대신 `crowdsec-firewall-bouncer-nftables`를 설치할 수 있습니다. 설치된 바이너리는 동일하며, 설정 파일만 다릅니다.

기본적으로 복구 구성 요소를 설치하는 동안, 동일한 호스트에 배포된 경우(보안 엔진이 컨테이너 환경에 있지 않은 경우) 보안 엔진과 함께 작동하는 데 필요한 설정을 자동으로 구성합니다.

3. 탐지 및 복구가 의도한 대로 작동하는지 확인:

   CrowdSec 패키지에는 보안 엔진 및 복구 구성 요소의 상태를 확인하는 CLI 도구가 포함되어 있습니다.

   ```bash
   sudo cscli metrics
   ```

   ```bash
   Acquisition Metrics:
   ╭────────────────────────┬────────────┬──────────────┬────────────────┬────────────────────────┬───────────────────╮
   │ Source                 │ Lines read │ Lines parsed │ Lines unparsed │ Lines poured to bucket │ Lines whitelisted │
   ├────────────────────────┼────────────┼──────────────┼────────────────┼────────────────────────┼───────────────────┤
   │ file:/var/log/auth.log │ 5          │ 4            │ 1              │ 10                     │ -                 │
   │ file:/var/log/syslog   │ 30         │ -            │ 30             │ -                      │ -                 │
   ╰────────────────────────┴────────────┴──────────────┴────────────────┴────────────────────────┴───────────────────╯

   Local API Decisions:
   ╭────────────────────────────────────────────┬────────┬────────┬───────╮
   │ Reason                                     │ Origin │ Action │ Count │
   ├────────────────────────────────────────────┼────────┼────────┼───────┤
   │ crowdsecurity/http-backdoors-attempts      │ CAPI   │ ban    │ 73    │
   │ crowdsecurity/http-bad-user-agent          │ CAPI   │ ban    │ 4836  │
   │ crowdsecurity/http-path-traversal-probing  │ CAPI   │ ban    │ 87    │
   │ crowdsecurity/http-probing                 │ CAPI   │ ban    │ 2010  │
   │ crowdsecurity/thinkphp-cve-2018-20062      │ CAPI   │ ban    │ 88    │
   │ crowdsecurity/CVE-2019-18935               │ CAPI   │ ban    │ 7     │
   │ crowdsecurity/CVE-2023-49103               │ CAPI   │ ban    │ 5     │
   │ crowdsecurity/http-admin-interface-probing │ CAPI   │ ban    │ 91    │
   │ ltsich/http-w00tw00t                       │ CAPI   │ ban    │ 3     │
   │ crowdsecurity/apache_log4j2_cve-2021-44228 │ CAPI   │ ban    │ 18    │
   │ crowdsecurity/nginx-req-limit-exceeded     │ CAPI   │ ban    │ 280   │
   │ crowdsecurity/ssh-slow-bf                  │ CAPI   │ ban    │ 3412  │
   │ crowdsecurity/spring4shell_cve-2022-22965  │ CAPI   │ ban    │ 1     │
   │ crowdsecurity/ssh-cve-2024-6387            │ CAPI   │ ban    │ 24    │
   │ crowdsecurity/CVE-2023-22515               │ CAPI   │ ban    │ 2     │
   │ crowdsecurity/http-cve-2021-41773          │ CAPI   │ ban    │ 172   │
   │ crowdsecurity/netgear_rce                  │ CAPI   │ ban    │ 14    │
   │ crowdsecurity/ssh-bf                       │ CAPI   │ ban    │ 2000  │
   │ crowdsecurity/CVE-2022-35914               │ CAPI   │ ban    │ 1     │
   │ crowdsecurity/http-cve-2021-42013          │ CAPI   │ ban    │ 2     │
   │ crowdsecurity/jira_cve-2021-26086          │ CAPI   │ ban    │ 9     │
   │ crowdsecurity/http-sensitive-files         │ CAPI   │ ban    │ 166   │
   │ crowdsecurity/http-wordpress-scan          │ CAPI   │ ban    │ 272   │
   │ crowdsecurity/CVE-2022-26134               │ CAPI   │ ban    │ 5     │
   │ crowdsecurity/http-generic-bf              │ CAPI   │ ban    │ 7     │
   │ crowdsecurity/http-open-proxy              │ CAPI   │ ban    │ 948   │
   │ crowdsecurity/http-crawl-non_statics       │ CAPI   │ ban    │ 339   │
   │ crowdsecurity/http-cve-probing             │ CAPI   │ ban    │ 5     │
   │ crowdsecurity/CVE-2017-9841                │ CAPI   │ ban    │ 117   │
   │ crowdsecurity/CVE-2022-37042               │ CAPI   │ ban    │ 1     │
   │ crowdsecurity/fortinet-cve-2018-13379      │ CAPI   │ ban    │ 5     │
   ╰────────────────────────────────────────────┴────────┴────────┴───────╯

   Local API Metrics:
   ╭──────────────────────┬────────┬──────╮
   │ Route                │ Method │ Hits │
   ├──────────────────────┼────────┼──────┤
   │ /v1/alerts           │ GET    │ 2    │
   │ /v1/decisions/stream │ GET    │ 5    │
   │ /v1/usage-metrics    │ POST   │ 2    │
   │ /v1/watchers/login   │ POST   │ 4    │
   ╰──────────────────────┴────────┴──────╯

   Local API Bouncers Metrics:
   ╭────────────────────────────────┬──────────────────────┬────────┬──────╮
   │ Bouncer                        │ Route                │ Method │ Hits │
   ├────────────────────────────────┼──────────────────────┼────────┼──────┤
   │ cs-firewall-bouncer-1729025592 │ /v1/decisions/stream │ GET    │ 5    │
   ╰────────────────────────────────┴──────────────────────┴────────┴──────╯

   Local API Machines Metrics:
   ╭──────────────────────────────────────────────────┬────────────┬────────┬──────╮
   │ Machine                                          │ Route      │ Method │ Hits │
   ├──────────────────────────────────────────────────┼────────────┼────────┼──────┤
   │ <your_machine_id_will_be_here>                   │ /v1/alerts │ GET    │ 2    │
   ╰──────────────────────────────────────────────────┴────────────┴────────┴──────╯

   Parser Metrics:
   ╭─────────────────────────────────┬──────┬────────┬──────────╮
   │ Parsers                         │ Hits │ Parsed │ Unparsed │
   ├─────────────────────────────────┼──────┼────────┼──────────┤
   │ child-crowdsecurity/sshd-logs   │ 41   │ 4      │ 37       │
   │ child-crowdsecurity/syslog-logs │ 35   │ 35     │ -        │
   │ crowdsecurity/dateparse-enrich  │ 4    │ 4      │ -        │
   │ crowdsecurity/sshd-logs         │ 5    │ 4      │ 1        │
   │ crowdsecurity/syslog-logs       │ 35   │ 35     │ -        │
   ╰─────────────────────────────────┴──────┴────────┴──────────╯

   Scenario Metrics:
   ╭─────────────────────────────────────┬───────────────┬───────────┬──────────────┬────────┬─────────╮
   │ Scenario                            │ Current Count │ Overflows │ Instantiated │ Poured │ Expired │
   ├─────────────────────────────────────┼───────────────┼───────────┼──────────────┼────────┼─────────┤
   │ crowdsecurity/ssh-bf                │ 1             │ -         │ 1            │ 4      │ -       │
   │ crowdsecurity/ssh-bf_user-enum      │ 1             │ -         │ 1            │ 1      │ -       │
   │ crowdsecurity/ssh-slow-bf           │ 1             │ -         │ 1            │ 4      │ -       │
   │ crowdsecurity/ssh-slow-bf_user-enum │ 1             │ -         │ 1            │ 1      │ -       │
   ╰─────────────────────────────────────┴───────────────┴───────────┴──────────────┴────────┴─────────╯
   ```

위 출력이 다소 복잡해 보일 수 있지만, 보안 엔진이 로그를 읽고 복구 구성 요소가 IP 주소를 차단하고 있는지 확인하는 좋은 방법입니다. 각 섹션에 대한 간략한 설명은 다음과 같습니다:

- **Acquisition Metrics**: 이 섹션은 보안 엔진이 읽고 구문 분석 중인 로그를 보여줍니다. `Lines unparsed` 열에 로그가 표시되면 보안 엔진이 로그를 구문 분석할 수 없음을 의미합니다. 이는 설정 오류 또는 로그가 예상 형식이 아닌 경우 발생할 수 있습니다.
- **Local API Decisions**: 이 섹션은 보안 엔진이 데이터베이스 내에 보유한 결정을 보여줍니다. `Count` 열에 로그가 표시되면 보안 엔진이 악성 활동을 탐지하고 IP 주소를 차단했음을 의미합니다.
   - Orgin: 이는 결정이 발생한 출처입니다. 이 경우 중앙 API(CAPI)에서 가져온 것입니다.
- **Local API Metrics**: 이 섹션은 로컬 API에 대한 히트 수를 보여줍니다. 이 API는 보안 엔진이 복구 구성 요소와 통신하는 데 사용됩니다.
- **Local API Bouncers Metrics**: 이 섹션은 복구 구성 요소가 로컬 API에 대해 수행한 히트 수를 보여줍니다.
- **Local API Machines Metrics**: 이 섹션은 보안 엔진이 로컬 API에 대해 수행한 히트 수를 보여줍니다(중앙 집중식 설정에서 여러 보안 엔진을 실행하는 경우 여러 ID가 표시될 수 있음).
- **Parser Metrics**: 이 섹션은 보안 엔진이 사용 중인 파서를 보여줍니다. `Unparsed` 열에 로그가 표시되면 보안 엔진이 로그를 구문 분석할 수 없음을 의미합니다. 이는 설정 오류 또는 로그가 예상 형식이 아닌 경우 발생할 수 있습니다.
- **Scenario Metrics**: 이 섹션은 보안 엔진이 사용 중인 시나리오를 보여줍니다. `Current Count` 열에 로그가 표시되면 보안 엔진이 악성 활동을 탐지하고 해당 IP 주소를 추적 중임을 의미합니다.

#### IP 차단 해제

IP 차단을 해제하려면 다음 명령을 사용합니다:``` bash
cscli decisions delete --ip [IP]
```
`[IP]`는 차단 해제하려는 IP 주소입니다. 예를 들어, SSH에서 `192.168.1.100`을 차단 해제하려면 다음과 같이 합니다:``` bash
cscli decisions delete --ip 192.168.1.100
```
## 감사

### AIDE를 사용한 파일/폴더 무결성 모니터링 (WIP)

#### 이유

WIP

#### 작동 방식

WIP

#### 목표

WIP

#### 참고 자료

- https://aide.github.io/
- https://www.hiroom2.com/2017/06/09/debian-8-file-integrity-check-with-aide/
- https://blog.rapid7.com/2017/06/30/how-to-install-and-configure-aide-on-ubuntu-linux/
- https://www.stephenrlang.com/2016/03/using-aide-for-file-integrity-monitoring-fim-on-ubuntu/
- https://www.howtoforge.com/how-to-configure-the-aide-advanced-intrusion-detection-environment-file-integrity-scanner-for-your-website
- https://www.tecmint.com/check-integrity-of-file-and-directory-using-aide-in-linux/
- https://www.cyberciti.biz/faq/debian-ubuntu-linux-software-integrity-checking-with-aide/
- https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/83

#### 단계

1. AIDE를 설치합니다.

   데비안 기반 시스템에서:
   
   ``` bash
   sudo apt install aide aide-common
   ```
   
1. AIDE의 기본 파일을 백업합니다:

   ``` bash
   sudo cp -p /etc/default/aide /etc/default/aide-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. `/etc/default/aide` 파일을 살펴보고 요구 사항에 따라 AIDE의 기본값을 설정합니다. 매일 실행하고 이메일을 받으려면 `CRON_DAILY_RUN`을 `yes`로 설정하세요.

1. AIDE 설정 파일을 백업합니다:

   ``` bash
   sudo cp -pr /etc/aide /etc/aide-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. 데비안 기반 시스템에서:

   - AIDE 설정 파일은 `/etc/aide/aide.conf.d/`에 있습니다.
   - AIDE 문서와 설정 파일을 검토하여 요구 사항에 맞게 설정하세요.
   - 새 설정(예: 새 폴더 모니터링)을 추가하려면 `/etc/aide/aide.conf` 또는 `/etc/aide/aide.conf.d/`에 추가하세요.
   - 기본 설정 파일의 백업을 만드세요: `sudo cp -pr /etc/aide /etc/aide-COPY-$(date +"%Y%m%d%H%M%S")`.

1. 새 데이터베이스를 생성하고 설치합니다.
  
   데비안 기반 시스템에서:

   ``` bash
   sudo aideinit
   ```
   
   > ```
   > Running aide --init...
   > Start timestamp: 2019-04-01 21:23:37 -0400 (AIDE 0.16)
   > AIDE initialized database at /var/lib/aide/aide.db.new
   > Verbose level: 6
   > 
   > Number of entries:      25973
   > 
   > ---------------------------------------------------
   > The attributes of the (uncompressed) database(s):
   > ---------------------------------------------------
   > 
   > /var/lib/aide/aide.db.new
   >   RMD160   : moyQ1YskQQbidX+Lusv3g2wf1gQ=
   >   TIGER    : 7WoOgCrXzSpDrlO6I3PyXPj1gRiaMSeo
   >   SHA256   : gVx8Fp7r3800WF2aeXl+/KHCzfGsNi7O
   >              g16VTPpIfYQ=
   >   SHA512   : GYfa0DJwWgMLl4Goo5VFVOhu4BphXCo3
   >              rZnk49PYztwu50XjaAvsVuTjJY5uIYrG
   >              tV+jt3ELvwFzGefq4ZBNMg==
   >   CRC32    : /cusZw==
   >   HAVAL    : E/i5ceF3YTjwenBfyxHEsy9Kzu35VTf7
   >              CPGQSW4tl14=
   >   GOST     : n5Ityzxey9/1jIs7LMc08SULF1sLBFUc
   >              aMv7Oby604A=
   > 
   > 
   > End timestamp: 2019-04-01 21:24:45 -0400 (run time: 1m 8s)
   > ```

1. 변경 사항 없이 모든 것이 제대로 작동하는지 테스트합니다.

   데비안 기반 시스템에서:

   ``` bash
   sudo aide.wrapper --check
   ```
   
   > ```
   > Start timestamp: 2019-04-01 21:24:45 -0400 (AIDE 0.16)
   > AIDE found NO differences between database and filesystem. Looks okay!!
   > Verbose level: 6
   > 
   > Number of entries:      25973
   > 
   > ---------------------------------------------------
   > The attributes of the (uncompressed) database(s):
   > ---------------------------------------------------
   > 
   > /var/lib/aide/aide.db
   >   RMD160   : moyQ1YskQQbidX+Lusv3g2wf1gQ=
   >   TIGER    : 7WoOgCrXzSpDrlO6I3PyXPj1gRiaMSeo
   >   SHA256   : gVx8Fp7r3800WF2aeXl+/KHCzfGsNi7O
   >              g16VTPpIfYQ=
   >   SHA512   : GYfa0DJwWgMLl4Goo5VFVOhu4BphXCo3
   >              rZnk49PYztwu50XjaAvsVuTjJY5uIYrG
   >              tV+jt3ELvwFzGefq4ZBNMg==
   >   CRC32    : /cusZw==
   >   HAVAL    : E/i5ceF3YTjwenBfyxHEsy9Kzu35VTf7
   >              CPGQSW4tl14=
   >   GOST     : n5Ityzxey9/1jIs7LMc08SULF1sLBFUc
   >              aMv7Oby604A=
   > 
   > 
   > End timestamp: 2019-04-01 21:26:03 -0400 (run time: 1m 18s)
   > ```

1. 일부 변경 후 모든 것이 제대로 작동하는지 테스트합니다.

   데비안 기반 시스템에서:

   ``` bash
   sudo touch /etc/test.sh
   sudo touch /root/test.sh
   
   sudo aide.wrapper --check
   
   sudo rm /etc/test.sh
   sudo rm /root/test.sh
   
   sudo aideinit -y -f
   ```
   
   > ```
   > Start timestamp: 2019-04-01 21:37:37 -0400 (AIDE 0.16)
   > AIDE found differences between database and filesystem!!
   > Verbose level: 6
   > 
   > Summary:
   >   Total number of entries:      25972
   >   Added entries:                2
   >   Removed entries:              0
   >   Changed entries:              1
   > 
   > ---------------------------------------------------
   > Added entries:
   > ---------------------------------------------------
   > 
   > f++++++++++++++++: /etc/test.sh
   > f++++++++++++++++: /root/test.sh
   > 
   > ---------------------------------------------------
   > Changed entries:
   > ---------------------------------------------------
   > 
   > d =.... mc.. .. .: /root
   > 
   > ---------------------------------------------------
   > Detailed information about changes:
   > ---------------------------------------------------
   > 
   > Directory: /root
   >   Mtime    : 2019-04-01 21:35:07 -0400        | 2019-04-01 21:37:36 -0400
   >   Ctime    : 2019-04-01 21:35:07 -0400        | 2019-04-01 21:37:36 -0400
   > 
   > 
   > ---------------------------------------------------
   > The attributes of the (uncompressed) database(s):
   > ---------------------------------------------------
   > 
   > /var/lib/aide/aide.db
   >   RMD160   : qF9WmKaf2PptjKnhcr9z4ueCPTY=
   >   TIGER    : zMo7MvvYJcq1hzvTQLPMW7ALeFiyEqv+
   >   SHA256   : LSLLVjjV6r8vlSxlbAbbEsPcQUB48SgP
   >              pdVqEn6ZNbQ=
   >   SHA512   : Qc4U7+ZAWCcitapGhJ1IrXCLGCf1IKZl
   >              02KYL1gaZ0Fm4dc7xLqjiquWDMSEbwzW
   >              oz49NCquqGz5jpMIUy7UxA==
   >   CRC32    : z8ChEA==
   >   HAVAL    : YapzS+/cdDwLj3kHJEq8fufLp3DPKZDg
   >              U12KCSkrO7Y=
   >   GOST     : 74sLV4HkTig+GJhokvxZQm7CJD/NR0mG
   >              6jV7zdt5AXQ=
   > 
   > 
   > End timestamp: 2019-04-01 21:38:50 -0400 (run time: 1m 13s)
   > ```
   
1. 이상입니다. `/etc/default/aide`에서 `CRON_DAILY_RUN`을 `yes`로 설정하면 cron이 매일 `/etc/cron.daily/aide`를 실행하고 결과를 이메일로 보내줍니다.

#### 데이터베이스 업데이트

AIDE가 모니터링하는 파일/폴더를 변경할 때마다 데이터베이스를 업데이트하여 변경 사항을 캡처해야 합니다. 데비안 기반 시스템에서 그렇게 하려면:``` bash
sudo aideinit -y -f
```
([Table of Contents](#table-of-contents))

### ClamAV를 사용한 안티바이러스 스캔 (WIP)

#### 이유

WIP

#### 작동 방식

- ClamAV는 바이러스 스캐너입니다.
- ClamAV-Freshclam은 바이러스 정의를 업데이트하는 서비스입니다.
- ClamAV-Daemon은 `clamd` 프로세스를 계속 실행하여 스캔 속도를 높입니다.

#### 목표

WIP

#### 참고 사항

- 이 지침은 `clamd`가 항상 실행되도록 ClamAV 데몬 서비스를 활성화하는 방법을 설명하지 **않습니다**. `clamd`는 메일 서버를 실행하는 경우에만 필요하며 파일의 실시간 모니터링을 제공하지 않습니다. 대신 수동으로 또는 일정에 따라 파일을 스캔해야 합니다.

#### 참고 자료

- https://www.clamav.net/documents/installation-on-debian-and-ubuntu-linux-distributions
- https://wiki.debian.org/ClamAV
- https://www.osradar.com/install-clamav-debian-9-ubuntu-18/
- https://www.lisenet.com/2014/automate-clamav-to-perform-daily-system-scan-and-send-email-notifications-on-linux/
- https://www.howtoforge.com/tutorial/configure-clamav-to-scan-and-notify-virus-and-malware/
- https://serverfault.com/questions/741299/is-there-a-way-to-keep-clamav-updated-on-debian-8
- https://askubuntu.com/questions/250290/how-do-i-scan-for-viruses-with-clamav
- https://ngothang.com/how-to-install-clamav-and-configure-daily-scanning-on-centos/

#### 단계

1. ClamAV 설치.

   Debian 기반 시스템에서:

   ``` bash
   sudo apt install clamav clamav-freshclam clamav-daemon
   ```

1. `clamav-freshclam`의 구성 파일 `/etc/clamav/freshclam.conf`를 백업하세요:

   ``` bash
   sudo cp --archive /etc/clamav/freshclam.conf /etc/clamav/freshclam.conf-COPY-$(date +"%Y%m%d%H%M%S")
   ```
   
1. `clamav-freshclam`의 기본 설정은 대부분 충분하지만 변경하려면 파일 `/etc/clamav/freshclam.conf`를 편집하거나 `dpkg-reconfigure`를 사용할 수 있습니다:

   ``` bash
   sudo dpkg-reconfigure clamav-freshclam
   ```
   
   **참고**: 기본 설정은 하루에 24번 정의를 업데이트합니다. 간격을 변경하려면 `/etc/clamav/freshclam.conf`의 `Checks` 설정을 확인하거나 `dpkg-reconfigure`를 사용하세요.

1. `clamav-freshclam` 서비스를 시작하세요:

   ``` bash
   sudo service clamav-freshclam start
   ```
   
1. `clamav-freshclam`이 실행 중인지 확인할 수 있습니다:

   ``` bash
   sudo service clamav-freshclam status
   ```
   
   > ```
   > ● clamav-freshclam.service - ClamAV virus database updater
   >    Loaded: loaded (/lib/systemd/system/clamav-freshclam.service; enabled; vendor preset: enabled)   Active: active (running) since Sat 2019-03-16 22:57:07 EDT; 2min 13s ago
   >      Docs: man:freshclam(1)
   >            man:freshclam.conf(5)
   >            https://www.clamav.net/documents
   >  Main PID: 1288 (freshclam)
   >    CGroup: /system.slice/clamav-freshclam.service
   >            └─1288 /usr/bin/freshclam -d --foreground=true
   > 
   > Mar 16 22:57:08 host freshclam[1288]: Sat Mar 16 22:57:08 2019 -> ^Local version: 0.100.2 Recommended version: 0.101.1
   > Mar 16 22:57:08 host freshclam[1288]: Sat Mar 16 22:57:08 2019 -> DON'T PANIC! Read https://www.clamav.net/documents/upgrading-clamav
   > Mar 16 22:57:15 host freshclam[1288]: Sat Mar 16 22:57:15 2019 -> Downloading main.cvd [100%]
   > Mar 16 22:57:38 host freshclam[1288]: Sat Mar 16 22:57:38 2019 -> main.cvd updated (version: 58, sigs: 4566249, f-level: 60, builder: sigmgr)
   > Mar 16 22:57:40 host freshclam[1288]: Sat Mar 16 22:57:40 2019 -> Downloading daily.cvd [100%]
   > Mar 16 22:58:13 host freshclam[1288]: Sat Mar 16 22:58:13 2019 -> daily.cvd updated (version: 25390, sigs: 1520006, f-level: 63, builder: raynman)

AllowGroups	로컬 UNIX 그룹 이름	`AllowGroups sshusers`	SSH 접속을 허용할 그룹
ClientAliveCountMax	숫자	`ClientAliveCountMax 3`	응답 없이 전송되는 최대 클라이언트 활성 메시지 수
ClientAliveInterval	초 단위	`ClientAliveInterval 15`	응답 요청 전 제한 시간(초)
ListenAddress	공백으로 구분된 로컬 주소 목록	`ListenAddress 0.0.0.0` `ListenAddress 192.168.1.100`	`sshd`가 수신해야 하는 로컬 주소	중요한 세부 사항은 Issue #1을 참조하세요.
LoginGraceTime	초 단위	`LoginGraceTime 30`	로그인이 시간 초과되기까지의 시간(초)
MaxAuthTries	숫자	`MaxAuthTries 2`	허용되는 최대 로그인 시도 횟수
MaxSessions	숫자	`MaxSessions 2`	최대 열린 세션 수
MaxStartups	숫자	`MaxStartups 2`	최대 로그인 세션 수
PasswordAuthentication	`yes` 또는 `no`	`PasswordAuthentication no`	비밀번호 로그인 허용 여부
Port	열려 있는 사용 가능한 포트 번호	`Port 22`	`sshd`가 수신해야 하는 포트

How-To-Secure-A-Linux-Server

인기

리눅스 서버 보안 가이드

목차

소개

가이드 목표

서버를 보안해야 하는 이유

또 다른 가이드인 이유

다른 가이드

할 일 / 추가할 내용

가이드 개요

이 가이드에 대하여

내 사용 사례

설정 파일 편집 - 게으른 사람들을 위해

기여하기

시작하기 전에

원칙 파악

리눅스 배포판 선택

리눅스 설치

설치 전/후 요구 사항

기타 중요한 사항

Ansible 플레이북을 사용하여 리눅스 서버 보안

SSH 서버

SSH 변경 사항을 적용하기 전에 중요한 참고 사항

SSH 공개/개인 키

왜 필요한가요?

어떻게 작동하나요?

목표

참고 사항

참조

단계

AllowGroups를 위한 SSH 그룹 생성

왜 필요한가요?

어떻게 작동하나요?

목표

참고 사항

참조

단계

/etc/ssh/sshd_config 보안 설정

왜 필요한가요?

어떻게 작동하나요?

목표

참고 사항

참조

단계

짧은 Diffie-Hellman 키 제거

왜 필요한가요?

목표

참조

단계

SSH용 2FA/MFA

왜 필요한가요?

왜 사용하지 않을까요?

어떻게 작동하나요?

목표

참고 사항

참고 자료

단계

기본

sudo를 사용할 수 있는 사용자 제한

이유

목표

참고 사항

단계

su를 사용할 수 있는 사용자 제한

이유

목표

참고 자료

단계

FireJail로 애플리케이션을 샌드박스에서 실행

이유

목표

참고 자료

단계

NTP 클라이언트

이유

작동 방식

목표

참고 자료

단계

`/etc/ssh/sshd_config` 보안 설정

* EDIT THIS SCRIPT TO YOUR PROPOSES *#