김무현 , IBM Korea 2009 상반기 SWMA 고객 세미나

AIX & PowerVMSecurity 김무현, IBM Korea 2009 상반기 SWMA 고객 세미나

차례 • 보안 개요 • AIX V6 보안 기능 • 서버 가상화 보안 • PowerVM 보안 • VIOS 보안 • 참고자료 (첨부) AIX 보안 TIPS

신원확인 및 인증 (Identification, Authentication) IT 자원에 접근 및 사용하기 위해서는 사용자의 신원을 확인하고, 그 사용자에 대한 인증을 통해야함 가용성(Availability) IT 자원 및 이를 지원하는 인프라들은 사용자의 요청에 대해서 적시에 서비스를 제공해야 함 기밀성(Confidentiality) IT 자원, 서비스들은 인증되지 않는 접근을 방지해야 함 무결성(Integrity) 정보는 인증되지 않는 변조로 부터 보호되어야 함. 이는 저장된 자료뿐만 아니라, 데이터 통신에도 적용됨 부인방지(Non-repudiation) 모든 이벤트는 이를 행한 인증된 사용자와 연관을 지을 수 있어야 함 1.1 보안이란? 1. 보안개요

Too Secure 8 7 9 6 10 1 5 2 Secure 4 3 Insecure 8 7 9 6 10 9 8 6 10 7 1 1 5 5 2 4 3 2 4 3 1.2 적정한 보안 수준 1. 보안개요

위험(Risk) 위협(Threat) 취약점(Vulnerability) 위험관리(Risk Management) 위험감수(Risk Acceptance) 위험회피(Risk Avoidance) 최소권한원칙(Least Privilege Principle) 접근제어(Access Control) Single Point Of Failure Local Vulnerability Remote Vulnerability Local Exploit Remote Exploit 1.3 용어 설명 1. 보안개요

서버 보안 정책의 필요성 업무의 중요성에 따른 적절한 수준의 보안 유지 보안의 일관된 적용 Baseline 보안 수준 정의 서버 보안 정책의 주요 구성 요소 계정 및 패스워드 정책: 계정 및 패스워드 생성/삭제/변경 규칙, 패스워드의 복잡도에 대한 규정 root 계정 정책: root 접근 통로 제한 로그인 정책: 불법적인 로그인에 대한 경고 문구 네트워크 서비스 정책: 불필요한 서비스 제거, 네트워크 접근제어, 최소 권한 SUID, SGID, Stickybit 관리 정책 시스템 로그 관리 정책: 로그 생성, 보관 기한, 정기적인 모니터링을 통한 침임 탐지에 대한 규정 보안 패치 정책: 정기적 또는 비정기적 보안 패치 적용에 대한 규정 서버 보안 인증 및 인가 서버가 운영 환경으로 이전되기 이전에 조직의 보안 정책을 준하는지를 확인 가상 환경에서의 보안 정책 1.4 서버 보안 정책 1. 보안개요

보안 패치 정보 수집 IBM e-Server Support > Subscription Service (http://www14.software.ibm.com/webapp/set2/subscriptions/pqvcmjd) SecurityFocus (http://www.securityfocus.com) > Vulnerabilities Nessus (http://www.nessus.org) > PLUGINS > ALL PLUGINS > AIX Local Security Checks 1.5 보안 패치 관리 (1/3) 1. 보안개요

1.5 보안 패치 관리 (2/3) 1. 보안개요

SUMA (Service Update Management Assistant) AIX 5L V5.2부터 지원하는 패치 관리 시스템 인터넷에 직접 연결 또는 인터넷에 연결된 HTTP, HTTPS, FTP Proxy를 이용하여 패치 정보 수집 프로토콜: HTTP, HTTPS, FTP 사용 방법 보안 패치 상태를 점검하고자 하는 시스템에서, 설치된 Fileset 정보 파일 생성 # lslpp -Lc > /tmp/suma-filtersysfile 인터넷에 연결이 가능한 AIX 시스템에서 아래 명령을 실행 # suma -x -a Action=Preview -a RqType=Security -a FilterML=5200-04 -a FilterSysFile=/tmp/suma-filtersysfile 1.5 보안 패치 관리 (3/3) 1. 보안개요

향상된 AIX Security Expert:보안 정책 적용 및 점검을 위한 도구 Secure by Default (SbD): 최소 OS 설치 File Permission manager (FPM): setuid, setgid 프로그램 관리 도구 Role Based Access Control (RBAC) Encrypted File Systems (EFS): JFS2 파일시스템에 암호화 적용 기능 Workload Partitions (WPAR): 독립된 어플리케이션 수행 환경 Trusted Execution (TE): 중요 파일들에 대한 무결성 관리 Trusted AIX: Multi Level Security 기능 Secure FTP: TLS를 이용한 FTP, FTPD Long Password Support: 255자 패스워드 지원 2.1 Overview 2. AIX V6 보안 기능

AIX 5L V5.3 TL5 부터 제공되는 보안 설정 도구 High, Medium, Low 보안 정책 템플릿 제공 강화된 undo 기능 SMIT, CLI 사용시 전체 undo GUI 사용시 선택적으로 undo 가능 사용자 정의 보안 정책 지원 강화된 취약한 패스워드 점검 기능 Stack Execution Disable (SED) 활성화 SUID 프로그램 관리를 위한 File Permission Manager (fpm) 연동 SOX-COBIT Best Practice 정의된 보안 정책을 준수하는지 점검하는 기능 LDAP을 통한 보안 정책 배포 2.2 AIX Security Expert 2. AIX V6 보안 기능

CLI (aixpert) SMIT – smitty aixpert wsm - AIX Security Expert 3.2 AIX Security Expert 2. AIX V6 보안 기능

보안 정책 템플릿: /etc/security/aixpert/core/aixpertall.xml (약 300여개 보안 설정 내용 포함) 보안 정책 적용 script: /etc/security/aixpert/bin • Rule Type • DLS: Default Level • LLS: Low Level • MLS: Medium Level • HLS: High Level • Prereq: Analysis Rules • SCBPS: SOX-COBIT 2.2 AIX Security Expert –보안 정책 2. AIX V6 보안 기능 aixpertall.xml 내용 보안 적용 script 목록

2.2 AIX Security Expert –보안 정책 2. AIX V6 보안 기능 aixpertall.xml 내용

2.2 AIX Security Expert –보안 정책 2. AIX V6 보안 기능 Analysis Rule 예제

보안을 가장 중요시하는 설정 Local 네트워크가 안전하지 않다는 가정 Port scanning 차단 대부분 port 차단 모든 외부로 부터의 접근을 차단 Strong password 규칙 적용 2.2 AIX Security Expert –보안 정책 HIGH 2. AIX V6 보안 기능

일반적인 보안 강화 설정 telnet, ftp, rlogin 등 암호화되지 않은 접속 허용 Port scanning 차단 password 규칙 적용 2.2 AIX Security Expert –보안 정책 MEDIUM 2. AIX V6 보안 기능

기본 보안 설정 보다는 안전하게 구성 시스템의 개방성을 침해하지 않는 수준에서 일반 보안 설정 적용 2.2 AIX Security Expert –보안 정책 LOW 2. AIX V6 보안 기능

HIGH 레벨 보안 정책 적용하는 방법 # aixpert –l high # smitty aixpert > High Level Security 메뉴 선택 wsm > AIX Security Expert > High Level Security 메뉴 선택 AIX Security Expert에 의해서 시스템에 적용된 정책은 다음 파일에 저장됨 /etc/security/aixpert/core/appliedaixpert.xml aixpert 수행 log 파일: /etc/security/aixpert/log/aixpert.log NIM post install script 를 통해서 적용 - % aixpert –f <my_security_policy.xml> 2.2 AIX Security Expert –보안 정책 적용 2. AIX V6 보안 기능

AIX Security Expert에서 제공되는 보안 정책을 customizing 할 수 있음 Customizing 방법 GUI의 Advanced Security 를 통해서 선별적으로 보안 설정 적용 사용자 정의 보안 정책 XML 파일을 생성하여 /etc/security/aixpert/custom 디렉터리에 저장 XML DTD 보는 방법: aixpert -d 2.2 AIX Security Expert –사용자 보안 정책 2. AIX V6 보안 기능

GUI 를 이용한 보안 정책 customizing wsm > AIX Security Expert > Advanced Security 2.2 AIX Security Expert –사용자 보안 정책 2. AIX V6 보안 기능

사용자가 정의한 보안 정책 파일 적용 방법 (CLI) # aixpert –f <보안 정책 XML 파일 이름> # aixpert –l LEVEL–f <보안 정책 XML 파일 이름> # aixpert –f <보안 정책 XML 파일 이름> -p 사용자가 정의한 보안 정책 파일 적용 방법 (GUI) wsm > AIX Security Expert > Customized Options 에서 정책 파일 선택 및 적용 2.2 AIX Security Expert –사용자 보안 정책 2. AIX V6 보안 기능

현재 시스템의 보안 설정이 정의된 보안 정책을 준수하는지 점검할 수 있음 점검 기준 보안 정책은 /etc/security/aixpert/core/appliedaixpert.xml 파일에 저장된 내용이 사용됨 점검 결과는 /etc/security/aixpert/check_report.txt 에 저장됨 점검 방법 # aixpert –c # aixpert –c –l high wsm > AIX Security Expert > Check Security 2.2 AIX Security Expert –보안 점검 2. AIX V6 보안 기능

Privileged user가 소유한 프로그램의 setuid, setgid 권한을제거하는 기능 AIX 5L 5.3 TL6 이후 및 AIX V6 6.1 HIGH, MEDIUM, LOW, DEFAULT 단계별 권한 제거 가능 HIGH 단계: /usr/lib/security/fpm/data/high_fpm_list MEDIUM 단계: /usr/lib/security/fpm/data/med_fpm_list LOW 단계: MEDIUM 단계 제거 대상 중에서 SETGID만 제거 사용자 정의 정책을 만들어서 적용할 수 있음 HIGH 단계: /usr/lib/security/fpm/custom/high/*.* MEDIUM 단계: /usr/lib/security/fpm/custom/med/*.* 2.3 File Permission Manger (fpm) 2. AIX V6 보안 기능

현재 시스템의 파일들이 특정 정책에 부합하는지 점검하는 방법 # fpm -c -l LEVEL AIX default 설정으로 원상 복구하는 방법 # fpm -l default 실제로 적용하지 않고 적용될 내용만 보는 방법 # fpm -p -l LEVEL 수준별 setuid, setgid 제거 방법 # fpm –l LEVEL 2.3 File Permission Manger (fpm) 2. AIX V6 보안 기능

AIX 파일들 및 사용자가 정의한 파일들에 대한 무결성 보장 (trustchk) Trusted Signature Database (TSD) /etc/security/tsd/tsd.dat AIX 파일들에 대한 signature Kernel, Kernel extension setuid root 프로그램, setgid root 프로그램 root에 의해서만 수행되는 프로그램 중요한 설정 파일 및 이를 수정할 수 있는 프로그램들 사용자가 지정한 파일들에 대한 signature 주요 기능 AIX 파일들의 변조 여부 점검. 가능한 경우, 변조 내용 복구 실행 파일 및 kernel extension을 load할 때, 변조 여부를 점검함. 만약 실패할 경우, 정책에 따라서 수행을 중지시킬 수 있음 적용 가능한 정책 수행되는 프로그램 점검 로딩되는 Kernel extension 점검 로딩되는 shared library 점검 TSD Lock Trusted 파일에 쓰기 금지 2.4 Trusted Execution - 개요 2. AIX V6 보안 기능

Trusted Exceution을 사용하기 위해서는 아래 fileset이 설치되어 있어야 함 (AIX Expansion Pack에 있음) CryptoLitefor C library (CLiC) clic.rte.includes clic.rte.lib CryptoLite for C Kernel extension clic.rte.kernext CLiC 설치 여부 확인 방법 # lslpp –l “clic*” # genkex|grep clic CLiC 설치 후 CLiC kernel extension을 load 해야 함 # /usr/lib/methods/loadkclic 2.4 Trusted Execution–사전 요구 사항 2. AIX V6 보안 기능

TSD에는 각 파일에 대한 권한, signature 등이 저장되어 있음 2.4 Trusted Execution– TSD 구성 2. AIX V6 보안 기능

TSD에 부합되지 않는 파일을 수행할 경우, 수행을 중시시킬 수 있음 2.4 Trusted Execution–예제 2. AIX V6 보안 기능

TSD를 더 이상 수정하지 못하도록 설정하는 방법 # trustchk –p TSD_LOCK=ON # trustchk –p TE=ON 파일들의 integrity 점검 방법 # trustchk –n ALL TSD 등록된파일 수행시 integrity 점검 정책 # trustchk –p CHKEXEC=ON TE=ON integrity 점검 및 변조 발견 시 수행 중지 정책 # trustchk –p CHKEXEC=ON STOP_ON_CHKFAIL=ON TE=ON TE 정책 설정 현황 보는 방법 # trustchk -p LOCK_KERN_POLICIES가 ON으로 설정되어 있는 경우, 활성화되어 있는 TE 정책을 비활성화하기 위해서는 reboot이 필요 2.4 Trusted Execution–사용 방법 2. AIX V6 보안 기능

서버 가상화는 Hypervisor 또는 Virtual Machine Monitor (VMM)에 의해서 구현됨 VM들간의 isolation 서버 자원의 공유 Type 1 (Native) Hypervisor: Power Hypervisor (PHYP), System z Hypervisor (PR/SM) Type 2 (Hosted) Hypervisor: VMware Server, VirtualBox 3.1 Overview 3. 서버 가상화 보안

가상화는 물리적인 경계를 모호하게 함으로서, 기존의 보안 통제 수단이 적용되지 않을 수 있음 가상화는 시스템 이동을 자유롭고 유연하게 하기 때문에, VM 및 시스템 이미지를 관리하는 어려움이 생길 수 있음 가상화는 새로운 기술적 및 운영상의 위험 요소를 만들고, 기존의 위험의 형태를 변화 또는 심화시킬 수 있음 3.2 가상화 전후의 서버 보안 3. 서버 가상화 보안

3.3 새로운 취약 요소들 3. 서버 가상화 보안

3.4 가상화 환경의 운영 관리 이슈 3. 서버 가상화 보안 • 가상화 환경의 소유자는?… • 네트워크 관리자? • 서버 관리자? • 어플리케이션 소유자? • 데이터 사용자?

3.5 VM 운영 관리 이슈 3. 서버 가상화 보안 • 패치 적용 • VM을 “suspend”하고 “activate”할 수 있는 기능이 패치 관리 주기에 영향을 미침 • Virtual Sprawl 및 Identification • VM들을 추적하기 어려움; unmanaged, rogue VMs • Dynamic Relocation (Live Migration) • VM들이 보안 수준이 낮은 서버, 네트워크, 또는 데이터센터로 이동될 수 있는가? • Static security policiy로는 부족함 • Replay Attacks and Data Retention • VM replay 기능을 이용한 advanced cryptographic 공격의 가능성 • Virtual Machine Stealing • VM이 파일로 존재하는 경우, 전체 시스템이 유출될 수 있음 Mgmt VirtualMachine App OS VMM or Hypervisor Hardware 38

3.6 가상화 보안의 현재 3. 서버 가상화 보안 Physical Resources MEMORY: ~128MCPU: 5-25% Physical Resources MEMORY: ~128MCPU: 5-25% Physical Resources MEMORY: ~128MCPU: 5-25% • First-Generation Virtualization Security: • 각 VM 단에서의 보안 • defense-in-depth 적용 • Lock-down management • VLAN을 통한 네트워크 분리 • stand-alone security appliances • 한계점: • 새로운 VM security provisioning 필요 • 중복적인 보안 = 더 많은 자원요구 • 관리의 복잡성 • VM 간의 네트워크 트래픽 분석이 어려움 • VMM에 대한 Implicit trust Mgmt. VM Guest VM Guest VM App Physical Resources MEMORY: ~512MCPU: 25-30% OS VMM or Hypervisor Stand-alone SecurityAppliance Hardware Integrate security into the virtual infrastructure – don’t bolt it on. 39

3.7 가상화 보안의 미래 3. 서버 가상화 보안 • Next-Generation Virtualization Security: • Apply defense-in-depth • Shrink the management stack • Install security VM on each machine • Integrate security VM with VMM • Security VM Features: • Centralized network protection • Agent-less host protection • Policy-based MAC and isolation • VM NAC, assessment, and control • Additional Security: • Hypervisor attestation (Trusted Platform Module, or TPM) • VM attestation (vTPM) FinanceEngineering Integrated Security VM Mgmt Guest VM Guest VM App OS VMM or Hypervisor NAC, Assessment & Control Security APIs Policy-Based MAC Host Protection (AV/HIPS) Hardware Network Protection (IPS/FW) TPM vTPM 40

PowerVM Virtualization 이란? Power Hypervisor (PHPY) 공유 자원 (CPU, Memory, Virtual I/O)에 대한 Discrete Access Control을 통한 보안 통제 VLAN 기능을 제공하는 Virtual Ethernet Switch 구현 VIO Server Virtual I/O를 일반 LPAR에 제공하는 기능 Virtual Ethernet 물리적인 adapter 없이 LPAR 간의 통신을 가능하게 함 IEEE 호환 Ethernet Inter-partition in-memory 통신 방식으로 구현됨 WPAR Mobility 4.1 PowerVM 구성 요소 4. PowerVM 보안

LSPP, RBACPP, CAPP/EAL4+ for AIX 6100-00-02 with Workload Partitions and the Virtual I/O Server Common Access Protection Profile (CAPP) Labeled Security Protection Profile (LSPP) Role Based Access Control Protection Profile (RBACPP) for the Common Criteria for Information Security Evaluation (CC) at Evaluation Assurance Level 4+ CAPP/EAL4+ for AIX 5L 5300-05-02 with Virtual I/O Server Controlled Access Protection Profile (CAPP) for The Common Criteria for Information Security Evaluation (CC) at Evaluation Assurance Level 4+ 4.2 Certifications 4. PowerVM 보안

Power Hypervisor (PHPY) LPAR, Virtual processor, IEEE 802.1Q 기반의 virtual switch, virtual SCSI adapter, virtual console 구현 자원에 대한 Discrete Access Control 적용 Platform Licensed Internal Code (PLIC) Hardware page table entry에 대한 LPAR 접근 제어 Translation Control Entry (TCE) table: IO에 대한 LPAR 접근 제어 Dispatchable HMC와 Service Processor로 부터의 메시지 처리 DLPAR 4.3 Power Hypervisor (PHPY) 4. PowerVM 보안

VIO 클라이언트들이 VIOS 서버의 서비스에 의존하기 때문에, Single Point of Failure가 될 수 있음 SEA를 통한 네트워크 트래픽이 모니터링 될 수 있기 때문에, 특별한 관리가 필요함 신뢰관계에 있는 HMC의 보안 관리의 중요성 4.4 Virtual I/O Server 4. PowerVM 보안

Virtual Ethernet 물리적 아답터 없이 LPAR 간의 통신을 가능하게 함 IEEE-compliant ethernet programming model inter-partition in-memory communication방식으로 구현됨 VLAN을 이용해서 논리적으로 네트워크를 구분할 수 있음 여러 개의 VLAN 구성을 지원하는 Virtual switch 각 LPAR는 하나 이상의 아답터를 통해서 여러 네트워크에 연결될 수 있음 VIO server를 통해서 ethernet frame에 VLAN ID tag를 추가할 수 있음 Virtual network 는 “routing” partition을 통해서 물리적 네트워크에 연결될 수 있음 ipforwarding, routing at IP layer; not Virtual Ethernet switch 4.4 Virtual Ethernet (1/2) 4. PowerVM 보안

4.4 Virtual Ethernet (2/2) 4. PowerVM 보안

4.5 보안 고려 사항 4. PowerVM 보안 • 서버의 보안 수준에 따른 네트워크 분리 및 접근 통제를 고려하고 있는가? • 물리적 보안 수단 (방화벽, IDS, IPS 등)이 bypass 되는 곳이 있는가? • VIOS Hardening을 하고 있는가? • VIOS가 Single Point of Failure가 되고 있지 않은가? • HMC 접근 통제가 이뤄지고 있는가? • WPAR mobility를 사용하는 경우, 보안 수준이 동일한 곳으로 이동하도록 제한하는가?

VIOS는 Virtual IO를 제공하기 위한 별도의 LPAR에서 운영되는 AIX 기반의 appliance VIOS 초기 설치는 보안 강화 설정이 되어 있지 않기 때문에, 안전한 VIOS 운영을 위해서는 별도의 보안 설정 필요 padmin 계정 VIOS 운영 및 관리를 위한 계정 VIOS 운영 및 관리에 필요한 명령만 수행 가능한 restricted shell 적용 root 계정 root 계정으로 원격 로그인 접근 불가 oem_setup_env 명령으로 root 계정을 얻을 수 있음 HMC와의 신뢰 관계 HMC의 viosvrcmd 명령을 이용해서 VIOS 명령 원격 수행 가능 (TCP/657 RMC 서비스 이용) viosecure 명령 수행이가능하기 때문에, HMC 계정에 대한 관리가 필요함 SEA를 통해서 전송되는 네트워크 패킷들은 capture될 수 있기 때문에, VIOS 보안 관리가 중요함 VIOS 보안 설정을 위한 명령어 viosecure cfgassist 5.1 개요 5. VIOS 보안

김무현 , IBM Korea 2009 상반기 SWMA 고객 세미나