Skip to end of metadata
Go to start of metadata

 

 

 

개요


DB 취약점 진단 항목 별 점검 방법에 대한 가이드입니다.
진단 항목은 고객의 문의 항목을 기준으로 작성하였습니다.

 

 

 

계정 관리


 

계정의 목록화(비인가자의 접근 차단을 위한 사용자 계정 관리)


점검 방법

데이터베이스 사용자 확인 방법

조치 방법

데이터베이스 사용자 출력 결과에서 불필요한 계정이 있다면 DBA 또는 어플리케이션 담담자 확인 후 제거합니다.

 

 

취약한 패스워드 사용 (기본 계정 및 패스워드 변경)


점검 방법

ALTIBASE HDB 설치 시 생성되는 사용자의 디폴트 패스워드는 아래와 같습니다.

USER

PASSWORD

SYS

MANAGER

ALTITEST

ALTITEST

데이터베이스에 접속하여 디폴트 패스워드 사용 여부를 확인합니다.

조치 방법

디폴트 패스워드로 접속이 가능하다면 어플리케이션 과의 연관성 확인 후 해당 사용자의 패스워드를 변경합니다.

패스워드 변경 예
Icon

SYS 사용자 패스워드 변경 방법은 'sys 유저 패스워드 변경 방법' 페이지를 참고하세요.

 

 

 

권한 관리


 

DBA 권한 관리(System Privilege 권한 제한)


ALTIBASE HDB 는 오라클의 Role 과 같은 기능이 없습니다.

데이터베이스 사용자가 가진 권한을 확인하여 불필요한 시스템 권한을 가지고 있다면 삭제합니다.

점검 방법

사용자가 가진 시스템 권한 확인
ALTIBASE HDB 의 SYSTEM 권한

조치 방법

SYSTEM 권한 제거

 

 

WITH GRANT OPTION 사용


WITH GRANT OPTION은 객체 접근 권한을 부여 받은 사용자가 해당 권한을 다른 사용자에게 부여할 수 있으므로 객체 접근 권한을 DBA 관리 없이 남용할 수 있습니다.

점검 방법

WITH GRANT OPTION 옵션을 가진 사용자 확인

조치 방법

WITH GRANT OPTION 제거 후 WITH GRANT OPTION 없이 권한 부여

 

 

 

환경 파일 점검


 

altibase.properties 파일 접근 권한 설정


Altibase 중요 파일 중 하나인 altibase.properties 파일을 악의적인 의도로 변경하면 데이터베이스 장애가 발생할 수 있습니다.

점검 방법

altibase.properties 파일 권한을 확인

조치 방법

altibase.properties 파일 권한 설정을 600 또는 640으로 설정한다.

파일 권한 설정 예

 

Log Anchor, Logfile, Datafile 접근 권한 설정


ALTIBASE HDB 데이터베이스 운용에 중요 파일인 하나인 Log Anchor, Logfile, Datafile 파일을 악의적인 의도로 변경하면 데이터베이스 장애가 발생할 수 있습니다.

점검 방법

Log Anchor, Logfile, Datafile 파일들의 권한을 확인

조치 방법

Log Anchor, Logfile, Datafile 파일 권한 설정을 600 또는 640으로 설정한다.

권한 설정 예

 

 

iSQL 명령 쉘 히스토리 검사


iSQL을 사용하여 데이터베이스에 접속 할 때 계정 및 패스워드를 함께 입력하면 쉘 히스토리(.history 또는 .sh_history) 파일에 기록이 남기 때문에 패스워드가 유출될 수 있습니다.

점검 방법

쉘 히스토리 파일에서 isql 수행 기록 확인

조치 방법

iSQL 접속 시 쉘 프롬프트에 사용자와 패스워드를 입력하지 않습니다.

쉘 히스토리 파일에서 isql 수행 기록 확인

쉘 히스토리(.history 또는 .sh_history) 파일 보호를 위하여 접근 권한을 600으로 설정합니다.

 

 

 

DBMS 보안 설정


 

Public Synonym 사용


점검 방법

Public Synonym확인

조치 방법

PUBLIC SYNONYM 은 DB 사용자에게 편의성을 제공하기 위해 데이터베이스 생성 시 생성되는 것으로, dual 테이블 조회 같은 일반적인 쿼리를 사용하거나 print, println 처럼 프로시저 내에서 많이 사용하고 있어 삭제를 권고하지는 않습니다.
하지만 불가피하게 삭제해야 할 경우 아래와 같이 DROP 구문을 사용하면 됩니다.
어플리케이션에서 PUBLIC SYNONYM 의 사용 여부를 확인 후 drop 하시기 바랍니다.

PUBLIC SYNONYM 제거

 

 

로그인 실패 횟수에 따른 잠금시간 등 계정 잠금 정책 설정


적용 버전

  • ALTIBASE HDB 4.3.9.211 부터
  • ALTIBASE HDB 5.3.3.89 부터
  • ALTIBASE HDB 5.5.1.5.1 부터
  • ALTIBASE HDB 6.1.1.2.1 부터
  • ALTIBASE HDB 6.3.1

점검 방법

데이터베이스 사용자에게 해당 설정이 되어 있는 지 확인

조치 방법

관련 프로퍼티 설정
데이터베이스 사용자 생성 시
ALTER USER 수행 시

 

 

패스워드 복잡도 설정


적용 버전

  • ALTIBASE HDB 4.3.9.211 부터
  • ALTIBASE HDB 5.3.3.89 부터
  • ALTIBASE HDB 5.5.1.5.1 부터
  • ALTIBASE HDB 6.1.1.2.1 부터
  • ALTIBASE HDB 6.3.1

점검 방법

유저 별 PASSWORD_VERIFY_FUNCTION 가 설정되어 있는 지 확인합니다.

조치 방법

데이터베이스 사용자 패스워드 복잡도 설정을 위해 콜백 함수를 생성하고 CREATE USER 또는 ALTER USER 수행 시 LIMIT 절에 PASSWORD_VERIFY_FUNCTION 옵션을 사용합니다.

데이터베이스 사용자 생성 시
ALTER USER 수행 시
콜백함수 생성

 

 

패스워드의 주기적인 변경


 

적용 버전

  • ALTIBASE HDB 4.3.9.211
  • ALTIBASE HDB 5.3.3.89
  • ALTIBASE HDB 5.5.1.5.1
  • ALTIBASE HDB 6.1.1.2.1
  • ALTIBASE HDB 6.3.1

점검 방법

유저 별 PASSWORD_LIFE_TIME가 설정되어 있는 지 확인합니다.

조치 방법아래 명령어로 PASSWORD_LIFE_TIME 프로퍼티를 확인하여 값이 0 이라면 패스워드의 만료일이 설정되어 있지 않음을 의미합니다.

$ALTIBASE_HOME/conf/altibase.properties 에서 PASSWORD_LIFE_TIME 프로퍼티 추가 후 ALTIBASE HDB 서버를 재시작 합니다.
이 프로퍼티 설정 후 데이터베이스 사용자를 생성하면 이 값을 기준으로 패스워드 만료일이 설정됩니다.

PASSWORD_LIFE_TIME 프로퍼티 설정
데이터베이스 사용자 생성 시
ALTER USER 수행 시

 

 

ALTIBASE HDB 서비스 포트 기본값 변경


ALTIBASE HDB 서버의 서비스 포트 기본값은 20300 입니다.

점검 방법

서비스 포트 확인

조치 방법

$ALTIBASE_HOME/conf/altibase.properties 에서 PORT_NO 의 값을 변경 후 알티베이스 서버 프로세스를 재시작

 

 

세션 IDLE_TIMEOUT 설정


IDLE_TIMEOUT 은 세션 별로 설정 변경이 가능하여 접속 시 ALTIBASE HDB 서버 프로퍼티의 영향을 받더라도 세션에서 변경할 수 있습니다.

점검 방법

ALTIBASE HDB 서버 설정 값 확인
세션별 적용된 설정 값

조치 방법

프로퍼티 변경 방법
  • 알티베이스 서버 프로세스 재시작 시에도 변경 값을 반영하려면 $ALTIBASE_HOME/conf/altibase.properties 에서 IDLE_TIMEOUT 프로퍼티의 값을 변경해야 합니다.

 

 

기본적인 감사(사용자 문장, 권한, 객체 등) 설정


Audiiting 기능은 ALTIBASE HDB 6.3.1 버전부터 제공합니다.

점검 방법

점검 방법 - 감사 설정 여부 확인 방법
점검 방법 - Auditing 활성화 여부
  • 각 필드에 대한 설명은 General Reference 메뉴얼의 -> 3. 데이터 딕셔너리 부분을 참고.

조치 방법

감사 설정이 안되어 있는 경우 Administrator's Manual 의 '14. 데이터베이스 감사 (Database Auditing)' 부분과 SQL Reference 매뉴얼의 '5. 데이터 제어' 부분을 참고하여 설정하세요.
매뉴얼 다운로드 페이지 : http://support.altibase.com/kr/manual

 

 

원격에서 DB 서버로의 접속 제한


이 기능은 ALTIBASE HDB 5 부터 제공합니다.

점검 및 조치 방법

$ALTIBASE_HOME/conf/altibase.properties 에서ACCESS_LIST 프로퍼티 확인.

설정이 안되어 있다면 altibase.properties 파일에서 설정 변경 후 재구동 해야 합니다.

SYSDBA 로그인 제한 설정

ALTIBASE HDB 는 SYSDBA 에 대해 로그인 제한이 없고, 원격 접근만 제어할 수 있습니다.
이 기능은 ALTIBASE HDB 5 버전부터 제공합니다.

점검 방법

점검 방법

조치 방법

조치 방법
  • 알티베이스 서버 프로세스 재시작 시에도 변경 값을 반영하려면 $ALTIBASE_HOME/conf/altibase.properties 에서 REMOTE_SYSDBA_ENABLE 프로퍼티의 값을 변경해야 합니다.

 

 

 

보안 패치


 

최신 패치 적용


ALTIBASE HDB 최신 버전은 고객지원서비스포털 에서 확인할 수 있습니다. 

하지만 패치 패키지는 아래의 경우 외에는 비 정기적으로 업로드하므로 최신 패치 버전은 02-2082-1114 또는 고객지원서비스포털에서 서비스 요청으로 문의 주시기 바랍니다. 

  • 메이저 버전 릴리즈 시
  • 크리티컬한 버그가 반영된 경우

 

  • No labels