요약

  • COPS는 Unix에서 익숙하게 반복되던 결함들 — 취약한 비밀번호, 과도하게 개방된 권한, 노출된 시작 파일 — 을 로컬 호스트에서 재현 가능한 점검으로 전환했다.
  • 설정 가능한 프로그램들은 문제 가능성을 수정 없이 보고한다. 대부분은 root 권한이 필요 없으며, 더 철저한 SUID 검색은 별도로 분리되어 있고 권한을 요구한다.
  • 경고가 없는 보고서는 실행 시점에 설정된 점검 항목과 그 범위를 기술할 뿐이다. 완전한 보안이나 이후의 변경 부재를 보증하지는 않는다.

평범한 결함들은 다시 확인될 가치가 있었다

1990년 논문은 실용적인 관찰에서 출발한다: 같은 Unix 문제들이 발표물에서 반복되고 있었다는 것이다. SUID 프로그램, 지나치게 넓은 권한, 취약한 비밀번호는 발견하면 고치기 쉬운 경우가 많았다. 어려움은 끊임없이 변하는 설치 환경에서 이들을 다시 찾아내는 일이었다. Farmer와 Spafford는 이 점검을 정기적으로 수행되도록 만들고자 했다.

COPS — "Computerized Oracle and Password System" — 는 네트워크 스캐너가 아니었다. 주 스크립트가 십여 개 정도의 하위 프로그램의 결과를 모아 로컬 관리자에게 보내거나 파일에 기록했다. 대부분은 Bourne 셸과 일반적인 Unix 명령어를 사용했으며, C로 작성된 작은 프로그램들이 전체를 보완했다. 구성 요소는 사이트에 맞게 조정하거나 교체할 수 있었다.

점검 대상은 구체적이었다: 모든 사용자가 쓰기 가능하다고 선언된 파일과 디렉터리; 계정 이름과 동일하거나 흔한 단어로 이루어진 비밀번호; 계정 및 그룹 파일의 이상; cron이나 시작 스크립트가 호출하는 수정 가능한 파일; 일부 장치 파일의 권한; 홈 디렉터리와 초기화 파일; root의 umask와 현재 디렉터리를 포함하는 검색 경로.suidchk는 SUID 목록을 이전 실행 결과와 비교했다. Kuang은 규칙을 적용해 한 사용자가 목표 계정의 침해로 이어질 수 있는지를 검토했다.

이 목록은 "보안 스캐너"라는 표현보다 COPS의 가치를 더 정확히 드러낸다. 이 도구는 알려진 로컬 점검 집합을 반복하는 비용을 낮췄지만, 모든 결함을 다루지는 않았고 각 권한이 사이트 정책에 위배되는지 판단하지도 않았다.

점검은 수정 직전에서 멈췄다

저자들은 COPS가 호스트를 변경하지 않고 보고만 하도록 선택했다. 비슷한 두 설치 환경은 서로 다른 업무, 데이터, 접근 요구를 가질 수 있다. 한쪽에서 받아들여지는 설정이 다른 쪽에서는 용납될 수 없다. 자동 수정은 기술적 발견을 정책 결정으로 바꾸면서 프로그램에 필요한 맥락을 주지 않았을 것이다.

같은 절제가 권한에도 적용됐다. 논문에 따르면, SUID 검색 외의 도구는 root가 실행하도록 설계되지 않았다. SUID 검색은 종종 별도로 분리되어 있었다: 더 오래 걸리고 일반 계정이 접근할 수 없는 디렉터리에 도달해야 했기 때문이다. 따라서 일상 점검은 더 적은 권한을 요구했지만, 보고서의 범위는 각 구성 요소의 실행에 달려 있었다.

저자들은at이나cron을 통해 정기 실행을 권장했다. 오늘 없던 결함이 내일 나타날 수 있기 때문이다. 그러나 예약 실행이 결과를 완전하게 만들지는 않는다. 잘못된 경로 목록이나 수정된 점검 프로그램은 오류를 유도할 수 있다; 공격자는 보고서를 읽거나 도구를 변조할 수 있다; 반복되는 깨끗한 결과는 자만심을 낳을 수 있다. 운영 방식의 변화는 기존 점검이 보지 못하는 약점을 만들 수도 있다.

데이터가 말할 수 있는 것

Farmer와 Spafford는 대학, 공공기관, 상업 사이트의 피드백을 보고한다. 이 피드백에서 테스트되거나 언급된 시스템의 절반 이상이, 그들에 따르면, root 침해로 이어질 수 있는 조건을 보였다. 그들은 이 제한된 관찰이 더 넓은 모집단에 적용되는지는 알 수 없다고 덧붙인다. 이는 Unix 전반의 유병률 추정이 아니다.

COPS와 Farmer의 이후 작품 SATAN은 서로 다른 표면을 검토했다: COPS는 로컬 계정, 파일, 권한, 시작 환경을, SATAN은 네트워크 서비스와 다른 호스트에서 보이는 노출을 다뤘다. 공통 저자가 있다고 해서 두 보고서가 서로 바꿔 쓸 수 있는 것은 아니다.

Lu Heng의 Note 65는 오직 편집 기준으로만 사용된다: 작동 중인 시스템에 대한 주장은 실행된 점검이 관찰한 것을 넘어서는 안 된다. COPS에 대해서는 어떤 점검이 어떤 권한으로, 어떤 경로에서, 언제 실행되었는지 물어야 한다. 자동화는 목록을 반복 가능하게 만든다; 운영자는 범위, 보고서, 그 해석, 수정에 대한 책임을 유지한다.

출처