권한 상승

SSH 인증을 통해 스캔 엔진을 관리 또는 루트 액세스로 권한 상승할 수 있으며, 특정 데이터를 얻기 위해 권한 상승이 필요합니다. 예를 들어, Unix 기반 CIS 벤치마크 검사에는 종종 관리자급 권한이 필요합니다. su(super-user)나 sudo(super-user do) 또는 이러한 방식을 함께 사용하면 안전하게 권한을 상승시킬 수 있습니다.

권한 상승은 SSH 자격 증명 구성에 사용할 수 있는 옵션입니다. 이 옵션을 구성하면 권한 상승 방법을 선택할 수 있습니다. sudo를 사용하면 관리 암호를 제공하지 않아도 되므로 관리자 암호 및 서버 무결성을 보호할 수 있습니다. su를 사용하려면 관리자 암호가 필요합니다.

권한 상승 옵션은 사이트 구성 시 SSH 자격 증명을 생성하거나 편집할 때 표시됩니다.

권한 상승

권한 상승 선택 옵션:

• su– 원격 루트 액세스를 위한 시스템을 구성하지 않고 SSH와 같은 서비스를 통해 비루트 계정을 사용한 원격 인증이 가능합니다. su를 통한 인증을 수행하려면 권한을 상승시키려는 사용자의 암호를 입력합니다. 예를 들어 루트 사용자로 권한을 상승시키려면 공용 계정 구성 패널의 권한 상승 영역에 있는 암호 필드에 루트 사용자용 암호를 입력합니다.
• sudo– 원격 루트 액세스를 위한 시스템을 구성하지 않고 SSH와 같은 서비스를 통해 비루트 계정을 사용한 원격 인증이 가능합니다. 또한 시스템 관리자는 인증된 사용자가 sudo 명령을 통해 실행할 수 있는 프로그램을 명시적으로 제어할 수 있습니다. sudo를 통한 인증을 수행하려면 권한을 상승시키려는 사용자의 암호를 입력합니다. 예를 들어 루트 사용자로 권한을 상승시키고자 하며 jon_smith로 로깅한 경우 공용 계정 구성 패널의 권한 상승 영역에 있는 암호 필드에 jon_smith용 암호를 입력합니다.
• sudo+su– 대상 자산으로부터 권한 있는 액세스를 필요로 하는 정보를 수집하기 위해 sudo와 su를 같이 사용합니다. 로그온 시 애플리케이션은 루트 암호를 입력하지 않고 sudo 인증을 통해 su를 사용한 명령을 실행합니다. su 명령에 대한 액세스가 제한되는 경우 sudo+su 옵션으로 필요한 정보에 액세스할 수 없습니다.
• pbrun–은 Nexpose가 화이트리스트에 추가된 명령을 Unix 및 Linux 스캔 대상에서 루트로서 실행하도록 허용하기 위해 BeyondTrust PowerBroker를 사용합니다. 이 기능을 사용하려면 특정한 설정을 스캔 대상에 구성해야 합니다. 다음 섹션을 참조하십시오.

pbrun 권한 상승 지원을 위해 스캔 환경 구성

pbrun으로 스캔 권한을 상승시키기 전에, 구성 파일을 생성하고 각각의 대상 호스트에 구축해야 합니다. 이 구성은 Nexpose가 다음 방법으로 스캔을 성공적으로 수행하는 데 필요한 조건을 제공합니다.

• Nexpose는 $SHELL 환경 변수에 의해 명시된 대로 pbrun을 통해 사용자 쉘을 실행합니다.
• pbrun은 Nexpose가 암호를 제공할 필요가 없습니다.
• pbrun은 쉘을 루트로서 실행합니다.

다음의 샘플 구성 파일은 이러한 조건을 충족하는 설정을 나타냅니다.

RootUsers = {"user_name" };

RootProgs = {"bash"};

if (pbclientmode == "run" &&

user in RootUsers &&

basename(command) in RootProgs) {

 

# setup the user attribute of the delegated task

runuser = "root";

rungroup = "!g!";

rungroups = {"!G!"};

runcwd = "!~!";

 

# setup the runtime environment of the delegated task

setenv("SHELL", "!!!");

setenv("HOME", "!~!");

setenv("USER", runuser);

setenv("USERNAME", runuser);

setenv("LOGNAME", runuser);

setenv("PWD", runcwd);

setenv("PATH", "/bin:/usr/bin:/usr/local/bin:/sbin:/usr/sbin");

# setup the log data

CleanUp();

accept;

}

권한 상승 추적을 위한 시스템 로그 사용

대상 자산의 관리자는 시스템 로그에서 su 및 sudo 사용자의 작업을 관리하고 추적할 수 있습니다. 권한 상승 시도가 실패하면 오류 메시지가 로그에 나타나므로 관리자가 오류를 해결 및 수정하고 스캔을 다시 실행할 수 있습니다.