이 파일에 기록되는 정보는 utmp.h에 있는 내용에 ut_time 이추가되어 로그 아웃시의 시간이 추가기록됩니다.

해킹 사건을 해결하고자 할때 이 로그 파일을 자주 이용하여 분석합니다.

명령어는 last 명령어를 사용합니다.

rdate -s time.bora.net

환경

OS : CentOS-7

전통적인 iptables 를 기반으로 하지만..
firewalld 라는 패키지로 관리함…
그냥 iptables 를 사용하던가.. firewall-cmd 를 사용하던가.. 편한대로 사용하면 됨

설정파일

설정 경로 : /etc/firewalld

firewall-cmd를 이용해서 일반적인 설정을 하게 되면
/etc/firewalld/zones/public.xml 에 저장됨…

설치후 별다른 추가 설정을 하지 않았다면

firewall-cmd –get-default-zone

명령어를 실행 한 결과는 ”public”으로 출력될 것이다.

기본 사용법

환경 : 터미널 기반
명령어 : firewall-cmd

조건 : 20,22,80포트(TCP)를 허용

룰 추가

firewall-cmd --add-port=21/tcp
firewall-cmd --add-port=22/tcp
firewall-cmd --add-port=80/tcp

룰 삭제

firewall-cmd --remove-port=21/tcp
firewall-cmd --remove-port=22/tcp
firewall-cmd --remove-port=80/tcp

조건 : 8000 ~ 9000 까지의 포트(TCP)를 허용

firewall-cmd --add-port=8000-9000/tcp
firewall-cmd --remove-port=8000-9000/tcp

조건 : 192.168.0.0/255.255.255.0 대역을 허용

firewall-cmd --add-source=192.168.0.0/24
firewall-cmd --remove-source=192.168.0.0/24

조건 : 192.168.3.100 아이피를 허용

firewall-cmd --add-source=192.168.3.100
firewall-cmd --remove-source=192.168.3.100

조건 : 192.168.5.100 아이피를 차단

firewall-cmd --add-rich-rule='rule family="ipv4" source address=192.168.5.100 reject'
firewall-cmd --remove-rich-rule='rule family="ipv4" source address=192.168.5.100 reject'

firewall-cmd --add-rich-rule='rule family="ipv4" source address=192.168.5.100 drop'
firewall-cmd --remove-rich-rule='rule family="ipv4" source address=192.168.5.100 drop'

두개의 구문은 동일한듯 보이지만.. 약간의 차이가 있다.

• reject : 차단을 하긴 하되… ”너 차단 되었어” 라는 응답을 해준다.
• drop : 그냥 차단….

실제로 사용시에는 drop 을 사용하면 되겠다…

조건 : 192.168.10.170 아이피에 대해 80번 포트를 허용

firewall-cmd --add-rich-rule='rule family="ipv4" source address=192.168.10.170 port port="80" protocol="tcp" accept'
firewall-cmd --remove-rich-rule='rule family="ipv4" source address=192.168.10.170 port port="80" protocol="tcp" accept'

하지만.. 본 내용은… running 상태에서만 유효할 뿐..
서비스를 죽이거나 리부팅을 했을 경우에는 설정이 모두 날아감..

실제로 public.xml 파일을 확인해도 설정했던 내용들을 찾을 수 없다.

설정파일에 적용 하기

firewall-cmd –permanent
형태로 옵션을 줘야 한다.

firewall-cmd --permanent --add-port=21/tcp
firewall-cmd --permanent --add-port=22/tcp
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=8000-9000/tcp
firewall-cmd --permanent --add-source=192.168.0.0/24
firewall-cmd --permanent --add-source=192.168.3.100
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address=192.168.5.100 reject'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address=192.168.5.100 drop'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address=192.168.10.170 port port="80" protocol="tcp" accept'

그리고 나서

firewall-cmd –reload

명령을 이용해 설정파일의 내용을 반영….

터미널에서 상태 확인

# firewall-cmd --list-all
public (default)
interfaces:
sources: 192.168.3.100 192.168.0.0/24
services: dhcpv6-client ssh
ports: 21/tcp 80/tcp 8000-9000/tcp 22/tcp
masquerade: no
forward-ports:
icmp-blocks:
rich rules:
rule family="ipv4" source address="192.168.5.100" reject
rule family="ipv4" source address="192.168.5.100" drop
rule family="ipv4" source address="192.168.10.170" port port="80" protocol="tcp" accept

public.xml 내용

<?xml version="1.0" encoding="utf-8"?>
<zone>
<short>Public</short>
<description></description>
<source address="192.168.0.0/24"/>
<source address="192.168.3.100"/>
<service name="dhcpv6-client"/>
<service name="ssh"/>
<port protocol="tcp" port="21"/>
<port protocol="tcp" port="80"/>
<port protocol="tcp" port="8000-9000"/>
<port protocol="tcp" port="22"/>
<rule family="ipv4">
<source address="192.168.5.100"/>
<reject/>
</rule>
<rule family="ipv4">
<source address="192.168.5.100"/>
<drop/>
</rule>
<rule family="ipv4">
<source address="192.168.10.170"/>
<port protocol="tcp" port="80"/>
<accept/>
</rule>
</zone>

간혹 fstab에 잘못된 Block Device 정보가 등록 되거나, 디스크의 Label 또는 정보가 변경 되어 정상적인 부팅이 되지 않고

Repair Filesystem 모드로 들어가는 경우가 생길 때가 있습니다.

Repair Filesystem 상태일 때는 / 파티션이 Read-only 상태로 마운트가 되기 때문에 /etc/fstab 파일의 수정이 불가능한데,

아래와 같이 Read-Write 모드로 remount 해주면 수정이 가능합니다. (싱글모드로 부팅할 경우에도 Read-Only 상태 입니다.)

# mount -o remount,rw /

ln -sf /usr/share/zoneinfo/Asia/Seoul /etc/localtime

리눅스 디스크 추가 후 마운트 하기

서버는 코노하 VPS 에서 용량은 200기가를 추가해서 테스트 하였습니다.

마운트 방법은 파티션 라벨로 하는 방법과 UUID 로 마운트 하는 방법에 대해서 알아봅니다.

fdisk 명령어로 추가된 디스크를 확인합니다.

이번에는 fdisk 로 파티션을 잡으면 됩니다.

굵은 글씨를 따라하면 됩니다. 용량은 엔터, 엔터 치시면 됩니다.

파티션을 잡았으니 이번엔 ext4 로 포맷을 합니다.

포맷이 완료되었으면 마운트를 해야합니다.

그냥 마운트를 한다면 재부팅시에 다시 마운트를 수동으로 해야 하므로 자동으로 마운트가 되도록 /etc/fstab 을 수정하도록 합니다.

/etc/fstab 에 아래 내용을 추가하여 줍니다.

방법1 ( 파티션 라벨로 마운트 )

방법2 ( 파티션 UUID로 마운트 )

수동으로 마운트를 하고 마운트가 잘 되었는지 확인하는 방법은 아래와 같습니다.

마운트가 잘 되었군요.

재부팅 후에도 자동으로 마운트가 되는지 확인을 하면 됩니다.

출처: http://blog.ivps.kr/153 [iVPS 가상서버호스팅]

iptables -A INPUT -p tcp --dport 80 -m recent --update --seconds 1 --hitcount 10 --name HTTP -j DROP

- 1초동안 80포트에 똑같은 IP가 10번 이상의 SYN가 들어오면 드랍시킨다.
   이는 정상적인 요청이 아닌 공격으로 간주한다.

iptables -m connlimit -h

# iptables -A FORWARD -m recent --name badguy --rcheck --seconds 300 -j DROP
# iptables -A FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 30 -m recent
--name badguy --set -j DROP
# iptables -A FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 30 -j DROP
위의 3 줄을 실행하면 가능한데,단순히3번째 룰인
# iptables -A FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 30 -j DROP
만 실행하게 되면,한 IP에서의 동시접속이 30회만 접속을 허용할 뿐 그 이상 접속을 하지
못하지만, 위의 두 룰을 함께 사용하게 되면 동시접속이 30회 이상 초과하는 IP를 dynamic
하게 300초(5분)동안 자동 차단하게 된다. 동시접속수(30) 제한이나 차단시간(5분)은 각자
의 환경에 따라 적절히 설정하면 된다.
이때 과다접속으로 차단된 IP에 대한 정보는 다음과 같이 실시간으로 확인할 수 있다.
# cat /proc/net/ipt_recent/badguy

출처: http://gampol.tistory.com/entry/ddos공격-예방-iptables룰 [유효하지 않네]

ln -sf /usr/share/zoneinfo/Asia/Seoul /etc/localtime

chmod 755 -R /폴더명 

하위폴더까지 변경하고 싶다면 -R

■ 리눅스 시스템의 파일 및 디렉토리에 대한 권한/그룹 관리


(1) 권한에 대한 관리
: 파일이나 디렉토리의 permition을 관리한다.

● 명령어
: chmod [권한값] [파일명]

● 권한값에 대한 정의
: ls -al 명령을 통해 파일/디렉토리의 권한을 확인할 수 있다.

r : 읽기권한(4) , w : 쓰기권한(2), x : 실행권한(1)

- 10자리의 의미를 파악하기 위해 4파트로 나누어 해석
- [디렉토리 1자리] [소유자권한 3자리] [그룹권한 3자리] [전체권한 3자리]

 - 권한값 읽기 : [ -rw-rw-r-- ] => 664로 읽을 수 있다. (r+w(6), r+w(6), r(4))

● 파일 권한 변경하기
: chmod 명령을 이용해 파일의 권한을 변경

- chmod 755 test.c 명령실행
- test.c 라는 파일의 권한이 664 에서 755로 변경
- 소유자권한 : 읽기, 쓰기, 실행
- 그룹권한 : 읽기, 실행
- 전체권한 : 읽기, 실행

● 디렉토리 권한 변경하기
: chmod 명령을 이용해 디렉토리의 권한을 변경

- chmod 750 tes 명령실행
- test 라는 디렉토리의 권한이 775 에서 750로 변경
- 소유자권한 : 읽기, 쓰기, 실행
- 그룹권한 : 읽기, 실행
- 전체권한 : 없음 

=> root 또는 동일그룹의 사용자를 제외하고는 디렉토리를 열 수 없다.
    디렉토리에 대한 실행 권한은 디렉토리 오픈을 의미한다.