Session TimeOut 설정

■ 점검 분류항목: 계정관리

■ 세부 점검항목: Session TimeOut 설정

■ 대상: 리눅스

■ 위험도: 하

■ 관련코드: U-15

1) 취약점 개요

계정이 접속된 상태로 방치될 경우 권한이 없는 사용자에게 중요시스템이 노출되어, 악의적인 목적으로 사용될 수 있으므로 일정 시간 이후 어떠한 이벤트가 발생하지 않으면 연결을 종료하는 Session TimeOut 설정이 필요함

2) 판단기준

양호: Session TimeOut이 600초(10분) 이하로 설정되어 있는 경우

취약: Session TimeOut이 600초(10분) 이하로 설정되어 있지 않는 경우

3) 조치방법

600초(10분)동안 입력이 없을 경우 접속된 Session을 끊도록 설정

4) 보안설정방법

cat /etc/profile(.profile)

timeout=600

export tmout

<csh 사용 시>

cat /etc/csh.login 또는, cat/etc/csh.cshrc

■ 설정방법

- sh(born shell), ksh(korn shell), bash(born again shell)을 사용하는 경우 -

1. vi 편집기를 이용하여 “/etc/profile(.profile)” 파일을 연 후

2. 아래와 같이 수정 또는, 추가

TMOUT=600 (단위: 초)

export TMOUT

 

- csh 을 사용하는 경우 -

1. vi 편집기를 이용하여 “/etc/csh.login” 또는, “/etc/csh.cshrc” 파일을 연 후

2. 아래와 같이 수정 또는, 추가

set autologout=10 (단위: 분)

5) 조치시 영향

모니터링 용도로 사용할 경우 해당 계정의 환경변수 파일에만 예외적으로 600초이상의 시간입력

고객에게 설명

로그인하여 계정을 모두 사용한 후 사용자의 부주의로 계정이 접속한 상태로 방치할 경우 악의적인 목적으로 사용될 수 있으며, 근거 없는 사용자에 의한 사용이 이루어질 수있다 그러므로 일정 시간 이후 어떠한 이벤트가 발생하지 않았으면 연결을 강제로 종료하는 timeout설정