윈도우즈 서버, 리눅스 원격 접속 보안?

일단 담당자부터 개념을 입력하는 게 중요한 듯 .. 합니다.

root 든 administrator 든 유출되면 둘다 날라가는 건 마찬가지고
그게 root 유출에 비해서 administrator 유출은 .. 경험상 매우 쉽습니다.

---------
귓가에 햇살을 받으며 석양까지 행복한 여행을...
웃으며 떠나갔던 것처럼 미소를 띠고 돌아와 마침내 평안하기를...
- 엘프의 인사, 드래곤 라자, 이영도

즐겁게 놀아보자.
http://akpil.egloos.com

제 견해는 위에분들과 약간 다릅니다.
리눅스나 윈도우나 관리를 위한 접속(ssh, 터미널 서비스) 은 기본적으로 암호화가 된 상태로 문자열들이 전송됩니다.
root 로 접근을 하나 administrator 로 하나 일반 유저로 접근을 하여 sudo 를 사용하나 패스워드를 제대로 설정하지 않으면 속수무책으로 뚫립니다.
제가 봤을땐 기본적으로 사용하는 암호가 충분하게 복잡도를 만족한다면 리눅스나 윈도우나 해킹을 당하기는 힘들다에 한 표를 던집니다.

원하는 내용은 리눅스에 대한 보안 취약이나, 윈도에 대한 보안 취약이런 뜻으로 그 분이
이야기 했던게 아닌 듯 한데요...

리눅스라던지 유닉스 서버에 대한 접근을 외부 네트웍에서 다이렉트로 하지 말라는 뜻으로
한 것 으로 보이는군요. 윈도우 터미널 서비스를 리눅스 머신에 접근하기위한 콘솔로 사용하라는
뜻으로 파악하는 것이 맞지 않을까 싶네요.

외부에서 접속하는 머신으로 윈도를 사용하고, 일반사용자로만 할당하고 Administrator로
아이디를 전환하지 못하도록 해두고, 그 계정에서 ssh를 사용해서 리눅스 머신으로 다시 접근하도록
하는 것은 괜찮은 방법으로 보이는군요.

외부 -> 윈도터미널서버(일반사용자) -> 리눅스(일반사용자) -> 리눅스(root) 이렇게 만들고,

윈도터미널서버의 Administrator는 터미널서비스로 사용하지 못하도록 제한하고, 일반사용자가
Administrator 전환이 불가능하도록 막아두고(이게 가능한걸로 기억하는데...) 터미널서비스
사용자 계정만 오픈한다면 나쁘지 않아 보이네요.

--------------------------------
윈도위의 리눅스 윈도위의 윈도우 리눅스위의 익스플로러

아.. 추가해서 웹서버를 돌리는 데 기본적인 보안 지식은 소위 유닉스상의 서비스(daemon)에 대한 지식이 필요합니다. 왜 이들 서비스들이 보안에 취약할 수 있느냐... 이런 서비스들은 기본적으로 root권한으로 돌아가니까요. 예를들어, 일반 사용자 권한으로는 /usr 디렉토리를 지우지 못하죠. 그런데 루트 권한으로 예를들어 파라메터를 넘겨 주면 그 파라메터를 명령으로 실행해주는 그런 서비스가 돌고 있다고 합시다. 그러면 여기에 rm -rf /usr 파라메터를 주면 어떻게 될까요? 당연히 /usr 디렉토리가 날아갑니다. 즉. 일반 사용자가 루트 권한으로 명령을 실행시키는 일이 벌어지는 겁니다.

이런 서비스들의 문제는 외부에서도 파라메터를 넘겨 줄 수 있다는 데 있습니다. 즉, 이런 루트 권한 따오기를 시스템상의 일반 유저만이 아니고 인터넷에 연결된 누구나 할 수 있다는 게 문제가 되는 것이죠.

웹서버 같은 경우는 따라서 보안위험에 노출될 가능성이 상당히 높죠. 그런 까닭에 웹서버는 root로 안돌리고 보통 아파치 서버 구동 전용 사용자를 하나 축소된 권한으로 만들고 그 사용자 이름으로 돌립니다. 또 이것만 가지고도 불충분하니 웹서버 안에서 스크립트 실행권한을 설정하고... 디렉토리를 나누고... 이런 식으로 위험을 분산시킵니다.

그런데 사실 문제는 이런 웹서버들이 아니라 많이 쓰이지 않는 다른 서비스입니다. 이들 서비스들은 보통 root로 돌아갈 뿐만 아니라 상대적으로 덜 쓰이는 까닭에 보안 취약점이 아직 발견되지도 않고 패치는 더더욱 안되어 있을 가능성이 높아요. 그래서 쓸모 없는 서비스는 내려라는 얘기가 나오는 겁니다. 이게 귀찮으면 적어도 firewall이라도 주위에 치고 필요한 서비스만 게눈 모래사장에서 빠꼼히 나오듯이 밖으로 열어두고요.

아.. 그리고 다른 분들 말씀대로 brute force attack으로 패스워드를 깨는 것도 신경은 써야 합니다. 요즘 시피유 성능이 좋아서 작심하고 크래킹 코드 쓸만한 것 돌려 패스워드를 깨려면 이것이 불가능한 것은 아니니까요. 생각보다 많은 사람들이 관리자 패스워드를 대강 만듭니다. 그런데 같은 패스워드라도 attack 과 attackme 와 4ttackM3 정도까지만 바꾼 것의 차이는 크죠. 여기에 4ttackM3! 정도만 되어도 패스워드 데이터베이스에서 걸려 일차척으로 뚫리는 것은 막을 수 있습니다.