서버취약점 > 계정관리 > Session Timeout 설정

U-54

1. 계정관리 > Session Timeout 설정

취약점 개요
점검내용	Ÿ 사용자 쉘에 대한 환경설정 파일에서 session timeout 설정 여부 점검
점검목적	Ÿ 사용자의 고의 또는 실수로 시스템에 계정이 접속된 상태로 방치됨을 차단하기 위함
보안위협	Ÿ Session timeout 값이 설정되지 않은 경우 유휴 시간 내 비인가자의 시스템 접근으로 인해 불필요한 내부 정보의 노출 위험이 존재함
참고	※ session: 프로세스들 사이에 통신을 수행하기 위해서 메시지 교환을 통해 서로를 인식한 이후부터 통신을 마질 때까지의 시간
점검대상 및 판단기준
대상	Ÿ SOLARIS, LINUX, AIX, HP-UX 등
판단기준	양호 : Session Timeout이 600초(10분) 이하로 설정되어 있는 경우
	취약 : Session Timeout이 600초(10분) 이하로 설정되지 않은 경우
조치방법	600초(10분) 동안 입력이 없을 경우 접속된 Session을 끊도록 설정
점검 및 조치 사례
<sh, ksh, bash 사용 시> #cat /etc/profile(.profile) TMOUT=600 export TMOUT <csh 사용 시> #cat /etc/csh.login 또는, #cat /etc/csh.cshrc set autologout=10   • SOLARIS, LINUX, AIX, HP-UX - sh(born shell), ksh(korn shell), bash(born again shell)을 사용하는 경우 - Step 1) vi 편집기를 이용하여 "/etc/profile(.profile)" 파일 열기 Step 2) 아래와 같이 수정 또는, 추가 TMOUT=600 (단위: 초) export TMOUT - csh을 사용하는 경우 - Step 1) vi 편집기를 이용하여 "/etc/csh.login" 또는, "/etc/csh.cshrc" 파일 열기 Step 2) 아래와 같이 수정 또는, 추가 set autologout=10 (단위: 분)
조치 시 영향	모니터링 용도일 경우 세션 타임 설정 시 모니터링 업무가 불가능할 수 있으므로 예외처리 필요