SuperStar

문제
네임서버 간에는 Secondary NS 측에 의하여 Primary NS측 도메인의 Zone에 대한
복사본을 얻기위해, Zone 데이터베이스를 끌어오는 Zone Transfer작업이
주기적으로 이루어지게 된다. 하지만 이 Zone Transfer를 무제한으로 허용할
경우에는 내부 네트웍의 정보가 필요이상으로 외부에 유출되는 결과가 된다.
Primary NS측 입장에서 Zone Transfer를 오직 203.239.110.1 으로부터만
접근가능하도록 DNS 구성을 변경설정 하시오.
단, named 버전은 9.x 이며, 구성파일은 /etc/named.conf이다

zone transfer란? (http://www.superuser.co.kr/home/lecture/files/sbHong/securing_zone_transfer.pdf 참조)
zone-transfer, 우리말로 zone전송이라고도 하는 이것은 master와 slave간
에 또는 1차와 2차간에, primary와 secondary DNS간에 zone 파일을 동기
화하기 위한 용도로 사용되는 기술이다. 많은 관리자들이 1차와 2차 DNS를
마치 active/standby처럼, 2차를 백업의 용도로 생각하여 1차가 서비스를 하
다가 만약 1차가 다운되면 대신 2차 DNS가 서비스하는 것으로 생각하지만
이는 잘못된 것이다. 1차와 2차는 백업이 아닌 로드발랜싱의 개념이며 따라
서 1차와 2차가 똑같이 DNS lookup을 서비스하는 것이다. 따라서 양 서버
간에 zone 파일을 동기화하기 위해서는 zone 파일을 NFS등으로 연결하여
사용하는 방법도 있겠지만 DNS 자체에 zone-transfer라는 기능을 제공하고
있어 주로는 이 기능을 이용하고 있다. 참고로 해당 서버간 Zone-transfer
시에는 해당 zone 파일의 SOA필드에 있는 Serial 필드를 보아 갱신할 것인
지 여부를 결정하게 된다.


풀이
/etc/named.conf 에서 option을 준다.

options {
allow-transfer {192.168.1.3; };
};

* allow-transfer 안의 ip주소는 허용할 ip주소 - secondary DNS

보안모니터링 프로그램 secure agent를 컴파일하여 실행파일을 얻었다.
그런데 이 실행파일은 daemon형태로 시스템에서 항상 실행되어야 하는 프로그램이다.
시스템이 부팅시마다 secure agent가 실행될 수 있도록 완전한 부팅 스크립트를
작성하여 적절한 위치에 설치하시오.
현재 secure agent 데몬의 실행파일 경로는 /usr/local/bin/sagentd이며,
설치하고자 하는 시스템은 solaris이다.


참조 : http://www.onurmark.co.kr/76 

리눅스에서는
/etc/init.d/ (문제의 solaris 시스템에서는 이디렉토리만 존재하지만 centos에서는 /etc/init.d도 있지만 /etc/rc.d/init.d도 존재. 똑같은 스크립트를 가진다. 왜 이런식으로 사용하는지는 잘모르겠다.- 검색이 더 필요)


여튼 , /etc/init.d/ 아래 있는 스크립트 파일들은 부팅시에 실행되는 것들이다.
여기에 sagentd가 실행될수있도록 아무 파일이나 만들자. (여기서는 SA라고 하자. 사실 sagentd로 만들고 싶었으나 같은 파일이 존재한다. 깨져서 먼말인지는 잘 모르겠다.)

#vi SA
을 치고 SA파일을 작성하자
#!/bin/sh
/usr/local/bin/sagentd
작성후 꼭
#chmod 755 SA 를 해서 실행가능하도록 해야한다..

실제로 리눅스는 부팅할때 /etc/rc.d/init.d에 있는 스크립트를 실행을 하게 되는데 이 파일들을 바로 불러서 쓰는것이 아니다. 이 스크립트들은 리눅스의 부팅 레벨이나 사용 설정에 따라 실행 되게 된다. 이러한 설정은 /etc/rc.d/에 보면 rcX.d(X는 숫자)로 되어있는 디렉토리가 있는것을 알 수 있다.

#grep 'initdefault' /etc/inittab
을 쳐서 default runlevel을 확인하자 ( runlevel은 3)

ln -s /etc/init.d/SA /etc/rc.d/rc3.d/S89SA   --> 심볼릭 링크를 만들어주자.
(뒤에 S의 의미는 부팅시 수행되는 스크립트라는 뜻. K가 붙으면 종료시 수행. S뒤의 숫자는 우선순위이다.)

사실 /etc/rc.d/rc3.d/S89SA 파일을 만들고 작성해서 사용해도되지만 나중에 관리가 힘들어진다고 한다.

이제 끝

finish

inetd 데몬은 ftp, telnet등을 탑재(?)한 데몬인데 항상 수행되지는않으나 가끔 수행되는것을 여기에 놓고 쓴다고한다,

inetd vs xinetd(eXtended inted)
xinetd는 inted의 문제점을 보완하고 기능이 추가된 확장판이라고 할 수 있다.

더 자세한 사항 :
http://www.linuxplanet.com/linuxplanet/tutorials/4505/2/ 

문제 : 그동안 ftp서버로 사용하던 시스템을 ftp서비스를 더이상 제공하지 않고
다른 용도로 사용하게 되었다.
현재 제공되고 있는 ftp서비스를 중지시키고
앞으로도 부팅시에도 더이상 제공되지 않도록 필요한 시스템 설정을 바꾸시오.

vi /etc/inetd.conf 에 inetd에 관한 설정이 들어있다. ftp관련 항목을 #으로 주석처리한다.
/etc/services 에도 ftp 항목이있고 이것은 주석처리 안해주어도 상관없다. 이것은 포트 번호를 모를때 우리는 그냥 ftp, smtp 이렇게 쓰는데 이것의 역도 된다. (주석처리를 하면 안됨, 보안과는 별 상관이 없는듯하다.)

/ ************* 퍼온 글
/etc/services에 있는 것은 그냥 서버스의 영문약자를 숫자로 전환하기 위한
테이블에 불과하고,
ipchains나 iptables와 같은 툴로 다 필터링이 가능하다고, *************/

이것만 해도 문제가 풀린다.

inetd데몬을 중지시키기 위해서 inetd데몬이 어디 위치해 있는지 찾고 중지시키는것도 괜찮겠다.
하지만 이방법은 ftp가 아닌 다른 서비스도 중지시키므로 자제.

데몬관리 : http://ask.nate.com/knowhow/view.html?num=123513 여기 참고

 (2)슈퍼데몬 inet에서 관리하는 데몬
   1) inet에서 관리하는 전체를 중지 또는 실행시키는 방법
    ㄱ. 커널 2.2 버전
       /etc/rc.d/init.d/inet stop
       /etc/rc.d/init.d/inet start
    ㄴ. 커널 2.4 버전
       /etc/rc.d/init.d/xinetd stop
       /etc/rc.d/init.d/xinetd start
    ㄷ. 참고: 위의 방법으로 inet을 중단시키면 inet데몬에 관련된 모든 데몬들이 작동을 하지 않는
             다. 그러므로, 한가지 데몬만을 중단한 경우에는 적합하지 않다.
   2) inet(또는 xinetd)에서 관리하는 데몬중 일부만 중지시키기
    ㄱ. 커널 2.2 버전: inet데몬에서 일부만 중단하려면 /etc/inetd.conf 파일에서 한다. 해당 서비
                      스 항목의 맨 앞에 주석처리('#')를 하면 해당 서비스에 해당하는 데몬이
                      작동하지 않는다.
   예) telnet서비스 중단하기
       #telnet  stream  tcp     nowait  root    /usr/sbin/tcpd  in.telnetd
        => (항목설명)
          - 서비스이름: /etc/services파일에 정의된 텔넷, ftp와 같은 특정 서비스들을 의미
          - 소켓타입: 서비스에 의해 사용된 연결의 타입을 기술. 보통 tcp서비스인 경우에는
                     'stream', udp서비스인 경우에는 'dgram'이 옴
          - 프로토콜: 네트워크 프로토콜 타입이 기술된다. 보통 'tcp'나 'udp'가 옴.
          - 대기상태: 하나의 서버프로세스가 한번에 여러 요청을 처리할 수 있는지를 나타냄. wait
                     이면 inetd가 서비스들에 대한 각각의 요청을 처리하기 위해 여러 프로세스가
                     생성되는 것을 방지하고 nowait라고 설정되어 있으면 각각의 요청을 위해 프로
                     세스를 생성
          - 사용자이름: 네트워크 서비스를 수행해야 할 로그인 이름
          - 서버프로그램: 네트워크 서비스를 활성화시키기 위해 수행해야 할 프로그램을 가리킴
          - 서버프로그램인자: 네트워크 서비스가 수행되기 시작할 때, 전달 되어야 할 인자와 설정
                             플래그들을 나열
    ㄴ. 커널 2.4 버전: /etc/xinetd.d디렉토리에 보면 xinetd에서 관리하는 데몬들의 파일이 생성
                     되어 있다. 만약 telnet이면 telnet이라는 파일의 항목에서 'disable = yes'
                     라고 설정하면 해당 데몬은 xinetd에서 실행하지 않는다. 또는 'chkconfig
                     telnet off' 하면 된다.