4.3.7.2. NFS 마운트 옵션 보안
/etc/fstab 파일에서 마운트 명령 사용은 Red Hat Enterprise Linux 7 스토리지 관리 가이드 의 마운트 명령 사용 장에 설명되어 있습니다. 보안 관리 관점에서는 사용자 지정 기본 옵션을 설정하는 데 사용할 수 있는 /etc/nfsmount.conf 에 NFS 마운트 옵션을 지정할 수도 있습니다.
4.3.7.2.1. NFS 서버 확인
주의
전체 파일 시스템만 내보냅니다. 파일 시스템의 하위 디렉터리를 내보내는 것은 보안 문제가 될 수 있습니다. 경우에 따라 클라이언트가 파일 시스템의 내보낸 부분을 "진행"하여 내보내기 해제한 부분으로 이동할 수 있습니다(
exports(5) 도움말 페이지의 하위 트리 섹션 참조).
마운트된 파일 시스템에 쓸 수 있는 사용자 수를 줄이기 위해 가능한 경우 항상 파일 시스템을 읽기 전용으로 내보내려면
ro 옵션을 사용합니다. 특별히 필요한 경우에만 rw 옵션만 사용하십시오. 자세한 내용은 man exports(5) 페이지를 참조하십시오. 쓰기 액세스를 허용하면 다음과 같은 심볼릭 링크 공격의 위험이 증가합니다. 여기에는 /tmp 및 /usr /tmp 와 같은 임시 디렉토리가 포함됩니다.
rw 옵션을 사용하여 디렉터리를 마운트해야 하는 경우 위험을 줄이기 위해 가능한 경우 항상 디렉터리를 사용할 수 없도록 합니다. 일부 애플리케이션에서 홈 디렉터리를 내보내는 것은 일반 텍스트로 암호를 저장하거나 약하게 암호화되어 있기 때문에 위험도로 볼 수 있습니다. 애플리케이션 코드를 검토 및 개선할 때 이러한 위험이 감소되고 있습니다. 일부 사용자는 SSH 키에 암호를 설정하지 않으므로 홈 디렉터리도 위험이 있음을 의미합니다. 암호 사용을 강제하거나 Kerberos를 사용하면 해당 위험이 완화됩니다.
액세스 권한이 필요한 클라이언트에만 내보내기를 제한합니다. NFS 서버에서 showmount -e 명령을 사용하여 서버를 내보내는 작업을 검토합니다. 특히 필요하지 않은 항목을 내보내지 마십시오.
no_root_squash 옵션을 사용하지 말고 기존 설치를 검토하여 사용되지 않는지 확인합니다. 자세한 내용은 4.3.7.4절. “no_root_squash 옵션을 사용하지 마십시오.”를 참조하십시오.
secure 옵션은 “예약된” 포트로 내보내기를 제한하는 데 사용되는 서버 측 내보내기 옵션입니다. 기본적으로 서버는 기존 클라이언트(예: 커널 내 NFS 클라이언트)만 “신뢰할 수 있는” 코드(예: 커널 내 NFS 클라이언트)만 허용했기 때문에 “예약된” 포트( 1024 미만의 포트)에서만 클라이언트 통신을 허용합니다. 그러나 많은 네트워크에서 일부 클라이언트에서 root가 되는 것은 어렵지 않으므로 서버에서 예약된 포트의 통신이 권한이 있다고 가정하는 것은 거의 안전하지 않습니다. 따라서 예약된 포트에 대한 제한은 제한된 값입니다. Kerberos, 방화벽 및 특정 클라이언트에 대한 내보내기 제한에 의존하는 것이 좋습니다.
대부분의 클라이언트는 가능한 경우 예약된 포트를 사용합니다. 그러나 예약된 포트는 제한된 리소스이므로 클라이언트(특히 많은 NFS 마운트가 있는 포트)도 높은 번호의 포트를 사용하도록 선택할 수 있습니다. Linux 클라이언트는 “noresvport” 마운트 옵션을 사용하여 이 작업을 수행할 수 있습니다. 내보내기에서 이를 허용하려면 “비보안” 내보내기 옵션을 사용하여 이 작업을 수행할 수 있습니다.
사용자가 서버에 로그인할 수 없도록 하는 것이 좋습니다. NFS 서버에서 위 설정을 검토하는 동안 서버와 액세스할 수 있는 사용자 및 항목을 검토합니다.
