[U-15] 파일 및 디렉터리 소유자 설정 (중요도 : 상)

★ 주요정보통신기반시설 가이드 [U-15] 유닉스/리눅스 보안 설정

항목 중요도 : 상 (소유자 없는 파일 및 디렉터리 관리)

• 1. 항목 개요 및 보안 위협
• 2. [실습] 소유자 없는 파일 탐색 및 조치 프로세스
• 3. 법적 근거 및 관련 조항 (2025년 최신 개정 반영)
• 4. 오늘 공부하며 정리한 핵심 포인트

 

1. 항목 개요 및 보안 위협

출처 : 2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드 (2025.12 발간)

[ 점검 내용 ] : 시스템 내 소유자(UID)나 그룹(GID)이 존재하지 않는 파일 및 디렉터리가 있는지 점검합니다.

[ 보안 위협 ] : 기존 사용자가 삭제되었음에도 해당 사용자가 소유했던 파일이 남은 경우(Orphaned Files), 삭제된 사용자의 UID/GID를 동일하게 할당받은 새로운 사용자가 해당 파일에 대한 권한을 자동으로 획득하게 됩니다. 이는 의도치 않은 권한 상승이나 중요 정보 노출의 원인이 됩니다.

 

2. [실습] 소유자 없는 파일 탐색 및 조치 프로세스

Step 1 : 소유자/그룹이 없는 파일 전수 조사

nouser와 nogroup 옵션을 사용하여 시스템 전체를 검색합니다. 검색 효율을 위해 NFS 마운트 지점은 제외하는 것이 좋습니다.

# 소유자가 존재하지 않는 파일 검색
find / -nouser -ls 2>/dev/null

# 소유 그룹이 존재하지 않는 파일 검색
find / -nogroup -ls 2>/dev/null

# (심화) 두 조건을 동시에 검색하여 파일로 저장
find / \( -nouser -o -nogroup \) -ls > orphaned_files.txt

Step 2 : 소유권 변경 또는 삭제 (조치)

발견된 파일은 적절한 관리자(root)나 실무 담당자 계정으로 소유권을 이전하거나, 불필요한 경우 삭제합니다.

# 소유자 및 그룹 변경 예시 (root로 변경)
chown root:root [파일명]

# 불필요한 파일인 경우 삭제
rm -rf [파일명]

💡 실무 팁: 대량의 소유자 없는 파일이 발견된 경우, find / -nouser -exec chown root {} \; 명령어로 한 번에 소유권을 이전할 수 있으나, 시스템 파일 여부를 먼저 확인하는 주의가 필요합니다.

 

3. 법적 근거 및 관련 조항

• 개인정보의 안전성 확보조치 기준 (개인정보보호위원회고시 제2025-호)
  - 제6조(접근통제) 제1항 : 개인정보처리시스템에 대한 침해사고 방지를 위하여 비인가자의 접근 권한 획득을 차단하는 기술적 조치를 취하여야 한다.
• 정보통신망 이용촉진 및 정보보호 등에 관한 법률 (정보통신망법)
  - 제28조(개인정보의 보호조치) : 시스템의 권한 관리 부실로 인한 정보 유출을 방지하기 위하여 적절한 보호조치를 수행하여야 한다.
• 주요정보통신기반시설 취약점 분석·평가 기준 (2025 개정)
  - [파일 및 디렉터리 관리] 소유자가 존재하지 않는 파일 및 디렉터리를 점검하여 권한 오남용을 방지할 것을 규정함.

 

4. 오늘 공부하며 정리한 핵심 포인트

• 계정 삭제 절차의 중요성 : 사용자를 삭제할 때는 반드시 해당 사용자가 소유한 데이터를 처리(소유권 이전 또는 삭제)하는 과정이 포함되어야 함을 배웠습니다.
• 법적 안전성 확보 : 소유자 없는 파일 방치는 '접근통제 미흡'으로 간주될 수 있으므로 정기적인 점검 스크립트 실행이 필수적입니다.

다음 공부 기록 예고 : [U-16] /etc/passwd 파일 소유자 및 권한 설정 (중요도 : 상)