[U-55] FTP 계정 shell 제한 (중요도 : 중)

주요정보통신기반시설 가이드 [U-55] 유닉스/리눅스 보안 설정

항목 중요도 : 중 (서비스 전용 계정의 쉘 접근 제어)

1. 항목 개요 및 보안 위협
2. OS별 FTP 계정 로그인 쉘 제한 실습
3. 법적 근거 및 관련 지침
4. 오늘 공부하며 정리한 핵심 포인트

 

1. 항목 개요 및 보안 위협

출처 : 2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드

[ 점검 내용 ] : FTP 서비스를 위해 기본적으로 생성되는 ftp 계정에 대해 시스템 로그인이 불가능하도록 제한된 쉘(/bin/false 또는 /sbin/nologin)이 설정되어 있는지 점검합니다.

[ 보안 위협 ] : FTP 서비스 전용 계정인 ftp 계정에 일반 사용자와 동일한 로그인 쉘이 부여되어 있을 경우, 공격자가 해당 계정을 탈취하여 시스템에 직접 로그인하고 운영체제 명령어를 실행할 수 있는 위협이 존재합니다. 서비스 운영에 불필요한 쉘 접근 권한은 최소 권한 원칙에 따라 반드시 차단되어야 합니다.

 

2. OS별 FTP 계정 로그인 쉘 제한 실습

SOLARIS, LINUX, AIX, HP-UX 공통

Step 1) ftp 계정 정보 및 설정된 쉘 확인

# cat /etc/passwd | grep ftp
(출력 예시: ftp:x:134:65534::/srv/ftp:/usr/sbin/nologin)
# 일곱 번째 필드(마지막 필드)가 /bin/false 또는 /sbin/nologin인지 확인합니다.

Step 2) 로그인 불가능한 쉘로 변경 조치

# [방법 1] usermod 명령어를 통한 수정 (권장)
# usermod -s /bin/false ftp

# [방법 2] /etc/passwd 파일 직접 수정
# vi /etc/passwd
ftp:x:500:500:FTP User:/var/ftp:/sbin/nologin (쉘 경로 수정 후 저장)

[취약 결과 예시]

ftp 계정의 쉘이 /bin/sh, /bin/bash 등 일반 로그인이 가능한 쉘로 설정된 경우

[양호 결과 예시]

ftp 계정의 쉘이 /bin/false 또는 /sbin/nologin 등 시스템 접속이 차단된 쉘인 경우

 

3. 법적 근거 및 관련 지침

관련 법규 정보 (국가 법령 정보 센터)

1. 정보통신기반보호법 제9조(취약점 분석 평가) : 서비스 계정의 권한 오남용을 통한 시스템 침해 예방 점검 의무
2. 정보통신기반시설 보호지침 제16조(설정관리) : 최소 권한 부여 원칙에 따른 서비스별 계정의 쉘 접근 제한 기준 준수

 

4. 오늘 공부하며 정리한 핵심 포인트

■ 최소 권한 원칙의 적용 : FTP 전송만을 위해 존재하는 계정에 시스템 로그인 권한이 필요한지 상시 재고
■ nologin 및 false 쉘 활용 : 계정의 존재는 유지하되 인터랙티브 쉘 획득은 차단하여 보안성 강화
■ etc/passwd 파일 구조 숙지 : 사용자 정보 행의 마지막 필드가 쉘 경로임을 파악하고 정기적으로 전수 점검 수행
■ 관리 명령어 습관화 : 파일 직접 수정보다는 usermod와 같은 표준 명령어를 통한 설정 변경으로 휴먼 에러 방지

다음 공부 기록 예고 : [U-56] FTP 서비스 접근 제어 설정 (중요도 : 하)