Session Timeout 설정 - KISA 주요정보통신기반시설 기술적 취약점 분석ㆍ평가 방법상세가이드

https://www.kisa.or.kr/public/laws/laws3.jsp

기술안내서 가이드 < 관련법령·기술안내서 < 자료실 : 한국인터넷진흥원

---

보안 가이드라인 - UNIX 서버 - 계정관리(선택사항) - Session Timeout 설정(U-54)

취약점 개요

점검 내용

• 사용자 쉘에 대한 환경설정 파일에서 session timeout 설정 여부 점검

점검 목적

• 사용자의 고의 또는 실수로 시스템에 계정이 접속된 상태로 방치됨을 차단하기 위함

보안 위협

• Session timeout 값이 설정되지 않은 경우 유휴 시간 내 비인가자의 시스템 접근으로 인해 불필요한 내부 정보의 노출 위험이 존재함

참고

• session: 프로세스들 사이에 통신을 수행하기 위해서 메시지 교환을 통해 서로를 인식한 이후부터 통신을 마칠 때까지의 연결

---

점검대상 및 판단기준

대상

•  SOLARIS, LINUX, AIX, HP-UX 등

판단기준

양호

• Session Timeout이 600초(10분) 이하로 설정되어 있는 경우

취약

• Session Timeout이 600초(10분) 이하로 설정되지 않은 경우

조치방법

• 600초(10분) 동안 입력이 없을 경우 접속된 Seesion을 끊도록 설정

---

점검 및 조치 사례

OS별 점검 파일 위치 및 점검 방법

SOLARIS, LINUX, AIX, HP-UX

<sh, ksh, bash 사용 시>

• #cat /etc/profile(.profile)
  TMOUT=600
  export TMOUT

<csh 사용 시>

• #cat /etc/csh.login 또는, #cat/etc/csh/cshrc
  set authlogout=10

위 설정이 적용되지 않는 경우

<sh, ksh, bash 사용 시>

• Step 1) vi 편집기를 이용하여 "/etc/profile(.profile)" 파일 열기
  Step 2) 아래와 같이 수정 또는, 추가

<csh 사용 시>

• Step 1) vi 편집기를 이용하여 "/etc/csh.login" 또는, "/etc/csh/cshrc" 파일 열기
  Step 2) 아래와 같이 수정 또는, 추가
      set autologout=10 (단위:분)

조치 시 영향

• 모니터링 용도일 경우 세션 타임 설정 시 모니터링 업무가 불가 할 수 있으므로 예외처리 필요