# 실습 디렉토리 준비
mkdir -p /tmp/linux/part5/exam_7 && cd /tmp/linux/part5/exam_7

# 현재 보안 상태 스냅샷
cat > audit_baseline.sh << 'EOF'
#!/bin/bash
echo "=== SSH 설정 점검 ==="
grep -E "^(PermitRootLogin|PasswordAuthentication|Port)" /etc/ssh/sshd_config 2>/dev/null

echo "=== SUID 파일 목록 ==="
find /usr/bin /usr/sbin -perm -4000 -type f 2>/dev/null

echo "=== 빈 패스워드 계정 ==="
sudo awk -F: '($2 == "") {print $1}' /etc/shadow 2>/dev/null || echo "(root 권한 필요)"

echo "=== 열린 포트 ==="
ss -tlnp 2>/dev/null | head -20
EOF
chmod +x audit_baseline.sh

sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak  # 백업 필수!
sudo nano /etc/ssh/sshd_config

# 기본값: #Port 22
Port 2222   # 또는 다른 비표준 포트 (1024~65535)

# 기본값: #PermitRootLogin prohibit-password
PermitRootLogin no

# 기본값: #PasswordAuthentication yes
PasswordAuthentication no
ChallengeResponseAuthentication no

# 기본값: #MaxAuthTries 6
MaxAuthTries 3

# 이 줄을 추가 (기본값에는 없음)
AllowUsers deploy ubuntu ec2-user
# 또는 그룹 기반
AllowGroups sshusers

ClientAliveInterval 300   # 300초(5분) 간격으로 클라이언트 확인
ClientAliveCountMax 2     # 2회 무응답 시 연결 종료

X11Forwarding no

# OpenSSH 7.0 이상은 SSHv2만 지원하지만, 명시적으로 확인
# /etc/ssh/sshd_config에 Protocol 옵션이 있다면
Protocol 2

PermitEmptyPasswords no

LoginGraceTime 30   # 기본값 120초 → 30초로 단축
MaxSessions 4       # 동시 세션 수 제한

# 설정 파일 문법 검사 (적용 전 필수!)
sudo sshd -t

# 문법 오류 없으면 sshd 재시작
sudo systemctl restart sshd

# 포트가 올바르게 열렸는지 확인
ss -tulnp | grep sshd

# Ubuntu/Debian
sudo apt update && sudo apt install -y fail2ban

# RHEL/CentOS/Rocky
sudo dnf install -y epel-release
sudo dnf install -y fail2ban

# 서비스 활성화
sudo systemctl enable --now fail2ban

sudo nano /etc/fail2ban/jail.local

[DEFAULT]
# 차단 제외 IP (자신의 관리용 IP 반드시 추가!)
ignoreip = 127.0.0.1/8 ::1 203.0.113.10

# 차단 지속 시간 (초 단위, -1이면 영구 차단)
bantime  = 3600    # 1시간

# 이 시간 안에
findtime = 600     # 10분

# 이 횟수만큼 실패하면 차단
maxretry = 5

# 차단 액션 (iptables 또는 nftables)
banaction = iptables-multiport

[sshd]
enabled  = true
port     = 2222    # 변경한 SSH 포트에 맞게 수정
filter   = sshd
logpath  = /var/log/auth.log    # Ubuntu
# logpath = /var/log/secure    # RHEL/CentOS
maxretry = 3
bantime  = 7200    # SSH는 더 엄격하게 2시간 차단

sudo systemctl restart fail2ban

# 전체 jail 상태 확인
sudo fail2ban-client status

# SSH jail 상세 상태
sudo fail2ban-client status sshd

# 출력 예시:
# Status for the jail: sshd
# |- Filter
# |  |- Currently failed: 2
# |  |- Total failed: 47
# |  `- File list: /var/log/auth.log
# `- Actions
#    |- Currently banned: 1
#    |- Total banned: 8
#    `- Banned IP list: 185.220.101.45

# 특정 IP 수동 차단
sudo fail2ban-client set sshd banip 1.2.3.4

# 특정 IP 차단 해제 (실수로 자신의 IP가 차단된 경우)
sudo fail2ban-client set sshd unbanip 1.2.3.4

# 차단된 IP 목록
sudo fail2ban-client status sshd | grep "Banned IP"

sudo tail -f /var/log/fail2ban.log

# 차단 이벤트만 필터링
sudo grep "Ban " /var/log/fail2ban.log | tail -20

# 실행 중인 서비스만
sudo systemctl list-units --type=service --state=running

# 활성화된 서비스 (부팅 시 자동 시작)
sudo systemctl list-unit-files --type=service --state=enabled

# 서비스 중지 및 비활성화
sudo systemctl stop avahi-daemon
sudo systemctl disable avahi-daemon

# 완전히 제거 (서비스 + 패키지)
sudo apt purge avahi-daemon   # Ubuntu
sudo dnf remove avahi         # RHEL

# Ubuntu: 더 이상 필요 없는 패키지
sudo apt autoremove --purge

# 특정 패키지 검색
dpkg -l | grep telnet    # telnet 설치 여부 확인

# telnet은 평문 전송 — 반드시 제거
sudo apt purge telnet telnetd rsh-client rsh-server

# 컴파일러 제거 (운영 서버)
# 공격자가 서버 내에서 악성코드를 컴파일하는 것을 방지
sudo apt purge gcc g++ make   # 개발 서버가 아니라면

# 현재 열린 포트 전체 확인
sudo ss -tulnp

# 출력 예시:
# Netid  State   Recv-Q  Send-Q  Local Address:Port
# tcp    LISTEN  0       128     0.0.0.0:2222      # SSH (변경된 포트)
# tcp    LISTEN  0       511     0.0.0.0:80        # nginx
# tcp    LISTEN  0       511     0.0.0.0:443       # nginx HTTPS
# tcp    LISTEN  0       128     127.0.0.1:5432    # PostgreSQL (로컬만)
# tcp    LISTEN  0       128     0.0.0.0:8080      # 불필요한 서비스?

# 특정 포트를 사용하는 프로세스 확인
sudo ss -tulnp | grep :8080
# 또는
sudo lsof -i :8080

# Ubuntu
sudo apt install -y libpam-pwquality

# RHEL
sudo dnf install -y libpwquality

# 비밀번호 정책 설정
sudo nano /etc/security/pwquality.conf

# 최소 길이
minlen = 12

# 소문자 최소 개수
lcredit = -1

# 대문자 최소 개수
ucredit = -1

# 숫자 최소 개수
dcredit = -1

# 특수문자 최소 개수
ocredit = -1

# 이전 비밀번호와 달라야 하는 문자 수
difok = 8

# 사전에 있는 단어 사용 금지 (1=활성화)
dictcheck = 1

# 사용자 이름 포함 금지
usercheck = 1

sudo nano /etc/login.defs

# 비밀번호 최대 사용 기간 (90일)
PASS_MAX_DAYS   90

# 비밀번호 최소 사용 기간 (1일 — 연속 변경 방지)
PASS_MIN_DAYS   1

# 만료 7일 전 경고
PASS_WARN_AGE   7

# 특정 계정의 비밀번호 만료 정보 확인
sudo chage -l username

# 비밀번호 만료일 설정
sudo chage -M 90 -m 1 -W 7 username

# 계정 즉시 만료 (다음 로그인 시 비밀번호 변경 강제)
sudo chage -d 0 username

# RHEL 9 / Ubuntu 22.04+ : pam_faillock 사용
sudo nano /etc/security/faillock.conf

# 잠금 전 허용 실패 횟수
deny = 5

# 잠금 해제까지 대기 시간 (초)
unlock_time = 900   # 15분

# root 계정도 잠금 대상 포함
even_deny_root = true

# 계정 잠금 상태 확인
sudo faillock --user username

# 계정 잠금 해제
sudo faillock --user username --reset

# 모든 계정 잠금 상태 확인
sudo faillock

# shadow 파일 형식 (root만 읽기 가능)
sudo cat /etc/shadow | head -3

# 출력 형식:
# username:$6$salt$hashedpassword:19000:0:99999:7:::
# 필드: 이름:해시:마지막변경일:최소:최대:경고:비활성:만료:예약

# 비밀번호 없는 계정 찾기 (보안 위험)
sudo awk -F: '($2 == "" || $2 == "!!" ) {print $1}' /etc/shadow

# 비밀번호 잠금 상태 계정 (!! 또는 ! 접두어)
sudo awk -F: '$2 ~ /^!/ {print $1, "- 잠금됨"}' /etc/shadow

# 서비스 계정은 로그인 불가 상태로 설정
sudo usermod -s /sbin/nologin serviceuser
sudo passwd -l serviceuser   # 비밀번호 잠금

# SUID 파일 찾기
sudo find / -perm -4000 -type f 2>/dev/null | sort

# SGID 파일 찾기
sudo find / -perm -2000 -type f 2>/dev/null | sort

# SUID + SGID 동시에
sudo find / -perm /6000 -type f 2>/dev/null | sort

# 결과를 파일로 저장 (기준선 생성)
sudo find / -perm /6000 -type f 2>/dev/null | sort > /root/suid_baseline_$(date +%Y%m%d).txt

/usr/bin/sudo          # sudo 명령어
/usr/bin/passwd        # 비밀번호 변경
/usr/bin/su            # 계정 전환
/usr/bin/ping          # ICMP (일부 배포판)
/usr/bin/newgrp        # 그룹 전환

# SUID 비트 제거
sudo chmod u-s /path/to/suspicious/binary

# 예시: python3에 SUID가 있다면
sudo chmod u-s /usr/bin/python3

# 변경 전후 확인
ls -la /usr/bin/python3
# -rwxr-xr-x (SUID 제거 후)
# -rwsr-xr-x (SUID 있을 때)

# 설치
sudo apt install -y auditd audispd-plugins    # Ubuntu
sudo dnf install -y audit                     # RHEL

# 활성화
sudo systemctl enable --now auditd

sudo nano /etc/audit/rules.d/hardening.rules

# 감사 로그 삭제 시도 모니터링
-a always,exit -F arch=b64 -S unlink -S unlinkat -S rename -S renameat -F dir=/var/log -k log_tampering

# /etc/passwd, /etc/shadow 변경 감사
-w /etc/passwd -p wa -k identity_changes
-w /etc/shadow -p wa -k identity_changes
-w /etc/group -p wa -k identity_changes
-w /etc/sudoers -p wa -k sudoers_changes

# SSH 설정 변경 감사
-w /etc/ssh/sshd_config -p wa -k sshd_config

# SUID/SGID 파일 실행 감사
-a always,exit -F arch=b64 -S execve -F euid=0 -F auid>=1000 -k privilege_escalation

# 실패한 파일 접근 시도
-a always,exit -F arch=b64 -S open -F exit=-EACCES -k access_denied
-a always,exit -F arch=b64 -S open -F exit=-EPERM -k access_denied

# 모듈 로드/언로드
-w /sbin/insmod -p x -k module_insertion
-w /sbin/rmmod -p x -k module_removal

# 규칙 적용
sudo augenrules --load
sudo systemctl restart auditd

# 현재 적용된 규칙 확인
sudo auditctl -l

# identity_changes 태그 이벤트 조회
sudo ausearch -k identity_changes | aureport -f

# 특정 파일에 대한 접근 기록
sudo ausearch -f /etc/passwd

# 특정 사용자의 활동
sudo ausearch -ua 1001   # UID 1001의 활동

# 오늘 발생한 권한 상승 이벤트
sudo ausearch -k privilege_escalation --start today

# 전체 감사 요약 보고서
sudo aureport --summary

# 파일에 불변 속성 부여
sudo chattr +i /etc/passwd
sudo chattr +i /etc/shadow
sudo chattr +i /etc/hosts

# 속성 확인
sudo lsattr /etc/passwd
# ----i---------e------- /etc/passwd

# 속성 제거 (변경이 필요할 때만 임시로)
sudo chattr -i /etc/passwd
# 변경 후 반드시 다시 설정
sudo useradd newuser
sudo chattr +i /etc/passwd

# 디렉토리 전체에 적용 (하위 포함)
sudo chattr -R +i /etc/cron.d/

# 현재 모드 확인
getenforce

# 출력:
# Enforcing   — 정책 위반 시 차단 + 기록
# Permissive  — 차단 없이 기록만 (디버깅용)
# Disabled    — SELinux 완전 비활성화

# 상세 상태 확인
sestatus

# Enforcing → Permissive (재부팅 후 원래대로)
sudo setenforce 0

# Permissive → Enforcing
sudo setenforce 1

sudo nano /etc/selinux/config

# SELINUX=enforcing    ← 프로덕션 권장
# SELINUX=permissive   ← 디버깅/마이그레이션
# SELINUX=disabled     ← 권장하지 않음
SELINUX=enforcing
SELINUXTYPE=targeted

# 파일의 SELinux 컨텍스트 확인
ls -Z /var/www/html/

# 출력:
# system_u:object_r:httpd_sys_content_t:s0 index.html

# 프로세스의 SELinux 컨텍스트
ps auxZ | grep nginx
# system_u:system_r:httpd_t:s0 ... nginx

# AVC 거부 메시지 확인
sudo ausearch -m avc -ts recent | head -30

# 또는
sudo tail -f /var/log/audit/audit.log | grep AVC

# audit2why로 거부 이유 분석
sudo ausearch -m avc -ts recent | audit2why

# audit2allow로 허용 정책 생성 제안
sudo ausearch -m avc -ts recent | audit2allow

# 파일 컨텍스트 수동 변경
sudo chcon -t httpd_sys_content_t /data/webfiles/

# 기본 컨텍스트로 복구
sudo restorecon -Rv /var/www/html/

# SELinux boolean 확인 (서비스별 세부 정책)
sudo getsebool -a | grep httpd

# boolean 변경 (예: nginx의 네트워크 연결 허용)
sudo setsebool -P httpd_can_network_connect on

# 설치
sudo apt install -y unattended-upgrades apt-listchanges

# 설정 파일
sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
    // "${distro_id}:${distro_codename}-updates";  // 보안 패치만 원하면 주석
};

// 자동 재부팅 설정
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "03:00";  // 새벽 3시

// 이메일 알림
Unattended-Upgrade::Mail "admin@example.com";
Unattended-Upgrade::MailReport "on-change";

// 사용하지 않는 패키지 자동 제거
Unattended-Upgrade::Remove-Unused-Dependencies "true";

# 자동 업데이트 주기 설정
sudo nano /etc/apt/apt.conf.d/20auto-upgrades

APT::Periodic::Update-Package-Lists "1";      // 매일 패키지 목록 갱신
APT::Periodic::Unattended-Upgrade "1";        // 매일 자동 업그레이드
APT::Periodic::AutocleanInterval "7";         // 7일마다 캐시 정리

# 즉시 실행 테스트
sudo unattended-upgrades --dry-run --debug

# 서비스 활성화
sudo systemctl enable --now unattended-upgrades

# 설치
sudo dnf install -y dnf-automatic

# 설정 파일
sudo nano /etc/dnf/automatic.conf

[commands]
# 업그레이드 유형: security, bugfix, enhancement, all
upgrade_type = security

# 자동 적용 (download_updates만 하고 apply_updates=no 로 안전하게 가능)
apply_updates = yes

# 재부팅 필요 시 동작 (never, when-changed, always)
reboot = when-needed
reboot_command = "shutdown -r +5 'Rebooting for security updates'"

[email]
email_to = admin@example.com
email_from = dnf-automatic@server.example.com

# 타이머 활성화 (기본: 매일 랜덤 시간)
sudo systemctl enable --now dnf-automatic.timer

# 타이머 상태 확인
sudo systemctl status dnf-automatic.timer
sudo systemctl list-timers | grep dnf

# Ubuntu: 적용 가능한 보안 업데이트 목록
sudo apt list --upgradable 2>/dev/null | grep -i security

# RHEL: 보안 업데이트만 확인
sudo dnf check-update --security

# CVE 특정 취약점 패치 여부 확인
sudo dnf updateinfo list security | grep CVE-2024