공통 AIX 시스템 서비스 요약

다음 표에는 AIX® 내의 일반적인 시스템 서비스가 나열되어 있습니다. 이 표를 사용하여 시스템 보안을 위한 시작점을 파악하세요.

시스템의 보안을 설정하기 전에 원래 구성 파일(특히 다음 파일)을 모두 백업하십시오.

/etc/inetd.conf
/etc/inittab
/etc/rc.nfs
/etc/rc.tcpip

서비스	디먼	시작 위치	함수	주석
inetd/bootps	inetd	/etc/inetd.conf	디스크 없는 클라이언트에 대한 bootp 서비스	시스템의 NIM(Network Installation Management) 및 원격 부트에 필요함 tftp와 동시에 작동함 대부분의 경우 사용 안함
inetd/chargen	inetd	/etc/inetd.conf	문서 생성기(테스트 전용)	TCP 및 UDP 서비스로 사용 가능 서비스 거부 공격의 기회 제공 네트워크 테스트 중이 아니면 사용 안함
inetd/cmsd	inetd	/etc/inetd.conf	달력 서비스(CDE에서 사용됨)	루트로 실행되므로 보안 문제임 CDE에 이 서비스가 필요한 경우가 아니면 사용 안함 백룸 데이터베이스 서버에서는 사용 안함
inetd/comsat	inetd	/etc/inetd.conf	수신 이메일 통지	루트로 실행되므로 보안 문제임 거의 필요하지 않음 사용 안함
inetd/daytime	inetd	/etc/inetd.conf	더 이상 사용되지 않는 시간 서비스(테스트 전용)	루트로 실행됨 TCP 및 UDP 서비스로 사용 가능 서비스 거부 Ping 공격의 기회 제공 서비스가 더 이상 사용되지 않으며 테스트용으로만 사용됨 사용 안함
inetd/discard	inetd	/etc/inetd.conf	/dev/null 서비스(테스트 전용)	TCP 및 UDP 서비스로 사용 가능 서비스 거부 공격에서 사용됨 서비스가 더 이상 사용되지 않으며 테스트용으로만 사용됨 사용 안함
inetd/dtspc	inetd	/etc/inetd.conf	CDE 하위 프로세스 제어	이 서비스는 디먼의 호스트에서 프로세스를 시작하도록 요청하는 CDE 클라이언트에 대한 응답으로 inetd 디먼에 의해 자동으로 시작됩니다. 공격에 취약함 CDE가 없는 백룸 서버에서는 사용 안함 CDE가 이 서비스 없이 기능할 수 있음 절대적으로 필요한 경우가 아니면 사용 안함
inetd/echo	inetd	etc/inetd.conf	반향 서비스(테스트 전용)	UDP 및 TCP 서비스로 사용 가능 서비스 거부 또는 스머프 공격에서 사용될 수 있음 방화벽을 통과하거나 datastorm을 시작하기 위해 다른 사용자에 반향하는 데 사용됨 사용 안함
inetd/exec	inetd	/etc/inetd.conf	원격 실행 서비스	루트 사용자로 실행됨 비보호 상태로 전달되는 사용자 ID 및 비밀번호를 입력해야 함 이 서비스는 탐색될 가능성이 매우 높음 사용 안함
inetd/finger	inetd	/etc/inetd.conf	사용자에 대해 알아보는 finger	루트 사용자로 실행됨 시스템 및 사용자에 대한 정보 제공 사용 안함
inetd/ftp	inetd	/etc/inetd.conf	파일 전송 프로토콜	루트 사용자로 실행됨 사용자 ID 및 비밀번호가 비보호 상태로 전송되므로 탐색될 수 있음 이 서비스를 사용 안함으로 설정하고 공용 도메인 SSH(Secure Shell) 사용
inetd/imap2	inetd	/etc/inetd.conf	IMAP(Internet Mail Access Protocol)	이 서버의 최신 버전을 사용 중인지 확인해야 함 메일 서버를 실행 중인 경우에만 필요하며 그렇지 않으면 사용 안함 사용자 ID 및 비밀번호가 비보호 상태로 전달됨
inetd/klogin	inetd	/etc/inetd.conf	Kerberos 로그인	사이트에서 Kerberos 인증을 사용하는 경우 사용으로 설정됨
inetd/kshell	inetd	/etc/inetd.conf	Kerberos 쉘	사이트에서 Kerberos 인증을 사용하는 경우 사용으로 설정됨
inetd/login	inetd	/etc/inetd.conf	rlogin 서비스	IP 위조, DNS 위조 공격을 받기 쉬움 사용자 ID 및 비밀번호를 포함한 데이터가 비보호 상태로 전달됨 루트 사용자로 실행됨 이 서비스 대신 SSH(Secure Shell) 사용
inetd/netstat	inetd	/etc/inetd.conf	현재 네트워크 상태 보고	시스템에서 실행되는 경우 해커에게 네트워크 정보를 제공할 가능성이 있음 사용 안함
inetd/ntalk	inetd	/etc/inetd.conf	사용자가 서로 대화하도록 허용	루트 사용자로 실행됨 프로덕션 또는 백룸 서버에서는 필요하지 않음 절대적으로 필요한 경우가 아니면 사용 안함
inetd/pcnfsd	inetd	/etc/inetd.conf	PC NFS 파일 서비스	현재 사용 중이 아니면 서비스를 사용 안함으로 설정 pcnfsd 디먼은 Microsoft의 SMB 스펙 릴리스보다 날짜가 빠르기 때문에 이와 유사한 서비스가 필요한 경우 Samba 사용
inetd/pop3	inetd	/etc/linetd.conf	POP(Post Office Protocol)	사용자 ID 및 비밀번호가 비보호 상태로 전송됨 시스템이 메일 서버이고 POP3만 지원하는 애플리케이션을 사용 중인 클라이언트가 있는 경우에만 필요함 클라이언트가 IMAP을 사용하는 경우 이를 대신 사용하거나 POP3s 서비스 사용. 이 서비스에는 SSL(Secure Socket Layer) 터널이 있음 메일 서버를 실행 중이지 않거나 POP 서비스가 필요한 클라이언트가 있는 경우 사용 안함
inetd/rexd	inetd	/etc/inetd.conf	원격 실행	루트 사용자로 실행됨 on 명령과 피어 서비스 사용 안함 대신 rsh 및 rshd 사용
inetd/quotad	inetd	/etc/inetd.conf	파일 할당량 보고서(NFS 클라이언트의 경우)	NFS 파일 서비스를 실행 중인 경우에만 필요함 quota 명령에 대한 응답을 제공할 필요가 없는 경우 이 서비스 사용 안함 이 서비스를 사용해야 하는 경우 이 서비스에 대한 모든 패치와 수정사항을 최신 상태로 유지해야 함
inetd/rstatd	inetd	/etc/inetd.conf	커널 통계 서버	시스템을 모니터해야 하는 경우 SNMP를 사용하고 이 서비스를 사용 안함으로 설정 rup 명령을 사용하는 데 필요함
inetd/rusersd	inetd	/etc/inetd.conf	로그인된 사용자에 대한 정보	필수 서비스가 아니므로 사용 안함 루트 사용자로 실행됨 시스템의 현재 사용자 리스트를 제공하며 rusers와 피어임
inetd/rwalld	inetd	/etc/inetd.conf	모든 사용자에게 쓰기	루트 사용자로 실행됨 시스템에 대화식 사용자가 있는 경우 이 서비스를 유지해야 할 수 있음 시스템이 프로덕션 또는 데이터베이스 서버인 경우 이 서비스가 필요하지 않음 사용 안함
inetd/shell	inetd	/etc/inetd.conf	rsh 서비스	가능한 경우 이 서비스를 사용 안함으로 설정하고 대신 SSH(Secure Shell) 사용 이 서비스를 사용해야 하는 경우 TCP 랩퍼를 사용하여 위조를 정지하고 노출 제한 Xhier 소프트웨어 분배 프로그램에 필요함
inetd/sprayd	inetd	/etc/inetd.conf	RPC 스프레이 테스트	루트 사용자로 실행됨 NFS 네트워크 문제점 진단에 필요할 수 있음 NFS를 실행 중이지 않으면 사용 안함
inetd/systat	inetd	/etc/inted.conf	"ps -ef" 상태 보고서	원격 사이트에서 시스템의 프로세스 상태를 확인하도록 허용함 이 서비스는 기본적으로 사용 안함으로 설정되며 서비스가 사용으로 설정되지 않았는지 주기적으로 확인해야 함
inetd/talk	inetd	/etc/inetd.conf	네트워트에 있는 두 명의 사용자 간에 분할 화면 구축	필수 서비스가 아님 talk 명령과 함께 사용됨 포트 517에서 UDP 서비스 제공 UNIX 사용자에 대해 여러 대화식 채팅 세션이 필요하지 않으면 사용 불가능하게 하십시오.
inetd/ntalk	inetd	/etc/inetd.conf	"새로운 대화", 네트워크에 있는 두 명의 사용자 간에 분할 화면 설정	필수 서비스가 아님 talk 명령과 함께 사용됨 포트 517에서 UDP 서비스 제공 UNIX 사용자에 대해 여러 대화식 채팅 세션이 필요하지 않으면 사용 불가능하게 하십시오.
inetd/telnet	inetd	/etc/inetd.conf	Telnet 서비스	원격 로그인 세션을 지원하지만 비밀번호 및 ID가 비보호 상태로 전달됨 가능한 경우 이 서비스를 사용 안함으로 설정하고 대신 SSH(Secure Shell)를 원격 액세스에 사용
inetd/tftp	inetd	/etc/inetd.conf	단순 파일 전송	포트 69에서 UDP 서비스 제공 루트로 실행되며 손상될 수 있음 NIM에서 사용됨 NIM을 사용 중이거나 디스크 없는 워크스테이션을 부트해야 하는 경우가 아니면 사용 안함
inetd/time	inetd	/etc/inetd.conf	더 이상 사용되지 않는 시간 서비스	rdate 명령에서 사용되는 inetd 의 내부 기능입니다. TCP 및 UDP 서비스로 사용 가능 경우에 따라 부트 시 클럭을 동기화하는 데 사용됨 서비스가 오래되었으므로 대신 ntpdate 사용 이 서비스가 사용 안함으로 설정된 시스템을 테스트하고(부트/재부트) 문제점이 없음을 파악한 후에만 이 서비스를 사용 안함으로 설정
inetd/ttdbserver	inetd	/etc/inetd.conf	tool-talk 데이터베이스 서버(CDE의 경우)	rpc.ttdbserverd는 루트 사용자로 실행되며 손상될 수 있음 CDE의 필수 서비스로 언급되지만 이 서비스 없이 CDE를 작동할 수 있음 백룸 서버 또는 보안이 관심사항인 시스템에서는 실행하면 안됨
inetd/uucp	inetd	/etc/inetd.conf	UUCP 네트워크	UUCP를 사용하는 애플리케이션이 없는 경우 사용 안함
inittab/dt	init	/etc/inittab의 /etc/rc.dt 스크립트	CDE 환경에 대한 데스크탑 로그인	콘솔에서 X11 서버 시작 다른 X11 스테이션이 동일한 머신에 로그인할 수 있도록 XDMCP(X11 Display Manager Control Protocol) 지원 개인용 워크스테이션에서만 서비스를 사용해야 하고 백룸 시스템에 대해 사용하면 안됨
inittab/dt_nogb	init	/etc/inittab	CDE 환경에 대한 데스크탑 로그인(그래픽 부트 없음)	시스템이 완전하게 가동할 때까지 그래픽이 표시되지 않음 inittab/dt와 관심사항이 동일함
inittab/httpdlite	init	/etc/inittab	docsearch 명령에 대한 웹 서버	docsearch 엔진에 대한 디폴트 웹 서버 머신이 문서 서버가 아닌 경우 사용 안함
inittab/i4ls	init	/etc/inittab	라이센스 관리자 서버	개발 머신의 경우 사용으로 설정 프로덕션 머신의 경우 사용 안함으로 설정 라이센스 요구사항이 있는 백룸 데이터베이스 머신의 경우 사용으로 설정 컴파일러, 데이터베이스 소프트웨어 또는 다른 라이센스가 있는 제품에 대한 지원 제공
inittab/imqss	init	/etc/inittab	"docsearch"에 대한 검색 엔진	docsearch 엔진에 대한 디폴트 웹 서버의 일부 머신이 문서 서버가 아닌 경우 사용 안함
inittab/lpd	init	/etc/inittab	BSD 라인 프린터 인터페이스	다른 시스템의 인쇄 작업 승인 이 서비스를 사용 안함으로 설정하고 계속해서 인쇄 서버에 작업을 전송할 수 있음 인쇄에 영향이 미치지 않는지 확인한 후 이를 사용 안함으로 설정
inittab/nfs	init	/etc/inittab	NFS(Network File System)/NIS(Network Information Service)	UDP/RPC에서 빌드된 NFS 및 NIS 서비스 기반 최소 인증이 적용됨 백룸 머신의 경우 이를 사용 안함으로 설정
inittab/piobe	init	/etc/inittab	프린터 입출력 백엔드(인쇄용)	qdaemon 디먼에서 제출된 작업의 스케줄링, 스풀링 및 인쇄 처리 인쇄 작업을 서버에 전송 중이므로 시스템에서 인쇄하지 않을 경우 사용 안함
inittab/qdaemon	init	/etc/inittab	큐 디먼(인쇄용)	인쇄 작업을 piobe 디먼에 제출함 시스템에서 인쇄 중이지 않은 경우 사용 안함
inittab/uprintfd	init	/etc/inittab	커널 메시지	일반적으로 필요하지 않음 사용 안함
inittab/writesrv	init	/etc/inittab	tty에 참고사항 쓰기	대화식 UNIX 워크스테이션 사용자만 사용합니다. 서버, 백룸 데이터베이스 및 개발 머신의 경우 이 서비스를 사용 안함으로 설정 워크스테이션의 경우 이 서비스를 사용으로 설정
inittab/xdm	init	/etc/inittab	기존 X11 표시장치 관리	백룸 프로덕션 또는 데이터베이스 서버에서는 실행하지 않음 X11 표시장치 관리가 필요한 경우가 아니면 개발 시스템에서 실행하지 않음 그래픽이 필요한 경우 워크스테이션에서 실행할 수 있음
rc.nfs/automountd		/etc/rc.nfs	자동 파일 시스템	NFS를 사용하는 경우 워크스테이션에 대해 사용 개발 또는 백룸 서버에는 자동 마운터를 사용하지 않음
rc.nfs/biod		/etc/rc.nfs	블록 입출력 디먼(NFS 서버에 필요함)	NFS 서버에 대해서만 사용으로 설정됨 NFS 서버가 아니면 nfsd 및 rpc.mountd와 함께 이 서비스를 사용 안함으로 설정
rc.nfs/keyserv		/etc/rc.nfs	보안 RPC 키 서버	보안 RPC에 필요한 키를 관리함 NFS 및 NIS를 사용하지 않는 경우 사용 안함
rc.nfs/nfsd		/etc/rc.nfs	NFS 서비스(NFS 서버에 필요함)	인증이 취약함 스택 프레임이 손상되기 쉬움 NFS 파일 서버에 있는 경우 사용 이를 사용 안함으로 설정하는 경우 biod, nfsd 및 rpc.mountd도 사용 안함으로 설정
rc.nfs/rpc.lockd		/etc/rc.nfs	NFS 파일 잠금	NFS를 사용 중이지 않은 경우 사용 안함 네트워크 전체에서 파일 잠금을 사용하지 않는 경우 사용 안함 lockd 디먼은 SANS 10개 핵심 보안 위협에 언급됨
rc.nfs/rpc.mountd		/etc/rc.nfs	NFS 파일 마운트(NFS 서버에 필요함)	인증이 취약함 스택 프레임이 손상되기 쉬움 NFS 파일 서버에서만 사용으로 설정되어야 함 이를 사용 안함으로 설정하는 경우 biod 및 nfsd도 사용 안함으로 설정
rc.nfs/rpc.statd		/etc/rc.nfs	NFS 파일 잠금(복구를 위해)	NFS에서 파일 잠금 구현 NFS를 사용 중이지 않은 경우 사용 안함
rc.nfs/rpc.yppasswdd		/etc/rc.nfs	NIS 비밀번호 디먼(NIS 마스터의 경우)	로컬 비밀번호 파일을 조작하는 데 사용됨 해당 머신이 NIS 마스터인 경우에만 필요하며 다른 모든 경우에는 사용 안함
rc.nfs/ypupdated		/etc/rc.nfs	NIS 업데이트 디먼(NIS 작업자용)	NIS 마스터에서 밀어넣은 NIS 데이터베이스 맵을 수신함 문제가 된 시스템이 마스터 NIS 서버에 대한 NIS 작업자인 경우에만 필요합니다.
rc.tcpip/autoconf6		/etc/rc.tcpip	IPv6 인터페이스	IP 버전 6을 실행 중이지 않으면 사용 안함
rc.tcpip/dhcpcd		/etc/rc.tcpip	DHCP(Dynamic Host Configuration Protocol)(클라이언트)	백룸 서버는 DHCP에 의존하지 않아야 하므로 이 서비스를 사용 안함 호스트에서 DHCP를 사용하지 않는 경우 사용 안함
rc.tcpip/dhcprd		/etc/rc.tcpip	DHCP(Dynamic Host Configuration Protocol)(릴레이)	DHCP 브로드캐스트를 점유하여 다른 네트워크의 서버로 전송 라우터에서 발견된 서비스 복제 DHCP를 사용하지 않거나 네트워크 간에 정보를 전달하는 데 의존하는 경우 이 서비스 사용 안함
rc.tcpip/dhcpsd		/etc/rc.tcpip	DHCP(Dynamic Host Configuration Protocol)(서버)	부트 시 클라이언트로부터의 DHCP 요청에 응답하며 IP 이름, 번호, 넷마스크, 라우터 및 브로드캐스트 주소와 같은 클라이언트 정보 제공 DHCP를 사용 중이지 않은 경우 사용 안함 DHCP를 사용하지 않는 호스트와 함께 프로덕션 및 백룸 서버에서 사용 안함
rc.tcpip/dpid2		/etc/rc.tcpip	오래된 SNMP 서비스	SNMP가 필요하지 않은 경우 사용 안함
rc.tcpip/gated		/etc.rc.tcpip	인터페이스 간의 gated 라우팅	라우터 기능을 에뮬레이트함 이 서비스를 사용 안함으로 설정하고 대신 RIP 또는 라우터 사용
rc.tcpip/inetd		/etc/rc.tcpip	inetd 서비스	철저히 보안된 시스템에서는 사용 안함으로 설정되어야 하지만 실제 환경에서는 종종 그렇지 않음 이 서비스를 사용 안함으로 설정하면 일부 메일 및 웹 서버에 필요한 원격 쉘 서비스가 사용 안함으로 설정됨
rc.tcpip/mrouted		/etc/rc.tcpip	멀티캐스트 라우팅	네트워크 세그먼트 간에 멀티캐스트 패킷을 전송하는 라우터 기능을 에뮬레이트함 이 서비스를 사용 안함으로 설정 대신 라우터 사용
rc.tcpip/names		/etc/rc.tcpip	DNS 이름 서버	머신이 DNS 이름 서버인 경우에만 사용 워크스테이션, 개발 및 프로덕션 머신의 경우 사용 안함
rc.tcpip/ndp-host		/etc/rc.tcpip	IPv6 호스트	IP 버전 6을 사용하지 않는 경우 사용 안함
rc.tcpip/ndp-router		/etc/rc.tcpip	IPv6 라우팅	IP 버전 6을 사용하는 경우가 아니면 이를 사용 안함으로 설정하십시오. IP 버전 6 대신 라우터 사용 고려
rc.tcpip/portmap		/etc/rc.tcpip	RPC 서비스	필수 서비스 RPC 서버가 portmap 디먼에 등록하며 RPC 서비스를 찾아야 하는 클라이언트가 portmap 디먼에게 특정 서비스가 있는 위치를 알리도록 요청함 portmap만 남아 있도록 RPC 서비스를 줄인 경우에만 사용 안함으로 설정
rc.tcpip/routed		/etc/rc.tcpip	인터페이스 간의 RIP 라우팅	라우터 기능을 에뮬레이트함 네트워크 간에 패킷용 라우터가 있는 경우 사용 안함
rc.tcpip/rwhod		/etc/rc.tcpip	원격 "who" 디먼	데이터를 수집하여 동일한 네트워크에 있는 피어 서버에 브로드캐스트함 이 서비스를 사용 안함
rc.tcpip/sendmail		/etc/rc.tcpip	메일 서비스	루트 사용자로 실행됨 머신이 메일 서버로 사용되는 경우가 아니면 이 서비스 사용 안함 사용 안함으로 설정된 경우 다음 중 하나를 수행하십시오. 큐를 지우는 입력 항목을 crontab에 배치하고 /usr/lib/sendmail -q 명령을 사용하십시오. 서버의 메일이 일부 다른 시스템에 전달되도록 DNS 서비스 구성
rc.tcpip/snmpd		/etc/rc.tcpip	SNMP(Simple Network Management Protocol)	SNMP 도구를 통해 시스템을 모니터하지 않는 경우 사용 안함 중요 서버에서 SNMP가 필요할 수 있음
rc.tcpip/syslogd		/etc/rc.tcpip	이벤트의 시스템 로그	이 서비스를 사용 안함으로 설정하는 것은 권장되지 않음 서비스 거부 공격을 받기 쉬움 모든 시스템에서 필수
rc.tcpip/timed		/etc/rc.tcpip	이전 시간 디먼	이 서비스를 사용 안함으로 설정하고 대신 xntp 사용
rc.tcpip/xntpd		/etc/rc.tcpip	새로운 시간 디먼	시스템의 클럭을 동기화된 상태로 유지함 이 서비스를 사용 안함으로 설정 다른 시스템을 시간 서버로 구성하고 다른 시스템이 ntpdate를 호출하는 cron 작업을 통해 시간 서버와 동기화하도록 하십시오.
dtlogin		/usr/dt/config/Xaccess	무제한 CDE	X11 스테이션 그룹에 대한 CDE 로그인을 제공하지 않는 경우 dtlogin을 콘솔로 제한할 수 있음
익명 FTP 서비스		user rmuser -p <username>	익명 ftp	익명 FTP 기능이 특정 사용자에 대한 FTP 사용을 추적하지 못하도록 방지함 ftp 사용자 계정이 존재하는 경우 ftp 사용자 제거(rmuser -p ftp) 시스템에 대해 ftp를 수행할 수 없어야 하는 사용자 리스트로 /etc/ftpusers 파일을 채워서 추가 보안을 확보할 수 있음
익명 FTP 쓰기			익명 ftp 업로드	파일이 ftp에 속하지 않아야 함 FTP 익명 업로드를 수행하면 잘못 작동하는 코드가 시스템에 배치될 수 있음 허용하지 않을 사용자 이름을 /etc/ftpusers 파일에 배치함 FTP를 통해 익명으로 시스템에 업로드하지 못하도록 할 수 있는 시스템 작성 사용자의 몇 가지 예제로는 root, daemon, bin.sys, admin.uucp, guest, nobody, lpd, nuucp, ladp이 있음 chown root:system /etc/ftpusers와 같이 ftpusers 파일에 대한 소유자 및 그룹 권한 변경 chmod 644 /etc/ftpusers와 같이 ftpusers 파일에 대한 사용 권한을 더 엄격한 설정으로 변경
ftp.restrict			시스템 계정으로 ftp	외부의 사용자는 ftpusers 파일을 사용하여 루트 파일을 대체할 수 없음
root.access		/etc/security/user	루트 계정으로 rlogin/telnet	etc/security/user 파일의 rlogin 옵션을 false로 설정 루트로 로그인하는 모든 사용자는 먼저 고유한 이름으로 로그인한 후 루트로 su해야 하며, 이는 감사 레코드를 제공함
snmpd.readWrite		/etc/snmpd.conf	SNMP readWrite 공동체	SNMP를 사용하지 않는 경우 SNMP 디먼 사용 안함 /etc/snmpd.conf 파일에서 private 공동체 및 system 공동체를 사용 안함으로 설정 시스템을 모니터하는 IP 주소로 'public' 공동체 제한
syslog.conf			syslogd 구성	/etc/syslog.conf를 구성하지 않은 경우 이 디먼을 사용 안함 syslog.conf를 사용하여 시스템 메시지를 기록하는 경우 사용 가능한 상태로 유지함