홈페이지 취약점 분석 이야기 파일 지도 사진 깨알

>> 목록보이기
#CentOS #VirtualBox #GSM CE #OpenVAS #버추얼박스 #방화벽 #firewall-cmd

VirtualBox의 가상머신으로 네트워크 취약점 점검 운영체제 GSM CE 6.0.2 설치하기

차례

  1. CentOS 8에서 VirtualBox 6.1 설치하기 (새창)
  2. GSM CE 6.0.2 ISO 내려받기 및 가상머신 설정
  3. VirtualBox에서 GSM CE 6.0.2 가상머신 설치하기
  4. 외부에서의 접근을 위한 포트 포워딩(Port Forwarding) 설정
  5. 외부에서의 HTTPS 접근을 위한 CentOS 8 방화벽 설정

들어가며

이 설명서는 CentOS 8.1에 설치한 버추얼박스 6.1 가상화 소프트웨어로 Greenbone사가 제공하는 GSM Commnunity Edition(Greenbone Security Manager Community Edition)의 설치 설명서이다. GSM CE는 OpenVAS를 전용 리눅스(Greenbone OS)에 설치된 상태로 배포하는 리눅스라고 생각하면 된다.

공개용 네트워크 취약점 점검 도구인 OpenVAS (Open Vulnerability Assessment Scanner)는 설치가 복잡한 반면 GSM CE는 가상머신을 설치하면 되므로 설치가 편리하다. 다만, GSM CE는 Greenbone사에서 다수의 제약사항을 걸어서 확장성은 좋지 못하다.

CentOS에 VirtualBox가 설치되지 않은 경우에는 센트OS 8에서 버추얼박스 6.1 설치하기(새창)를 참조할 것.

GSM CE 6.0.2 ISO 내려받기 및 가상머신 설정

그린본 사가 제공하는 누리집 Using the Greenbone Community Edition - Greenbone Networks(새창)에 접속하여 gsm-ce-6.0.2.iso 파일(525MB)을 내려받는다. 

[jinsuk@centos8 ~]$ cd 다운로드/
[jinsuk@centos8 다운로드]$ wget https://dl.greenbone.net/download/VM/gsm-ce-6.0.2.iso
--2020-01-24 10:30:21--  https://dl.greenbone.net/download/VM/gsm-ce-6.0.2.iso
Resolving dl.greenbone.net (dl.greenbone.net)... 89.146.224.58, 2a01:130:2000:127::d1
Connecting to dl.greenbone.net (dl.greenbone.net)|89.146.224.58|:443... connected.
HTTP request sent, awaiting response... 200 OK
Length: 550809600 (525M) [application/octet-stream]
Saving to: ‘gsm-ce-6.0.2.iso’

gsm-ce-6.0.2.iso    100%[===================>] 525.29M  3.21MB/s    in 3m 57s  

2020-01-24 10:34:20 (2.21 MB/s) - ‘gsm-ce-6.0.2.iso’ saved [550809600/550809600]

[jinsuk@centos8 다운로드]$

버추얼박스를 실행하고 "새로 만들기(N)"로 GSM CE를 위한 가상머신의 환경을 다음과 같이 설정한다.

  • CPU 수: 2개
  • 메모리: 4GB ( = 4,096MB)
  • 디스크: 18GB
  • CD-ROM: gsm-ce-6.0.2.iso (앞에서 내려받은 ISO 파일)

위의 설정은 Greenbone Networks가 권고하는 사양이다. (참고: CPU, RAM, DISK는 보다 높은 값으로 바꾸어 보았으나 별다른 효과가 없었다; Greenbone 사에서 공개용 배포판에 대해서 제약을 걸어놓은 듯 하다.) 그 외의 설정은 다음과 같다.

  • 손님OS 이름: GSM CE 6.0.2
  • 운영체제 종류: Other Linux (64-bit)

VirtualBox: GSM-CE 6.0.2 OS settings
[ ↑ 버추얼박스 손님OS GSM CE의 환경 설정 ]

VirtualBox에서 GSM CE 6.0.2 가상머신 설치하기

버추얼박스 실행 후 GSM CE 6.0.2를 선택하고 "시작"을 눌러서 가상머신을 켠다.

VirtualBox: GSM-CE 6.0.2 Booted
[ ↑ GSM CE를 ISO 파일로 부팅한 첫 화면 ]

가상의 CD-ROM에 삽입한 gsm-ce-6.0.2.iso ISO 파일로 부팅이 되면 Greenbone Security Manager Setup - GOS 6.0.2 Production Build #616 화면이 뜬다.

  • "Setup: Start setting up your GSM"으로 "OK"로 진행한다.
  • "You are about to install a GSM-CE"에서는 "Yes"로 바꿔서 진행한다.
  • "Your GSM Community Edition is now being prepared"에서는 시간이 몇 분 이상 걸리므로 기다린다.
  • "Admin user"는 "admin"으로 진행한다. (다르게 바꿔도 된다.)
  • "Admin password"는 "admin123@"으로 진행한다. (다르게 바꿔도 된다.)
  • "Reboot"
  • "Eject CD-ROM"은 "Yes" 선택

이제 기본 설치가 완료되고 시스템이 재시작된다. 

Installation is in progress. Please do not try to login.
The machine will reboot anytime.

localhost login:

위와 같은 화면이 나오면 기다리자. 

Welcome to Greenbone OS 6.0 (tty1)
The web interface is available at:

    http://10.0.2.15

gsm login:

위와 같은 화면이 나오면 앞서 설정한 관리자 ID/PW로 로그인한다. (여기서는 admin/admin123@)

  • "Setup Wizard"가 나오면 "Cancel"을 선택한다.
  • 웹 관리자 만들기: "Setup -> User -> Users -> Admin user" 선택
    • Account name: admin
    • Account password: admin123@
    • Account password confirmation: admin123@
    • (참고) 시스템 관리자와 동일하게 만들었음 (보안상 바꿀 것을 권고함)
  • 취약점 패턴 받기: "Maintenance -> Feed -> Update" 선택
    • 시간이 많이 걸린다. 네트워크 사정에 따라 수십 분 ~ 수 시간이 걸릴 수 있다.
    • 진행중에는 Update 선택시 (The system is currently busy.)라는 추가적인 알림을 볼 수 있다. (또는 가장 상위 차림표의 About에서도 확인 가능)

GSM-CE 6.0.2 About
[ ↑ GSM CE의 Greenbone Security Feed Update 실행후의 About 화면 ]

Update Feed 이후에 About 메뉴를 선택하면 위의 그림과 같이 System Status: The system operation 'Update Feed' is running currently.라는 상태 표시를 볼 수 있다. Feed Update가 끝나면 System Status: No system operation is running currently.로 바뀐다.

주인OS-손님OS 포트 포워딩(Port Forwarding) 설정

주인OS(CentOS 8) 이외의 다른 장비에서 GSM CE 가상머신에 접속하기 위해서는 버추얼박스의 포트포워딩(Port Forwarding) 기능을 설정해주어야 한다. 이 과정은 위의 "Update Feed" 중에 실행해도 된다.

VirtualBox에서 "GSM CE 6.0.2"를 선택하고 "설정 -> 네트워크 -> 고급"을 마우스로 누른다.

GSM-CE 6.0.2 settings, network, advanced
[ ↑ GSM 가상머신의 설정 -> 네트워크 -> 고급화면 ]

GSM CE 6.0.2의 "설정 -> 네트워크 -> 고급"에서 포트 포워딩(P)을 선택한다.

VirtualBox Host-Guest Port Forward
[ ↑ CentOS 8의 4433포트로 GSM CE의 443포트를 접속하도록 포트포워딩 설정 ]

위의 그림에서는 호스트OS인 CentOS의 4433 포트에 접근하면 게스트OS인 GSM CE 6.0.2 가상머신의 443 포트로 접속할 수 있도록 설정하였다. (호스트 IP와 게스트 IP는 비워두면 된다.) 주인 OS의 포트는 자신에게 맞게 설정하면 된다. 

[jinsuk@centos8 ~]$ ifconfig ens33
ens33: flags=4163  mtu 1500
        inet 192.168.159.135  netmask 255.255.255.0  broadcast 192.168.159.255
        inet6 fe80::fb2e:cc87:952b:8960  prefixlen 64  scopeid 0x20
        ether 00:0c:29:da:c4:92  txqueuelen 1000  (Ethernet)
        RX packets 800156  bytes 1128317035 (1.0 GiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 308077  bytes 22595771 (21.5 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

[jinsuk@centos8 ~]$

위에서 CentOS의 IP주소는 192.168.153.135임을 알 수 있다. (ens33에 해당하는 인터페이스 이름은 경우에 따라 다를 수 있다.) 

[jinsuk@centos8 ~]$ firefox https://192.168.159.135:4433

위와 같이 firefox https://192.168.159.135:4433 명령어로 GSM CE의 웹 인터페이스에 접근할 수 있다. 파이어폭스에서 "경고: 보안 위험 가능성" 경고가 나오면 "고급" 선택 후 "위험을 감수하고 계속"으로 진행한다. (웹브라우저마다 접근하는 방식이 다르므로 해당 브라우저의 지시에 따라 SSL 인증서 문제를 해결할 것)

FireFox, Greenbone Manager, Web Interface
[ ↑ CentOS 주인의 IP 주소와 포워딩한 포트로 HTTPS 접속을 통해 GSM 웹 인터페이스 접근 ]

FireFox, Greenbone Manager, Web Interface, Admin
[ ↑ GSM 웹 인터페이스에 admin 정으로 접근한 화면 ]

이제 GSM CE 가상머신 설치가 완료되었다. 위 그림에서 2020년 1월 25일 현재 NVT(Network Vulnerability Test) 갯수가 54689개 설치되어 있음을 알 수 있다.

네트워크 취약점 점검은 "Configuration -> Targets"를 만들고 이를 대상으로 "Scans -> Tasks"를 만들면 스캔을 진행할 수 있다.

외부에서의 HTTPS 접근을 위한 CentOS 8 방화벽 설정

다른 장비에서 CentOS로 HTTPS 접속을 위해서는 CentOS의 방화벽(firewall) 설정을 변경해야 한다. 이 문서에서는 CentOS의 4433 포트를 통해 GSM 가상머신의 443 포트를 접속할 수 있도록 포트 포워드(Port Foward)를 설정한 바 있다. 그런데 CentOS 8이나 RedHat Enterprise Linux (RHEL) 배포판은 기본적으로 방화벽에서 대부분의 포트를 차단하고 있다. 이 때문에 CentOS의 4433 포트에 대한 접근을 허용하도록 방화벽 설정을 추가해주어야 한다. 방화벽 설정 명령어 firewall-cmd를 다음과 같이 진행하면 된다.

  1. sudo firewall-cmd --zone=public --permanent --add-port 4433/tcp
  2. sudo firewall-cmd --reload
[jinsuk@centos8 ~]$ sudo firewall-cmd --list-all
[sudo] jinsuk의 암호: *************
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources: 
  services: cockpit dhcpv6-client ssh
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
	
[jinsuk@centos8 ~]$ sudo firewall-cmd --get-zones
block dmz drop external home internal libvirt public trusted work
[jinsuk@centos8 ~]$ sudo firewall-cmd --zone=public --permanent --add-port 4433/tcp
success
[jinsuk@centos8 ~]$ sudo firewall-cmd --reload
success
[jinsuk@centos8 ~]$ sudo firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources: 
  services: cockpit dhcpv6-client ssh
  ports: 4433/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

[jinsuk@centos8 ~]$

이제는 다른 장비에서도 CentOS의 4433 포트를 통해 GSM CE의 HTTPS 웹 인터페이스에 접근이 가능하다. 크로미움 기반의 웹 브라우저에서는 SSL/TLS 인증서의 보안 문제 때문에 HTTPS 접속을 허용하지 않을 수 있으니 웹 브라우저는 파이어폭스(FireFox)를 사용하면 된다.

덧붙임: 2020.02.03

GSM CE 6.0.3이 새로 나왔다 -- gsm-ce-6.0.3.iso 파일(526MB). Greenbone 누리집 Using the Greenbone Community Edition - Greenbone Networks(새창) 참조

[처음 작성한 날: 2020.01.25]    [마지막으로 고친 날: 2020.02.03] 

< 이전 글 : Kali Linux 2020.1b 64bit 설치 설명서 (MS 윈도우 10, VMware 플레이어) (2020.03.25)

> 다음 글 : Kali Linux 2019.4 64bit Light 배포판 설치 설명서 (권장) (2019.12.02)

크리에이티브 커먼즈 라이선스 이 저작물은 크리에이티브 커먼즈 저작자표시 4.0 국제 라이선스에 따라 이용할 수 있습니다.
잘못된 내용, 오탈자 및 기타 문의사항은 j1n5uk{at}daum.net으로 연락주시기 바랍니다.
문서의 시작으로 컴퓨터 깨알지식 웹핵 누리집 대문