Tiger를 사용하여 Linux에서 루트킷을 확인하는 방법

리눅스 시스템 보안 점검: Tiger 도구 활용법

리눅스 서버, 데스크탑 또는 노트북에 루트킷이 존재할 가능성이 우려되십니까? 시스템 내 루트킷 유무를 확인하고 제거하기 위해서는 먼저 시스템 스캔이 필수적입니다. 리눅스 환경에서 루트킷 검사에 효과적인 도구 중 하나는 바로 Tiger입니다. 이 도구를 실행하면 리눅스 시스템의 보안 상태를 전반적으로 평가한 보고서가 생성되며, 문제 발생 가능성이 있는 위치(루트킷 포함)에 대한 상세 정보를 제공합니다.

본 가이드에서는 Tiger 보안 도구를 설치하고 잠재적인 위험 요소를 식별하는 방법을 안내합니다.

Tiger 설치 과정

Tiger는 대부분의 리눅스 배포판에 기본적으로 포함되어 있지 않으므로, 사용하기 전에 설치 과정을 거쳐야 합니다. 소스 코드 컴파일 없이 간편하게 설치하려면 Ubuntu, Debian 또는 Arch Linux를 사용하는 것이 좋습니다.

우분투

Tiger는 Ubuntu 소프트웨어 저장소에 오랫동안 존재해 왔습니다. 터미널을 열고 다음 명령을 입력하여 설치할 수 있습니다.

sudo apt install tiger

데비안

Debian 역시 Tiger를 지원하며, 다음 명령으로 설치할 수 있습니다.

sudo apt-get install tiger

아치 리눅스

Arch Linux 사용자는 AUR(Arch User Repository)를 통해 Tiger 보안 소프트웨어를 설치할 수 있습니다. 다음 단계를 따라 진행하십시오.

1단계: AUR 패키지 수동 설치에 필요한 패키지(Git 및 base-devel)를 설치합니다.

sudo pacman -S git base-devel

2단계: git clone 명령어를 사용하여 Tiger AUR 스냅샷을 로컬 PC에 복제합니다.

git clone https://aur.archlinux.org/tiger.git

3단계: 터미널에서 작업 디렉터리를 PKGBUILD 파일이 있는 Tiger 폴더로 변경합니다.

cd tiger

4단계: Tiger 설치 패키지를 생성합니다. makepkg 명령으로 패키지를 빌드할 수 있지만, 종속성 문제로 인해 실패할 수도 있습니다. 이 경우 공식 Tiger AUR 페이지를 참조하여 종속성을 확인하고, 다른 사용자의 의견을 참고하여 해결하십시오.

makepkg -sri

페도라 및 오픈수세

안타깝게도 Fedora, OpenSUSE 및 기타 RPM/RedHat 기반 배포판에는 Tiger를 쉽게 설치할 수 있는 바이너리 패키지가 없습니다. DEB 패키지를 alien 등을 이용하여 변환하거나, 아래 소스 코드 빌드 방법을 따르는 것을 고려해 보십시오.

기타 리눅스

소스 코드로부터 Tiger를 빌드하려면 다음 명령어를 터미널에 입력하여 코드를 복제합니다.

git clone https://git.savannah.nongnu.org/git/tiger.git

설치 스크립트를 실행하여 프로그램을 설치합니다.

sudo ./install.sh

또는 설치 없이 실행하려면 다음 명령어를 사용하십시오.

sudo ./tiger

리눅스 시스템에서 루트킷 확인하기

Tiger는 자동화된 보안 감사 도구입니다. 별도의 명령 옵션이나 스위치를 제공하지 않으며, 사용자가 직접 "루트킷 검사"를 실행할 수는 없습니다. 대신 Tiger를 실행하여 전체 시스템 스캔을 수행해야 합니다.

Tiger는 시스템 전반의 다양한 보안 위협 요소를 검사하며, 스캔 결과는 자세히 확인할 수 있습니다. Tiger가 점검하는 주요 항목은 다음과 같습니다.

리눅스 암호 파일
.rhost 파일
.netrc 파일
ttytab, securetty 및 로그인 관련 설정 파일
그룹 파일
Bash 경로 설정
루트킷 검사
Cron 시작 항목
"침입" 감지
SSH 설정 파일
네트워크 연결 상태
FTP 설정 파일

Tiger 보안 스캔을 실행하려면 su 또는 sudo -s 명령어를 사용하여 루트 셸 권한을 획득해야 합니다.

su -

또는

sudo -s

루트 권한으로 Tiger 명령을 실행하여 보안 감사를 시작합니다.

tiger

Tiger 명령이 실행되면 스캔 항목, 시스템과의 상호 작용 방식 등이 터미널에 표시됩니다. 스캔이 완료될 때까지 기다려 주십시오. 감사 과정이 완료되면 보고서 파일 경로가 터미널에 출력됩니다.

Tiger 로그 확인

루트킷 감지 여부를 확인하기 위해 보안 보고서를 분석해야 합니다.

Tiger 보안 보고서를 보려면 터미널을 열고 다음 명령을 사용하여 /var/log/tiger 디렉토리로 이동하십시오.

참고: 일반 사용자는 /var/log 디렉토리에 접근할 수 없습니다. su 명령을 사용해야 합니다.

su -

또는

sudo -s

이제 다음 명령으로 로그 디렉토리에 접근합니다.

cd /var/log/tiger

Tiger 로그 디렉토리에서 ls 명령을 실행하여 파일 목록을 확인합니다.

ls

터미널에서 ls 명령 결과로 나타난 보안 보고서 파일을 복사한 후, cat 명령으로 내용을 확인합니다.

cat security.report.xxx.xxx-xx:xx

보고서를 자세히 살펴보고 Tiger가 시스템에서 루트킷을 감지했는지 확인하십시오.

리눅스 시스템에서 루트킷 제거

아무리 강력한 도구를 사용하더라도 리눅스 시스템에서 루트킷을 완전히 제거하는 것은 쉽지 않으며, 100% 성공을 보장할 수도 없습니다. 하지만, 이러한 문제를 해결하는 데 도움이 되는 프로그램이 있습니다. 다만, 항상 효과를 발휘하는 것은 아닙니다.

만약 Tiger가 시스템에서 악성 코드를 발견했다면, 중요한 데이터를 백업하고 새로운 라이브 USB를 사용하여 운영체제를 재설치하는 것이 가장 안전하고 효과적인 방법입니다.