가상화장비 > 1. 계정관리

가이드라인 원문

항목	내용
항목코드	HV-04
점검내용	공용계정등불필요한계정이존재하는지여부점검
점검대상	VMware ESXi, vCenter, XenServer, KVM, Nutanix 등
판단기준	양호: 불필요한공용계정및퇴사자계정이존재하지않은경우
판단기준	취약: 불필요한공용계정및퇴사자계정이존재하는경우
조치방법	불필요한공용계정및퇴사자계정제거

상세 설명

개요

가상화장비 계정권한관리는 시스템에 등록된 불필요한 계정(공용 계정, 퇴사자 계정, 미사용 계정 등)을 식별하고 제거하여 보안을 강화하는 조치입니다. 이는 1인 1계정 원칙을 준수하고, 계정 관리의 투명성을 확보합니다.

필요성

불필요한 계정이 시스템에 남아있는 경우 다음과 같은 심각한 보안 위협이 발생합니다:

책임 소재 불명: 공용 계정 사용 시 어떤 사용자가 무엇을 했는지 추적 불가
퇴사자 계정 탈취: 퇴사 후에도 계정이 활성화되어 있으면 악용 가능성
비밀번호 노출 위험: 공용 계정은 비밀번호가 공유되어야 하므로 노출 위험 증가
무단 접근 경로: 불필요한 계정은 공격자의 추가적인 공격 경로가 됨

1인 1계정 원칙

보안 관리의 기본 원칙으로 각 사용자마다 독립적인 계정을 부여하는 것을 의미합니다:

장점:
- 행위별 책임 소재 명확화
- 감사 로그를 통한 추적 가능
- 계정 탈취 시 피해 범위 최소화
- 사용자별 권한 분리 가능

점검 방법

VMware ESXi

Web 콘솔 페이지 접속 (https://<VMware ESXi IP>)
호스트 > 관리 > 보안 및 사용자 > 사용자로 이동
등록된 계정 목록 확인

1
2
3
4
확인할 사항:
- 공용 계정 (예: admin, admin2)이 존재하는가?
- 퇴사자 계정이 삭제되지 않고 남아있는가?
- 장기간 미사용 계정이 있는가?

XenServer, KVM

호스트 접속
등록되어 있는 계정 확인

1
2
3
4
5
6
7
8
# 사용자 목록 확인
$ cat /etc/passwd

# bash 쉘을 사용하는 계정만 확인
$ grep /bin/bash /etc/passwd | cut -f1 -d:
root
user1
user2

Nutanix

Nutanix Web 콘솔 페이지 접속 (https://<Nutanix 웹 콘솔 IP>:9440)
Settings > Users and Roles > Local User Management 선택
등록된 계정 목록 확인

조치 방법

VMware ESXi

불필요한 계정 제거

등록된 계정 목록에서 삭제할 계정 선택
[삭제] 버튼 클릭
확인 클릭

1
2
3
4
5
삭제 대상 예시:
- test, temp 등 임시 계정
- 퇴사자 계정
- 6개월 이상 미사용 계정
- 공용으로 사용되는 admin2, admin3 등

XenServer, KVM

불필요한 계정 제거

계정 확인 후 삭제

1
2
3
4
5
6
# 계정 삭제 (홈 디렉토리 포함)
$ userdel -r <계정명>

# 예시
$ userdel -r testuser
$ userdel -r retired_user01

1
2
3
# 주의: 시스템 계정은 삭제하지 않도록 주의
# 삭제 가능한 계정: 사용자가 생성한 계정만
# 삭제 불가능한 계정: root, bin, daemon 등 시스템 계정

Nutanix

불필요한 계정 제거

Settings > Users and Roles > Local User Management 선택
삭제할 계정 선택
[Delete] 버튼 클릭

주의사항

조치 시 영향: 애플리케이션에서 사용하는 계정의 경우 삭제 시 서비스 가용성에 영향을 줄 수 있음
사전 확인: 계정 삭제 전 해당 계정이 사용 중인 서비스나 프로세스 확인 필요
백업: 중요한 계정인 경우 삭제 전 정보 백업
권한 위임: 계정 삭제 전 필요한 권한을 다른 계정으로 위임

추가 팁

계정 등록부 작성: 모든 계정과 담당자를 매핑한 목록 관리

1
2
3
4
| 계정명 | 사용자 | 부서 | 연락처 | 생성일 | 상태 |
|--------|--------|------|--------|--------|------|
| admin01 | 김관리 | 인프라팀 | 010-xxxx-xxxx | 2023-01-01 | 활성 |
| user02 | 박개발 | 개발팀 | 010-xxxx-xxxx | 2023-03-15 | 활성 |

퇴사 프로세스 수립: 퇴사 시 계정 삭제를 포함한 퇴사 절차 수립

1
2
3
4
5
퇴사 절차:
1. 인사팀 퇴사 통보
2. IT팀 계정 권한 검토
3. 계정 비활성화 (최종 퇴일)
4. 30일 후 계정 삭제

정기적 계정 검토: 분기별 1회 이상 불필요한 계정 검토 및 삭제
자동화된 계정 관리: 계정 생성/만료 자동화 도구 활용 고려
감사 로그 확인: 계정별 활동 로그를 정기적으로 검토하여 비정상적인 활동 탐지
공유 계정 금지 정책: 1인 1계정 사용을 강제하는 보안 정책 수립 및 교육