[MIP-541] 안랩 TrusLine 보안제품 설치된 곳에서의 MCCS 정상동작 유무

Owned by 양희덕
Last updated: 2015/11/18
2 min read

Subject
안랩 TrusLine 보안제품 설치된 곳에서의 MCCS 정상동작 유무

APPLIES TO:
Windows 2003 x86, MCCS All Version, Ahnlab TrusLine



SYMPTOMS
TrusLine 서버에서 정책을 설정하고(제외 폴더나 파일 또는 IP, Port 등) 서버에서 정책을 TrusLine Agent 가 설치된 클라이언트에 일방적으로 적용함.

TrusLine 에는 3가지 모드가 있음.
1. Lock 모드
: TrusLine 에 등록된 실행파일만의 실행.
2. IP 모드
: 특정 IP Address 만 통신가능하게 제어
3. Port 모드
: 특정 포트만 통신가능하게 제어.
3개의 모드는 각각 독립적으로 동작하며 각각의 조합으로 정책이 수립됨.

사전에 TrusLine 에 등록된 제외영역


1) Lock 모드
%MCCS_HOME% 및 기타 하위 모든 폴더
2) IP 모드
MCCS 에서 사용하는 HeartBeat, VIP
3) Port 모드
MCCS : 4321 ~ 4324(TCP, UDP)
DK : 137 UCP, 138 UCP, 139 TCP, 445 TCP, 9999 TCP, 10004 TCP

5/31 김봉현대리와 동행 하여 각각의 모드에 대해서 테스트(각각의 모드 테스트는 다른 모드와 베타적으로 테스트 함.)
1. ""IP 모드"" 제어는 특별한 이슈 없이 정상동작 확인.
2. Lock 모드 테스트


1) %MCCS_HOME% 폴더와 개별 모든 폴더를 TrusLine 에 제외 대상으로 등록시킴
2) MccsConsole 이 구동되지 않음.

3. Port 모드 테스트


1) MccsConsole 실행 후 Local IP(127.0.0.1) 로 접속 후 약 1초 후에 끊어지는 현상 발견



SOLUTION
2가지 이슈
1. MccsConsole 에 Lock 모드에서 구동 안됨
원인 :
%MCCS_HOME% 폴더를 TrusLine 에 등록을 했지만, 시작이 안되는 이유는 Mccs~~~.jar 파일이 콘솔 구동시 사용되는 dll 파일이 운영체제의 사용자 임시 디렉토리에 파일을 풀고 사용하도록 되어 있어서 현상이 발생함.

해결 :
TrusLine 에 %MCCS_HOME% 을 제외 폴더로 등록하지 않고, MccsConsole.exe 를 제외 프로세스로 등록함.

2. 콘솔과 서버가 최초 접속 후 약 1초 이내에 끊어지는 현상 발생
원인 :
최초 콘솔과 서버가 특정포트(HeartBeat 시작 포트 + 3) 로 접속 후에 다시 RMI 통신 포트를 다이나믹하게 여는데 이것이 랜덤하게 열리는 포트라서 TrusLine 에 등록을 할 수가 없어서 발생함

해결 :
특정포트(HeartBeat 시작포트 + 4) 로 RMI 통신 포트를 고정하게 해서 TrusLine 에 등록하여 사용할 수 있게 함
http://mantech.jira.com/browse/MCCSKEY-801