No description
de51d1c3d4
적대적 보안 감사에서 확정된 medium 6건 보완 (critical/high 0): - systemd 유닛(양 노드): NoNewPrivileges + ProtectSystem=strict/ ProtectHome=read-only/ProtectKernel*/ProtectControlGroups/RestrictSUIDSGID/ LockPersonality/RestrictRealtime/RestrictAddressFamilies(+AF_NETLINK) 샌드박싱. - harden_pi.sh: SSH 차단을 마지막 단계([6/6])로 재정렬 — 앞 단계 실패 시 set -e 로 SSH 가 살아있는 상태에서 중단(원격 복구 가능). nftables·unattended-upgrades 를 오프라인(debs/ --no-download)으로도 설치 지원(폐쇄망 harden). 미발견 secret 경고. - install.sh(양 노드): config_local.py 설치 즉시 chmod 600 (harden 전 노출창 제거). - vendor.sh(양 노드): .deb 를 파일명이 아닌 dpkg-deb Architecture 필드로 실검사 (arm64/all 만 허용, 그 외 hard-fail). nftables·unattended-upgrades 를 번들에 포함. 검증(3-리뷰어 워크플로)이 잡은 회귀 동반 수정: - [critical] ProtectHome=read-only 가 lgpio 의 작업디렉터리(.lgd-nfy 파이프) 쓰기를 막아 add_event_detect(누수 인터럽트 등록) 실패 → 데몬 크래시루프 → 감지 불능. Environment=LG_WD=/tmp 로 PrivateTmp 쓰기가능 /tmp 이동(누수 노드 한정, SHT30 무관). - [medium] 오프라인 설치에 --no-install-recommends 추가(vendor --no-recommends 정합, 네트워크 폴백 방지) — install.sh x2 + harden_pi.sh. - SupplementaryGroups=video gpio 명시 · nft|head 에 ||true(SIGPIPE 중단 방지) · online harden 분기에 apt-get update. ※ 온디바이스 런타임 테스트 1회 필요(빌드머신 Windows 에선 systemd 실행 불가): 실 Pi 에서 systemctl start 후 add_event_detect 콜백·카메라 촬영·업로드 정상 확인. |
||
|---|---|---|
| .claude | ||
| .tours | ||
| docs | ||
| firmware | ||
| php | ||
| raspberry_pi4 | ||
| raspberry_pi4_sht30 | ||
| scripts | ||
| sql | ||
| tests | ||
| tools | ||
| (20260518)_IoT_기반_모니터링_체계_구축을_위한_보안대책서.hwp | ||
| (Y수정)_(20260520)_IoT_기반_모니터링_체계_구축을_위한_보안대책서.hwp | ||
| (Y수정)_(20260528)_IoT_기반_모니터링_체계_구축을_위한_보안대책서.hwp | ||
| .gitignore | ||
| CHANGELOG.md | ||
| PR_BODY.md | ||
| README.md | ||
| report_leak_detection_system.md | ||
| run_tests.sh | ||
| SYSTEM_OVERVIEW.md | ||
| VERSION | ||
서버실 통합 모니터링 시스템 (누수 + 온습도)
Raspberry Pi 4 센서 모듈 2대 — 1번: 누수 감지 + 카메라, 2번: SHT30 온습도 — 와
선택적 3번째 노드(신규 지점, sensor_id 3)가 동일한 cafe24 PHP 서버로 HTTPS 보고
(raw-body 서명 X-Signature = HMAC-SHA256(API_KEY, 요청본문))를 하고, 서버가 MySQL 저장,
임계/누수 판정, SMS 발송, 통합 대시보드(dashboard.php) 표시를 담당하는 단일 시스템입니다.
모듈 구성
| 폴더 | 역할 | sensor_id |
|---|---|---|
raspberry_pi4/ |
누수 감지(e-con 5C-08) + Pi Camera 촬영·사진 업로드 | 1 (신규 지점 노드는 3) |
raspberry_pi4_sht30/ |
SHT30 온습도 측정(I2C) | 2 |
php/ |
cafe24 서버 — API 수신, DB 저장, 판정/SMS, 대시보드 | — |
sql/ |
DB 스키마(schema_sht30.sql = 신규 설치 완결) + 마이그레이션 |
— |
firmware/ |
STM32F407 마이그레이션 트랙(별도) — RPi4 배포와 무관 | — |
문서
- SYSTEM_OVERVIEW.md — 전체 아키텍처·모듈 매핑·서명 스킴 (기준 문서)
- docs/DEPLOYMENT_PLAN_RPI4x3.md — RPi4 × 3 + cafe24 신규 설치 배포 계획
- docs/INSTALL_PI_SERVER.md — cafe24 서버 설치 절차 (STM32 펌웨어 중심)
- docs/OPERATIONS_SECURITY_CHECKLIST.md — 운영·보안 체크리스트