SELinux에서 네트워크 접근을 제어하는 방법은 무엇인가요?

Q1: SELinux에서 네트워크 접근 제어란 무엇인가요?
A1: SELinux는 시스템 보안을 위해 프로세스와 파일, 네트워크 자원에 대해 엄격한 접근 제어를 구현합니다. 네트워크 접근 제어는 특정 프로세스가 네트워크에 접근할 수 있는 권한을 정의하는 것으로, 이를 통해 비인가 네트워크 연결과 데이터 전송을 차단합니다.

Q2: SELinux에서 네트워크 접근 권한은 어떻게 구분되나요?
A2: SELinux는 도메인(domain)과 타입(type)이라는 개념을 사용하며, 네트워크 접근은 보통 도메인의 네트워크 권한으로 설정됩니다. 예를 들어, 프로세스 도메인에 `allow` 규칙을 통해 특정 포트나 프로토콜(TCP/UDP)에 대한 송수신 권한을 부여합니다.

Q3: 네트워크 접근 권한을 확인하는 명령어는 무엇인가요?
A3: `semanage port -l` 명령어로 SELinux가 관리하는 포트와 서비스 정보를 볼 수 있고, `semanage boolean -l | grep network`를 통해 네트워크 관련 boolean 설정도 확인할 수 있습니다. 또한 `getsebool`과 `setsebool`로 네트워크 관련 boolean 값을 조회하거나 변경할 수 있습니다.

Q4: SELinux boolean 설정으로 네트워크 접근을 제어할 수 있나요?
A4: 네, SELinux booleans는 네트워크 접근 허용 범위를 동적으로 제어할 수 있는 설정입니다. 예를 들어, `httpd_can_network_connect` boolean을 활성화하면 Apache 웹서버가 네트워크 연결을 할 수 있게 됩니다. 이를 통해 서비스별 네트워크 권한을 유연하게 관리할 수 있습니다.

Q5: 특정 포트에 대한 네트워크 접근 권한을 부여하려면 어떻게 해야 하나요?
A5: `semanage port -a -t [type] -p [tcp|udp] [port번호]` 명령어로 SELinux 정책에 포트를 추가하거나, 기존 타입과 포트 매핑을 수정할 수 있습니다. 예를 들어, 특정 도메인에서 사용하는 포트를 SELinux가 인식하도록 설정해 네트워크 접속을 허용합니다.

Q6: 네트워크 관련 접근 거부가 발생했을 때 문제를 진단하는 방법은?
A6: `/var/log/audit/audit.log` 또는 `journalctl` 명령어로 SELinux 감사 로그를 확인하고, `ausearch` 또는 `sealert` 도구를 사용해 어떤 접근이 거부되었는지 상세 원인을 분석합니다. 이를 통해 필요한 정책 수정이나 boolean 조정을 할 수 있습니다.
Q7: SELinux 정책 파일에서 네트워크 접근을 제어하는 부분은 어디인가요?
A7: 정책 파일 내 `allow` 규칙에서 네트워크 관련 권한(`name_connect`, `tcp_socket`, `udp_socket` 등)을 명시합니다. 직접 정책을 수정하거나 모듈을 추가하여 특정 네트워크 자원 접근을 허용하거나 거부할 수 있습니다.

Q8: SELinux에서 기본으로 네트워크 접근이 차단되는 경우는 언제인가요?
A8: 기본 SELinux 정책은 보안성을 위해 많은 네트워크 접근 권한을 제한합니다. 예를 들어, 웹서버가 외부로 네트워크 연결을 시도할 경우 기본적으로 차단되며, 관련 boolean이나 정책을 명시적으로 활성화해야 합니다.

Q9: SELinux 네트워크 접근 설정 변경 후 정책을 재적용하는 방법은?
A9: 정책 변경 후 `semodule -i [모듈파일]`로 정책을 다시 적용하거나, boolean 설정 변경 시 `setsebool -P [boolean명] on/off`로 영구 적용합니다. 필요 시 시스템 재부팅 없이 정책 변경 사항이 즉시 반영됩니다.

Q10: SELinux 네트워크 관련 boolean 주요 예시는 무엇인가요?
A10:
- `httpd_can_network_connect`: HTTPD가 네트워크 연결 허용
- `nis_enabled`: NIS 클라이언트 네트워크 사용 허용
- `ssh_use_tcpd`: SSH 접근 제어
- `selinuxuser_tcp_server`: SELinux 사용자 도메인에서 TCP 서버 실행 허용 등

이 boolean들은 `getsebool -a | grep network` 명령어로 확인할 수 있습니다.

SELinux(보안 강화 리눅스)는 리눅스 커널의 보안 모듈로, 시스템의 보안을 강화하기 위해 프로세스와 파일에 대한 접근 제어를 제공합니다.

SELinux는 Mandatory Access Control(MAC) 모델을 기반으로 하며, 이를 통해 네트워크 접근을 포함한 다양한 리소스에 대한 세밀한 제어가 가능합니다.

SELinux에서 네트워크 접근을 제어하는 방법은 다음과 같습니다.

1. SELinux 정책 이해하기 SELinux는 정책 파일을 통해 시스템의 보안 규칙을 정의합니다.

이러한 정책은 프로세스가 어떤 리소스에 접근할 수 있는지를 결정합니다.

네트워크 접근 제어는 주로 다음과 같은 요소로 구성됩니다: - 도메인 : 프로세스가 실행되는 환경을 정의합니다.

각 프로세스는 특정 도메인에서 실행되며, 이 도메인에 따라 접근 권한이 결정됩니다.

- 타겟 : 네트워크 서비스나 포트와 같은 리소스를 정의합니다.

SELinux는 특정 도메인이 어떤 타겟에 접근할 수 있는지를 규정합니다.



2. 네트워크 포트와 서비스 정의 SELinux는 네트워크 포트와 서비스에 대한 접근을 제어하기 위해 `semanage` 명령어를 사용합니다.

이 명령어를 통해 특정 포트에 대한 SELinux 컨텍스트를 설정할 수 있습니다.

예를 들어, HTTP 서비스가 사용하는 포트를 정의하려면 다음과 같은 명령어를 사용할 수 있습니다: ```bash semanage port -a -t http_port_t -p tcp 8080 ``` 위 명령어는 TCP 프로토콜의 8080 포트를 HTTP 서비스에 할당합니다.



3. SELinux 모드 설정 SELinux는 세 가지 모드를 지원합니다: - Enforcing : SELinux 정책이 강제로 적용됩니다.

모든 접근이 정책에 의해 제어되며, 위반 시 접근이 차단됩니다.

- Permissive : SELinux 정책이 적용되지만, 위반 사항이 로그에 기록됩니다.

이 모드는 정책을 테스트할 때 유용합니다.

- Disabled : SELinux가 비활성화됩니다.

네트워크 접근 제어를 테스트할 때는 `Permissive` 모드를 사용하여 어떤 접근이 차단되는지를 확인할 수 있습니다.



4. 로그 및 감사 SELinux는 접근 제어 위반 사항을 `/var/log/audit/audit.log` 파일에 기록합니다.

이 로그를 분석하여 어떤 프로세스가 어떤 리소스에 접근하려고 했는지를 확인할 수 있습니다.

`audit2allow` 도구를 사용하면 로그를 기반으로 새로운 정책을 생성할 수 있습니다.

```bash cat /var/log/audit/audit.log | audit2allow -M mypol ``` 위 명령어는 로그를 분석하여 `mypol`이라는 새로운 정책 모듈을 생성합니다.



5. 정책 수정 및 사용자 정의 기본 SELinux 정책 외에도 사용자 정의 정책을 작성하여 특정 요구 사항에 맞게 네트워크 접근을 제어할 수 있습니다.

정책 파일은 `.te` 확장자를 가지며, 이를 컴파일하여 모듈로 만들 수 있습니다.

```bash checkmodule -M -m -o mypolicy.mod mypolicy.te semodule_package -o mypolicy.pp -m mypolicy.mod semodule -i mypolicy.pp ``` 이 과정을 통해 사용자 정의 정책을 시스템에 적용할 수 있습니다.



6. SELinux와 방화벽 통합 SELinux는 방화벽과 함께 사용하여 네트워크 접근을 더욱 강화할 수 있습니다.

예를 들어, iptables나 firewalld와 같은 방화벽 도구를 사용하여 특정 포트에 대한 접근을 차단하고, SELinux를 통해 해당 포트에 대한 서비스의 접근을 제어할 수 있습니다.

결론 SELinux는 네트워크 접근을 세밀하게 제어할 수 있는 강력한 도구입니다.

정책을 이해하고, 포트와 서비스에 대한 설정을 조정하며, 로그를 분석하고, 필요에 따라 사용자 정의 정책을 작성함으로써 시스템의 보안을 강화할 수 있습니다.

SELinux를 효과적으로 활용하면 네트워크 서비스의 안전성을 높이고, 잠재적인 공격으로부터 시스템을 보호할 수 있습니다.