SELinux의 작동 원리는 어떻게 되나요?

Q1: SELinux란 무엇인가요?
A1: SELinux(Security-Enhanced Linux)는 리눅스 커널에 통합된 보안 모듈로, 강제 접근 제어(MAC, Mandatory Access Control)를 구현하여 시스템의 보안을 강화합니다.

Q2: SELinux는 어떻게 작동하나요?
A2: SELinux는 프로세스, 사용자, 파일, 네트워크 포트 등 시스템 객체에 대해 보안 정책을 적용합니다. 각 객체와 행위에 대해 미리 정의된 정책을 기반으로 접근 허용 또는 거부를 결정하며, 권한을 엄격히 제한합니다.

Q3: SELinux의 핵심 구성 요소는 무엇인가요?
A3:
- 보안 정책(Security Policy): 자원에 대한 접근 규칙을 정의합니다.
- 보안 컨텍스트(Security Context): 프로세스와 객체에 할당된 식별자(사용자, 역할, 타입 등)로, 정책 적용 시 기준이 됩니다.
- 모듈(Policy Modules): 정책 세부 사항을 모듈 단위로 관리합니다.
- SELinux 커널 모듈: 접근 제어를 실시간으로 적용하는 부분입니다.

Q4: SELinux는 접근을 어떻게 제어하나요?
A4: SELinux는 대상 객체와 요청 주체(프로세스 등)의 보안 컨텍스트를 비교하고, 보안 정책에 정의된 규칙에 따라 접근 권한을 판단해 허용 또는 거부합니다. 이 과정은 커널 레벨에서 강제되며, 오직 명시된 권한만 허용됩니다.

Q5: SELinux의 보안 컨텍스트는 어떤 정보를 포함하나요?
A5: 보안 컨텍스트는 일반적으로 다음과 같은 요소를 포함합니다: 사용자(user), 역할(role), 유형(type), 수준(level). 예를 들어, `user_u:role_r:type_t:s0` 형태로 표현됩니다.
Q6: SELinux의 주요 동작 모드는 무엇인가요?
A6:
- Enforcing: 정책을 강제로 적용하여 위반 시 접근을 차단합니다.
- Permissive: 정책 위반을 차단하지 않고 로그만 기록합니다.
- Disabled: SELinux 기능이 비활성화됩니다.

Q7: SELinux가 접근을 차단하면 어떻게 알 수 있나요?
A7: SELinux는 차단된 이벤트를 system 로그(`/var/log/audit/audit.log` 또는 `dmesg`)에 기록합니다. 이 로그를 확인하면 어떤 요청이 왜 거부되었는지 분석할 수 있습니다.

Q8: SELinux의 장점은 무엇인가요?
A8: 시스템 서비스나 애플리케이션에 대해 최소 권한 원칙을 강제해 취약점 악용을 방지하며, 루트 권한이 탈취되어도 피해 범위를 제한하는 등 보안을 크게 향상시킵니다.

Q9: SELinux 정책은 어떻게 작성되나요?
A9: SELinux 정책은 특정 언어(Policy Language)를 사용해 작성하며, 사용자와 서비스 유형에 맞게 접근 권한을 상세히 정의합니다. 보통 정해진 모듈 형식으로 관리하며, 정책 컴파일 후 커널에 로드됩니다.

Q10: SELinux 사용 시 주의할 점은 무엇인가요?
A10: 정책 설정이 너무 엄격하면 정상 동작이 차단될 수 있으므로 정책 조정과 로그 모니터링이 필수입니다. 또한, SELinux 동작 모드(Enforcing vs Permissive)를 상황에 맞게 선택하며, 충분히 테스트하는 것이 중요합니다.

SELinux(Security-Enhanced Linux)는 리눅스 커널에 통합된 보안 모듈로, 시스템의 보안을 강화하기 위해 Mandatory Access Control(MAC) 방식을 사용합니다.

SELinux는 시스템의 프로세스와 파일에 대한 접근 권한을 세밀하게 제어하여, 악성 코드나 비정상적인 행동으로부터 시스템을 보호하는 데 도움을 줍니다.

SELinux의 작동 원리는 다음과 같은 주요 요소로 구성됩니다.

1. 보안 정책 SELinux는 보안 정책을 기반으로 작동합니다.

이 정책은 시스템에서 어떤 프로세스가 어떤 자원에 접근할 수 있는지를 정의합니다.

SELinux는 기본적으로 세 가지 모드로 작동합니다: - Enforcing 모드 : SELinux 정책이 강제로 적용되며, 정책에 위배되는 모든 접근 시도가 차단됩니다.

- Permissive 모드 : SELinux 정책이 적용되지만, 위반 사항은 차단되지 않고 로그에 기록됩니다.

주로 정책을 테스트할 때 사용됩니다.

- Disabled 모드 : SELinux가 비활성화되어 모든 접근이 허용됩니다.



2. 주체와 객체 SELinux는 주체(subject)와 객체(object)라는 두 가지 개념을 사용하여 접근 제어를 수행합니다.

주체는 시스템에서 작업을 수행하는 프로세스나 사용자이며, 객체는 파일, 디렉토리, 네트워크 포트 등 시스템 자원입니다.

SELinux는 주체가 객체에 접근할 때, 해당 주체와 객체에 대한 보안 컨텍스트를 비교하여 접근을 허용하거나 차단합니다.



3. 보안 컨텍스트 각 주체와 객체는 보안 컨텍스트(security context)를 가지고 있습니다.

보안 컨텍스트는 주체와 객체의 보안 속성을 정의하는 문자열로, 일반적으로 다음과 같은 형식을 가집니다: ``` user:role:type:level ``` - user : 주체의 사용자 정보 - role : 주체의 역할 - type : 객체의 유형 - level : 보안 레벨 (옵션) 이러한 보안 컨텍스트는 SELinux가 접근 제어 결정을 내리는 데 중요한 역할을 합니다.



4. 접근 제어 결정 SELinux는 주체와 객체의 보안 컨텍스트를 기반으로 접근 제어 결정을 내립니다.

이 과정은 다음과 같은 단계로 이루어집니다: 1. 정책 조회 : SELinux는 주체와 객체의 보안 컨텍스트를 확인하고, 해당 정책을 조회합니다.



2. 결정 : 정책에 따라 주체가 객체에 접근할 수 있는지 여부를 결정합니다.

이 과정에서 SELinux는 주체의 권한과 객체의 요구 사항을 비교합니다.



3. 행동 수행 : 접근이 허용되면 요청된 작업이 수행되고, 차단되면 해당 요청이 거부됩니다.



5. 로그 및 감사 SELinux는 모든 접근 시도와 정책 위반 사항을 로그에 기록합니다.

이는 시스템 관리자가 보안 문제를 진단하고, 정책을 조정하는 데 유용합니다.

SELinux의 로그는 `/var/log/audit/audit.log` 파일에서 확인할 수 있으며, 이를 통해 어떤 프로세스가 어떤 자원에 접근하려 했는지, 그리고 왜 차단되었는지를 파악할 수 있습니다.



6. 정책 관리 SELinux 정책은 시스템 관리자가 필요에 따라 수정할 수 있습니다.

기본적으로 제공되는 정책 외에도, 사용자가 특정 애플리케이션이나 서비스에 맞게 정책을 작성하거나 수정할 수 있습니다.

이를 통해 시스템의 보안을 더욱 강화할 수 있습니다.

결론 SELinux는 리눅스 시스템의 보안을 강화하기 위한 강력한 도구입니다.

주체와 객체에 대한 세밀한 접근 제어를 통해, 시스템의 무결성과 기밀성을 유지하는 데 기여합니다.

그러나 SELinux의 복잡한 정책과 설정은 관리자가 충분한 이해를 가지고 있어야 효과적으로 운영할 수 있습니다.

SELinux를 적절히 활용하면, 시스템의 보안을 한층 더 강화할 수 있습니다.