SELinux에서 로그 파일의 위치는 어디인가요?

SELinux FAQ: 로그 파일 위치 및 확인 방법

Q1. SELinux 이벤트(AVC Denial) 로그는 어디에 저장되나요?
A1. 일반적으로 auditd가 설치·동작 중이면
• /var/log/audit/audit.log

Q2. auditd가 없거나 비활성화된 경우 SELinux 로그는 어디에 기록되나요?
A2.
• RHEL/CentOS 계열: /var/log/messages
• Debian/Ubuntu 계열: /var/log/syslog
• systemd 환경: journalctl -k | grep AVC

Q3. systemd 기반 시스템에서 SELinux 로그를 실시간으로 보는 방법은?
A3.
• journalctl -f -k --grep=AVC
• journalctl -t setroubleshoot

Q4. setroubleshoot 데몬 관련 로그는 어디에 있나요?
A4. setroubleshoot 자체 로그 파일은 따로 없으며, AVC 메시지를 읽어
• /var/log/messages 또는 journal에 요약된 형태로 남깁니다.
Q5. 과거 특정 시점의 AVC 로그만 검색하려면?
A5. ausearch 도구를 사용합니다.
• ausearch -m AVC --start today
• ausearch -m AVC --start 2024-06-01 --end 2024-06-10

Q6. audit 로그 회전(로그 로테이션) 설정은 어디서 하나요?
A6.
• /etc/audit/auditd.conf: max_log_file, num_logs, max_log_file_action
• /etc/logrotate.d/audit 또는 rsyslog/syslog 로테이트 설정

Q7. SELinux 로그 수준(verbosity)을 높이려면?
A7. /etc/audit/rules.d/ 또는 /etc/audit/audit.rules 에 audit 규칙을 추가합니다.
예) -a always,exit -F arch=b64 -S open -F success=0 -k access_denied

Q8. SELinux 로그 분석·대응 도구는?
A8.
• sealert (setroubleshoot-server)
• ausearch, aureport, audit2why, audit2allow
• semanage fcontext, restorecon 등 정책 수정 툴

SELinux(Security-Enhanced Linux)는 Linux 운영 체제에서 보안을 강화하기 위해 개발된 모듈로, 접근 제어를 통해 시스템의 보안을 높이는 역할을 합니다.

SELinux는 다양한 보안 정책을 적용하여 프로세스와 파일 간의 상호작용을 제어합니다.

이러한 기능을 통해 시스템의 무결성과 기밀성을 유지할 수 있습니다.

SELinux의 작동 및 정책 적용 과정에서 발생하는 이벤트와 오류는 로그 파일에 기록됩니다.

SELinux 관련 로그 파일의 위치는 일반적으로 다음과 같습니다: 1. /var/log/audit/audit.log : SELinux의 주요 로그 파일로, SELinux가 적용된 모든 접근 시도와 정책 위반 사항이 기록됩니다.

이 파일은 auditd 서비스에 의해 생성되며, SELinux의 동작을 모니터링하고 문제를 진단하는 데 유용합니다.

로그 파일에는 어떤 프로세스가 어떤 파일에 접근하려 했는지, 그리고 그 접근이 허용되었는지 또는 거부되었는지에 대한 정보가 포함됩니다.



2. /var/log/messages : 이 파일은 시스템의 일반적인 로그를 포함하고 있으며, SELinux와 관련된 경고 메시지나 오류도 포함될 수 있습니다.

SELinux가 정책을 위반했을 때, 그에 대한 경고가 이 로그에 기록될 수 있습니다.



3. /var/log/secure : 이 로그 파일은 보안 관련 이벤트를 기록합니다.

SELinux와 관련된 인증 실패나 권한 문제와 같은 보안 관련 메시지가 포함될 수 있습니다.



4. /var/log/selinux : 일부 배포판에서는 SELinux 관련 로그를 별도로 관리하기 위해 이 디렉토리를 사용할 수 있습니다.

이 디렉토리 내에는 SELinux의 정책 적용과 관련된 다양한 로그 파일이 있을 수 있습니다.

SELinux 로그를 분석하는 것은 시스템의 보안을 유지하고, 정책을 조정하며, 잠재적인 보안 위협을 식별하는 데 매우 중요합니다.

로그 파일을 정기적으로 검토하고, 필요한 경우 SELinux 정책을 수정하여 시스템의 보안을 강화하는 것이 좋습니다.

로그 파일의 내용을 확인하기 위해 `ausearch`와 `auditctl` 같은 도구를 사용할 수 있으며, `sealert` 명령어를 통해 SELinux 관련 경고를 보다 쉽게 분석할 수 있습니다.

이러한 도구들은 SELinux의 로그를 보다 쉽게 이해하고, 문제를 해결하는 데 도움을 줍니다.

SELinux의 로그 파일은 시스템 보안을 모니터링하고 문제를 진단하는 데 중요한 역할을 하며, 이를 통해 시스템 관리자는 SELinux의 정책을 효과적으로 관리하고 조정할 수 있습니다.