리눅스 커널에 보안 기능은 무엇이 있나요?

Q1. 리눅스 커널 보안 기능이란 무엇인가요?
A1. 리눅스 커널 보안 기능은 프로세스·파일·메모리·네트워크 등 시스템 자원에 대한 접근을 제어하고 불법 조작을 방지하기 위한 다양한 메커니즘을 뜻합니다. 주로 다음 세 가지 목표를 가집니다.
1. 기밀성(Confidentiality) – 권한 없는 사용자의 정보 접근 방지
2. 무결성(Integrity) – 시스템·데이터 변조 방지
3. 가용성(Availability) – 시스템 자원 고갈 공격 방지

Q2. Linux Security Modules(LSM)이란 무엇이며 어떤 것이 있나요?
A2. LSM은 커널 내부에 보안 훅을 삽입해 추가 보안 정책을 구현할 수 있는 모듈 프레임워크입니다. 대표 모듈은 다음과 같습니다.
• SELinux(Security-Enhanced Linux)
– 강력한 MAC(강제 접근 제어) 정책
– type·role·user 기반 라벨링
• AppArmor
– 경로 기반 프로필
– 사용·설정이 상대적으로 간단
• Smack(Simple Mandatory Access Control Kernel)
– 단순 라벨링, 경량화된 MAC
• TOMOYO Linux
– 동적 정책 학습 기능
• 기타: PAX/grsecurity, eBPF 기반 보안 확장 등

Q3. seccomp(secure computing mode)란 무엇인가요?
A3. seccomp는 프로세스가 호출할 수 있는 시스템 콜을 제한해 취약점 악용(예: ROP 등) 공격을 방지합니다. 두 가지 모드가 있습니다.
1. seccomp strict: read, write, exit, sigreturn 네 가지만 허용
2. seccomp-BPF: BPF 필터를 이용해 세밀한 시스템 콜 제어

Q4. 리눅스 기능별 분리: capabilities는 무엇인가요?
A4. 전통적으로 ‘root’ 권한으로만 가능했던 작업(포트 바인딩, 프로세스 우선순위 변경 등)을 40여 개의 세부 권한(capabilities)으로 쪼개 시스템 콜 단위로 부여·회수합니다.
• 예: CAP_NET_BIND_SERVICE, CAP_SYS_ADMIN, CAP_SETUID 등

Q5. 네임스페이스(namespaces)와 cgroups(컨트롤 그룹)는 어떻게 보안을 강화하나요?
A5.
• 네임스페이스: PID·네트워크·마운트·UTS·IPC·사용자·Cgroup 등 자원 시야를 분리해 컨테이너 격리 제공
• cgroups: CPU·메모리·IO 사용량 제한 및 우선순위 제어로 자원 고갈 공격(DoS) 완화

Q6. 커널 하드닝(hardening) 기법은 어떤 것이 있나요?
A6.
1. KASLR(Kernel Address Space Layout Randomization) – 커널 이미지·모듈 주소 무작위화
2. NX(Bit: No-eXecute) – 데이터 영역 실행 차단 3. SMEP/SMAP – 커널이 사용자 공간 메모리 실행·접근 금지
4. Stack Protector(canary) – 함수 반환주소 변조 탐지
5. CONFIG_DEBUG_RODATA – .rodata 영역 읽기 전용 강제
6. Retpoline – Spectre 취약점 완화

Q7. 커널 모듈 서명(Module Signing)은 왜 중요한가요?
A7.
• 서명되지 않은 모듈 로드를 차단해 악성 모듈 삽입 방지
• UEFI Secure Boot 환경에서 커널 확장 무결성 보장

Q8. 감사(audit) 서브시스템은 무엇을 제공하나요?
A8.
• 사용자 로그인·정책 위반·시스템 콜 호출 내역 등 행위 로깅
• auditd 데몬 연동으로 실시간 모니터링·정책 알림

Q9. IMA(Integrity Measurement Architecture)·EVM(EVM: Extended Verification Module)이란?
A9.
• IMA: 파일·바이너리 해시를 측정·저장하여 부팅 시점부터 무결성 보장
• EVM: 파일 메타데이터(소유자·권한) 위변조 방지해 무결성 확장

Q10. Kernel Lockdown 모드는 무엇인가요?
A10.
• Secure Boot이 활성화된 시스템에서 커널이 ‘lockdown’ 상태로 진입
• /dev/mem 접근 제한, kexec 커널 교체 금지, 모듈 언로드·커널 디버깅 인터페이스 차단

Q11. 파일시스템·디스크 암호화 기능은 어떤 것이 있나요?
A11.
• dm-crypt/LUKS: 전체 블록 장치 암호화
• fscrypt: ext4·f2fs·ubifs 수준에서 파일 단위 암호화
• swap 암호화: 암호화된 스왑 파티션 지원

Q12. 기타 유용 보안 기능은 무엇이 있나요?
A12.
• Yama: ptrace attach 제한으로 프로세스 도청 방지
• Randomize_va_space(ASLR): 사용자 공간 메모리 무작위화
• eBPF 보안 관제: 네트워크·시스템 콜 모니터링·제어 기능 확장
• audit eventtrigger: 의심 스레드·프로세스 자동 격리 조치

각 기능은 단독으로도 유용하지만, 보안 요구사항에 맞춰 조합·설정할 때 최적의 보호효과를 발휘합니다.

리눅스 커널은 보안을 강화하기 위해 여러 가지 기능과 메커니즘을 제공합니다.

이러한 기능들은 시스템의 무결성, 기밀성 및 가용성을 보장하는 데 도움을 줍니다.

주요 보안 기능은 다음과 같습니다: 1. 사용자 및 그룹 권한 : 리눅스는 사용자와 그룹을 기반으로 한 접근 제어 모델을 사용합니다.

각 파일이나 프로세스에 대한 접근 권한이 일반 사용자, 그룹 사용자, 그리고 관리자(root)로 나눠져 있어, 최소 권한 원칙을 적용할 수 있습니다.



2. SELinux (Security-Enhanced Linux) : SELinux는 미국 국가안전보장국(NSA)에서 개발한 보안 모듈로, 강제 접근 제어(MAC)를 통해 시스템 리소스에 대한 세밀한 통제를 가능하게 합니다.

프로세스와 파일 간의 상호작용을 정책에 따라 규제합니다.



3. AppArmor : AppArmor는 프로그램별로 프로파일을 설정하여 해당 프로그램이 접근할 수 있는 리소스와 권한을 제한합니다.

사용자 친화적인 정책 설정이 특징입니다.



4. Linux Security Modules (LSM) : LSM은 다양한 보안 기능을 구현할 수 있는 프레임워크를 제공합니다.

SELinux, AppArmor, Smack 등 여러 보안 모듈을 지원하여 필요에 따라 기능을 추가할 수 있습니다.



5. cgroup (Control Groups) : cgroup은 프로세스 그룹의 자원 사용을 제한하고 추적할 수 있게 해줍니다.

이를 통해 특정 프로세스의 CPU, 메모리, I/O 대역폭 등을 제한하여 과도한 자원 사용으로 인한 서비스 거부 공격(DoS)을 방지합니다.



6. chroot : chroot 시스템 호출은 프로세스의 루트 디렉토리를 변경하여 특정 프로세스가 파일 시스템의 다른 부분에 접근하지 못하게 합니다.

이는 제한된 환경에서 실행되도록 하여 보안을 강화합니다.



7. 커널 주소 공간 혼합 (KASLR) : KASLR은 커널의 메모리 주소를 매번 랜덤화하여 공격자가 커널 메모리에 대한 주소 정보를 예측하기 어렵게 만듭니다.

이는 메모리 기반 공격으로부터 보호합니다.



8. NX 비트 (Non-Executable Bit) : NX 비트는 특정 메모리 영역을 실행 불가능하게 만들어 버퍼 오버플로우 같은 공격을 방지합니다.

실행할 수 없는 코드가 있는 메모리 공간에 대한 접근이 제한됩니다.



9. 스택 가드(Stack Guard/QWitness) : 스택 가드는 스택 오버플로우 공격을 방지하기 위해 스택을 보호하기 위한 기술입니다.

스택 변수와 반환 주소를 검증하여 공격을 차단합니다.



10. 로그 및 감사 기능 : 리눅스는 시스템 활동을 모니터링하고 기록할 수 있는 다양한 도구를 제공합니다.

Auditd 같은 감사 데몬은 보안 관련 사건을 기록하고 분석하는 데 도움이 됩니다.

이러한 보안 기능들은 함께 운영되어 리눅스 시스템을 보다 안전하게 유지합니다.

그러나 기초적인 보안 원칙(인증, 권한 관리, 네트워크 보안 등을 포함)은 항상 함께 고려되어야 합니다.