Linux Security Model (AppArmor, SELinux)

 

Linux Scurity Model은 리눅스 운영 체제에서 시스템 자원에 대한 접근 권한을 관리하고, 보안을 강화하기 위해 설계된 다양한 메커니즘을 의미함

=> 사용자, 프로세스, 파일, 네트워크 자원 간의 상호작용을 제어하고, 불법적인 접근이나 해킹을 방지하는 데 도움을 줌

 

Linux Security Mdoel은 크게 두 가지 주요 접근 제어 방식으로 나뉨

 

Discretionary Access Control (DAC)

 

DAC는 리눅스에서 가장 기본적인 보안 모델로

 

시스템 자원의 소유자가 파일이나 디렉토리 등의 자원에 대해 읽기, 쓰기, 실행 권한을 부여하거나 제한할 수 있음!

 

=> 파일 권한과 소유자 정보는 chmod, chown, chgrp 명령을 통해 관리 가능
(객체의 주체가 접근 여부를 결정하는 분산형 보안 관리)

 

여기서 객체는 임의의 파일 같은 시스템 자원이고 주체는 소유자 같은 자원에 접근하는 사용자나 프로세스로 볼 수 있음

 

• 장점
  • 간단하고 유연한 방식으로, 사용자가 파일 권한을 자유롭게 관리할 수 있음
  • 객체 (파일) 별 세분화된 접근 제어
• 단점
  • 보안상 취약할 수 있음 (파일 소유자가 다른 사용자에게 자유롭게 권한을 부여할 수 있기에 잘못된 설정으로 보안 위협 발생)

 

Mandatory Access Control (MAC)

 

MAC은 중앙 정책에 의해 자원에 대한 접근 권한이 강제되는 보안 모델임

 

=> 개별 사용자가 자신이 소유한 파일에 대해 권한을 마음대로 설정할 수 없고 시스템의 정책에 따라 접근이 통제됨

(관리자만이 접근 제어의 규칙을 설정, 변경할 수 있는 중앙집중형 보안관리)

이는 더 높은 보안 요구사항을 충족하기 위해 사용되며, 파일뿐만 아니라 프로세스, 네트워크 자원등 다양한 자원에 적용됨

 

• 장점
  • 매우 엄격한 보안
    
    
  • 모든 객체에 대한 관리가 용이
• 단점
  • 운영이 복잡함
    
    
  • 모든 접근에 대해 확인하므로 성능의 저하
    
    (DAC는 각 파일마다 미리 정의된 간단한 권한을 비교하지만, MAC은 모든 시스템 자원과 프로세스가 일관된 보안 정책에 따라 관리됨)

 

이런 MAC 시스템이 적용된 두 가지 대표적인 보안 프레임워크가 AppArmor 와 SELinux임!

 

SELinux (Security - Enhanced Linux)

 

NSA(미국 국가안보국) 에서 개발한 보안 프레임워크로, 시스템 자원에 대한 세밀한 접근 제어를 제공해줌

 

모든 파일, 프로세스, 네트워크 자원에 대해 보안 컨텍스트(라벨)를 할당하여 접근을 제어하는 방식

 

=> 정책 기반으로 운영되며, 보안 위반 시 이를 차단하고 로그를 기록함

 

보안 컨텍스트는 각 자원과 프로세스에 할당되며, 컨텍스트는 사용자, 역할, 유형, 보안 수준과 같은 정보를 포함

정책은 자원과 프로세스 간의 상호작용에 대한 규칙을 정의함

=> ex. 특정 프로세스가 어떤 파일에 접근할 수 있는지, 어떤 네트워크 포트를 열 수 있는지를 규정

 

allow httpd_t httpd_sys_content_t:file { read open };

 

위와 같이 규칙을 정해놓으면 httpd_t 프로세스가 httpd_sys_content_t 유형의 파일에 대해 읽기와 열기 권한을 허용하는 정책임

(SELinux에서는 보안 컨텍스트가 명시적으로 정의되지 않은 프로세스나 파일에 대해 기본적으로 모든 접근을 차단함)

 

순서를 살펴보면

 

1. 프로세스가 파일이나 네트워크 자원에 접근하려고 할 때, 시스템은 해당 요청을 커널로 전달함

 

2. 커널은 접근하려는 프로세스와 자원의 보안 컨텍스트를 확인함

 

(프로세스가 httpd_t 유형을 가지고 있고 파일이 httpd_sys_content_t 유형을 가진다면 해당 규칙에 따라 접근 허용 여부를 판단)

 

3. 커널은 정책 파일 (정책 데이터베이스)에서 미리 정의된 규칙을 참조하여, httpd_t 프로세스가 httpd_sys_content_t 파일에 대한 읽기 또는 열기 권한을 가지고 있는지 확인함

(정책 데이터베이스는 정책 파일이 컴파일된 후 시스템에 설치되면 커널에 의해 로드됨 => 커널은 이를 통해 시스템의 보안 규칙을 실시간으로 적용할 수 있음)

=> 보통 컴파일된 정책 모듈은 /etc/selinux/targeted/modules/active/ 이 경로에 저장됨

 

4. 정책에 따라 접근을 allow / deny 할지 결정함

(이 때 명시적으로 허용되지 않으면 접근은 deny)

 

AppArmor

Canonical에서 개발한 보안 프레임워크로, 경로 기반의 접근 제어를 제공해줌

 

프로세스가 파일 시스템에 접근할 수 있는 경로와 자원을 프로파일로 정의하여 제어함

 

=> 각 프로세스에 대해 프로파일을 작상하여, 해당 프로세스가 어떤 파일, 디렉토리, 네트워크 자원 등에 접근할 수 있는지를 정의

 

(경로 기반이므로, 자원의 경로를 기준으로 접근을 제어함)

 

예를 들어 /etc/passwd r 같이 규칙을 정해놓으면 해당 프로세스가 /etc/passwd 파일을 읽을 수 있음을 의미함

 

프로파일은 제한 모드(complain mode)와 강제 모드(enforce mode) 로 실행될 수 있는데 제한 모드에서는 정책 위반을 기록만 하고, 강제 모드에서는 정책 위반 시 접근을 차단함

 

정리해보자면 자원에 대한 접근 제어는 파일이나 디렉토리의 경로를 기준으로 이루어지고 프로세스는 허용된 경로의 자원에만 접근할 수 있음

(명시되지 않았으면 전부 deny)

 

AppArmor의 프로파일은 일반적으로 /etc/apparmor.d/ 디렉토리 아래에 위치함

이 디렉토리 안에는 정의해놓은 여러 프로파일들이 위치해있고 이를 기반으로 프로세스의 접근 요청을 처리함

(프로세스가 접근 요청을 할 때 AppArmor는 현재 활성화된 프로파일을 확인하여 접근할 수 있는 자원및 작업을 평가)

=> 프로파일을 수정한 후에는 변경 사항을 적용해야하기에 apparmor_parser 명령어에 -r 옵션을 사용하여 프로파일을 로드(프로파일 활성화) 해야함!

 

Linux Security Modules (LSM)

리눅스 커널에서 보안 기능을 확장할 수 있도록 제공되는 플러그인 인터페이스임

=> SELinux, AppArmor 등의 보안 모듈이 LSM을 통해 동작함

(이를 통해 리눅스 시스템에서 다양한 보안 모델을 추가하거나 교체할 수 있음)