기술 지원
문서
로그인
문의하기
최적의 Linux 보안을 위한 SELinux 및 AppArmor 활용
로한 티말시나
2024년 7월 1일 TuxCare 전문가 팀
- Linux 보안 모듈은 Linux 시스템의 보안 태세를 강화하는 데 중요한 역할을 합니다.
- AppArmor의 정책 언어는 SELinux에 비해 덜 복잡합니다.
- SELinux와 AppArmor 모두 정책 적용으로 인해 약간의 성능 오버헤드가 발생합니다.
요즘처럼 사이버 위협이 점점 더 정교해지는 시기에는 Linux 환경의 보안을 유지하는 것이 그 어느 때보다 중요합니다. Linux는 시스템 보안을 강화하기 위한 강력한 도구 세트를 제공합니다: 바로 Linux 보안 모듈(LSM)입니다. 이는 MAC(필수 액세스 제어)를 구현하기 위한 프레임워크로, 권한이 있는 사용자와 프로세스만 데이터에 액세스할 수 있도록 보장합니다.
LSM은 리눅스 커널 내에서 보안 훅을 제공합니다. Linux 커널을 제공하여 커널 자체를 수정할 필요 없이 다양한 보안 정책을 구현할 수 있습니다. 예를 들면 SELinux, Smack, Tomoyo, AppArmor 등이 있습니다.
이 문서에서는 복잡한 구성을 탐색하면서 Linux 보안을 강화하기 위해 SELinux 및 AppArmor와 같은 LSM을 미세 조정하는 방법에 대해 설명합니다.
필수 액세스 제어 이해
MAC(강제 액세스 제어)는 미리 정의된 중앙 관리 정책을 기반으로 리소스에 대한 액세스를 제어하는 데 사용되는 보안 모델입니다. 리소스 소유자가 액세스 권한을 자유롭게 설정할 수 있는 DAC(임의 액세스 제어)와 달리 MAC 정책은 시스템에 의해 시행되며 개별 사용자가 변경할 수 없습니다. 운영 체제는 사용자 권한에 관계없이 정의된 정책을 적용합니다. 사용자에게 관리 권한이 있더라도 보안 정책이 허용하는 범위를 넘어서는 리소스에 액세스할 수 없습니다.
SELinux(보안 강화 Linux)는 필수 액세스 제어(MAC)를 사용하여 사용자와 프로그램이 시스템에서 수행할 수 있는 작업을 제한합니다. 풍부한 정책 언어가 포함된 포괄적인 보안 모델을 제공합니다.
AppArmor는 경로 기반 규칙을 통해 필수 액세스 제어를 구현하는 또 다른 Linux 보안 모듈입니다. 프로필을 사용하여 프로그램에 허용되는 작업을 정의하므로 이해하기 쉽고 관리하기 쉬운 SELinux의 대안을 제공합니다. AppArmor는 사용성과 구성의 용이성이 우선시되는 환경에서 특히 인기가 높습니다.
SELinux 및 AppArmor를 통한 Linux 보안 극대화
SELinux와 AppArmor는 모두 Linux 보안을 크게 향상시킬 수 있지만 시스템 성능 저하 없이 효과를 극대화하려면 신중한 튜닝이 필요합니다.
SELinux 미세 조정
정책 구성
SELinux 정책은 모든 프로세스, 파일 및 사용자에 대한 권한을 정의합니다. 필요한 경우 몇 가지 필수 서비스에 대한 액세스를 제한하는 기본 대상 정책을 수정하는 것으로 시작하세요. 이를 통해 시스템에서 액세스 제어를 얼마나 엄격하게 적용할지 세부적으로 조정할 수 있습니다.
SELinux 모드
SELinux는 강제 적용, 허용, 비활성화의 세 가지 모드로 작동합니다.
적용 모드: 이 모드는 SELinux가 보안 정책을 적극적으로 적용하는 기본 모드입니다. 정책을 위반하는 모든 작업이 차단되고 기록됩니다. 이 모드는 가장 높은 수준의 보안을 제공합니다.
허용 모드: 이 모드에서는 SELinux 정책이 적용되지 않지만 위반 시도는 모두 기록됩니다. 이를 통해 관리자는 시스템이 강제 적용 모드일 경우 어떤 작업이 차단되는지 확인할 수 있습니다. 이 모드는 주로 적용을 활성화하기 전에 잠재적인 충돌을 식별하기 위해 새로운 SELinux 정책을 디버깅하거나 개발하는 데 사용됩니다.
비활성화됨: SELinux가 완전히 꺼져 있으며 정책이 적용되거나 시행되지 않습니다. 일반적으로 Linux 보안 위험으로 인해 프로덕션 시스템에서는 SELinux를 비활성화하는 것을 권장하지 않습니다.
부울 사용
SELinux 부울은 런타임에 특정 보안 정책을 동적으로 활성화 또는 비활성화할 수 있는 스위치입니다. 이를 통해 전체 정책 집합을 변경하지 않고도 보안을 개선할 수 있습니다. 그러나 SELinux 부울은 일반적으로 파일 단위의 세분화된 권한이 아닌 상위 수준의 정책 옵션을 제어한다는 점에 유의해야 합니다. 예를 들어 부울은 다음과 같은 파일에 대해 아파치 가 특정 디렉토리에 액세스할 수 있는지 여부를 제어할 수 있지만, 해당 디렉터리 내에서 아파치가 액세스할 수 있는 정확한 파일은 지정하지 않습니다.
감사 로그: SELinux는 대량의 감사 로그를 생성합니다. 이러한 로그를 정기적으로 검토하여 거부 또는 잘못된 구성을 찾아서 해결하세요. audit2allow와 같은 도구를 사용하여 특정 문제를 해결하기 위한 사용자 지정 정책을 만들 수 있습니다.
앱아머 미세 조정
프로필 생성
앱아머 프로파일은 애플리케이션에 허용되는 동작을 정의합니다. 프로파일은 /etc/apparmor. d 디렉터리에 저장됩니다. 다음과 같은 도구를 사용할 수 있습니다. aa-genprof 및 aa-logprof 와 같은 도구를 사용하여 프로필 생성 및 관리를 간소화할 수 있습니다.
프로필 모드
앱아머 프로파일은 컴플레인(학습) 모드와 적용 모드의 두 가지 모드로 작동합니다.
시행: 앱아머는 프로파일에 정의된 보안 정책을 적극적으로 시행합니다. 이러한 정책을 위반하는 애플리케이션의 모든 동작은 커널에 의해 차단되어 무단 액세스 또는 동작을 방지합니다. 또한 강제 적용 모드는 이러한 차단된 시도를 기록하여 모니터링 및 문제 해결을 가능하게 합니다.
불만 제기: 앱아머는 보안 정책을 적용하지 않습니다. 대신 적용 모드에서 차단되는 동작을 기록합니다. 이 모드는 관리자가 실제로 차단하지 않고도 어떤 동작이 제한되는지 확인할 수 있으므로 디버깅 및 새 프로필 개발에 유용합니다.
프로필 그룹화
관련 프로필을 함께 그룹화하여 보다 효율적으로 관리하세요. 이렇게 하면 유사한 애플리케이션과 서비스 전반에 걸쳐 보안 정책을 간편하게 적용할 수 있습니다.
이벤트 모니터링
AppArmor 로그를 정기적으로 모니터링하여 프로필 위반을 식별하고 해결하세요. 이를 통해 프로파일이 애플리케이션 동작의 변화에 따라 유효하고 최신 상태로 유지되도록 합니다.
보안과 성능의 균형
Linux 보안을 강화하는 것이 가장 중요하지만, 시스템 성능을 희생해서는 안 됩니다. 무단 액세스나 악의적인 공격으로부터 시스템을 안전하게 보호해야 합니다. 하지만 사용자에게 원활한 작동을 제공하기 위해 시스템 성능도 우수해야 합니다. 보안과 성능은 기계에서 함께 작동하는 두 개의 기어와 같습니다. 두 가지 모두 시스템의 전반적인 건강에 기여하며, 둘 사이의 적절한 균형을 찾는 것이 중요합니다.
다음은 두 가지 측면의 균형을 효과적으로 맞출 수 있는 몇 가지 전략입니다:
오버헤드 최소화: SELinux와 AppArmor 모두 정책 적용으로 인해 약간의 성능 오버헤드가 발생합니다. 이를 최소화하려면 시스템 속도를 저하시킬 수 있는 지나치게 광범위한 규칙을 피하고 가능한 한 구체적인 정책을 적용하세요.
또한 보안 프로필과 정책을 정기적으로 검토하여 효율적인지 확인하세요. 불필요한 규칙을 제거하고 유사한 규칙을 통합하여 시스템의 처리 부하를 줄일 수 있습니다.
테스트: 새 정책을 배포하기 전에 스테이징 환경에서 철저히 테스트하세요. 성능 모니터링 도구를 사용하여 성능에 미치는 영향을 측정하고 그에 따라 정책을 미세 조정하세요.
점진적 롤아웃: 가장 중요한 서비스부터 우선순위를 정하여 단계적인 접근 방식으로 보안 정책을 적용하세요. 이렇게 하면 시스템에 부담을 주지 않으면서도 성능에 어떤 영향을 미치는지 계속 주시하고 필요에 따라 조정할 수 있습니다.
자동화 도구: 자동화 도구를 사용하여 인프라 전반에서 보안 정책을 일관되게 관리하고 적용하세요. Ansible, Puppet 또는 Chef와 같은 도구는 LSM 정책의 배포 및 관리를 간소화할 수 있습니다.
LSM 구성 간소화
강력한 기능에도 불구하고 SELinux 및 AppArmor와 같은 Linux 보안 모듈을 구성하는 것은 어려울 수 있습니다. 다음은 프로세스를 간소화하기 위한 몇 가지 팁입니다:
문서: SELinux와 AppArmor 모두 광범위한 문서와 활발한 커뮤니티를 보유하고 있습니다. 이러한 리소스를 활용하여 모범 사례와 일반적인 구성을 이해하세요.
관리 도구: 설정 및 문제 해결 프로세스를 간소화하기 위해 SELinux용 설정 및 AppArmor용 YaST와 같은 관리 도구를 활용하세요.
훈련 및 교육: 팀을 위한 훈련 및 교육에 투자하세요. 효과적인 구현 및 관리를 위해서는 SELinux 및 AppArmor의 구성을 이해하는 것이 중요합니다.
최종 생각
이러한 메커니즘을 이해하고 균형 잡힌 구성 방식을 채택하면 시스템 성능 저하 없이 Linux 보안 모듈의 이점을 활용할 수 있습니다.
또한 지속적인 가용성과 중단을 최소화해야 하는 조직의 경우 Linux 커널 라이브 패치가 판도를 바꾸는 전략으로 부상하고 있습니다. 라이브 패치 를 사용하면 시스템을 재부팅할 필요 없이 중요한 보안 업데이트를 커널에 적용할 수 있습니다. 이를 통해 Linux 커널 취약성에 대한 원활한 운영과 중단 없는 보호를 보장합니다.
TuxCare의 커널케어 엔터프라이즈 는 우분투, 데비안, RHEL, CentOS, 알마리눅스, 록키 리눅스, 클라우드 리눅스, 오라클 리눅스 등 모든 주요 리눅스 배포판에 자동화된 라이브 패칭을 제공합니다.
