리눅스 프로세스 실행 제어 및 보안 강화 솔루션

리눅스 시스템에서는 사용자가 실행 권한을 가진 프로그램을 SSH 세션에서 자유롭게 실행할 수 있습니다. 하지만 시스템 보안과 안정성을 위해 특정 프로그램의 실행을 제한해야 하는 경우가 있습니다. 시스템에서는 기본적으로 root 사용자와 일반 사용자를 구분해 실행 권한을 구분하는 매커니즘을 제공하지만, 이 정도의 제어로는 충분하지 않은 경우가 있습니다. 이러한 제어를 위해서는 프로세스의 생성과 실행을 실시간으로 모니터링하고 차단할 수 있는 기술적 기반이 필요합니다.

본 백서에서는 Linux 커널 레벨의 저수준에서 프로세스를 모니터링하고 제어하는 솔루션을 소개합니다. 우리의 솔루션은 다음과 같은 핵심 기능을 구현했습니다:

• 실시간 child 프로세스 모니터링

• 실행 금지된 프로그램 감지

• 제한된 프로그램 실행 시도 즉각 차단

이러한 기능들은 향후 사용자별 권한 제어, 상세 감사 로깅, 정책 관리 등 고도화된 보안 솔루션을 구현하기 위한 기술적 토대가 됩니다.

문제

많은 조직, 특히 금융, 의료, 공공기관에서는 시스템에 대한 모든 접근과 작업을 기록해야 하는 규제 요구사항이 있습니다. ISMS-P, ISO/IEC 27001, PCI DSS, SOC와 같은 보안 인증들은 누가, 언제, 어떤 작업을 수행했는지 추적할 수 있기를 요구합니다.

이러한 작업 기록은 사고 예방과 조사에도 핵심적인 역할을 합니다. 관리자의 실수로 인한 시스템 장애나 악의적인 내부자의 데이터 유출 시도를 사전에 차단할 수 있습니다. 문제가 발생했을 때도 작업 이력을 통해 신속하게 원인을 파악하고, 필요한 경우 이전 상태로 복구할 수 있습니다.

시스템 관리자들의 작업 내역을 기록하고 제어함으로써 책임성을 강화할 수도 있습니다. 승인되지 않은 작업이나 민감한 정보에 대한 접근을 효과적으로 통제할 수 있으며, 이는 결과적으로 시스템 운영의 안정성과 효율성 향상으로 이어집니다.

이러한 요구사항들은 Linux의 기본적인 사용자 권한 체계나 시스템 로그만으로는 완벽하게 충족하기 어렵습니다. 그래서 사용자의 작업을 모니터링하고 통제할 수 있는 추가적인 보안 체계가 필요합니다.

아이디어

우리는 SAC 솔루션에서 시스템 사용자가 실행하는 명령어에 대한 감사와 통제 기능을 제공합니다. 특히 명령어 통제 기능은 시스템 레벨의 저수준 접근 방식을 사용해, 실행 파일이 로드되기 직전에 사전에 정의된 보안 정책을 기반으로 검증을 수행하도록 구현되었습니다. 이런 방식은 구현이 단순하면서도 쉘 스크립트 안에 명령어를 숨긴다던가, alias를 이용한다던가 등의 여러가지 경우의 수를 따질 필요가 없어 효과적입니다.

이러한 구조의 장점은 다음과 같습니다.

• 시스템 콜 후킹 기술을 활용하여 명령어 실행 시점에 개입함으로써, 우회 시도를 원천적으로 차단합니다. 사용자가 어떤 방식으로 명령어를 실행하려 하더라도, 우리 솔루션의 검증을 피할 수 없습니다.

• 어플리케이션 레벨이 아닌 시스템 레벨에서 동작하므로 특정 환경이나 쉘에 종속적이지 않습니다.

• 다양한 경우의 수를 고려할 필요가 없기 때문에 코드가 단순하고 안정적입니다.

우리는 이러한 방법으로 경쟁사에 비해 훨씬 견고하고 잘 동작하는 차단 솔루션을 구현할 수 있었습니다. 다음절에서 차단 프로그램이 어떻게 동작하는지 보여드릴 것입니다.

데모

/usr/bin/df 의 실행을 차단하도록 설정해서 테스트를 진행했습니다.

심볼릭 링크 차단

logan@ip-xxx-xxx-xxx-xxx:~$ ls -l hellolrwxrwxrwx 1 logan logan 11 Nov  6 11:35 hello -> /usr/bin/dflogan@ip-xxx-xxx-xxx-xxx:~$ ./hello[963713:./hello] ./hello blocked!