[born2beroot] Apparmor

Apparmor

Debian에는 기본적으로 설치되어 있음

시스템 관리자가 프로그램 프로필 별로 네트워크 엑세스, raw 소켓 엑세스, 파일 권한에 대한 접근과 같은 프로그램의 역량을 제한할 수 있게 해주는 리눅스 커널 보안 모듈

강제적 접근 통제(MAC)를 제공함으로써 전통적인 유닉스 임의적 접근 통제(DAC)모델 보완

SELinux와 유사, 둘 다 MAC 제공, but 작동방식 다름

Access Control

object : 시스템 자원

subject : 자원에 접근하는 사용자나 프로세스

ex) /etc/passwd 파일은 객체, 이 파일에 접근해서 암호변경하는 passwd라는 명령어는 주체

MAC(Mandatory Access Control)

미리 정해진 정책과 보안 등급에 의거하여 주체에게 허용된 접근권한과 객체에게 부여된 허용 등급을 비교하여 접근 통제(중앙집권과 비슷)

소유자도 정책에 어긋나면 객체에 접근 불가

but 모든 주, 객체에 대해 보안등급과 허용등급을 부여해야하기 때문에 설정 복잡

DAC(Discretionary Access Control)

시스템 객체에 대한 접근을 사용자, 그룹의 신분을 기준으로 제한

Discretionary(임의적) : 소유자는 자신의 판단에 의해 권한을 줄 수 o, but 사용자의 권한을 탈취당하면 사용자가 소유하고 있는 모든 객체의 접근 권한을 가질 수 있게 됨

 

dpkg -l apparmor //apparmor 설치여부 확인
aa-enabled //활성화되어있는지 확인

 

참고 블로그

 

https://velog.io/@kdkeiie8/Linux-AppArmor-리눅스-커널-보안-모듈