🛡️ SELinux Type Enforcement & MLS Engine Kernel 6.12+

⚡ Access Vector Cache (AVC) & Security Server Architecture

SELinux는 모든 접근 결정 시 주체 보안 컨텍스트(Subject Context), 객체 보안 컨텍스트(Target Context), 클래스(Object Class)를 인덱스로 삼아 초고속 인메모리 캐시인 **AVC(Access Vector Cache)**를 먼저 조회합니다. 캐시 미스 시 커널 내 Security Server가 정책 데이터베이스를 순회하여 판정을 내립니다.

📜 SELinux 감사 로그 (auditd / var/log/audit/audit.log)

[ 0.057000] SELinux: Initializing.

[ 0.145000] SELinux: Starting in enforcing mode by default

[Ready] 접근 시나리오 및 동작 모드를 선택하고 [단계별 실행] 또는 [자동 실행]을 클릭하십시오.

📋 Type Enforcement (TE) 규칙 선언 문법

# Type Enforcement 핵심 규칙 예시
# 문법: allow [주체_도메인] [객체_타입]:[클래스] { [권한목록] };

allow httpd_t httpd_sys_content_t:file { read open getattr ioctl };
allow httpd_t httpd_log_t:file { create write append };

# 거부 기본 정책 (Neverallow 원칙)
neverallow httpd_t shadow_t:file { read write execute };

🔀 도메인 전이 (Domain Transition) 메커니즘

프로세스가 새로운 프로그램을 실행(execve)할 때, 공격자가 임의의 고권한 도메인으로 상승하지 못하도록 3가지 필수 조건이 만족되어야만 안전하게 도메인이 전이됩니다.

🔒 Multi-Level Security (MLS) & Bell-LaPadula 모델

MLS(다중 레벨 보안)는 정부 및 국방 등급의 엄격한 기밀성을 유지하기 위해 Bell-LaPadula 수학적 보안 정리를 강제합니다.

1. No Read Up (단순 보안 속성 - Simple Security Property)

주체는 자신보다 높은 민감도 등급을 가진 객체를 절대 읽을 수 없습니다.

주체 (Clearance: s0 - 일반)
  ├── 읽기 시도 ──► 객체 (Level: s0)    [허용: GRANTED]
  └── 읽기 시도 ──► 객체 (Level: s1:c0) [차단: -EACCES No Read Up!]

2. No Write Down (*-속성 - Star Property)

높은 보안 등급을 가진 주체는 낮은 등급의 객체로 데이터를 유출(쓰기)할 수 없습니다.

주체 (Clearance: s1:c0 - 극비)
  ├── 쓰기 시도 ──► 객체 (Level: s1:c0) [허용: GRANTED]
  └── 쓰기 시도 ──► 객체 (Level: s0)    [차단: -EACCES No Write Down!]

📊 Linux MAC 메커니즘 심층 비교: SELinux vs AppArmor

비교 항목	전통적 DAC	SELinux (레이블 기반 MAC)	AppArmor (경로 기반 MAC)
보안 통제 기준	소유자 UID/GID	아이노드 보안 컨텍스트 (xattr 레이블)	정규화된 파일 절대 경로명
접근 통제 모델	임의적 접근 제어	Type Enforcement (TE) + MLS/MCS	경로 와일드카드 화이트리스트
하드링크 변조 방어	취약	완벽 (아이노드에 레이블이 직접 귀속)	보통 (경로명 변경 시 새로운 프로필 매칭)
운영 및 튜닝 복잡도	매우 낮음	높음 (audit2allow, setsebool, chcon 필요)	낮음 ~ 보통 (aa-genprof, aa-logprof)
커널 캐시 엔진	dcache	AVC (Access Vector Cache)	DFA (Deterministic Finite Automaton)
주요 채택 생태계	모든 리눅스/유닉스	RHEL, CentOS, Fedora, Android, NSA	Ubuntu, Debian, SUSE