6.6. MLS에서 파일 민감성 수준 증가
기본적으로 Multi-Level Security (MLS) 사용자는 파일 민감도 수준을 높일 수 없습니다. 그러나 보안 관리자(secadm_r
)는 사용자가 시스템의 SELinux 정책에 로컬 모듈 mlsfilewrite
를 추가하여 파일의 민감성을 높일 수 있도록 이 기본 동작을 변경할 수 있습니다. 그런 다음 policy 모듈에 정의된 SELinux 유형에 할당된 사용자는 파일을 수정하여 파일 분류 수준을 늘릴 수 있습니다. 사용자가 파일을 수정할 때마다 파일의 민감도 수준이 사용자의 현재 보안 범위 값으로 늘어납니다.
보안 관리자는 secadm_r
역할에 할당된 사용자로 로그인하면 chcon -l s0 /path/to/file
명령을 사용하여 파일의 보안 수준을 변경할 수 있습니다. 자세한 내용은 MLS에서 파일 민감도 변경을 참조하십시오.
사전 요구 사항
-
SELinux 정책은
mls
로 설정됩니다. -
SELinux 모드는
enforcing
으로 설정되어 있습니다. -
policycoreutils-python-utils
패키지가 설치됩니다. -
mlsfilewrite
로컬 모듈이 SELinux MLS 정책에 설치됩니다. MLS에서 다음과 같은 사용자로 로그인했습니다.
-
정의된 보안 범위에 할당됩니다. 이 예에서는 보안 범위
s0-s2
가 있는 사용자를 보여줍니다. -
mlsfilewrite
모듈에 정의된 동일한 SELinux 유형에 할당됩니다. 이 예제에서는(attributeset mlsfilewrite(user_t))
모듈이 필요합니다.
-
정의된 보안 범위에 할당됩니다. 이 예에서는 보안 범위
절차
선택 사항: 현재 사용자의 보안 컨텍스트를 표시합니다.
$ id -Z user_u:user_r:user_t:s0-s2
사용자의 MLS 지우기 범위의 하위 수준을 파일에 할당할 수준으로 변경합니다.
$ newrole -l s1-s2
선택 사항: 현재 사용자의 보안 컨텍스트를 표시합니다.
$ id -Z user_u:user_r:user_t:s1-s2
선택 사항: 파일의 보안 컨텍스트를 표시합니다.
$ ls -Z /path/to/file user_u:object_r:user_home_t:s0 /path/to/file
파일을 수정하여 파일의 민감도 수준을 사용자의 명확한 수준으로 변경합니다.
$ touch /path/to/file
중요restorecon
명령이 시스템에서 사용되는 경우 분류 수준은 기본값으로 되돌립니다.선택 사항: 쉘을 종료하여 사용자의 이전 보안 범위로 돌아갑니다.
$ exit
검증
파일의 보안 컨텍스트를 표시합니다.
$ ls -Z /path/to/file user_u:object_r:user_home_t:s1 /path/to/file