실행 프로세스 추적 방식을 통한 명령어 우회 원천 차단

문제 상황

• 리눅스 환경에서 SSH 세션을 통한 명령어 실행을 세밀하게 통제할 필요
• 단순 사용자 권한 분리나 시스템 로그만으로는 우회 실행과 사후 대응을 막기 어려움
• 금융, 의료, 공공기관의 감사·규제 요구에 맞는 실행 제어와 기록 체계 필요

구조와 흐름

• 커널 레벨에서 프로세스 생성 순간을 추적해 실행 직전 정책 검증 수행
• 시스템 콜 후킹으로 child 프로세스 모니터링과 실행 금지 프로그램 감지 구현
• 실행 경로를 숨기거나 alias, 심볼릭 링크, 스크립트로 우회하는 시도도 동일 기준으로 차단

선택 이유

• 쉘이나 실행 방식에 종속되지 않아 다양한 우회 경로를 따로 처리할 필요 감소
• 애플리케이션 레벨보다 저수준에서 개입해 차단 신뢰도 향상
• 정책 기반 제어에 적합해 사용자별 권한, 감사 로깅, 정책 관리로 확장 용이

성능/운영 포인트

• 실행 시점 차단으로 위험 명령어가 실제 피해를 내기 전에 선제 대응
• 차단 대상뿐 아니라 사용자, 시각, 환경 정보를 함께 남기면 사고 분석과 감사에 활용 가능
• unlink 같은 시스템 콜 단위 제어로 더 근본적인 통제 확장 가능