실행 프로세스 추적 방식을 통한 명령어 우회 원천 차단

문제 상황

• 리눅스에서 사용자가 실행 권한을 가진 프로그램을 자유롭게 실행할 수 있어 특정 명령어 제한이 어려움
• 쉘 스크립트, 심볼릭 링크, alias 등 우회 경로가 다양해 단순 권한 체계나 로그만으로는 통제 한계
• 금융, 의료, 공공기관처럼 작업 추적과 사전 차단이 필요한 규제 환경 존재

원인 분석

• 사용자 실행 경로가 여러 형태로 분기되어 애플리케이션 레벨 제어로는 우회 가능성 잔존
• 사후 로그 중심 방식은 위험한 명령 실행을 이미 허용한 뒤에야 분석 가능
• 시스템 기본 권한 모델만으로는 누가 무엇을 언제 실행했는지와 차단 정책을 충분히 만족시키기 어려움

해결 방법

• Linux 커널 레벨에서 프로세스 생성과 실행 시점을 감시하고 실행 직전에 정책 검증 수행
• 시스템 콜 후킹으로 실행 파일 로드 전 개입해 명령어 우회 시도 원천 차단
• 실행 금지 프로그램 감지 및 즉각 차단, 향후 사용자별 정책과 감사 로깅으로 확장 가능

적용해볼 점

• 실행 시점 차단과 사후 로그를 분리해 보안 통제 수준 단계적 강화
• 심볼릭 링크, alias, 스크립트 등 다양한 실행 경로를 고려한 시스템 레벨 검증
• unlink() 같은 더 하위 시스템 콜 단위 제어와 감사 로그 결합