Microsoft MVP성태의 닷넷 이야기
Linux: 114. eBPF를 위해 필요한 SELinux 보안 정책 [링크 복사], [링크+제목 복사],
조회: 6402
글쓴 사람
정성태 (seongtaejeong at gmail.com)
홈페이지
첨부 파일
 
(연관된 글이 1개 있습니다.)
(시리즈 글이 3개 있습니다.)
Linux: 112. Linux - 데몬을 위한 SELinux 보안 정책 설정
; https://www.sysnet.pe.kr/2/0/13862

Linux: 113. Linux - 프로세스를 위한 전용 SELinux 보안 문맥 지정
; https://www.sysnet.pe.kr/2/0/13863

Linux: 114. eBPF를 위해 필요한 SELinux 보안 정책
; https://www.sysnet.pe.kr/2/0/13864




eBPF를 위해 필요한 SELinux 보안 정책

SELinux가 활성화된 경우, bpf를 사용하는 프로그램은 기본적으로 map_create 보안에 위배됩니다. 하지만 그것은 시작일 뿐 이후 로드하는 단계까지 진입하면 계속해서 필요한 권한이 발생합니다.

err = spec.LoadAndAssign(&_bpfObj, &opts)

// field InetSockSetState: program inet_sock_set_state: load program: permission denied

이때의 SELinux audit 로그를 확인하면 "map_read map_write prog_load" 권한이 없다고 나오는데요,

$ sudo ausearch --start 01/14/2025 00:00:00 -m avc --raw  | audit2allow -R

require {
        type unconfined_service_t;
        class bpf { map_read map_write prog_load };
}

#============= unconfined_service_t ==============
allow unconfined_service_t self:bpf { map_read map_write prog_load };

위의 보안 정책을 동일한 policy package로 등록할 때는 기존 보안 정책 내용을 병합해야 합니다. 그리고 그렇게 해서 반영해도 결국엔 다시 prog_run 권한 오류 하나가 더 나올 것입니다. ^^ 따라서 최종적으로는 아래와 같은 권한으로 정리가 됩니다.

$ cat my-se-policy.te

module my-se-policy 1.0;

require {
        type unconfined_service_t;
        class bpf { map_create map_read map_write prog_load prog_run };
}

#============= unconfined_service_t ==============
allow unconfined_service_t self:bpf { map_create map_read map_write prog_load prog_run };

$ make -f /usr/share/selinux/devel/Makefile my-se-policy.pp

$ sudo semodule -i my-se-policy.pp

결국, 아래의 글에서 봤던 te 파일을 그대로 따랐어야 했습니다. ^^;

Carbon Black Cloud: How to allow BPF event collection on SELinux
; https://knowledge.broadcom.com/external/article/292463/carbon-black-cloud-how-to-allow-bpf-even.html





[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]






[최초 등록일: ]
[최종 수정일: 1/15/2025]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




1  2  3  [4]  5  6  7  8  9  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
13905정성태3/26/20255165Windows: 281. C++ - Windows / Critical Section의 안정화를 위해 도입된 "Keyed Event"파일 다운로드1
13904정성태3/25/20254319디버깅 기술: 218. Windbg로 살펴보는 Win32 Critical Section파일 다운로드1
13903정성태3/24/20253160VS.NET IDE: 197. (OneDrive, Dropbox 등의 공유 디렉터리에 있는) C++ 프로젝트의 출력 경로 변경하기
13902정성태3/24/20253914개발 환경 구성: 742. Oracle - 테스트용 hr 계정 및 데이터 생성파일 다운로드1
13901정성태3/9/20254257Windows: 280. Hyper-V의 3가지 Thread Scheduler (Classic, Core, Root)
13900정성태3/8/20255588스크립트: 72. 파이썬 - SQLAlchemy + oracledb 연동
13899정성태3/7/20253293스크립트: 71. 파이썬 - asyncio의 ContextVar 전달
13898정성태3/5/20254228오류 유형: 948. Visual Studio - Proxy Authentication Required: dotnetfeed.blob.core.windows.net
13897정성태3/5/20255380닷넷: 2326. C# - PowerShell과 연동하는 방법 (두 번째 이야기)파일 다운로드1
13896정성태3/5/20255103Windows: 279. Hyper-V Manager - VM 목록의 CPU Usage 항목이 항상 0%로 나오는 문제
13895정성태3/4/20255043Linux: 117. eBPF / bpf2go - Map에 추가된 요소의 개수를 확인하는 방법
13894정성태2/28/20254883Linux: 116. eBPF / bpf2go - BTF Style Maps 정의 구문과 데이터 정렬 문제
13893정성태2/27/20254128Linux: 115. eBPF (bpf2go) - ARRAY / HASH map 기본 사용법
13892정성태2/24/20256124닷넷: 2325. C# - PowerShell과 연동하는 방법파일 다운로드1
13891정성태2/23/20254407닷넷: 2324. C# - 프로세스의 성능 카운터용 인스턴스 이름을 구하는 방법파일 다운로드1
13890정성태2/21/20254031닷넷: 2323. C# - 프로세스 메모리 중 Private Working Set 크기를 구하는 방법(Win32 API)파일 다운로드1
13889정성태2/20/20255822닷넷: 2322. C# - 프로세스 메모리 중 Private Working Set 크기를 구하는 방법(성능 카운터, WMI) [1]파일 다운로드1
13888정성태2/17/20254769닷넷: 2321. Blazor에서 발생할 수 있는 async void 메서드의 부작용
13887정성태2/17/20256620닷넷: 2320. Blazor의 razor 페이지에서 code-behind 파일로 코드를 분리 및 DI 사용법
13886정성태2/15/20254520VS.NET IDE: 196. Visual Studio - Code-behind처럼 cs 파일을 그룹핑하는 방법
13885정성태2/14/20256436닷넷: 2319. ASP.NET Core Web API / Razor 페이지에서 발생할 수 있는 async void 메서드의 부작용
13884정성태2/13/20256712닷넷: 2318. C# - (async Task가 아닌) async void 사용 시의 부작용파일 다운로드1
13883정성태2/12/20256440닷넷: 2317. C# - Memory Mapped I/O를 이용한 PCI Configuration Space 정보 열람파일 다운로드1
13882정성태2/10/20254546스크립트: 70. 파이썬 - oracledb 패키지 연동 시 Thin / Thick 모드
13881정성태2/7/20255033닷넷: 2316. C# - Port I/O를 이용한 PCI Configuration Space 정보 열람파일 다운로드1
13880정성태2/5/20257011오류 유형: 947. sshd - Failed to start OpenSSH server daemon.
1  2  3  [4]  5  6  7  8  9  10  11  12  13  14  15  ...