컨테이너 보안: 컨테이너화된 응용 프로그램의 보안을 위한 개념, 이론, 대응법과 모범 관행까지

제

13

장

실행 시점 컨테이너 보호

224

다. 그리고 실행 파일 프로파일과 마찬가지로, 몇몇 보안 도구들은 일정 기간 컨테이너가 접근

한 파일들을 감시해서 자동으로 프로파일을 생성하고, 컨테이너가 그 프로파일에 없는 파일을

열려고 하면 관리자에게 경고를 보내거나 파일 열기를 방지하는 기능을 제공한다.

13.1.4

사용자

ID

프로파일

제

6

장에서 논의했듯이, 컨테이너의 프로세스들을 실행할 사용자

ID

를 명시적으로 지정할 수

있다. 따라서 사용자

ID

역시 실행 시점에서 보안 도구로 관리할 속성에 해당한다. (아직도 응

용 프로그램 프로파일에 루트 사용자를 사용하는 독자는 없을 것이다. 혹시 이 부분이 잘 기억

이 나지 않는다면 §

9

.

1

루트로 컨테이너 실행 (

p

.161

)을 다시 읽어 보기 바란다. )

일반화하자면, 만일 컨테이너가 하나의 작업을 실행한다면, 일반적으로 그 컨테이너는 단

하나의 사용자

ID

로만 실행되어야 마땅하다. 컨테이너가 지정된 사용자

ID

이외의 어떤 사용

자

ID

로 실행되고 있다면 역시 뭔가 문제가 있는 것이다. 특히, 프로세스가 예기치 않게 루트

로 실행 중이라면, 권한 확대에 의해 큰 피해가 생길 수 있으므로 더욱 주의해야 한다.

13.1.5

그 밖의 실행 시점 프로파일

더 낮은 수준으로 내려가서,

productsearch

가 요청하는 ...