[6] File Integrity Operator

클러스터 노드에서 파일 무결성 검사를 지속적으로 실행하는 OpenShift Container Platform Operator

 

각 노드에서 권한 있는 고급 침입 탐지 환경(AIDE) 컨테이너를 초기화하고 실행하는 데몬세트를 배포하여

데몬 세트 Pod의 초기 실행 중에 수정된 파일 로그를 상태 오브젝트에 제공

 

 

AIDE(Advanced Instrusion Detection Environment)

파일 및 디렉토리의 무결성을 검사하는 프로그램

변경된 사항을 추적할 수 있으며 GPL(General Public License)로 배포된 제한이 없는 host 기반의 침입탐지 시스템 유틸리티

 

데이터 무결성(Integrity)

네트워크 환경에 있는 시스템인 경우 외부의 크래커나 내부의 악의적인 사용자의 공격에 노출되어 있음

이들은 시스템에 침투하여 중요한 파일을 변경 또는 삭제하거나, 백도어같은 프로그램을 설치하여 해를 끼칠 수 있음

 

이와 같은 문제로부터 시스템을 보호하기 위한 방법은 파일에 대한 불법 변조 여부를 검사하는 것

이러한 기능을 제공하기 위해서 무결성 대상 데이터를 정의하고,

데이터 변경을 감지하기 위해 원본 데이터로부터 유일하게 구분되는 값인 무결성 데이터를 생성

 

무결성 대상 데이터: 시스템 내의 중요 디렉토리, 파일

 

Custom Resource(CR)의 인스턴스는 File Integrity 하나 이상의 노드에 대한 일련의 지속적인 파일 무결성 검사

 

각 CR은 CR 사양File Integrity와 일치하는 노드에서 AIDE를 실행하는 데몬 세트의 지원을 받는다.

 

Custom Resource(CR)은 FileIntegrity를 통해 상태를 보고한다.

 

- FileIntegrity의 사용자정의 리소스(Custom Resource,CR) 단계 -

Pending - CR가 생성된 후의 단계
Active - 백업 데몬 세트가 실행 중일 때의 단계

Initializing - AIDE 데이터베이스가 다시 초기화되는 단계

 

 

- FileIntegrityNodeStatus CR 상태 유형 -

FileIntegrityNodeStatus CR 상태의 결과 배열에 보고됨

 

Succeeded - 무결성 검사 통과.

AIDE 검사가 적용되는 파일 및 디렉토리는 데이터베이스가 마지막으로 초기회된 이후로 수정되지 않음

Failed - 무결성 검사 실패

AIDE 검사가 적용되는 일부 파일 또는 디렉토리는 데이터베이스가 마지막으로 초기화된 이후 수정

Errored - AIDE 스캐너 내부 오류

 

 

- FileIntegrity 개체 속성 -

spec 및 spec.config 속성

spec.nodeSelector - 노드에서 AIDE 포드를 예약할 수 있도록 하려면 노드의 레이블과 일치해야 하는 키-값 쌍의 맵

spec.debug - bool 속성. true로 설정하면 AIDE 데몬 세트의 포드에서 실행되는 데몬이 추가 정보 출력

spec.tolerations - 사용자 지정 taint가 있는 노드에서 일정에 대한 허용 오차를 지정

지정하지 않으면 기본 허용 오차가 적용되어 제어평면 노드(마스터 노드)에서 허용 오차 실행

spec.config.gracePeriod - AIDE 무결성 검사 사이에 일시 중지할 시간

노드에서 AIDE를 자주 확인하는 것은 리소스를 많이 사용하므로 더 긴 간격을 지정하는 것이 유용

기본 값 : 900 혹은 15분

spec.config.name, spec.config.namespace, spec.config.key

- 사용자 정의 AIDE 구성 설정

이름 또는 네임스페이스가 설정되지 않은 경우 파일 무결성 운영자는 RHCOS 시스템에 적합한 구성 생성

이름 및 네임스페이스 속성은 구성 맵을 가리킴

키는 해당 구성 맵 내부 키를 가리킴

key 속성을 사용하여 실제 구성을 포함하는 사용자 정의 키를 지정하고, 기본값은 aide.conf

 

 

 

 

 

 

 

 

 

 

참고

- https://access.redhat.com/documentation/ko-kr/openshift_container_platform/4.8/html/security_and_compliance/file-integrity-operator-machine-config-integration_file-integrity-operator

- https://docs.openshift.com/container-platform/4.6/security/file_integrity_operator/file-integrity-operator-understanding.html

- https://www.linux.co.kr/bbs/board.php?bo_table=lecture&wr_id=1444