systemd-analyze security로 서비스 보안 점수 개선하기




---

systemd 보안 점수란?

systemd-analyze security는 서비스의 다음 항목들을 검사합니다.

• root 권한으로 실행하는지
• 추가 권한 획득을 차단했는지
• 시스템 파일에 쓰기가 가능한지
• 사용자 홈 디렉터리에 접근할 수 있는지
• 장치 파일과 커널 설정에 접근할 수 있는지
• Linux Capability가 제한돼 있는지
• 사용할 수 있는 시스템 호출과 네트워크 주소 체계가 제한돼 있는지

검사 결과는 0.0부터 10.0까지의 노출도인 Exposure Level로 표시됩니다.

0.0  ← 격리 설정이 강함
10.0 ← 격리 설정이 거의 없음

systemd는 각 검사 항목에 위험도와 가중치를 적용하고 전체 결과를 0.0~10.0으로 정규화합니다. 자세한 계산 방식은 systemd-analyze 매뉴얼에서 확인할 수 있습니다.

---

1. 테스트용 웹 페이지 생성

먼저 웹 서버가 제공할 디렉터리와 HTML 파일을 생성합니다.

sudo mkdir -p /srv/security-demo
echo '<h1>systemd security hardening test</h1>' \
  | sudo tee /srv/security-demo/index.html

생성된 파일을 확인합니다.

cat /srv/security-demo/index.html

결과는 다음과 같습니다.




---

2. 테스트용 systemd 서비스 생성

다음 명령으로 서비스 파일을 생성합니다.

sudo nano /etc/systemd/system/security-demo.service

아래 내용을 입력합니다.

[Unit]
Description=systemd Security Demo Web Server
After=network.target

[Service]
Type=simple
ExecStart=/usr/bin/python3 -m http.server 8080 --bind 127.0.0.1 --directory /srv/security-demo
Restart=on-failure

[Install]
WantedBy=multi-user.target

systemd 설정을 다시 불러오고 서비스를 실행합니다.

sudo systemctl daemon-reload
sudo systemctl enable --now security-demo.service

서비스 상태를 확인합니다.

systemctl status security-demo.service --no-pager

 

웹 서버가 정상적으로 동작하는지도 확인합니다.

curl http://127.0.0.1:8080

다음과 같이 작성한 HTML이 출력되면 정상입니다.

<h1>systemd security hardening test</h1>

---

3. 적용 전 보안 노출도 측정

현재 서비스의 보안 설정을 분석합니다.

systemd-analyze security --no-pager security-demo.service

주요 결과는 다음과 같습니다.

✗ User=/DynamicUser=
  Service runs as root user

✗ NoNewPrivileges=
  Service processes may acquire new privileges

✗ PrivateDevices=
  Service potentially has access to hardware devices

✗ ProtectSystem=
  Service has full access to the OS file hierarchy

✗ ProtectHome=
  Service has full access to home directories

✗ ProtectKernelTunables=
  Service may alter kernel tunables

✗ PrivateTmp=
  Service has access to other software's temporary files

→ Overall exposure level for security-demo.service: 9.6 UNSAFE

---

4. systemd 하드닝 설정 적용

기존 서비스 파일을 직접 수정하는 대신 drop-in 방식으로 보안 설정을 추가하겠습니다.

sudo systemctl edit security-demo.service

편집기가 열리면 다음 내용을 입력합니다.

[Service]
DynamicUser=yes
NoNewPrivileges=yes

PrivateTmp=yes
PrivateDevices=yes

ProtectSystem=strict
ProtectHome=yes
ProtectKernelTunables=yes
ProtectKernelModules=yes
ProtectKernelLogs=yes
ProtectControlGroups=yes
ProtectClock=yes
ProtectHostname=yes

RestrictSUIDSGID=yes
RestrictNamespaces=yes
RestrictRealtime=yes
RestrictAddressFamilies=AF_INET AF_INET

LockPersonality=yes
MemoryDenyWriteExecute=yes
RemoveIPC=yes

SystemCallArchitectures=native
SystemCallFilter=@system-service
SystemCallErrorNumber=EPERM

CapabilityBoundingSet=
AmbientCapabilities=

UMask=0077

저장하면 다음 경로에 설정이 생성됩니다.

/etc/systemd/system/security-demo.service.d/override.conf

주요 옵션 설명

각 옵션의 자세한 설명은 systemd.exec 공식 문서에서 확인할 수 있습니다.

---

5. 서비스 재시작 및 정상 작동 확인

변경된 설정을 불러오고 서비스를 재시작합니다.

sudo systemctl daemon-reload
sudo systemctl restart security-demo.service

서비스 상태를 확인합니다.

systemctl status security-demo.service --no-pager

웹 서버가 여전히 정상적으로 동작하는지도 확인합니다.

curl http://127.0.0.1:8080

다음 결과가 출력되면 보안 설정을 적용한 후에도 서비스 기능이 정상적으로 유지되는 것입니다.

<h1>systemd security hardening test</h1>

 

서비스가 실행되지 않는다면 다음 명령으로 로그를 확인합니다.

sudo journalctl -u security-demo.service -n 50 --no-pager

설정 파일 자체는 다음 명령으로 검사할 수 있습니다.

sudo systemd-analyze verify \
  /etc/systemd/system/security-demo.service

---

6. 적용 후 보안 노출도 재측정

동일한 명령을 다시 실행합니다.

systemd-analyze security --no-pager security-demo.service

하드닝 설정이 적용된 항목에는 체크 표시가 나타납니다.

✓ User=/DynamicUser=
  Service runs under a transient non-root user identity

✓ NoNewPrivileges=
  Service processes cannot acquire new privileges

✓ ProtectSystem=
  Service has strict read-only access to the OS file hierarchy

✓ ProtectHome=
  Service has no access to home directories

✓ PrivateTmp=
  Service has no access to other software's temporary files

✓ ProtectKernelModules=
  Service cannot load kernel modules

✓ CapabilityBoundingSet=~CAP_SYS_ADMIN
  Service has no administrator privileges

→ Overall exposure level for security-demo.service: 1.6 OK

---

적용 전후 비교

기존 서비스의 기능은 유지하면서 노출도를 9.6에서 1.6까지 낮췄습니다.

---

왜 0.0까지 낮추지 않았을까?

이 서비스는 HTTP 요청을 처리해야 하므로 호스트 네트워크에 접근할 수 있어야 합니다.

PrivateNetwork=yes를 적용하면 서비스가 별도의 네트워크 네임스페이스로 격리됩니다. 이 경우 호스트에서 127.0.0.1:8080으로 웹 서버에 접근할 수 없게 됩니다.

따라서  PrivateNetwork를 적용하지 않고 다음 설정으로 사용할 수 있는 소켓의 종류만 제한했습니다.

RestrictAddressFamilies=AF_INET AF_INET6

---

주의사항

systemd-analyze security 결과는 취약점 진단 점수나 CVSS 점수가 아닙니다.

이 명령은 다음 항목을 직접 검사하지 않습니다.

• 프로그램 소스 코드의 보안 취약점
• 설치된 패키지의 알려진 취약점
• 계정과 비밀번호 정책
• 방화벽 설정
• AppArmor 또는 SELinux 정책
• TLS 인증서와 암호화 설정
• 애플리케이션 자체의 인증 및 접근통제

---

마무리

systemd는 단순히 서비스를 실행하고 관리하는 도구가 아니라 서비스별 권한과 시스템 접근 범위를 제한할 수 있는 다양한 보안 기능을 제공합니다.

※ 진행과정 정리

1. 테스트용 웹 서비스 생성
2. systemd-analyze security를 이용한 노출도 측정
3. root 실행 및 과도한 시스템 접근 항목 확인
4. systemd drop-in 설정으로 하드닝 적용
5. 서비스 정상 작동 확인
6. 노출도 9.6 UNSAFE에서 1.6 OK로 개선

---

참고 자료

• • systemd-analyze 매뉴얼
  • systemd.exec 공식 문서