Хабрахабр

[Перевод] Руководство для начинающих по SELinux

Перевод статьи подготовлен для студентов курса «Безопасность Linux»

Он реализует принудительную (или мандатную) модель управления доступом (англ. SELinux или Security Enhanced Linux — это улучшенный механизм управления доступом, разработанный Агентством национальной безопасности США (АНБ США) для предотвращения злонамеренных вторжений. Discretionary Access Control, DAC), то есть разрешений на чтение, запись, выполнение. Mandatory Access Control, MAC) поверх существующей дискреционной (или избирательной) модели (англ.

У SELinux есть три режима:

  1. Enforcing — запрет доступа на основании правил политики.
  2. Permissive — ведение лога действий, нарушающих политику, которые в режиме enforcing были бы запрещены.
  3. Disabled — полное отключение SELinux.

По умолчанию настройки находятся в /etc/selinux/config

Чтобы узнать текущий режим запустите

$ getenforce

Для изменения режима на permissive запустите следующую команду

$ setenforce 0

или, для изменения режима с permissive на enforcing, выполните

$ setenforce 1

Если вам нужно полностью отключить SELinux, то это можно сделать только через файл конфигурации

$ vi /etc/selinux/config

Для отключения измените параметр SELINUX следующим образом:

SELINUX=disabled

Если вы впервые включаете SELinux, то сначала нужно настроить контекст и метки. Каждый файл и процесс помечается контекстом SELinux, в котором содержится дополнительная информация, такая как пользователь, роль, тип и т.д. Чтобы начать маркировку, в файле конфигурации изменим режим на permissive. Процесс назначения меток и контекста известен как маркировка.

$ vi /etc/selinux/config
SELINUX=permissive

После установки режима permissive, создадим в корне пустой скрытый файл с именем autorelabel

$ touch /.autorelabel

и перезагрузим компьютер

$ init 6

Примечание: мы используем режим permissive для маркировки, поскольку использование режима enforcing может привести к краху системы во время перезагрузки.

После завершения маркировки и загрузки вашей системы вы можете перейти к файлу конфигурации и установить режим enforcing, а также запустить: Не беспокойтесь, если загрузка застрянет на каком-то файле, маркировка занимает некоторое время.

$ setenforce 1

Теперь вы успешно включили SELinux на своем компьютере.

Чтобы проверить, работает ли ваш SELinux правильно и не блокирует ли он доступ к какому-либо порту, приложению и т. Возможно, у вас возникли какие-то ошибки во время маркировки или во время работы системы. нужно посмотреть логи. д. Можно использовать утилиту audit2why для поиска ошибок. Лог SELinux находится в /var/log/audit/audit.log, но вам не нужно читать его целиком, чтобы найти ошибки. Запустите следующую команду:

$ audit2why < /var/log/audit/audit.log

Если ошибок в логе не было, то никаких сообщений отображаться не будет. В результате вы получите список ошибок.

Политика определяет набор правил для конкретного окружения. Политика SELinux — это набор правил, которыми руководствуется механизм безопасности SELinux. Сейчас мы изучим как настраивать политики, чтобы разрешить доступ к запрещенным сервисам.

1. Логические значения (переключатели)

Они позволяют вносить изменения без перезагрузки или перекомпиляции политик SELinux. Переключатели (booleans) позволяют изменять части политики во время работы, без необходимости создания новых политик.

Это связано с тем, что политика SELinux запрещает FTP-серверу читать и писать в домашнем каталоге пользователя. Пример
Предположим, мы хотим предоставить общий доступ к домашнему каталогу пользователя по FTP на чтение и запись, и мы уже расшарили его, но при попытке доступа мы ничего не видим. Посмотрим, есть ли для этого какие-либо переключатели, выполнив Нам нужно изменить политику, чтобы FTP-сервер мог обращаться к домашним каталогам.

$ semanage boolean -l

Вы можете уточнить поиск, добавив grep, чтобы найти результаты, относящиеся только с ftp: Эта команда выдаст список доступных переключателей с их текущим состоянием (включено/on или выключено/off) и описанием.

$ semanage boolean -l | grep ftp

и найдете следующее

ftp_home_dir -> off Allow ftp to read & write file in user home directory

Этот переключатель выключен, поэтому мы включим его с помощью setsebool $ setsebool ftp_home_dir on

Теперь наш ftp-демон сможет получить доступ к домашнему каталогу пользователя.
Примечание: вы также можете получить список доступных переключателей без описания, выполнив getsebool -a

2. Метки и контекст

Каждый файл, папка, процесс и порт помечаются контекстом SELinux: Это наиболее распространенный способ реализации политики SELinux.

  • Для файлов и папок метки хранятся как расширенные атрибуты в файловой системе и могут быть просмотрены следующей командой:

    $ ls -Z /etc/httpd

  • Для процессов и портов маркировкой управляет ядро, и можно посмотреть эти метки следующим образом:

процесс

$ ps –auxZ | grep httpd

порт

$ netstat -anpZ | grep httpd

Допустим, у нас есть веб-сервер, который вместо каталога /var/www/html/ использует /home/dan/html/. Пример
Теперь давайте рассмотрим пример, чтобы лучше понять метки и контекст. Это потому, что мы не установили контекст безопасности, связанный с HTML-файлами. SELinux сочтет это нарушением политики, и вы не сможете просматривать ваши веб-страницы. Для просмотра контекста безопасности по умолчанию используйте следующую команду:

$ ls –lz /var/www/html -rw-r—r—. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/

Нам нужно установить этот контекст безопасности для нашего текущего каталога, который сейчас имеет следующий контекст: Здесь мы получили httpd_sys_content_t в качестве контекста для html-файлов.

-rw-r—r—. dan dan system_u:object_r:user_home_t:s0 /home/dan/html/

Альтернативная команда для проверки контекста безопасности файла или каталога:

$ semanage fcontext -l | grep '/var/www'

Чтобы изменить контекст /home/dan/html, выполните следующие команды: Мы также будем использовать semanage для изменения контекста, после того как найдем правильный контекст безопасности.

$ semanage fcontext -a -t httpd_sys_content_t ‘/home/dan/html(/.*)?’
$ semanage fcontext -l | grep ‘/home/dan/html’
/home/dan/html(/.*)? all files system_u:object_r:httpd_sys_content_t:s0
$ restorecon -Rv /home/dan/html

Наш веб-сервер теперь сможет читать файлы из папки /home/dan/html, поскольку контекст безопасности для этой папки был изменен на httpd_sys_content_t. После того, как контекст изменен с помощью semanage, команда restorecon загрузит контекст по умолчанию для файлов и каталогов.

3. Создание локальных политик

Когда такое происходит, то нужно создать локальную политику (Local policy). Могут возникнуть ситуации, когда вышеуказанные методы бесполезны для вас, и вы получаете ошибки (avc/denial) в audit.log. Все ошибки вы можете найти с помощью audit2why, как было описано выше.

Например, мы получаем ошибку, связанную с httpd (apache) или smbd (samba), мы grep’аем ошибки и создаем для них политику: Для устранения ошибок можно создать локальную политику.

apache
$ grep httpd_t /var/log/audit/audit.log | audit2allow -M http_policy
samba
$ grep smbd_t /var/log/audit/audit.log | audit2allow -M smb_policy

Теперь нам нужно загрузить эти созданные локальные политики в текущую политику SELinux. Здесь http_policy и smb_policy — это названия локальных политик, которые мы создали. Это можно сделать следующим образом:

$ semodule –I http_policy.pp
$ semodule –I smb_policy.pp

Наши локальные политики были загружены, и мы не должны больше получать никаких avc или denail в audit.log.

Я надеюсь, что после прочтения этой статьи вы будете чувствовать себя с SELinux более комфортно. Это была моя попытка помочь вам понять SELinux.

Теги
Показать больше

Похожие статьи

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Кнопка «Наверх»
Закрыть