Преводът на статията е подготвен за студенти в курса „Сигурност на Linux“

SELinux или Security Enhanced Linux е подобрен механизъм за управление на достъпа, разработен от Агенцията за национална сигурност на САЩ (NSA) с цел предотвратяване на злонамерени атаки. Той реализира принудителен (или мандатен) модел за управление на достъпа (англ. Mandatory Access Control, MAC) върху съществуващия дискреционен (или избирателен) модел (англ. Discretionary Access Control, DAC), т.е. разрешения за четене, запис и изпълнение.

SELinux има три режима:

1. Принудителен — забранява достъпа на основание правилата на политиката.
2. Позволителен — запис на действия, нарушаващи политиката, които в принудителния режим биха били забранени.
3. Деактивирано — пълно изключване на SELinux.

По подразбиране настройките са в /etc/selinux/config

Промяна на режимите на SELinux

За да научите текущия режим, стартирайте

$ getenforce

За да промените режима на позволителен, стартирайте следната команда

$ setenforce 0

или, за да промените режима от позволителен на принудителен, изпълнете

$ setenforce 1

Ако трябва да изключите напълно SELinux, това може да се направи само чрез конфигурационния файл

$ vi /etc/selinux/config

За да изключите, променете параметъра SELINUX по следния начин:

SELINUX=disabled

Настройка на SELinux

Всеки файл и процес е маркиран с контекста на SELinux, който съдържа допълнителна информация, като потребител, роля, тип и т.н. Ако включвате SELinux за първи път, трябва първо да настроите контекста и етикетите. Процесът на назначаване на етикети и контекст е известен като маркиране. За да започнете маркирането, променете режима в конфигурационния файл на позволителен.

$ vi /etc/selinux/config
SELINUX=permissive

След установяване на режима позволителен, създайте в корена празен скрит файл с името .autorelabel

$ touch /.autorelabel

и рестартирайте компютъра

$ init 6

Забележка: Използваме режим позволителен за маркиране, тъй като използването на режим принудителен може да доведе до срив на системата по време на рестартиране.

Не се притеснявайте, ако зареждането зацикли на някой файл, маркирането отнема време. След завършване на маркирането и зареждането на системата, можете да отидете до конфигурационния файл и да зададете режима принудителен, а също така да стартирате:

$ setenforce 1

Сега успешно включихте SELinux на вашия компютър.

Наблюдаваме логовете

Възможно е да имате някакви грешки по време на маркировката или по време на работа на системата. За да проверите дали вашият SELinux работи правилно и не блокира достъпа до някой порт, приложение и т.н., трябва да погледнете логовете. Логът на SELinux се намира в /var/log/audit/audit.log, но не е нужно да го четете целия, за да намерите грешки. Можете да използвате утилитата audit2why, за да търсите грешки. Изпълнете следната команда:

$ audit2why < /var/log/audit/audit.log

В резултат на това ще получите списък с грешки. Ако в логовете няма грешки, няма да се показват съобщения.

Настройка на политиката SELinux

Политиката на SELinux е набор от правила, на които се ръководи механизмът за сигурност SELinux. Политиката определя набор от правила за конкретна среда. Сега ще разгледаме как да настроим политиките, за да разрешим достъпа до забранени услуги.

1. Логически стойности (превключватели)

Превключвателите (booleans) позволяват да променяте части от политиката по време на работа, без нужда от създаване на нови политики. Те позволяват да се правят промени без рестартиране или прекапитализиране на политиките на SELinux.

Пример
Да предположим, че искаме да предоставим общ достъп до домашната директория на потребителя по FTP за четене и запис, и вече сме я споделили, но при опит за достъп не виждаме нищо. Това е, защото политиката на SELinux забранява на FTP сървъра да чете и записва в домашната директория на потребителя. Трябва да променим политиката, за да може FTP сървърът да достъпи домашните директории. Нека видим дали за това има налични превключватели, като изпълним

$ semanage boolean -l

Тази команда ще изведе списък с наличните превключватели с текущото им състояние (включено / on или изключено / off) и описание. Можете да уточните търсенето, добавяйки grep, за да намерите резултатите, свързани само с ftp:

$ semanage boolean -l | grep ftp

и ще намерите следното

ftp_home_dir        -> off       Позволява на ftp да чете и пише файлове в домашната директория на потребителя

Този превключвател е изключен, затова ще го включим с помощта на setsebool $ setsebool ftp_home_dir on

Сега нашият ftp демон ще може да получава достъп до домашната директория на потребителя.
Забележка: можете да получите списък с наличните превключватели без описание, като изпълните getsebool -a

2. Етикети и контекст

Това е най-разпространеният начин за реализиране на политиката на SELinux. Всеки файл, папка, процес и порт са етикетирани с контекста на SELinux:

• За файловете и папките етикетите се съхраняват като разширени атрибути в файловата система и могат да се преглеждат с следната команда:

  $ ls -Z /etc/httpd

• За процесите и портовете етикетите се управляват от ядрото, и можете да видите тези етикети по следния начин:

процес

$ ps –auxZ | grep httpd

порт

$ netstat -anpZ | grep httpd

Пример
Сега нека да разгледаме пример, за да разберем по-добре етикетите и контекста. Да предположим, че имаме уеб-сервер, който вместо каталог /var/www/html/ использует /home/dan/html/. SELinux ще счете това за нарушение на политиката и няма да можете да показвате вашите уеб страници. Това е, защото не сме задали свързания с HTML файловете защитен контекст. За да видите защитния контекст по подразбиране, използвайте следната команда:

$ ls –lz /var/www/html
 -rw-r—r—. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/

Тук получихме httpd_sys_content_t като контекст за html файловете. Трябва да зададем този защитен контекст за текущия ни каталог, който в момента има следния контекст:

-rw-r—r—. dan dan system_u:object_r:user_home_t:s0 /home/dan/html/

Алтернативна команда за проверка на защитния контекст на файл или каталог:

$ semanage fcontext -l | grep '/var/www'

Също така ще използваме semanage, за да променим контекста след като намерим правилния защитен контекст. За да променим контекста на /home/dan/html, изпълнете следните команди:

$ semanage fcontext -a -t httpd_sys_content_t '/home/dan/html(/.*)?'
$ semanage fcontext -l | grep '/home/dan/html'
/home/dan/html(/.*)? all files system_u:object_r:httpd_sys_content_t:s0
$ restorecon -Rv /home/dan/html

След като контекстът бъде променен с помощта на semanage, командата restorecon ще зареди контекста по подразбиране за файловете и каталогите. Нашият уеб сървър сега ще може да чете файлове от папката /home/dan/html, тъй като защитният контекст за тази папка е променен на httpd_sys_content_t.

3. Създаване на локални политики

Могат да възникнат ситуации, когато горепосочените методи са безполезни за вас, и получавате грешки (avc/denial) в audit.log. Когато това се случи, трябва да създадете локална политика (Local policy). Всички грешки можете да намерите с помощта на audit2why, както бе описано по-горе.

За отстраняване на грешки можете да създадете локална политика. Например, ако получим грешка, свързана с httpd (apache) или smbd (samba), ние грепаме грешките и създаваме политика за тях:

apache
$ grep httpd_t /var/log/audit/audit.log | audit2allow -M http_policy
samba
$ grep smbd_t /var/log/audit/audit.log | audit2allow -M smb_policy

Тук http_policy и smb_policy — това са имената на локалните политики, които създадохме. Сега трябва да заредим тези създадени локални политики в настоящата политика SELinux. Може да го направим по следния начин:

$ semodule –I http_policy.pp
$ semodule –I smb_policy.pp

Нашите локални политики бяха заредени и не би трябвало повече да получаваме avc или denial в audit.log.

Това беше моят опит да ви помогна да разберете SELinux. Надявам се, че след прочитане на тази статия ще се чувствате по-комфортно с SELinux.

Източник: habr.com