Преводът на статията е подготвен за студентите от курса „Сигурност на Linux“

SELinux или Security Enhanced Linux е подобрен механизъм за управление на достъпа, разработен от Американската агенция за национална сигурност (NSA) за предотвратяване на злонамерени прониквания. Той реализира задължителен (или мандатен) модел на управление на достъпа (на английски: Mandatory Access Control, MAC) върху съществуващия дискреционен (или избирателен) модел (на английски: Discretionary Access Control, DAC), т.е. разрешенията за четене, запис и изпълнение.

SELinux има три режима:

1. Enforcing — забрана на достъпа на основание правилата на политиката.
2. Permissive — води запис на действия, нарушаващи политиката, които в режима enforcing биха били забранени.
3. Disabled — пълно деактивиране на SELinux.

По подразбиране настройките са в /etc/selinux/config

Смяна на режимите на SELinux

За да разберете текущия режим, стартирайте

$ getenforce

За да промените режима на permissive, стартирайте следната команда

$ setenforce 0

или, за да промените режима от permissive на на, изпълнете

$ setenforce 1

Ако искате напълно да деактивирате SELinux, можете да го направите само чрез конфигурационния файл

$ vi /etc/selinux/config

За да деактивирате, променете параметъра SELINUX по следния начин:

SELINUX=disabled

Настройка на SELinux

Всеки файл и процес се маркира с контекст на SELinux, който съдържа допълнителна информация, като потребител, роля, тип и т.н. Ако за пръв път включвате SELinux, първо трябва да настроите контекста и етикетите. Процесът на назначаване на етикети и контекста е известен като маркиране. За да започнете маркирането, променете режима в конфигурационния файл на permissive.

$ vi /etc/selinux/config
SELINUX=permissive

След като зададете режима permissive, създайте в корена празен скрит файл с име .autorelabel

$ touch /.autorelabel

и рестартирайте компютъра

$ init 6

Забележка: Използваме режим permissive за маркиране, тъй като използването на режим на може да доведе до срив на системата по време на рестартиране.

Не се притеснявайте, ако зареждането забуксува на някой файл, маркирането отнема време. След приключване на маркирането и зареждането на вашата система можете да преминете към конфигурационния файл и да зададете режима на, както и да стартирате:

$ setenforce 1

Сега успешно сте включили SELinux на вашия компютър.

Наблюдаваме логовете

Възможно е да сте срещнали някакви грешки по време на маркиране или по време на работа на системата. За да проверите дали вашият SELinux работи правилно и не блокира достъпа до някой порт, приложение и т.н., е необходимо да прегледате логовете. Логът на SELinux е в /var/log/audit/audit.log, но не е нужно да го четете изцяло, за да намерите грешките. Можете да използвате инструмента audit2why за търсене на грешки. Изпълнете следната команда:

$ audit2why < /var/log/audit/audit.log

В резултат ще получите списък с грешки. Ако в логовете няма грешки, то няма да се показват никакви съобщения.

Настройка на политиката на SELinux

Политиката на SELinux е набор от правила, по които се ръководи механизмът за сигурност на SELinux. Политиката определя набор от правила за конкретна среда. Сега ще изследваме как да настроим политиките, за да разрешим достъпа до забранени услуги.

1. Логически стойности (превключватели)

Превключвателите (booleans) позволяват промяна на части от политиката по време на работа, без нуждата от създаване на нови политики. Те позволяват внасяне на изменения без рестартиране или пренаписване на политиките на SELinux.

Пример
Да предположим, че искаме да предоставим споделен достъп до домашната директория на потребителя по FTP за четене и запис и вече сме я споделили, но при опит за достъп не виждаме нищо. Това се дължи на факта, че политиката на SELinux забранява на FTP сървъра да чете и записва в домашната директория на потребителя. Трябва да променим политиката, за да позволим на FTP сървъра достъп до домашните директории. Нека видим дали има някакви превключватели за това, като изпълним

$ semanage boolean -l

Тази команда ще изведе списък на наличните превключватели с текущото им състояние (включено/on или изключено/off) и описание. Можете да уточните търсенето, като добавите grep, за да намерите резултати, свързани само с ftp:

$ semanage boolean -l | grep ftp

и ще намерите следното

ftp_home_dir -> off       Разрешава ftp да чете и пише в файлове в домашната директория на потребителя

Този превключвател е изключен, затова ще го активираме с setsebool ftp_home_dir on

Сега нашият ftp-демон ще може да получи достъп до домашната директория на потребителя.
Забележка: Можете също да получите списък на наличните превключватели без описание, като изпълните getsebool -a

2. Маркировки и контекст

Това е най-разпространеният начин за прилагане на политиката на SELinux. Всеки файл, папка, процес и порт са маркирани с контекст на SELinux:

• За файловете и папките, етикетите се съхраняват като разширени атрибути в файловата система и могат да бъдат прегледани със следната команда:

  $ ls -Z /etc/httpd

• За процесите и портовете етикетите се управляват от ядрото и можете да видите тези етикети по следния начин:

процес

$ ps –auxZ | grep httpd

порт

$ netstat -anpZ | grep httpd

Пример
Сега нека разгледаме пример, за да разберем по-добре етикетите и контекста. Да кажем, че имаме уеб-сървър, който вместо директория /var/www/html/ использует /home/dan/html/. SELinux ще сметне това за нарушение на политиката и няма да можете да преглеждате вашите уеб страници. Това е, защото не сме задали контекста на сигурността, свързан с HTML файловете. За да видите контекста на сигурността по подразбиране, използвайте следната команда:

$ ls –lz /var/www/html
 -rw-r—r—. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/

Тук получаваме httpd_sys_content_t като контекст за HTML файловете. Трябва да зададем този контекст на сигурността за нашата текуща директория, която в момента има следния контекст:

-rw-r—r—. dan dan system_u:object_r:user_home_t:s0 /home/dan/html/

Алтернативна команда за проверка на контекста на сигурността на файл или директория:

$ semanage fcontext -l | grep '/var/www'

Ще използваме също semanage, за да променим контекста, след като намерим правилния контекст на сигурността. За да промените контекста на /home/dan/html, изпълнете следните команди:

$ semanage fcontext -a -t httpd_sys_content_t '/home/dan/html(\/.*)?'
$ semanage fcontext -l | grep '/home/dan/html'
/home/dan/html(\/.*)? all files system_u:object_r:httpd_sys_content_t:s0
$ restorecon -Rv /home/dan/html

След като контекстът бъде променен с помощта на semanage, командата restorecon ще зареди контекста по подразбиране за файловете и директориите. Нашият уеб-сървър вече ще може да чете файлове от папката /home/dan/html, тъй като контекстът на сигурността за тази папка беше променен на httpd_sys_content_t.

3. Създаване на локални политики

Могат да възникнат ситуации, когато посочените по-горе методи са безполезни за вас и получавате грешки (avc/denial) в audit.log. Когато това се случи, трябва да създадете локална политика (Local policy). Всички грешки можете да откриете с помощта на audit2why, както беше описано по-горе.

За отстраняване на грешките можете да създадете локална политика. Например, ако получим грешка, свързана с httpd (apache) или smbd (samba), правим grep на грешките и създаваме политика за тях:

apache
$ grep httpd_t /var/log/audit/audit.log | audit2allow -M http_policy
samba
$ grep smbd_t /var/log/audit/audit.log | audit2allow -M smb_policy

Тук http_policy и smb_policy — това са имената на локалните политики, които създадохме. Сега трябва да заредим тези създадени локални политики в текущата политика SELinux. Това може да стане по следния начин:

$ semodule -I http_policy.pp
$ semodule -I smb_policy.pp

Нашите локални политики бяха заредени и не трябва вече да получаваме никакви avc или denial в audit.log.

Това беше моят опит да ви помогна да разберете SELinux. Надявам се, че след прочитането на тази статия ще се чувствате по-комфортно със SELinux.

Източник: habr.com