🥇Шпаргалка за системен администратор по SELinux: 42 отговора на важни въпроси

Преводът на статията е подготвен специално за студентите от курса «Администратор Linux».

Тук ще получите отговори на важни въпроси за живота, вселената и всичко останало в Linux с подобрена сигурност.

„Важната истина, че нещата не винаги са това, на което изглеждат, е общоизвестна…“

―Дъглас Адамс, Автостопом по Галактиката

Сигурност. Повишаване на надеждността. Съответствие. Политика. Четирите конници на Апокалипсиса за системния администратор. Освен нашите ежедневни задачи — мониторинг, резервно копие, внедряване, настройка, обновяване и т.н. — ние също така отговаряме за сигурността на нашите системи. Дори тези системи, при които външният доставчик ни препоръчва да деактивираме повишената сигурност. Това прилича на работата на Итън Хънт от „Мисията невъзможна“.

Сблъсквайки се с тази дилема, някои системни администратори решават да вземат синята таблетка, защото мислят, че никога няма да разберат отговора на големия въпрос за живота, вселената и всичко останало. И, както всички знаем, този отговор е 42.

В духа на „Автостопом по галактиката“, тук са представени 42 отговора на важни въпроси относно управлението и употребата SELinux във вашите системи.

1. SELinux е система за принудително управление на достъпа, което означава, че всеки процес има етикет (label). Всеки файл, каталог и системен обект също имат етикети. Правилата на политиката управляват достъпа между етикетираните процеси и обекти. Ядрото осигурява спазването на тези правила.

2. Две от най-важните концепции са: Маркиране — етикетиране (файлове, процеси, портове и т.н.) и Типово налагане (който изолира процесите един от друг на базата на типове).

3. Правилният формат на етикета user:role:type:level (по избор).

4. Целта на осигуряване на многостепенна сигурност (Многостепенна сигурност — MLS) е управлението на процесите (домейни) на базата на нивото на сигурност на данните, които ще използват. Например, секретен процес не може да чете свръхсекретни данни.

5. Осигуряването на многокатегорийна сигурност (Многокатегорийна сигурност — MCS) защитава подобни процеси един от друг (например виртуални машини, механизми OpenShift, песSandbox SELinux, контейнери и т.н.).

6. Настройки на ядрото за промяна на режимите на SELinux при зареждане:

autorelabel=1 → накара системата да стартира презареждане на етикетите
selinux=0 → ядрото не зарежда инфраструктурата на SELinux
enforcing=0 → зареждане в разрешителен режим

7. Ако трябва да пренасочите цялата система:

# touch /.autorelabel #reboot

Ако системната маркировка съдържа много грешки, може да е необходимо да заредите в разрешителен режим, за да премине пренасочването успешно.

8. За да проверите дали SELinux е активиран: # getenforce

9. За временно включване/изключване на SELinux: # setenforce [1|0]

10. Проверка на състоянието на SELinux: # sestatus

11. Конфигурационен файл: /etc/selinux/config

12. Как работи SELinux? Ето пример за маркировка за уеб сървър Apache:

Двоично представяне: /usr/sbin/httpd→httpd_exec_t
Конфигурационен каталог: /etc/httpd→httpd_config_t
Каталог за файлове с лога: /var/log/httpd → httpd_log_t
Съдържателен каталог: /var/www/html → httpd_sys_content_t
Стартиращ скрипт: /usr/lib/systemd/system/httpd.service → httpd_unit_file_d
Процес: /usr/sbin/httpd -DFOREGROUND → httpd_t
Портове: 80/tcp, 443/tcp → httpd_t, http_port_t

Процес, стартиран в контекста httpd_t, може да взаимодейства с обект с етикет httpd_something_t.

13. Много команди приемат аргумент -Z за преглед, създаване и промяна на контекст:

ls -Z
id -Z
ps -Z
netstat -Z
cp -Z
mkdir -Z

Контекстите се установяват, когато файловете се създават на базата на контекста на родителската им директория (с някои изключения). RPM могат да задават контексти по време на инсталацията.

14. Има четири основни причини за грешки в SELinux, които са описани по-подробно в точки 15-21 по-долу:

Проблеми с маркировката
Поради нещо, което SELinux трябва да знае
Грешка в политиката/приложението SELinux
Вашата информация може да бъде компрометирана

15. Проблем с маркировката: ако вашите файлове в /srv/myweb са маркирани неправилно, достъпът може да бъде отказан. Ето няколко начина да поправите това:

Ако знаете етикета:
# semanage fcontext -a -t httpd_sys_content_t '/srv/myweb(/.*)?'
Ако знаете файл с еквивалентна маркировка:
# semanage fcontext -a -e /srv/myweb /var/www
Възстановявайки контекста (за двата случая):
# restorecon -vR /srv/myweb

16. Проблем с маркировката: ако преместите файла, вместо да го копирате, файлът ще запази своя оригинален контекст. За да поправите този проблем:

Променете контекстната команда с етикета:
# chcon -t httpd_system_content_t /var/www/html/index.html
Променете контекстната команда с етикета на връзката:
# chcon --reference /var/www/html/ /var/www/html/index.html
Възстановете контекста (за двата случая): # restorecon -vR /var/www/html/

17. Ако SELinux трябва да знае, че HTTPD слуша на порт 8585, уведомете SELinux:

# semanage port -a -t http_port_t -p tcp 8585

18. SELinux трябва да знае логически стойности, които позволяват промяна на части от политиката на SELinux по време на изпълнение без знание за презапис на политиката на SELinux. Например, ако искате httpd да изпраща имейл, въведете: # setsebool -P httpd_can_sendmail 1

19. SELinux трябва да знае логически стойности за включване/изключване на настройки на SELinux:

За да видите всички логически стойности: # getsebool -a
За да видите описанието на всяка: # semanage boolean -l
За да зададете логическо значение: # setsebool [_boolean_] [1|0]
За постоянно задаване добавете -P. Например: # setsebool httpd_enable_ftp_server 1 -P

20. Политиките/добавките на SELinux могат да съдържат грешки, включително:

Неправилни кодови пътеки
Конфигурации
Пренасочване на stdout
Изтичания на файлови дескриптори
Изпълнима памет
Лошо построени библиотеки

Отваряйте тикети (не изпращайте отчет в Bugzilla; в Bugzilla няма SLA).

21. Вашата информация може да бъде компрометирана, ако имате ограничени домейни, които опитват да:

Заредите модули на ядрото
Изключите режима на принудително прилагане на SELinux
Пишете в etc_t/shadow_t
Променете правилата на iptables

22. Инструменти на SELinux за разработка на модули за политика:

# yum -y install setroubleshoot setroubleshoot-server

Рестартирайте или перезапустете auditd след инсталирането.

23. Използвайте

journalctl

за извеждане на списък с всички логове, свързани с setroubleshoot:

# journalctl -t setroubleshoot --since=14:20

24. Използвайте journalctl за извеждане на списък с всички логове, свързани с определен етикет на SELinux. Например:

# journalctl _SELINUX_CONTEXT=system_u:system_r:policykit_t:s0

25. При възникване на грешка на SELinux, използвайте лог setroubleshoot с предложение за няколко възможни решения.
Например, от journalctl:

Jun 14 19:41:07 web1 setroubleshoot: SELinux предотвратява httpd от достъп до атрибута на файла /var/www/html/index.html. За пълния съобщение пуснете: sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755e

# sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755e
SELinux предотвратява httpd от достъп до атрибута на файла /var/www/html/index.html.

***** Плъгин restorecon (99.5 % увереност) предлага ************************

Ако искате да поправите етикета,
/var/www/html/index.html подразбиращият етикет трябва да бъде httpd_syscontent_t.
След това можете да restorecon.
Правете
# /sbin/restorecon -v /var/www/html/index.html

26. Логиране: SELinux записва информация на много места:

/var/log/messages
/var/log/audit/audit.log
/var/lib/setroubleshoot/setroubleshoot_database.xml

27. Логиране: търсене на грешки от SELinux в логовия ауда:

# ausearch -m AVC,USER_AVC,SELINUX_ERR -ts today

28. За да намерите съобщения SELinux Access Vector Cache (AVC) за определена услуга:

# ausearch -m avc -c httpd

29. Утилита audit2allow събира информация от логовете на забранени операции и след това генерира правила за разрешения на политиката на SELinux. Например:

За да създадете разбираемо описание на причината за отказа на достъп: # audit2allow -w -a
За да прегледате правило за принудително прилагане на типове, разрешаващо забранен достъп: # audit2allow -a
За да създадете потребителски модул: # audit2allow -a -M mypolicy
Опция -M създава файл за принудително прилагане на тип (.te) с указаното име и компилира правилото в пакет на политиката (.pp): mypolicy.pp mypolicy.te
За да инсталирате потребителски модул: # semodule -i mypolicy.pp

30. За да настроите отделен процес (домен) да работи в режим на разрешение: # semanage permissive -a httpd_t

31. Ако вече не искате домейнът да бъде разрешен: # semanage permissive -d httpd_t

32. За да изключите всички разрешени домейни: # semodule -d permissivedomains

33. Включване на политиката на SELinux MLS: # yum install selinux-policy-mls в /etc/selinux/config:

SELINUX=permissive
SELINUXTYPE=mls

Уверете се, че SELinux работи в режим на разрешение: # setenforce 0
Използвайте скрипт fixfiles, за да се гарантира, че файловете ще бъдат преетикетирани при следващото рестартиране:

# fixfiles -F onboot # reboot

34. Създайте потребител с определен диапазон на MLS: # useradd -Z staff_u john

Използвайки командата useradd, свържете нов потребител с съществуващ потребител на SELinux (в този случай, staff_u).

35. За да видите съответствието между потребителите на SELinux и Linux: # semanage login -l

36. Определете конкретен диапазон за потребителя: # semanage login --modify --range s2:c100 john

37. За да коригирате етикета в домашната директория на потребителя (при необходимост): # chcon -R -l s2:c100 /home/john

38. За да видите текущите категории: # chcat -L

39. За да промените категориите или да започнете да създавате свои собствени, променете файла по следния начин:

/etc/selinux/_<selinuxtype>_/setrans.conf

40. За да стартирате команда или скрипт в конкретен файл, роли и контекст на потребителя:

# runcon -t initrc_t -r system_r -u user_u yourcommandhere

-t контекст на файла
-r контекст на ролята
-u контекст на потребителя

41. Контейнери, работещи с деактивиран SELinux:

Podman: # podman run --security-opt label=disable …
Docker: # docker run --security-opt label=disable …

42. Ако трябва да предоставите на контейнера пълен достъп до системата:

Podman: # podman run --privileged …
Docker: # docker run --privileged …

И вече знаете отговора. Затова, моля: не паникьосвайте и активирайте SELinux.

Линкове:

Източник: habr.com

Шпаргалка за системния администратор по SELinux: 42 отговора на важни въпроси

Линкове: