{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Pr\u016fvodce pro za\u010d\u00e1te\u010dn\u00edky k SELinuxu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Pr\u016fvodce<\/p>\n

<\/p>\n

P\u0159eklad \u010dl\u00e1nku byl p\u0159ipraven pro studenty kurzu Bezpe\u010dnost Linuxu<\/a><\/noindex><\/em><\/p>\n

SELinux neboli Security Enhanced Linux je vylep\u0161en\u00fd mechanismus \u0159\u00edzen\u00ed p\u0159\u00edstupu, vyvinut\u00fd N\u00e1rodn\u00edm bezpe\u010dnostn\u00edm agenturou USA (NSA), jeho\u017e c\u00edlem je zabr\u00e1nit \u0161kodliv\u00fdm vniknut\u00edm. Implementuje vynucen\u00fd (nebo mand\u00e1tn\u00ed) model \u0159\u00edzen\u00ed p\u0159\u00edstupu (angl. Mandatory Access Control, MAC) nad existuj\u00edc\u00edm diskr\u00e9\u010dn\u00edm (nebo voliteln\u00fdm) modelem (angl. Discretionary Access Control, DAC), tedy opr\u00e1vn\u011bn\u00edmi pro \u010dten\u00ed, z\u00e1pis a vykon\u00e1v\u00e1n\u00ed.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux m\u00e1 t\u0159i re\u017eimy:<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2014 zakazuje p\u0159\u00edstup na z\u00e1klad\u011b pravidel politiky.<\/li>\n
  2. Permissive<\/strong> \u2014 zaznamen\u00e1v\u00e1 \u010dinnosti, kter\u00e9 by byly v re\u017eimu enforcing zak\u00e1z\u00e1ny.<\/li>\n
  3. Zak\u00e1z\u00e1no<\/strong> \u2014 pln\u00e9 vypnut\u00ed SELinuxu.<\/li>\n<\/ol>\n

    <\/p>\n

    V\u00fdchoz\u00ed nastaven\u00ed je v \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    Zm\u011bna re\u017eim\u016f SELinux<\/h1>\n

    <\/p>\n

    Chcete-li zjistit aktu\u00e1ln\u00ed re\u017eim, spus\u0165te <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Pro zm\u011bnu re\u017eimu na permissive spus\u0165te n\u00e1sleduj\u00edc\u00ed p\u0159\u00edkaz <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    nebo pro zm\u011bnu re\u017eimu z permissive<\/strong> na na enforcing<\/strong>, prove\u010fte <\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Pokud pot\u0159ebujete SELinux zcela vypnout, m\u016f\u017eete to ud\u011blat pouze prost\u0159ednictv\u00edm konfigura\u010dn\u00edho souboru <\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/code><\/pre>\n
    <\/p>\n
    Chcete-li vypnout, zm\u011b\u0148te parametr SELINUX n\u00e1sleduj\u00edc\u00edm zp\u016fsobem:<\/p>\n
    <\/p>\n
    SELINUX=disabled<\/code><\/pre>\n
    <\/p>\n
    Nastaven\u00ed SELinux<\/h1>\n
    <\/p>\n
    Ka\u017ed\u00fd soubor a proces je ozna\u010den kontextem SELinux, kter\u00fd obsahuje dodate\u010dn\u00e9 informace, jako je u\u017eivatel, role, typ atd. Pokud SELinux zap\u00edn\u00e1te poprv\u00e9, je pot\u0159eba nejprve nastavit kontext a \u0161t\u00edtky. Proces p\u0159i\u0159azen\u00ed \u0161t\u00edtk\u016f a kontextu je zn\u00e1m\u00fd jako ozna\u010dov\u00e1n\u00ed. Pro zah\u00e1jen\u00ed ozna\u010dov\u00e1n\u00ed v konfigura\u010dn\u00edm souboru zm\u011bn\u00edme re\u017eim na permissive<\/strong>.<\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive<\/code><\/pre>\n
    <\/p>\n
    Po nastaven\u00ed re\u017eimu permissive<\/strong>, vytvo\u0159\u00edme v ko\u0159enov\u00e9m adres\u00e1\u0159i pr\u00e1zdn\u00fd skryt\u00fd soubor s n\u00e1zvem .autorelabel<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    a restartujeme po\u010d\u00edta\u010d<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Pozn\u00e1mka: Pou\u017e\u00edv\u00e1me re\u017eim permissive<\/strong> pro ozna\u010dov\u00e1n\u00ed, jeliko\u017e pou\u017eit\u00ed re\u017eimu na enforcing<\/strong> m\u016f\u017ee zp\u016fsobit p\u00e1d syst\u00e9mu b\u011bhem restartu.<\/p>\n
    <\/p>\n
    Nestrachujte se, pokud se spu\u0161t\u011bn\u00ed zasekne na n\u011bjak\u00e9m souboru, ozna\u010dov\u00e1n\u00ed n\u011bjakou dobu trv\u00e1. Po dokon\u010den\u00ed ozna\u010dov\u00e1n\u00ed a spu\u0161t\u011bn\u00ed syst\u00e9mu m\u016f\u017eete p\u0159ej\u00edt k konfigura\u010dn\u00edmu souboru a nastavit re\u017eim na enforcing<\/strong>, a tak\u00e9 spustit:<\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Nyn\u00ed jste \u00fasp\u011b\u0161n\u011b aktivovali SELinux na sv\u00e9m po\u010d\u00edta\u010di. <\/p>\n
    <\/p>\n
    Sledov\u00e1n\u00ed log\u016f<\/h1>\n
    <\/p>\n
    M\u016f\u017eete m\u00edt b\u011bhem ozna\u010dov\u00e1n\u00ed nebo provozu syst\u00e9mu n\u011bjak\u00e9 chyby. Abyste zjistili, jestli v\u00e1\u0161 SELinux funguje spr\u00e1vn\u011b a neblokuje p\u0159\u00edstup k n\u011bjak\u00e9mu portu, aplikaci atd., je pot\u0159eba se pod\u00edvat na logy. Log SELinuxu se nach\u00e1z\u00ed v \/var\/log\/audit\/audit.log<\/code>, ale nemus\u00edte p\u0159e\u010d\u00edst cel\u00e9, abyste na\u0161li chyby. M\u016f\u017eete pou\u017e\u00edt n\u00e1stroj audit2why k hled\u00e1n\u00ed chyb. Spus\u0165te n\u00e1sleduj\u00edc\u00ed p\u0159\u00edkaz:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    V\u00fdsledkem bude seznam chyb. Pokud v logu \u017e\u00e1dn\u00e9 chyby nebyly, neobjev\u00ed se \u017e\u00e1dn\u00e9 zpr\u00e1vy.<\/p>\n
    <\/p>\n
    Nastaven\u00ed politiky SELinux<\/h1>\n
    <\/p>\n
    Politika SELinux je soubor pravidel, kter\u00e1 se \u0159\u00edd\u00ed bezpe\u010dnostn\u00edm mechanismem SELinux. Politika ur\u010duje sadu pravidel pro konkr\u00e9tn\u00ed prost\u0159ed\u00ed. Nyn\u00ed se pod\u00edv\u00e1me, jak nastavovat politiky, abychom umo\u017enili p\u0159\u00edstup k zak\u00e1zan\u00fdm slu\u017eb\u00e1m.<\/p>\n
    <\/p>\n
    1. Logick\u00e9 hodnoty (p\u0159ep\u00edna\u010de)<\/h4>\n
    <\/p>\n
    P\u0159ep\u00edna\u010de (booleans) umo\u017e\u0148uj\u00ed m\u011bnit \u010d\u00e1sti politiky za b\u011bhu, ani\u017e by bylo nutn\u00e9 vytv\u00e1\u0159et nov\u00e9 politiky. Umo\u017e\u0148uj\u00ed prov\u00e1d\u011bt zm\u011bny bez restartov\u00e1n\u00ed nebo p\u0159ekompilov\u00e1n\u00ed politik SELinux.<\/p>\n
    <\/p>\n
    P\u0159\u00edklad<\/strong>
    \nP\u0159edpokl\u00e1dejme, \u017ee chceme poskytnout sd\u00edlen\u00fd p\u0159\u00edstup k domovsk\u00e9mu adres\u00e1\u0159i u\u017eivatele p\u0159es FTP pro \u010dten\u00ed a z\u00e1pis, a ji\u017e jsme jej sd\u00edleli, ale p\u0159i pokusu o p\u0159\u00edstup nic nevid\u00edme. Je to proto, \u017ee politika SELinux zakazuje FTP serveru \u010d\u00edst a zapisovat do domovsk\u00e9ho adres\u00e1\u0159e u\u017eivatele. Mus\u00edme zm\u011bnit politiku, aby FTP server mohl p\u0159istupovat k domovsk\u00fdm adres\u00e1\u0159\u016fm. Pod\u00edv\u00e1me se, jestli existuj\u00ed n\u011bjak\u00e9 p\u0159ep\u00edna\u010de, spust\u00edme<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Tento p\u0159\u00edkaz vr\u00e1t\u00ed seznam dostupn\u00fdch p\u0159ep\u00edna\u010d\u016f s jejich aktu\u00e1ln\u00edm stavem (zapnuto\/on nebo vypnuto\/off) a popisem. M\u016f\u017eete zp\u0159esnit vyhled\u00e1v\u00e1n\u00ed p\u0159id\u00e1n\u00edm grep pro nalezen\u00ed v\u00fdsledk\u016f vztahuj\u00edc\u00edch se pouze k ftp:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    a najdete n\u00e1sleduj\u00edc\u00ed<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Umo\u017enit ftp \u010d\u00edst a zapisovat soubory v domovsk\u00e9m adres\u00e1\u0159i u\u017eivatele<\/code><\/pre>\n
    <\/p>\n
    Tento p\u0159ep\u00edna\u010d je vypnut\u00fd, proto jej zapneme pomoc\u00ed setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Nyn\u00ed n\u00e1\u0161 ftp d\u00e9mon bude m\u00edt p\u0159\u00edstup k domovsk\u00e9mu adres\u00e1\u0159i u\u017eivatele.
    \nPozn\u00e1mka: m\u016f\u017eete tak\u00e9 z\u00edskat seznam dostupn\u00fdch p\u0159ep\u00edna\u010d\u016f bez popisu spu\u0161t\u011bn\u00edm getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Ozna\u010den\u00ed a kontext<\/h4>\n
    <\/p>\n
    To je nejb\u011b\u017en\u011bj\u0161\u00ed zp\u016fsob implementace politiky SELinux. Ka\u017ed\u00fd soubor, slo\u017eka, proces a port jsou ozna\u010deny kontextem SELinux:<\/p>\n
    <\/p>\n