{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"En begynderguide til SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"En<\/p>\n

<\/p>\n

Overs\u00e6ttelsen af artiklen er forberedt til studerende p\u00e5 kurset \u00abSikkerhed i Linux\u00bb<\/a><\/noindex><\/em><\/p>\n

SELinux eller Security Enhanced Linux er en forbedret adgangskontrolmekanisme, der er udviklet af det amerikanske National Security Agency (NSA) for at forhindre ondsindede indtr\u00e6ngen. Den implementerer en tvungen (eller mandat) adgangskontrolmodel (engelsk: Mandatory Access Control, MAC) oven p\u00e5 den eksisterende diskretion\u00e6re (eller valgfrie) model (engelsk: Discretionary Access Control, DAC), som er tilladelser til l\u00e6sning, skrivning og udf\u00f8relse.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux har tre tilstande:<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2014 n\u00e6gter adgang baseret p\u00e5 politikregler.<\/li>\n
  2. Permissive<\/strong> \u2014 logger handlinger, der overtr\u00e6der politik, som i enforcing-tilstand ville v\u00e6re blevet n\u00e6gtet.<\/li>\n
  3. Deaktiveret<\/strong> \u2014 fuldst\u00e6ndig deaktivering af SELinux.<\/li>\n<\/ol>\n

    <\/p>\n

    Som standard er indstillingerne i \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    \u00c6ndring af SELinux-tilstande<\/h1>\n

    <\/p>\n

    For at finde den nuv\u00e6rende tilstand, k\u00f8r <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    For at \u00e6ndre tilstanden til permissive, k\u00f8r f\u00f8lgende kommando: <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    eller, for at \u00e6ndre tilstanden fra permissive<\/strong> og f\u00e5 en fungerende kommando. til<\/strong>enforcing, udf\u00f8r <\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Hvis du skal deaktivere SELinux helt, kan det kun g\u00f8res via konfigurationsfilen <\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/code><\/pre>\n
    <\/p>\n
    For at deaktivere \u00e6ndrer du SELINUX-parameteren til:<\/p>\n
    <\/p>\n
    SELINUX=disabled<\/code><\/pre>\n
    <\/p>\n
    Konfiguration af SELinux<\/h1>\n
    <\/p>\n
    Hver fil og proces m\u00e6rkes med en SELinux-kontekst, som indeholder yderligere oplysninger som bruger, rolle, type osv. Hvis du aktiverer SELinux for f\u00f8rste gang, skal du f\u00f8rst konfigurere konteksten og m\u00e6rkerne. Processen med at tildele m\u00e6rker og kontekst er kendt som m\u00e6rkning. For at starte m\u00e6rkningen, \u00e6ndrer vi i konfigurationsfilen tilstanden til permissive<\/strong>.<\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive<\/code><\/pre>\n
    <\/p>\n
    Efter indstilling af tilstanden permissive<\/strong>, opretter vi en tom skjult fil ved roden med navnet autorelabel<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    og genstarter computeren<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Bem\u00e6rk: Vi bruger tilstanden permissive<\/strong> til m\u00e6rkning, da brug af tilstanden til<\/strong> kan f\u00f8re til systemnedbrud under genstart.<\/p>\n
    <\/p>\n
    Bekymre dig ikke, hvis opstarten h\u00e6nger p\u00e5 en eller anden fil, m\u00e6rkningen tager lidt tid. N\u00e5r m\u00e6rkningen er fuldf\u00f8rt og din systemgenstart er sket, kan du g\u00e5 til konfigurationsfilen og indstille tilstanden til<\/strong>, samt k\u00f8re:<\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Nu har du med succes aktiveret SELinux p\u00e5 din computer. <\/p>\n
    <\/p>\n
    Overv\u00e5ger logs<\/h1>\n
    <\/p>\n
    Der kan v\u00e6re opst\u00e5et fejl under m\u00e6rkning eller under systemets drift. For at tjekke, om SELinux fungerer korrekt, og om det blokerer adgangen til nogen porte, applikationer osv., skal du kigge i logfilerne. SELinux-loggen findes i \/var\/log\/audit\/audit.log<\/code>, men du beh\u00f8ver ikke at l\u00e6se den i sin helhed for at finde fejl. Du kan bruge v\u00e6rkt\u00f8jet audit2why til at finde fejlene. K\u00f8r f\u00f8lgende kommando:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Som resultat vil du f\u00e5 en liste over fejl. Hvis der ikke var nogen fejl i loggen, vil der ikke blive vist nogen meddelelser.<\/p>\n
    <\/p>\n
    Konfiguration af SELinux-politik<\/h1>\n
    <\/p>\n
    SELinux-politik er et s\u00e6t regler, som SELinux sikkerhedsmekanismen f\u00f8lger. Politikken definerer et s\u00e6t regler for et bestemt milj\u00f8. Nu vil vi unders\u00f8ge, hvordan man konfigurerer politikker for at give adgang til forbudte tjenester.<\/p>\n
    <\/p>\n
    1. Logiske v\u00e6rdier (switches)<\/h4>\n
    <\/p>\n
    Switches (booleans) giver mulighed for at \u00e6ndre dele af politikken under drift uden at skulle oprette nye politikker. De giver mulighed for at foretage \u00e6ndringer uden genstart eller recompilation af SELinux-politikker.<\/p>\n
    <\/p>\n
    Eksempel<\/strong>
    \nLad os sige, at vi vil give offentlig adgang til en brugers hjemmemappe via FTP til l\u00e6sning og skrivning, og vi har allerede delt den, men n\u00e5r vi pr\u00f8ver at f\u00e5 adgang, ser vi ikke noget. Dette skyldes, at SELinux-politikken forbyder FTP-serveren at l\u00e6se og skrive i brugerens hjemmemappe. Vi skal \u00e6ndre politikken, s\u00e5 FTP-serveren kan tilg\u00e5 hjemmemapper. Lad os se om der er nogen switches til dette ved at udf\u00f8re<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Denne kommando vil give en liste over tilg\u00e6ngelige switches med deres nuv\u00e6rende tilstand (t\u00e6ndt\/on eller slukket\/off) og en beskrivelse. Du kan pr\u00e6cisere s\u00f8gningen ved at tilf\u00f8je grep for kun at finde resultater, der relaterer til ftp:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    og finde f\u00f8lgende<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Tillad ftp at l\u00e6se & skrive filer i brugers hjemmemappe<\/code><\/pre>\n
    <\/p>\n
    Denne switch er slukket, s\u00e5 vi vil t\u00e6nde den ved hj\u00e6lp af setsebool $ setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Nu vil vores ftp-daemon kunne f\u00e5 adgang til brugerens hjemmemappe.
    \nBem\u00e6rk: Du kan ogs\u00e5 f\u00e5 en liste over tilg\u00e6ngelige switches uden beskrivelse ved at udf\u00f8re getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Etiketter og kontekst<\/h4>\n
    <\/p>\n
    Dette er den mest almindelige m\u00e5de at implementere SELinux-politik p\u00e5. Hver fil, mappe, proces og port er m\u00e6rket med en SELinux-kontekst:<\/p>\n
    <\/p>\n