{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Einsteigerleitfaden zu SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Einsteigerleitfaden<\/p>\n

<\/p>\n

\u00dcbersetzung des Artikels f\u00fcr Studierende des Kurses \u201eLinux-Sicherheit\u201c<\/a><\/noindex><\/em><\/p>\n

SELinux oder Security Enhanced Linux ist ein erweiterter Zugriffskontrollmechanismus, der von der National Security Agency (NSA) der USA entwickelt wurde, um b\u00f6swillige Eindringlinge zu verhindern. Es implementiert ein verbindliches (oder mandatorisches) Zugriffssteuerungsmodell (Mandatory Access Control, MAC) \u00fcber das bestehende diskretion\u00e4re (oder wahlweise) Modell (Discretionary Access Control, DAC), das die Berechtigungen f\u00fcr Lesen, Schreiben und Ausf\u00fchren umfasst.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux bietet drei Modi:<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2014 verweigert den Zugriff basierend auf den Richtlinienregeln.<\/li>\n
  2. Permissive<\/strong> \u2014 protokolliert Aktivit\u00e4ten, die gegen die Richtlinie versto\u00dfen und im Enforcing-Modus verboten w\u00e4ren.<\/li>\n
  3. Disabled<\/strong> \u2014 vollst\u00e4ndige Deaktivierung von SELinux.<\/li>\n<\/ol>\n

    <\/p>\n

    Standardm\u00e4\u00dfig befinden sich die Einstellungen in \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    \u00c4ndern der SELinux-Modi<\/h1>\n

    <\/p>\n

    Um den aktuellen Modus zu erfahren, f\u00fchren Sie aus <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Um den Modus auf permissive zu \u00e4ndern, f\u00fchren Sie den folgenden Befehl aus <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    oder, um den Modus von permissive<\/strong> findet man auf<\/strong>enforcing <\/p>\n
    <\/p>\n
    , f\u00fchren Sie aus<\/code><\/pre>\n
    <\/p>\n
    $ setenforce 1 <\/p>\n
    <\/p>\n
    Wenn Sie SELinux vollst\u00e4ndig deaktivieren m\u00fcssen, k\u00f6nnen Sie dies nur \u00fcber die Konfigurationsdatei tun<\/code><\/pre>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/p>\n
    <\/p>\n
    SELINUX=disabled<\/code><\/pre>\n
    <\/p>\n
    Konfiguration von SELinux<\/h1>\n
    <\/p>\n
    Jede Datei und jeder Prozess wird mit einem SELinux-Kontext versehen, der zus\u00e4tzliche Informationen wie Benutzer, Rolle, Typ usw. enth\u00e4lt. Wenn Sie SELinux zum ersten Mal aktivieren, m\u00fcssen Sie zun\u00e4chst den Kontext und die Labels konfigurieren. Der Prozess der Zuweisung von Labels und Kontexten wird als Labeling bezeichnet. Um mit dem Labeling zu beginnen, \u00e4ndern wir den Modus in der Konfigurationsdatei auf permissive<\/strong>.<\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive<\/code><\/pre>\n
    <\/p>\n
    Nach der Festlegung des Modus permissive<\/strong>, erstellen wir im Stammverzeichnis eine leere versteckte Datei mit dem Namen .autorelabel<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    und starten den Computer neu<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Hinweis: Wir verwenden den Modus permissive<\/strong> zum Labeling, da die Verwendung des Modus auf<\/strong> zu einem Systemabbruch w\u00e4hrend des Neustarts f\u00fchren kann.<\/p>\n
    <\/p>\n
    Keine Sorge, wenn das Booten bei einer bestimmten Datei h\u00e4ngen bleibt, das Labeling ben\u00f6tigt etwas Zeit. Nach Abschluss des Labelings und dem Hochfahren Ihres Systems k\u00f6nnen Sie zur Konfigurationsdatei zur\u00fcckkehren und den Modus festlegen auf<\/strong>, sowie ausf\u00fchren:<\/p>\n
    <\/p>\n
    , f\u00fchren Sie aus<\/code><\/pre>\n
    <\/p>\n
    Jetzt haben Sie SELinux erfolgreich auf Ihrem Computer aktiviert. <\/p>\n
    <\/p>\n
    Wir \u00fcberwachen die Protokolle<\/h1>\n
    <\/p>\n
    M\u00f6glicherweise gab es beim Labeling oder w\u00e4hrend des Betriebs des Systems einige Fehler. Um zu \u00fcberpr\u00fcfen, ob Ihr SELinux korrekt funktioniert und ob es den Zugriff auf einen Port, eine Anwendung usw. blockiert, sollten Sie die Protokolle pr\u00fcfen. Die SELinux-Protokolldatei befindet sich in \/var\/log\/audit\/audit.log<\/code>, aber Sie m\u00fcssen es nicht vollst\u00e4ndig lesen, um Fehler zu finden. Sie k\u00f6nnen das Tool audit2why verwenden, um nach Fehlern zu suchen. F\u00fchren Sie den folgenden Befehl aus:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Infolgedessen erhalten Sie eine Liste von Fehlern. Wenn es keine Fehler im Protokoll gab, werden keine Nachrichten angezeigt.<\/p>\n
    <\/p>\n
    Konfiguration der SELinux-Richtlinie<\/h1>\n
    <\/p>\n
    Die SELinux-Richtlinie ist eine Sammlung von Regeln, die vom Sicherheitsmechanismus SELinux befolgt wird. Die Richtlinie definiert eine Reihe von Regeln f\u00fcr eine bestimmte Umgebung. Jetzt werden wir lernen, wie man Richtlinien konfiguriert, um den Zugriff auf gesperrte Dienste zu erm\u00f6glichen.<\/p>\n
    <\/p>\n
    1. Logische Werte (Schalter)<\/h4>\n
    <\/p>\n
    Schalter (Booleans) erm\u00f6glichen es, Teile der Richtlinie w\u00e4hrend der Laufzeit zu \u00e4ndern, ohne neue Richtlinien erstellen zu m\u00fcssen. Sie erm\u00f6glichen es, \u00c4nderungen ohne Neustart oder Neukompilierung der SELinux-Richtlinien vorzunehmen.<\/p>\n
    <\/p>\n
    Beispiel<\/strong>
    \nAngenommen, wir m\u00f6chten den Zugriff auf das Home-Verzeichnis eines Benutzers \u00fcber FTP zum Lesen und Schreiben bereitstellen, und wir haben es bereits freigegeben, aber beim Zugriff sehen wir nichts. Das liegt daran, dass die SELinux-Richtlinie dem FTP-Server verbietet, im Home-Verzeichnis des Benutzers zu lesen und zu schreiben. Wir m\u00fcssen die Richtlinie \u00e4ndern, damit der FTP-Server auf die Home-Verzeichnisse zugreifen kann. Schauen wir, ob es daf\u00fcr irgendwelche Schalter gibt, indem wir ausf\u00fchren<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Dieser Befehl gibt eine Liste der verf\u00fcgbaren Schalter mit ihrem aktuellen Status (eingeschaltet\/on oder ausgeschaltet\/off) und einer Beschreibung aus. Sie k\u00f6nnen die Suche verfeinern, indem Sie grep hinzuf\u00fcgen, um nur die Ergebnisse zu finden, die sich auf ftp beziehen:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    und finden Sie Folgendes<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Erm\u00f6glichen Sie ftp, Dateien im Benutzer-Home-Verzeichnis zu lesen und zu schreiben<\/code><\/pre>\n
    <\/p>\n
    Dieser Schalter ist ausgeschaltet, daher werden wir ihn mit setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Jetzt kann unser FTP-D\u00e4mon auf das Home-Verzeichnis des Benutzers zugreifen.
    \nHinweis: Sie k\u00f6nnen auch eine Liste der verf\u00fcgbaren Schalter ohne Beschreibung erhalten, indem Sie getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Labels und Kontext<\/h4>\n
    <\/p>\n
    Dies ist die g\u00e4ngigste Methode zur Implementierung der SELinux-Politik. Jede Datei, jeder Ordner, jeder Prozess und jeder Port wird mit einem SELinux-Kontext gekennzeichnet:<\/p>\n
    <\/p>\n