{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Ein Leitfaden f\u00fcr Anf\u00e4nger zu SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Ein<\/p>\n

<\/p>\n

Die \u00dcbersetzung des Artikels wurde f\u00fcr die Studierenden des Kurses vorbereitet \u201eSicherheit von Linux\u201c<\/a><\/noindex><\/em><\/p>\n

SELinux oder Security Enhanced Linux ist ein verbesserter Zugriffskontrollmechanismus, der von der National Security Agency der USA (NSA) entwickelt wurde, um b\u00f6sartige Angriffe zu verhindern. Es implementiert ein zwingendes (oder mandatorisches) Zugriffssteuerungsmodell (engl. Mandatory Access Control, MAC) \u00fcber das bestehende diskretion\u00e4re (oder wahlweise) Modell (engl. Discretionary Access Control, DAC), das hei\u00dft, die Berechtigungen zum Lesen, Schreiben und Ausf\u00fchren.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux hat drei Modi:<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2013 Verweigerung des Zugriffs auf der Grundlage der Richtlinienregeln.<\/li>\n
  2. Permissive<\/strong> \u2013 Protokollierung von Aktionen, die gegen die Richtlinien versto\u00dfen, die im Enforcing-Modus verboten w\u00e4ren.<\/li>\n
  3. Disabled<\/strong> \u2013 vollst\u00e4ndige Deaktivierung von SELinux.<\/li>\n<\/ol>\n

    <\/p>\n

    Standardm\u00e4\u00dfig befinden sich die Einstellungen in \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    \u00c4ndern der SELinux-Modi<\/h1>\n

    <\/p>\n

    Um den aktuellen Modus zu erfahren, f\u00fchren Sie aus <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Um den Modus auf permissive zu \u00e4ndern, f\u00fchren Sie den folgenden Befehl aus <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    oder, um den Modus von permissive<\/strong> auf auf<\/strong>enforcing <\/p>\n
    <\/p>\n
    , f\u00fchren Sie aus<\/code><\/pre>\n
    <\/p>\n
    $ setenforce 1 <\/p>\n
    <\/p>\n
    Wenn Sie SELinux vollst\u00e4ndig deaktivieren m\u00f6chten, kann dies nur \u00fcber die Konfigurationsdatei erfolgen<\/code><\/pre>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/p>\n
    <\/p>\n
    Um es zu deaktivieren, \u00e4ndern Sie den SELINUX-Wert wie folgt:<\/code><\/pre>\n
    <\/p>\n
    SELINUX=disabled<\/h1>\n
    <\/p>\n
    Konfiguration von SELinux permissive<\/strong>.<\/p>\n
    <\/p>\n
    Jede Datei und jeder Prozess wird mit einem SELinux-Kontext gekennzeichnet, der zus\u00e4tzliche Informationen enth\u00e4lt, wie Benutzer, Rolle, Typ usw. Wenn Sie SELinux zum ersten Mal aktivieren, m\u00fcssen Sie zun\u00e4chst den Kontext und die Labels konfigurieren. Der Prozess der Zuweisung von Labels und Kontexten wird als Labeling bezeichnet. Um mit dem Labeling zu beginnen, \u00e4ndern wir in der Konfigurationsdatei den Modus auf<\/code><\/pre>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive permissive<\/strong>Nach der Festlegung des Modus , erstellen wir eine leere versteckte Datei mit dem Namen<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    und starten den Computer neu<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Hinweis: Wir verwenden den Modus permissive<\/strong> f\u00fcr das Labeling, da die Verwendung des Modus auf<\/strong> zu einem Systemabsturz w\u00e4hrend des Neustarts f\u00fchren kann.<\/p>\n
    <\/p>\n
    Keine Sorge, wenn der Bootvorgang an einer Datei h\u00e4ngenbleibt, dauert das Labeling eine gewisse Zeit. Nach Abschluss des Labelings und dem Start Ihres Systems k\u00f6nnen Sie zur Konfigurationsdatei gehen und den Modus einstellen auf<\/strong>, sowie ausf\u00fchren:<\/p>\n
    <\/p>\n
    , f\u00fchren Sie aus<\/code><\/pre>\n
    <\/p>\n
    Jetzt haben Sie SELinux erfolgreich auf Ihrem Computer aktiviert. <\/p>\n
    <\/p>\n
    \u00dcberwachung der Protokolle<\/h1>\n
    <\/p>\n
    M\u00f6glicherweise haben Sie Fehler beim Markieren oder w\u00e4hrend des Betriebs des Systems gemacht. Um zu \u00fcberpr\u00fcfen, ob Ihr SELinux ordnungsgem\u00e4\u00df funktioniert und ob es den Zugriff auf einen bestimmten Port, eine Anwendung usw. blockiert, m\u00fcssen Sie die Protokolle \u00fcberpr\u00fcfen. Das SELinux-Protokoll befindet sich in \/var\/log\/audit\/audit.log<\/code>, aber Sie m\u00fcssen es nicht vollst\u00e4ndig lesen, um Fehler zu finden. Sie k\u00f6nnen das Tool audit2why verwenden, um nach Fehlern zu suchen. F\u00fchren Sie den folgenden Befehl aus:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    In der Folge erhalten Sie eine Liste von Fehlern. Wenn im Protokoll keine Fehler vorhanden sind, werden keine Meldungen angezeigt.<\/p>\n
    <\/p>\n
    Konfiguration der SELinux-Policy<\/h1>\n
    <\/p>\n
    Die SELinux-Policy ist eine Sammlung von Regeln, die vom Sicherheitssystem SELinux befolgt werden. Die Policy definiert eine Reihe von Regeln f\u00fcr eine bestimmte Umgebung. Jetzt werden wir lernen, wie man Policies konfiguriert, um den Zugriff auf verbotene Dienste zu erm\u00f6glichen.<\/p>\n
    <\/p>\n
    1. Logische Werte (Schalter)<\/h4>\n
    <\/p>\n
    Schalter (Booleans) erm\u00f6glichen es, Teile der Policy zur Laufzeit zu \u00e4ndern, ohne neue Policies erstellen zu m\u00fcssen. Sie erm\u00f6glichen \u00c4nderungen ohne Neustart oder Neukompilierung der SELinux-Policies.<\/p>\n
    <\/p>\n
    Beispiel<\/strong>
    \nAngenommen, wir m\u00f6chten den Zugriff auf das Benutzer-Heimverzeichnis per FTP zum Lesen und Schreiben gew\u00e4hren, und wir haben es bereits freigegeben, aber beim Zugriff sehen wir nichts. Dies liegt daran, dass die SELinux-Policy dem FTP-Server das Lesen und Schreiben im Benutzer-Heimverzeichnis verbietet. Wir m\u00fcssen die Policy \u00e4ndern, damit der FTP-Server auf die Heimverzeichnisse zugreifen kann. Lassen Sie uns \u00fcberpr\u00fcfen, ob es daf\u00fcr Schalter gibt, indem wir ausf\u00fchren<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Dieser Befehl gibt eine Liste der verf\u00fcgbaren Schalter mit ihrem aktuellen Status (aktiv\/on oder inaktiv\/off) und einer Beschreibung aus. Sie k\u00f6nnen die Suche verfeinern, indem Sie grep hinzuf\u00fcgen, um nur die Ergebnisse zu finden, die sich auf ftp beziehen:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    und Sie finden Folgendes<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Erlaube ftp, Dateien im Benutzer-Heimverzeichnis zu lesen und zu schreiben<\/code><\/pre>\n
    <\/p>\n
    Dieser Schalter ist deaktiviert, also aktivieren wir ihn mit setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Jetzt kann unser FTP-Daemon auf das Benutzer-Heimverzeichnis zugreifen.
    \nHinweis: Sie k\u00f6nnen auch eine Liste der verf\u00fcgbaren Schalter ohne Beschreibung erhalten, indem Sie ausf\u00fchren getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Labels und Kontexte<\/h4>\n
    <\/p>\n
    Dies ist der gebr\u00e4uchlichste Weg, SELinux-Policies umzusetzen. Jede Datei, jeder Ordner, jeder Prozess und jeder Port wird mit einem SELinux-Kontext gekennzeichnet:<\/p>\n
    <\/p>\n