{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Gu\u00eda para principiantes sobre SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Gu\u00eda<\/p>\n

<\/p>\n

La traducci\u00f3n del art\u00edculo se ha preparado para los estudiantes del curso \u00abSeguridad de Linux\u00bb<\/a><\/noindex><\/em><\/p>\n

SELinux o Security Enhanced Linux es un mecanismo mejorado de gesti\u00f3n de acceso desarrollado por la Agencia de Seguridad Nacional de EE. UU. (NSA) para prevenir intrusiones maliciosas. Implementa un modelo de control de acceso obligatorio (Mandatory Access Control, MAC) sobre el modelo discrecional existente (Discretionary Access Control, DAC), es decir, permisos de lectura, escritura y ejecuci\u00f3n.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux tiene tres modos:<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2014 se proh\u00edbe el acceso en funci\u00f3n de las reglas de la pol\u00edtica.<\/li>\n
  2. Permissive<\/strong> \u2014 registro de acciones que violar\u00edan la pol\u00edtica en modo enforcing que estar\u00edan prohibidas.<\/li>\n
  3. Disabled<\/strong> \u2014 desactivaci\u00f3n completa de SELinux.<\/li>\n<\/ol>\n

    <\/p>\n

    Por defecto, la configuraci\u00f3n se encuentra en \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    Cambio de modos de SELinux<\/h1>\n

    <\/p>\n

    Para saber el modo actual, ejecuta <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Para cambiar el modo a permissive, ejecuta el siguiente comando <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    o para cambiar el modo de permissive<\/strong> en a enforcing, ejecuta<\/strong>$ setenforce 1 <\/p>\n
    <\/p>\n
    Si necesitas desactivar completamente SELinux, solo se puede hacer a trav\u00e9s del archivo de configuraci\u00f3n<\/code><\/pre>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config <\/p>\n
    <\/p>\n
    Para desactivar, cambia el par\u00e1metro SELINUX de la siguiente manera:<\/code><\/pre>\n
    <\/p>\n
    SELINUX=disabled<\/p>\n
    <\/p>\n
    Configuraci\u00f3n de SELinux<\/code><\/pre>\n
    <\/p>\n
    Cada archivo y proceso se etiqueta con un contexto de SELinux, que contiene informaci\u00f3n adicional, como el usuario, rol, tipo, etc. Si habilitas SELinux por primera vez, primero debes configurar el contexto y las etiquetas. El proceso de asignaci\u00f3n de etiquetas y contexto se conoce como etiquetado. Para comenzar a etiquetar, cambia el modo en el archivo de configuraci\u00f3n a<\/h1>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive permissive<\/strong>.<\/p>\n
    <\/p>\n
    Una vez establecido el modo<\/code><\/pre>\n
    <\/p>\n
    , crearemos un archivo oculto vac\u00edo llamado permissive<\/strong>autorelabel $ touch \/.autorelabel<\/code><\/p>\n
    <\/p>\n
    y reinicia el ordenador<\/code><\/pre>\n
    <\/p>\n
    $ init 6<\/p>\n
    <\/p>\n
    Nota: usamos el modo<\/code><\/pre>\n
    <\/p>\n
    para etiquetar, ya que usar el modo permissive<\/strong> puede causar fallos en el sistema durante el reinicio. a enforcing, ejecuta<\/strong> No te preocupes si el inicio se queda atascado en alg\u00fan archivo, el etiquetado toma tiempo. Despu\u00e9s de completar el etiquetado y de arrancar tu sistema, puedes ir al archivo de configuraci\u00f3n y establecer el modo<\/p>\n
    <\/p>\n
    , adem\u00e1s de ejecutar: a enforcing, ejecuta<\/strong>Ahora has habilitado SELinux en tu ordenador con \u00e9xito.<\/p>\n
    <\/p>\n
    Si necesitas desactivar completamente SELinux, solo se puede hacer a trav\u00e9s del archivo de configuraci\u00f3n<\/code><\/pre>\n
    <\/p>\n
    Monitoreando los registros <\/p>\n
    <\/p>\n
    Monitorizamos los registros<\/h1>\n
    <\/p>\n
    Es posible que haya encontrado alg\u00fan error durante la etiquetaci\u00f3n o mientras el sistema estaba en funcionamiento. Para verificar si su SELinux est\u00e1 funcionando correctamente y si est\u00e1 bloqueando el acceso a alg\u00fan puerto, aplicaci\u00f3n, etc., es necesario revisar los registros. El registro de SELinux se encuentra en \/var\/log\/audit\/audit.log<\/code>, pero no necesita leerlo completamente para encontrar errores. Puede utilizar la herramienta audit2why para buscar errores. Ejecute el siguiente comando:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Como resultado, obtendr\u00e1 una lista de errores. Si no hubo errores en el registro, no se mostrar\u00e1 ning\u00fan mensaje.<\/p>\n
    <\/p>\n
    Configuraci\u00f3n de la pol\u00edtica SELinux<\/h1>\n
    <\/p>\n
    La pol\u00edtica de SELinux es un conjunto de reglas que rige el mecanismo de seguridad de SELinux. La pol\u00edtica define un conjunto de reglas para un entorno espec\u00edfico. Ahora vamos a estudiar c\u00f3mo configurar pol\u00edticas para permitir el acceso a servicios prohibidos.<\/p>\n
    <\/p>\n
    1. Valores l\u00f3gicos (interruptores)<\/h4>\n
    <\/p>\n
    Los interruptores (booleans) permiten modificar partes de la pol\u00edtica en tiempo de ejecuci\u00f3n, sin necesidad de crear nuevas pol\u00edticas. Permiten hacer cambios sin reiniciar o recompilar las pol\u00edticas de SELinux.<\/p>\n
    <\/p>\n
    Ejemplo<\/strong>
    \nSupongamos que queremos proporcionar acceso compartido al directorio personal de un usuario por FTP para lectura y escritura, y ya lo hemos compartido, pero al intentar acceder no vemos nada. Esto se debe a que la pol\u00edtica de SELinux impide que el servidor FTP lea y escriba en el directorio personal del usuario. Necesitamos modificar la pol\u00edtica para que el servidor FTP pueda acceder a los directorios personales. Verificamos si hay algunos interruptores para esto, ejecutando<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Este comando generar\u00e1 una lista de interruptores disponibles con su estado actual (activado\/on o desactivado\/off) y una descripci\u00f3n. Puede afinar la b\u00fasqueda agregando grep para encontrar resultados relacionados solo con ftp:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    y encontrar\u00e1 lo siguiente<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Permitir que ftp lea y escriba archivos en el directorio home del usuario<\/code><\/pre>\n
    <\/p>\n
    Este interruptor est\u00e1 desactivado, as\u00ed que lo activaremos usando setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Ahora nuestro demonio ftp podr\u00e1 acceder al directorio personal del usuario.
    \nNota: tambi\u00e9n puede obtener una lista de interruptores disponibles sin descripci\u00f3n, ejecutando getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Etiquetas y contexto<\/h4>\n
    <\/p>\n
    Este es el m\u00e9todo m\u00e1s com\u00fan de implementaci\u00f3n de pol\u00edticas SELinux. Cada archivo, carpeta, proceso y puerto est\u00e1 etiquetado con un contexto de SELinux:<\/p>\n
    <\/p>\n