🥇Küsimuste vastuste kokkuvõte süsteemiadministraatoritele SELinuxi kohta: 42 vastust olulistele küsimustele

Artikli tõlge on ette valmistatud spetsiaalselt kursuse üliõpilastele Linuxi administraator.

Siit leiate vastused olulistele küsimustele elu, universumi ja Linuxi kõigi asjade kohta, millel on paranenud turvalisus.

„Oluline tõde, et asjad ei ole alati sellised, nagu nad näivad, on üldiselt tuntud...“

―Douglas Adams, Galaktiline reisijate juht

Turvalisus. Usaldusväärsuse suurendamine. Vastavus. Poliitika. Süsteemi administraatori neli apokalüpsise ratsanikku. Lisaks meie igapäevastele ülesannetele — jälgimisele, varundamisele, juurutamisele, seadistamisele, uuendamisele jne — vastutame ka meie süsteemide turvalisuse eest. Isegi nende süsteemide, kus kolmanda osapoole teenusepakkuja soovitab meil ranget turvalisust keelata. See on nagu töö Ethan Hunt filmist „Missegatakse täide“.

Kuna silmitsi seistes selle dilemmaga otsustavad mõned süsteemi administraatorid võtta sinise tableti, sest nad arvavad, et nad ei saa kunagi teada elu, universumi ja kõigi asjade suure küsimuse vastust. Ja nagu me kõik teame, on see vastus 42.

„Galaktilise reisijate juhina“ on siin 42 vastust olulistele küsimustele haldamise ja kasutamise kohta SELinux teie süsteemides.

1. SELinux on sundjuhtimise süsteem, mis tähendab, et igal protsessil on silt (märk). Igal failil, kataloogil ja süsteemiobjektil on samuti etiketid. Poliitikareeglid reguleerivad juurdepääsu märgistatud protsesside ja objektide vahel. Südamik tagab nende reeglite järgimise.

2. Kahe kõige olulisema kontseptsiooni hulka kuuluvad: Märgistamine – etiketid (failid, protsessid, pordid jne) ja Tüüpide jõustamine (mis isoleerib protsessid üksteisest tüüpide alusel).

3. Etiketi õige formaat kasutaja:roll:tyüp:tase (valikuline).

4. Mitme taseme turvalisuse tagamise eesmärk (Multi-Level Security — MLS) on protsesside (valdkondade) juhtimine andmete turvalisuse taseme alusel, mida nad kasutavad. Näiteks ei saa salajane protsess lugeda üleliia salajasi andmeid.

5. Mitmekategorilise turvalisuse tagamine (Multi-Category Security — MCS) kaitseb sarnaseid protsesse üksteise eest (näiteks virtuaalmasinad, OpenShifti mehhanismid, SELinuxi liivakastid, konteinerid jne).

6. Südamikuvalikud, et muuta SELinuxi režiime käivitamisel:

autorelabel=1 → sunnib süsteemi käivitama ümbermärgistamise
selinux=0 → südamik ei laadita SELinuxi infrastruktuuri
enforcing=0 → laadimine lubavas režiimis

7. Kui peate kogu süsteemi ümbermärgistama:

# touch /.autorelabel #reboot

Kui süsteemi märgistamisel esineb palju vigu, võib teil olla vajalik laadida lubavas režiimis, et ümbermärgistus õnnestuks.

8. Kuidas kontrollida, kas SELinux on sisse lülitatud: # getenforce

9. Kuidas ajutiselt sisse/välja lülitada SELinux: # setenforce [1|0]

10. Kontrolli SELinuxi staatust: # sestatus

11. Konfiguratsioonifail: /etc/selinux/config

12. Kuidas SELinux töötab? Siin on näide märkest veebiserverile Apache:

Binaarne esitus: /usr/sbin/httpd→httpd_exec_t
Konfiguratsioonikataloog: /etc/httpd→httpd_config_t
Logifailide kataloog: /var/log/httpd → httpd_log_t
Sisu kataloog: /var/www/html → httpd_sys_content_t
Käivituskript: /usr/lib/systemd/system/httpd.service → httpd_unit_file_d
Protsess: /usr/sbin/httpd -DFOREGROUND → httpd_t
Pordid: 80/tcp, 443/tcp → httpd_t, http_port_t

Protsess, mis on käivitatud kontekstis httpd_t, võib suhelda objekti märgiga httpd_something_t.

13. Paljud käsud aktsepteerivad argumenti -Z konteksti vaatamiseks, loomiseks ja muutmiseks:

ls -Z
id -Z
ps -Z
netstat -Z
cp -Z
mkdir -Z

Kontekstid määratakse, kui failid luuakse oma vanemkatalooge konteksti alusel (mõningate eranditega). RPM-id saavad kontekste määrata paigaldamise käigus.

14. SELinuxi vigade nelja peamise põhjuse kohta on üksikasjalikum info punktides 15-21 allpool:

Märgistamisprobleemid
Kuna midagi, mida SELinux peab teadma
Viga SELinuxi poliitikas/rakenduses
Teie teave võib olla ohus

15. Märgistamisprobleem: kui teie failid on /srv/myweb vale märgistusega, võib juurdepääs olla keelatud. Siin on mõned viisid, kuidas seda parandada:

Kui teate märgistust:
# semanage fcontext -a -t httpd_sys_content_t '/srv/myweb(/.*)?'
Kui teate faili, millel on võrdsed märgised:
# semanage fcontext -a -e /srv/myweb /var/www
Konteksti taastamine (mõlemal juhul):
# restorecon -vR /srv/myweb

16. Märgistamisprobleem: kui liigute faili, mitte ei kopeeri seda, säilitab fail oma algse konteksti. Selle probleemi lahendamiseks:

Muutke konteksti käsku märgiga:
# chcon -t httpd_system_content_t /var/www/html/index.html
Muutke konteksti käsku viidatud märgiga:
# chcon --reference /var/www/html/ /var/www/html/index.html
Taasta kontekst (mõlemal juhul): # restorecon -vR /var/www/html/

17. Kui SELinux peab teadma, et HTTPD kuulab porti 8585, teavitage SELinuxi:

# semanage port -a -t http_port_t -p tcp 8585

18. SELinux peab teadma loogilised väärtused, mis võimaldavad muuta osa SELinuxi poliitikast töötamise ajal ilma SELinuxi poliitika ümberkirjutamise teadmisteta. Näiteks, kui soovite, et httpd saadaks e-kirju, sisestage: # setsebool -P httpd_can_sendmail 1

19. SELinux peab teadma logilised väärtused, mis lubavad/keelavad SELinuxi seadeid:

Kuidas näha kõiki loogilisi väärtusi: # getsebool -a
Kuidas näha igaühe kirjeldust: # semanage boolean -l
Kuidas seada loogiline väärtus: # setsebool [_boolean_] [1|0]
Püsiva seadistuse jaoks lisage -P. Näiteks: # setsebool httpd_enable_ftp_server 1 -P

20. SELinuxi poliitikad/rakendused võivad sisaldada vigu, sealhulgas:

Ebatavalised kooditeed
Konfiguratsioonid
stdout'i suunamine
Failideskrijatsiooni lekked
Täidetav mälu
Halvasti koostatud raamatukogud

Avage tikett (ärge saatke aruannet Bugzilasse; Bugzilas ei ole SLA-d).

21. Teie teave võib olla ohus, kui teil on piiratud domeene, mis püüavad:

Laadida tuumamooduleid
Keenid enforced režiimi SELinuxi
Kirjutada etc_t/shadow_t
Muuda iptables reegleid

22. SELInuxi poliitikamoodulite arendustooted:

# yum -y install setroubleshoot setroubleshoot-server

Taaskäivitage või käivitage uuesti auditd pärast installimist.

23. Kasutage

journalctl

kõigi logide loetlemiseks, mis on seotud setroubleshoot:

# journalctl -t setroubleshoot --since=14:20

24. Kasutage journalctl kõigi logide loetlemiseks, mis on seotud konkreetse SELinuxi sildiga. Näiteks:

# journalctl _SELINUX_CONTEXT=system_u:system_r:policykit_t:s0

25. SELinuxi vea korral kasutage logi setroubleshoot mitmete võimalike lahenduste esitamiseks.
Näiteks, journalctl:

14. juuni 19:41:07 web1 setroubleshoot: SELinux takistab httpd-l gettari juurdepääsu failile /var/www/html/index.html. Täieliku sõnumi saamiseks käivitage: sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755e

# sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755e
SELinux takistab httpd-l gettari juurdepääsu failile /var/www/html/index.html.

***** Plugin restorecon (99.5 usaldusväärsus) soovitab ************************

Kui soovite siluda sildistust,
/var/www/html/index.html vaikimisi silt peaks olema httpd_syscontent_t.
Siis saate restorecon'i käivitada.
Tehke 
# /sbin/restorecon -v /var/www/html/index.html

26. Logimine: SELinux logib teavet paljudes kohtades:

/var/log/messages
/var/log/audit/audit.log
/var/lib/setroubleshoot/setroubleshoot_database.xml

27. Logimine: Otsige SELinuxi vigu auditilogis:

# ausearch -m AVC,USER_AVC,SELINUX_ERR -ts today

28. SELinuxi Access Vector Cachi (AVC) sõnumite leidmiseks teatud teenuste jaoks:

# ausearch -m avc -c httpd

29. Utiliit audit2allow kogub teavet keelatud toimingute logidest ja genereerib seejärel SELinuxi loa poliitikareegleid. Näiteks:

Juurdepääsu keelamise põhjuse arusaadava kirjelduse loomiseks: # audit2allow -w -a
Kohustusliku tüübi reegli vaatamiseks, mis lubab keelatud juurdepääsu: # audit2allow -a
Kohandatud mooduli loomiseks: # audit2allow -a -M mypolicy
Valik -M loob määratud nimega kohustusliku tüübi (.te) faili ja kompileerib reegli poliitikapaketi (.pp) sisse: mypolicy.pp mypolicy.te
Kohandatud mooduli installimiseks: # semodule -i mypolicy.pp

30. Kohandatud protsessi (domeeni) seadistamiseks töötamiseks lubava režiimi korral: # semanage permissive -a httpd_t

31. Kui te ei soovi, et domeen oleks enam lubav: # semanage permissive -d httpd_t

32. Kõigi lubavate domeenide keelamine: # semodule -d permissivedomains

33. SELInuxi MLS poliitika lubamine: # yum install selinux-policy-mls ka /etc/selinux/config:

SELINUX=permissive
SELINUXTYPE=mls

Veenduge, et SELinux töötaks lubavas režiimis: # setenforce 0
Kasutage skripti fixfiles, et tagada, et failid märgistatakse uuesti järgmise taaskäivitamise ajal:

# fixfiles -F onboot # reboot

34. Looge kasutaja kindla MLS vahemikuga: # useradd -Z staff_u john

Kasutades käsku useradd, seadke uus kasutaja olemasoleva SELinux kasutajaga (antud juhul, staff_u).

35. Kuidas vaadata vastavust SELinuxi ja Linuxi kasutajate vahel: # semanage login -l

36. Määrake kasutajale kindel vahemik: # semanage login --modify --range s2:c100 john

37. Kuidas parandada kasutaja kodukaustas silti (kui vajalik): # chcon -R -l s2:c100 /home/john

38. Praeguste kategooriate vaatamiseks: # chcat -L

39. Kategooriate muutmiseks või enda omadest loomiseks muutke faili järgmiselt:

/etc/selinux/_<selinuxtype>_/setrans.conf

40. Käitage käsku või skripti kindlas failis, rollis ja kasutajakontekstis:

# runcon -t initrc_t -r system_r -u user_u yourcommandhere

-t faili kontekst
-r rolli kontekst
-u kasutaja kontekst

41. Konteinerid, mis töötavad keelatud SELinuxiga:

Podman: # podman run --security-opt label=disable …
Docker: # docker run --security-opt label=disable …

42. Kui peate andma konteinerile täisjuurdepääsu süsteemile:

Podman: # podman run --privileged …
Docker: # docker run --privileged …

Ja nüüd teate juba vastust. Seetõttu, palun: ärge paanitsege ja aktiveerige SELinux.

Lingid:

Allikas: habr.com

Süsteemi administraatori õpik SELinuxist: 42 vastust olulistele küsimustele

Lingid: