🥇Linuxi kaitsesüsteemid

Üks põhjusi Linuxi operatsioonisüsteemi globaalsele edule sisseehitatud, mobiilsete seadmete ja serverite seas on tuum, seotud teenused ja rakendused, mille turvalisus on piisavalt kõrge. Kuid kui vaadata lähemalt Linuxi tuuma arhitektuuri, siis ei leia sealt turvalisuse eest vastutavat väikest ruutu. Kus peitub Linuxi turvasüsteem ja millest see koosneb?

Linuxi turvamenetluste ja SELinuxi eelajalugu

Security Enhanced Linux on reeglite ja juurdepääsumehhanismi kogum, mis põhineb kohustuslikel ja rollidel põhinevatel mudelitel, et kaitsta Linuxi süsteeme võimalike ohtude eest ja parandada Discretionary Access Control (DAC) — traditsioonilise Unix’i turvasüsteemi puudusi. Projekt sai alguse USA Riikliku Julgeoleku Ameti (NSA) all, mille otsese arendusega tegelesid peamiselt Secure Computing Corporationi ja MITRE’i hankijad ning mitmed teaduslaborid.

Linuxi turvamenetlused

Linus Torvalds tegi mitmeid märkuseid uute NSA arenduste kohta, et neid saaks integreerida Linuxi tuuma põhiväitesse. Ta kirjeldas üldist keskkonda koos operatsioonide objekti haldamiseks mõeldud häkkide kogumiga ja mitmete kaitseväljade kogumiga tuuma andmestruktuurides, et salvestada vastavaid atribuute. Seejärel saab seda keskkonda kasutada laaditavate tuumamoodulite abil soovitud turvamudeli rakendamiseks. LSM integreeriti täielikult Linuxi tuuma v2.6 versiooni 2003. aastal.

LSM raamistik sisaldab kaitsevälju andmestruktuurides ja funktsioonide häkkide kutsumisekohti tuuma koodis juurdepääsu kontrollimiseks ja haldamiseks. See lisab ka funktsioone turvamoodulite registreerimiseks. Liides /sys/kernel/security/lsm sisaldab süsteemis aktiivsete moodulite loendit. LSM häkkid hoitakse loendites, mida kutsutakse CONFIG_LSM-is määratud järjekorras. Häkkide põhjalik dokumentatsioon on lisatud include/linux/lsm_hooks.h pealkirjafaili.

LSM süsteem võimaldas muuta SELinuxi täisintegreerituks sama stabiilse Linuxi tuuma v2.6 versiooniga. Peaaegu kohe sai SELinux de facto standardiks Linuxi turvalises keskkonnas ning kuulub populaarseimatesse distributsioonidesse: RedHat Enterprise Linux, Fedora, Debian, Ubuntu.

SELinuxi glossaar

Identiteet — SELinuxi kasutaja ei ole sama, mis tavaline Unix/Linux kasutaja id; need võivad sama süsteemi sees kooseksisteerida, kuid nende olemus on täiesti erinev. Iga standardne Linuxi konto võib vastata ühele või mitmele SELinuxis. SELinuxi identiteet on osa üldisest turvakontekstist, mis määrab, millistesse domeenidesse võib siseneda ja millistesse mitte.
Domeenid — SELinuxis on domeen subjekti, st protsessi, täitmise kontekst. Domeen määrab otseselt protsessi juurdepääsu. Domeen on sisuliselt loetelu sellest, mida protsessid saavad teha või milliseid tegevusi protsess saab eri tüüpi elementidega teha. Mõned domeenide näited: sysadm_t süsteemi administreerimiseks ja user_t, mis on tavaline mitteprivileegitud kasutaja domeen. Initsialiseerimissüsteem init käivitub domeenis init_t ning protsess named käivitub domeenis named_t.
Rollid — See toimib vahendajana SELinuxi domeenide ja kasutajate vahel. Rollid määravad, millistes domeenides võib kasutaja olla ja millistele objektitüüpidele ta pääseb ligi. Sarnane juurdepäsu piiramismehhanism takistab privileegide tõstmise rünnakute toimumist. Rollid on sisse kirjutatud Rollipõhise Juurdepääsu Kontrolli (RBAC) turvamudelisse, mida kasutatakse SELinuxis.
Tüübid — Type Enforcementi loendi atribuut, mis määratakse objektile ja määrab, kes sellele juurde pääseb. See sarnaneb domeeni määratlemisele, välja arvatud see, et domeen kehtib protsessile, samas kui tüüp kehtib elementide, nagu kataloogid, failid, soketid jne, kohta.
Subjektid ja objektid — Protsessid on subjektid ja töötavad kindlas kontekstis või turva domeenis. Operatsioonisüsteemi ressursid: failid, kataloogid, soketid jne, on objektid, millele määratakse kindel tüüp, teisisõnu - konfidentsiaalsustase.
SELinuxi poliitikad — Süsteemi kaitsmiseks kasutab SELinux mitmesuguseid poliitikaid. SELinuxi poliitika määrab kasutajate juurdepääsu rollidele, rollide juurdepääsu domeenidele ja domeenide juurdepääsu tüüpidele. Alguses autoriseeritakse kasutaja rolli saamiseks, seejärel autoriseeritakse roll domeenidele juurdepääsuks. Lõpuks võib domeen pääseda ligi ainult teatud objektitüüpidele.

LSM ja SELinuxi arhitektuur

Hoolimata LSMi nimest ei ole nad tegelikult Linuxi laaditavad moodulid. Kuid nagu SELinux, on see otse integreeritud tuuma. Iga LSMi algkoodi muutmine nõuab tuuma uue kompileerimist. Vastav valik peab olema tuuma seadetes sisse lülitatud, vastasel juhul ei aktiveerita LSMi koodi pärast käivitamist. Kuid isegi sel juhul saab selle aktiivseks teha operatsioonisüsteemi laadija valikuga.

LSMi kontrollide virn

LSMil on tuuma peamistes funktsioonides konksud, mis võivad olla kontrollide jaoks asjakohased. Üks LSMi peamine omadus on see, et need on korraldatud virna põhimõttel. Nii jätkatakse standardsete kontrollide läbiviimist ning iga LSMi kiht lisab vaid täiendavaid juhtimise ja kontrollimise elemente. See tähendab, et keeldumise tagasimineku võimalust ei ole. Kui rutiinsete DAC kontrollide tulemus on keeldumine, ei jõua juhtum isegi LSMi konksudeni, nagu on näidatud joonisel.

SELinux on laenanud Fluke'i teadusliku operatsioonisüsteemi Flask'i turvaarhitektuuri, eriti minimaalsete privileegide printsiibi. Selle kontseptsiooni olemus, nagu nimigi ütleb, seisneb selles, et kasutajale või protsessile antakse vaid need õigused, mis on vajalikud kavandatud toimingute teostamiseks. See põhimõte realiseeritakse sundtüübistamise kaudu, seega põhineb SELinuxi juurdepääsu kontroll domeeni => tüübi mudelil.

Sundtüübistamise tõttu on SELinuxil palju suuremad võimalused juurdepääsu piiramiseks võrreldes traditsioonilise DAC mudeliga, mida kasutatakse Unix/Linux operatsioonisüsteemides. Näiteks on võimalik piirata võrgupordi numbrit, mida ftp-server kuuleb, lubada failide kirjutamist ja muutmist kindlas kaustas, kuid mitte nende kustutamist.

SELinuxi põhikomponendid on järgmised:

Poliitika jõustamise server — Peamine mehhanism juurdepääsu kontrollimise organiseerimiseks.
Süsteemi turvapoliitikate andmebaas.
Koostöö LSMi sündmuste püüdjaga.
Selinuxfs — Pseudo-FS, sama nagu /proc ja mountitud /sys/fs/selinux. Täidetakse dünaamiliselt Linuxi tuuma poolt töö ajal ja sisaldab faile, mis annavad teavet SELinuxi oleku kohta.
Access Vector Cache — Täiendav mehhanism jõudluse suurendamiseks.

SELinuxi töö skeem

Kõik see töötab järgmiselt.

Mingil on subjekt, kes SELinux'i terminoloogiaga tegeledes, teeb objekti üle lubatud toimingu pärast DAC-i kontrolli, nagu näidatud ülemisel pildil. See operatsiooni sooritamise taotlus suundub LSM-i sündmuste püüdmise süsteemi.
Sealt edastatakse taotlus koos subjekti ja objekti turvakontekstiga SELinuxi Abstraction and Hook Logic moodulile, mis vastutab LSM-iga suhtlemise eest.
Subjekti ja objekti juurdepääsumeetmete otsustamiseks kasutatakse Policy Enforcement Serverit, mis saab andmeid SELinuxi AnHL-lt.
Juhtimisotsuse tegemiseks, kas lubada või keelduda, pöördub Policy Enforcement Server Access Vector Cache'i (AVC) poole, et leida kõige sagedamini kasutatavad reeglid.
Kui vastava reegli otsus ei leidu vahemälus, antakse taotlus edasi turvapoliitikate andmebaasi.
Andmebaasist ja AVC-st leitud tulemus saadetakse Policy Enforcement Serverile tagasi.
Kui leitud poliitika kooskõlastub nõutava toiminguga, siis toiming lubatakse. Vastasel juhul keelatakse toiming.

SELinuxi seadete haldamine

SELinux töötab ühes kolmest režiimist:

Enforcing — Turvapoliitikate range järgimine.
Permissive — Piirangute rikkumised on lubatud, sellest tehakse päevikusse vastav märge.
Disabled — Turvapoliitikad ei kehti.

SELinuxi režiimi vaatamiseks saab kasutada järgmist käsku.

[admin@server ~]$ getenforce
Permissive

Režiimi muutmine enne taaskäivitamist, näiteks seadistamine 'enforcing' või 1. Parameetrile 'permissive' vastab numbriline kood 0.

[admin@server ~]$ setenfoce enforcing
[admin@server ~]$ setenfoce 1 #sama asi

Režiimi saab muuta ka faili muutmisega:

[admin@server ~]$ cat /etc/selinux/config

# This file controls the state of SELinux on the system. # SELINUX= can take one of these three values: # enforcing - SELinux security policy is enforced. # permissive - SELinux prints warnings instead of enforcing. # disabled - No SELinux policy is loaded. SELINUX=kohustuslik # SELINUXTYPE= can take one of three values: # targeted - Targeted processes are protected, # minimum - Modification of targeted policy. Only selected processes are protected. # mls - Multi Level Security protection.
SELINUXTYPE=targete

Erinevus setenfoce'ist on see, et operatsioonisüsteemi käivitamisel seadistatakse SELinuxi režiim vastavalt konfiguratsioonifaili parameetri SELINUX väärtusele. Lisaks, muudatused enforcing disabled jõustuvad ainult faili /etc/selinux/config muutmise kaudu ja pärast taaskäivitamist.

Kohese oleku aruande vaatamiseks:

[admin@server ~]$ sestatus

SELinuxi olek: lubatud SELinuxfs mount: /sys/fs/selinux SELinuxi juurdirektori: /etc/selinux Laetud poliitika nimi: suunatud Praegune režiim: lubav Režiim konfiguratsioonifailist: sundiv Poliitika MLS olek: lubatud Poliitika deny_unknown olek: lubatud Maksimaalne kernelipoliitika versioon: 31
SELinuxi attribuutide vaatamiseks kasutavad mõned tavalised utiliidid parameetrit -Z.

[admin@server ~]$ ls -lZ /var/log/httpd/
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20200920
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20200927
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20201004
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20201011
[admin@server ~]$ ps -u apache -Z
LABEL                             PID TTY          TIME CMD
system_u:system_r:httpd_t:s0     2914 ?        00:00:04 httpd
system_u:system_r:httpd_t:s0     2915 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0     2916 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0     2917 ?        00:00:00 httpd
...
system_u:system_r:httpd_t:s0     2918 ?        00:00:00 httpd

Võrreldes tavalise ls -l väljundiga on siin mitmeid täiendavaid valdkondi järgmises formaadis:

:::

Viimane väli tähistab midagi sarnast salastatusele ja koosneb kahe elemendi kombinatsioonist:

s0 — oluline, samuti kirjatatakse vahemiku lowlevel-highlevel
c0, c1… c1023 — kategooria.

Ligipääsu конфигурации muutmine

Kasutage semodule, et laadida SELinuxi mooduleid, neid lisada ja eemaldada.

[admin@server ~]$ semodule -l | wc -l # Kõik moodulite nimekiri
408
[admin@server ~]$ semodule -e abrt # aktiveerimine - mooduli aktiveerimine
[admin@server ~]$ semodule -d accountsd # deaktiveerimine - mooduli väljalülitamine
[admin@server ~]$ semodule -r avahi # eemaldamine - mooduli eemaldamine

Esimene käsk semanage login seob SELinuxi kasutaja operatsioonisüsteemi kasutajaga, teine annab nimekirja. Lõpuks eemaldab viimane käsk valiku -r SELinuxi kasutajate kaardistuse kustutamiseks OS konto peale. MLS/MCS Range'i väärtuste süntaks on selgitatud eelnevas jaotis.

[admin@server ~]$ semanage login -a -s user_u karol
[admin@server ~]$ semanage login -l

Sisesta Nimi SELinux Kasutaja MLS/MCS Ulatus Teenus __default__ unconfined_u s0-s0:c0.c1023 * root unconfined_u s0-s0:c0.c1023 * system_u system_u s0-s0:c0.c1023 * [admin@server ~]$ semanage login -d karol
Meeskond semanage user kasutatakse SELinuxi kasutajate ja rollide kaardistamise haldamiseks.

[admin@server ~]$ semanage user -l
                Labeling   MLS/       MLS/                          
SELinux User    Prefix     MCS Level  MCS Range             SELinux Roles
guest_u         user       s0         s0                    guest_r
staff_u         staff      s0         s0-s0:c0.c1023        staff_r sysadm_r
...
user_u          user       s0         s0                    user_r
xguest_u        user       s0         s0                    xguest_r
[admin@server ~]$ semanage user -a -R 'staff_r user_r'
[admin@server ~]$ semanage user -d test_u

Käsku parameetrid:

-a lisada kasutajate ja rollide vastavussuhe;
-l kasutajate ja rollide vastavussuhte nimekiri;
-d eemaldada kasutajate ja rollide vastavussuhe;
-R rollide nimekiri, mis on kasutajaga seotud;

Failid, pordid ja boolean väärtused

Iga SELinux moodul annab failide märgistamise reeglite komplekti, kuid vajadusel saab lisada ka oma reeglid. Näiteks soovime anda veebi serverile juurdepääsu kaustale /srv/www.

[admin@server ~]$ semanage fcontext -a -t httpd_sys_content_t "/srv/www(\/.*)?
[admin@server ~]$ restorecon -R /srv/www/

Esimene käsk registreerib uusi märgistamisreegleid, teine aga lähtestab ehk määrab failide tüübid vastavalt kehtivatele reeglitele.

Sarnaselt on TCP/UDP sadamad märgistatud nii, et ainult vastavad teenused saavad neid kuulata. Näiteks, et veebi server saaks kuulata porti 8080, tuleb käivitada käsk.

[admin@server ~]$ semanage port -m -t http_port_t -p tcp 8080

Suur hulk SELinux mooduleid sisaldab parameetreid, mis saavad võtta loogilisi väärtusi. Kõiki selliseid parameetreid saab näha käsklusega getsebool -a. Loogilisi väärtuseid saab muuta käsklusega setsebool.

[admin@server ~]$ getsebool httpd_enable_cgi
httpd_enable_cgi --> on
[admin@server ~]$ setsebool -P httpd_enable_cgi off
[admin@server ~]$ getsebool httpd_enable_cgi
httpd_enable_homedirs --> off

Praktikum, ligipääs Pgadmin-web liidesele

Vaatame praktika näidet, oleme installinud RHEL 7.6 pgadmin4-web PostgreSQL andmebaasi haldamiseks. Oleme läbinud väikese teekonna pg_hba.conf, postgresql.conf ja config_local.py seadistamisega, määranud kaustade õigused, installinud pip'i kaudu puuduolevad Python moodulid. Kõik on valmis, käivitame ja saame 500 Internal Server error.

Alustame tüüpilistest kahtlastest, kontrollime /var/log/httpd/error_log. Seal on mõned huvitavad kirjed.

[timestamp] [core:notice] [pid 23689] SELinux poliitika lubatud; httpd töötab kontekstis system_u:system_r:httpd_t:s0 ... [timestamp] [wsgi:error] [pid 23690] [Errno 13] Luba keelatud: '\/var\/lib\/pgadmin' [timestamp] [wsgi:error] [pid 23690] [timestamp] [wsgi:error] [pid 23690] NÄPUNDA: Võib olla vajalik käsitsi seadistada õigused [timestamp] [wsgi:error] [pid 23690] \/var\/lib\/pgadmin, et lubada apache'il sellele kirjutada.

Selles kohas tekib enamikul Linuxi administraatoritest tugev kiusatus käivitada setenforce 0 ja asi ongi lahendatud. Tuleb tunnistada, et esmakordselt tegingi nii. See on muidugi ka lahendus, kuid mitte parim.

Vaatamata SELinux'i keerukusele võib see olla kasutajasõbralik. Piisab setroubleshoot paketi installimisest ja süsteemi logi vaatamisest.

[admin@server ~]$ yum install setroubleshoot [admin@server ~]$ journalctl -b -0 [admin@server ~]$ service restart auditd

Pange tähele, et teenus auditd tuleb taaskäivitada just nii, mitte systemctl kaudu, hoolimata systemd olemasolust operatsioonisüsteemis. Süsteemi logis näidatakse mitte ainult blokeerimise fakti, vaid ka põhjust ja viisi, kuidas keeldu ületada.

Käivitame need käsud: