{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Algajate juhend SELinux'i kohta","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Algajate<\/p>\n

<\/p>\n

Artikli t\u00f5lge on ette valmistatud OTUS kursuse \u00fcli\u00f5pilaste jaoks. \u201eTurvalisus Linuxis\u201c<\/a><\/noindex><\/em><\/p>\n

SELinux ehk Security Enhanced Linux on t\u00e4iustatud ligip\u00e4\u00e4su kontrollimise mehhanism, mille on v\u00e4lja t\u00f6\u00f6tanud USA riiklik julgeolekuagentuur (NSA), et ennetada pahatahtlikke sissetunge. See rakendab kohustuslikku (v\u00f5i mandaadiga) ligip\u00e4\u00e4su kontrollimise mudelit (ingl. Mandatory Access Control, MAC) olemasoleva diskretsioonilise (v\u00f5i valikuliselt) mudeli (ingl. Discretionary Access Control, DAC) p\u00f5hjal, st lugemise, kirjutamise ja t\u00e4itmise \u00f5iguste \u00fcle.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinuxil on kolm re\u017eiimi:<\/p>\n

<\/p>\n

    \n
  1. J\u00f5ustav<\/strong> \u2014 juurdep\u00e4\u00e4su keeldumine poliitikareeglite alusel.<\/li>\n
  2. Looduslik<\/strong> \u2014 tegevuste logimine, mis rikuvad poliitikat, mis j\u00f5ustamisel oleksid keelatud.<\/li>\n
  3. Keelatud<\/strong> \u2014 SELinuxi t\u00e4ielik v\u00e4ljal\u00fclitamine.<\/li>\n<\/ol>\n

    <\/p>\n

    Vaikimisi asetseb seadistused \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    SELinuxi re\u017eiimide muutmine<\/h1>\n

    <\/p>\n

    Praeguse re\u017eiimi teadmiseks k\u00e4ivitage <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Re\u017eiimi muutmiseks looduslikuks k\u00e4ivitage j\u00e4rgmine k\u00e4sk <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    v\u00f5i, et muuta re\u017eiim looduslikust j\u00f5ustavaks<\/strong> j\u00e4rgnevaga , k\u00e4ivitage<\/strong>$ setenforce 1 <\/p>\n
    <\/p>\n
    Kui soovite t\u00e4ielikult SELinuxi v\u00e4lja l\u00fclitada, siis seda saab teha ainult konfigureerimisfaili kaudu<\/code><\/pre>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config <\/p>\n
    <\/p>\n
    Kseatmseks muutmiseks muutke parameetrit SELINUX j\u00e4rgmiselt:<\/code><\/pre>\n
    <\/p>\n
    \u0414\u043b\u044f \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 SELINUX \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n
    <\/p>\n
    SELINUX=disabled<\/code><\/pre>\n
    <\/p>\n
    SELinuxi seadistus<\/h1>\n
    <\/p>\n
    Iga fail ja protsess m\u00e4rgistatakse SELinuxi kontekstiga, mis sisaldab t\u00e4iendavat teavet, nagu kasutaja, roll, t\u00fc\u00fcp jne. Kui aktiveerite SELinuxi esmakordselt, peate esmalt konteksti ja sildid seadistama. Siltide ja konteksti m\u00e4\u00e4ramise protsessi tuntakse kui m\u00e4rgistamine. Et alustada m\u00e4rgistamist, muudame konfiguratsioonifailis re\u017eiimi j\u00f5ustavaks<\/strong>.<\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive<\/code><\/pre>\n
    <\/p>\n
    P\u00e4rast re\u017eiimi seadistamist j\u00f5ustavaks<\/strong>, loome juurus t\u00fchja varjatud faili nimega .autorelabel<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    ja taask\u00e4ivitame arvuti<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    M\u00e4rkus: me kasutame re\u017eiimi j\u00f5ustavaks<\/strong> m\u00e4rgistamiseks, kuna re\u017eiimi , k\u00e4ivitage<\/strong> kasutamine v\u00f5ib s\u00fcsteemi k\u00e4ivitamisel kokku kukkuda.<\/p>\n
    <\/p>\n
    \u00c4rge muretsege, kui k\u00e4ivitamine j\u00e4\u00e4b m\u00f5nesse faili kinni, m\u00e4rgistamine v\u00f5tab aega. P\u00e4rast m\u00e4rgistamise ja s\u00fcsteemi k\u00e4ivitamise l\u00f5petamist v\u00f5ite minna konfiguratsioonifaili ja seadistada re\u017eiimi , k\u00e4ivitage<\/strong>, samuti k\u00e4ivitada:<\/p>\n
    <\/p>\n
    Kui soovite t\u00e4ielikult SELinuxi v\u00e4lja l\u00fclitada, siis seda saab teha ainult konfigureerimisfaili kaudu<\/code><\/pre>\n
    <\/p>\n
    N\u00fc\u00fcd olete edukalt aktiveerinud SELinuxi oma arvutis. <\/p>\n
    <\/p>\n
    J\u00e4lgime logisid<\/h1>\n
    <\/p>\n
    V\u00f5imalik, et teil on tekkinud mingid vead m\u00e4rgistamise ajal v\u00f5i s\u00fcsteemi toimimise ajal. Kontrollimaks, kas teie SELinux t\u00f6\u00f6tab \u00f5igesti ja kas see blokeerib juurdep\u00e4\u00e4su m\u00f5nele pordile, rakendusele jne, tuleb vaadata logisid. SELinuxi logi asub \/var\/log\/audit\/audit.log<\/code>, kuid te ei pea seda tervikuna lugema, et vigu leida. Vigade leidmiseks saab kasutada utiliiti audit2why. K\u00e4ivitage j\u00e4rgmine k\u00e4sk:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Tulemuseks saate vigade nimekirja. Kui logis ei olnud vigu, siis ei \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0442\u0441\u044f \u00fchtegi teadet.<\/p>\n
    <\/p>\n
    SELinuxi poliitika seadistamine<\/h1>\n
    <\/p>\n
    SELinuxi poliitika on m\u00e4\u00e4ratletud reeglite kogum, mille alusel juhindub SELinuxi turvamehhanism. Poliitika m\u00e4\u00e4ratleb reeglite kogumi konkreetse keskkonna jaoks. N\u00fc\u00fcd uurime, kuidas seadistada poliitika, et lubada juurdep\u00e4\u00e4su keelatud teenustele.<\/p>\n
    <\/p>\n
    1. Loogilised v\u00e4\u00e4rtused (l\u00fclitid)<\/h4>\n
    <\/p>\n
    L\u00fclitid (booleans) v\u00f5imaldavad muuta poliitika osi t\u00f6\u00f6 ajal, ilma et oleks vaja uusi poliitikaid luua. Need v\u00f5imaldavad teha muudatusi ilma SELinuxi poliitikate taask\u00e4ivitamiseta v\u00f5i uuesti kompileerimata.<\/p>\n
    <\/p>\n
    N\u00e4ide<\/strong>
    \nOletame, et soovime anda FTP kaudu lugemis- ja kirjutamis\u00f5iguse kasutaja kodukaustale ning me oleme selle juba jaganud, kuid juurdep\u00e4\u00e4su proovimisel ei n\u00e4e me midagi. Selle p\u00f5hjuseks on see, et SELinuxi poliitika keelab FTP-serveril kasutaja kodukausta lugemise ja kirjutamise. Peame poliitikat muutma, et FTP-server saaks kodukaustadele juurde p\u00e4\u00e4seda. Vaatame, kas selleks on olemas mingeid l\u00fcliteid, k\u00e4ivitades<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    See k\u00e4sk genereerib loendi saadaval olevatest l\u00fclititest koos nende praeguse olekuga (kas sisse l\u00fclitatud\/on v\u00f5i v\u00e4lja l\u00fclitatud\/off) ja kirjeldusega. Saate otsingut t\u00e4psustada, lisades grep, et leida tulemusi, mis kuuluvad ainult ftp:ga seotud elementidele:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    ja leiate j\u00e4rgmist<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Lubage ftp lugeda ja kirjutada faile kasutaja kodukaustas<\/code><\/pre>\n
    <\/p>\n
    See l\u00fcliti on v\u00e4lja l\u00fclitatud, seega aktiveerime selle k\u00e4sklusega setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    N n\u00fc\u00fcd suudab meie ftp-deemon p\u00e4\u00e4seda kasutaja kodukaustale.
    \nM\u00e4rkus: saate ka saada loendi saadaval olevatest l\u00fclititest ilma kirjelduseta, k\u00e4ivitades getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Sildid ja kontekst<\/h4>\n
    <\/p>\n
    See on k\u00f5ige levinum viis SELinuxi poliitika rakendamiseks. Iga fail, kaust, protsess ja port on m\u00e4rgistatud SELinuxi kontekstiga:<\/p>\n
    <\/p>\n