{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Algajaid SELinuxi juhend","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Algajaid<\/p>\n

<\/p>\n

Artikli t\u00f5lge on ette valmistatud kursuse \u00fcli\u00f5pilaste jaoks \u00abLinuxi turvalisus\u00bb<\/a><\/noindex><\/em><\/p>\n

SELinux ehk Security Enhanced Linux on t\u00e4iustatud juurdep\u00e4\u00e4su haldamise mehhanism, mille on v\u00e4lja t\u00f6\u00f6tanud Ameerika \u00dchendriikide Riikliku Julgeoleku Agentuur (NSA), et v\u00e4ltida pahatahtlikke sissetunge. See rakendab olemasoleva diskretsioonilise (v\u00f5i valikulise) juurdep\u00e4\u00e4su haldamise mudeli (ingl. k. Discretionary Access Control, DAC) peal sundmudelit (ingl. k. Mandatory Access Control, MAC), mis p\u00f5hineb poliitikareeglitel.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinuxil on kolm re\u017eiimi:<\/p>\n

<\/p>\n

    \n
  1. Karm<\/strong> \u2014 ligip\u00e4\u00e4su keelamine poliitika reeglite alusel.<\/li>\n
  2. Leebe<\/strong> \u2014 tegevuste logimine, mis rikuvad poliitikat, mida karmis re\u017eiimis keelataks.<\/li>\n
  3. Keelatud<\/strong> \u2014 SELinuxi t\u00e4ielik v\u00e4ljal\u00fclitamine.<\/li>\n<\/ol>\n

    <\/p>\n

    Vaikimisi seaded on: \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    SELinuxi re\u017eiimide muutmine<\/h1>\n

    <\/p>\n

    Praeguse re\u017eiimi teada saamiseks k\u00e4ivitage <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Re\u017eiimi muutmiseks leebeks k\u00e4ivitage j\u00e4rgmine k\u00e4sk <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    v\u00f5i, et muuta re\u017eiim leebest karmiks<\/strong> . Tundub, et , k\u00e4ivitage<\/strong>$ setenforce 1 <\/p>\n
    <\/p>\n
    Kui soovite SELinuxi t\u00e4iesti v\u00e4lja l\u00fclitada, saab seda teha ainult konfiguratsioonifaili kaudu<\/code><\/pre>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config <\/p>\n
    <\/p>\n
    V\u00e4ljal\u00fclitamiseks muutke parameetrit SELINUX j\u00e4rgmiselt:<\/code><\/pre>\n
    <\/p>\n
    SELINUX=disabled<\/p>\n
    <\/p>\n
    SELinuxi seadistamine<\/code><\/pre>\n
    <\/p>\n
    Iga fail ja protsess on m\u00e4rgistatud SELinuxi konteksti, mis sisaldab lisainfot, nagu kasutaja, roll, t\u00fc\u00fcp jne. Kui aktiveerite SELinuxi esmakordselt, tuleb k\u00f5igepealt seadistada kontekst ja sildid. Sildistamisprotsess on tuntud kui m\u00e4rgistamine. M\u00e4rgistamise alustamiseks muudame konfiguratsioonifailis re\u017eiimi j\u00e4rgmiste ridadega<\/h1>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive karmiks<\/strong>.<\/p>\n
    <\/p>\n
    P\u00e4rast re\u017eiimi seadistamist<\/code><\/pre>\n
    <\/p>\n
    , loome juurkaustas t\u00fchja peidetud faili nimega karmiks<\/strong>.autorelabel $ touch \/.autorelabel<\/code><\/p>\n
    <\/p>\n
    ja taask\u00e4ivitame arvuti<\/code><\/pre>\n
    <\/p>\n
    $ init 6<\/p>\n
    <\/p>\n
    M\u00e4rkus: kasutame re\u017eiimi<\/code><\/pre>\n
    <\/p>\n
    , kuna selle re\u017eiimi kasutamine v\u00f5ib s\u00fcsteemi taask\u00e4ivitamise ajal kokku kukkuda. karmiks<\/strong> \u00c4rge muretsege, kui laadimine peatub m\u00f5nes failis, m\u00e4rgistamine v\u00f5tab aega. P\u00e4rast m\u00e4rgistamise ja s\u00fcsteemi laadimise l\u00f5petamist v\u00f5ite minna konfiguratsioonifaili ja seadistada re\u017eiimi , k\u00e4ivitage<\/strong> , samuti k\u00e4ivitada:<\/p>\n
    <\/p>\n
    N\u00fc\u00fcd olete edukalt aktiveerinud SELinuxi oma arvutis. , k\u00e4ivitage<\/strong>J\u00e4lgime logisid<\/p>\n
    <\/p>\n
    Kui soovite SELinuxi t\u00e4iesti v\u00e4lja l\u00fclitada, saab seda teha ainult konfiguratsioonifaili kaudu<\/code><\/pre>\n
    <\/p>\n
    N\u00fc\u00fcd olete edukalt aktiivseks teinud SELinuxi oma arvutis. <\/p>\n
    <\/p>\n
    J\u00e4lgime logisid<\/h1>\n
    <\/p>\n
    V\u00f5ib-olla on teil mingeid vigu sildistamisel v\u00f5i s\u00fcsteemi t\u00f6\u00f6 k\u00e4igus. Et kontrollida, kas teie SELinux t\u00f6\u00f6tab \u00f5igesti ja ei blokeeri juurdep\u00e4\u00e4su m\u00f5nele sadamale, rakendusele jne, tuleb vaadata logisid. SELinuxi logi asub \/var\/log\/audit\/audit.log<\/code>, kuid te ei pea seda t\u00e4ielikult lugema, et leida vigu. Vigu otsimiseks saate kasutada t\u00f6\u00f6riista audit2why. K\u00e4itage j\u00e4rgmist k\u00e4sku:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Tulemusena saate veateate loendi. Kui logis vigade ei olnud, ei kuvata mingeid teadete.<\/p>\n
    <\/p>\n
    SELi poliitika seadistamine<\/h1>\n
    <\/p>\n
    SELi poliitika on reeglite kogum, mille alusel toimib SELi turvamehhanism. Poliitika m\u00e4\u00e4rab konkreetse keskkonna jaoks reeglite kogumi. Uurime n\u00fc\u00fcd, kuidas seadistada poliitikaid, et lubada juurdep\u00e4\u00e4s keelatud teenustele.<\/p>\n
    <\/p>\n
    1. Loogilised v\u00e4\u00e4rtused (l\u00fclitid)<\/h4>\n
    <\/p>\n
    L\u00fclitid (booleans) v\u00f5imaldavad muuta poliitika osi t\u00f6\u00f6tamise ajal, ilma et oleks vaja luua uusi poliitikaid. Need v\u00f5imaldavad teha muudatusi ilma poliitikate taask\u00e4ivitamise v\u00f5i uuesti kompileerimise vajaduseta.<\/p>\n
    <\/p>\n
    N\u00e4ide<\/strong>
    \nOletame, et soovime anda kasutaja kodukausta FTP kaudu lugemis- ja kirjutamis\u00f5igused ja oleme selle juba jaganud, kuid juurdep\u00e4\u00e4su proovimisel ei n\u00e4e me midagi. See on tingitud sellest, et SELi poliitika keelab FTP-serveril lugeda ja kirjutada kasutaja kodukausta. Peame poliitikat muutma, et FTP-server saaks kodukaustadele juurde p\u00e4\u00e4seda. Vaadake, kas selleks on olemas m\u00f5ningaid l\u00fcliteid, k\u00e4itudes<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    See k\u00e4sk annab v\u00e4lja saadaval olevate l\u00fclitite loendi nende praeguse olekuga (l\u00fclitatud \/ on v\u00f5i v\u00e4ljal\u00fclitatud \/ off) ja kirjeldustega. Otsingu t\u00e4psustamiseks saate kasutada grep'i, et leida tulemusi, mis on seotud ainult ftp:ga:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    ja leiate j\u00e4rgmise<\/p>\n
    <\/p>\n
    ftp_home_dir -> off       Luba ftp-l lugeda ja kirjutada faile kasutaja kodukaustas<\/code><\/pre>\n
    <\/p>\n
    See l\u00fcliti on v\u00e4ljal\u00fclitatud, seega l\u00fclitame selle sisse, kasutades setsebool $ setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    N\u00fc\u00fcd saab meie ftp-teenus kasutada kasutaja kodukausta.
    \nM\u00e4rkus: saate ka saada saadaval olevate l\u00fclitite loendi ilma kirjeldusteta, k\u00e4itudes getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. M\u00e4rgised ja kontekstid<\/h4>\n
    <\/p>\n
    See on k\u00f5ige levinum viis SELi poliitika rakendamiseks. Iga fail, kaust, protsess ja sadam on m\u00e4rgistatud SELi kontekstiga:<\/p>\n
    <\/p>\n