{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Kezd\u0151k \u00fatmutat\u00f3ja a SELinuxhoz","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Kezd\u0151k<\/p>\n

<\/p>\n

A cikk ford\u00edt\u00e1sa a kurzus hallgat\u00f3i sz\u00e1m\u00e1ra k\u00e9sz\u00fclt A Linux biztons\u00e1g<\/a><\/noindex><\/em><\/p>\n

A SELinux, vagyis a Security Enhanced Linux egy fejlett hozz\u00e1f\u00e9r\u00e9s-ellen\u0151rz\u00e9si mechanizmus, amelyet az Egyes\u00fclt \u00c1llamok Nemzetbiztons\u00e1gi \u00dcgyn\u00f6ks\u00e9ge (NSA) fejlesztett ki a rosszindulat\u00fa behatol\u00e1sok megel\u0151z\u00e9s\u00e9re. Ez egy k\u00f6telez\u0151 (vagy mand\u00e1tum) alap\u00fa hozz\u00e1f\u00e9r\u00e9s-ellen\u0151rz\u00e9si modellt (angolul: Mandatory Access Control, MAC) val\u00f3s\u00edt meg a megl\u00e9v\u0151 diszkrecion\u00e1lis (vagy szelekt\u00edv) modell (angolul: Discretionary Access Control, DAC) felett, azaz olvas\u00e1si, \u00edr\u00e1si \u00e9s v\u00e9grehajt\u00e1si enged\u00e9lyek r\u00e9v\u00e9n.<\/a><\/noindex><\/p>\n

<\/p>\n

A SELinuxnak h\u00e1rom m\u00f3dja van:<\/p>\n

<\/p>\n

    \n
  1. K\u00f6telez\u0151<\/strong> \u2014 a hozz\u00e1f\u00e9r\u00e9s megtilt\u00e1sa a politikai szab\u00e1lyok alapj\u00e1n.<\/li>\n
  2. Enged\u00e9keny<\/strong> \u2014 az enged\u00e9keny m\u00f3dban megtiltott tev\u00e9kenys\u00e9gek napl\u00f3z\u00e1sa.<\/li>\n
  3. Letiltva<\/strong> \u2014 a SELinux teljes letilt\u00e1sa.<\/li>\n<\/ol>\n

    <\/p>\n

    Alap\u00e9rtelmez\u00e9s szerint a be\u00e1ll\u00edt\u00e1sok a k\u00f6vetkez\u0151 helyen tal\u00e1lhat\u00f3k \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    A SELinux m\u00f3dok megv\u00e1ltoztat\u00e1sa<\/h1>\n

    <\/p>\n

    A jelenlegi m\u00f3d megismer\u00e9s\u00e9hez ind\u00edtsa el a k\u00f6vetkez\u0151t <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    A m\u00f3d enged\u00e9keny \u00e9rt\u00e9kre \u00e1ll\u00edt\u00e1s\u00e1hoz futtassa a k\u00f6vetkez\u0151 parancsot <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    vagy a m\u00f3d megv\u00e1ltoztat\u00e1s\u00e1hoz enged\u00e9keny<\/strong> Gyorsan eml\u00e9kezz\u00fcnk vissza, hogyan m\u0171k\u00f6dik a modul\u00e1ris aritmetika. Az \u00f3ra m\u00e1r egy ismert koncepci\u00f3. Az \u00f3r\u00e1k haszn\u00e1lata k\u00f6telez\u0151re<\/strong>, hajtsa v\u00e9gre <\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Ha teljesen le szeretn\u00e9 tiltani a SELinuxot, azt csak a konfigur\u00e1ci\u00f3s f\u00e1jlon kereszt\u00fcl teheti meg <\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/code><\/pre>\n
    <\/p>\n
    A letilt\u00e1shoz m\u00f3dos\u00edtsa a SELINUX param\u00e9tert a k\u00f6vetkez\u0151k\u00e9ppen:<\/p>\n
    <\/p>\n
    SELINUX=disabled<\/code><\/pre>\n
    <\/p>\n
    A SELinux be\u00e1ll\u00edt\u00e1sa<\/h1>\n
    <\/p>\n
    Minden f\u00e1jl \u00e9s folyamat SELinux kontextussal van megjel\u00f6lve, amely tartalmazza a felhaszn\u00e1l\u00f3ra, szerepre, t\u00edpusra \u00e9s egy\u00e9b inform\u00e1ci\u00f3kra vonatkoz\u00f3 inform\u00e1ci\u00f3kat. Ha el\u0151sz\u00f6r aktiv\u00e1lja a SELinuxot, el\u0151sz\u00f6r be kell \u00e1ll\u00edtania a kontextust \u00e9s a c\u00edmk\u00e9ket. A c\u00edmk\u00e9z\u00e9s \u00e9s a kontextus kijel\u00f6l\u00e9s\u00e9nek folyamata c\u00edmk\u00e9z\u00e9snek nevezik. A c\u00edmk\u00e9z\u00e9s megkezd\u00e9s\u00e9hez a konfigur\u00e1ci\u00f3s f\u00e1jlban v\u00e1ltoztassuk meg a m\u00f3dot enged\u00e9keny<\/strong>.<\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive<\/code><\/pre>\n
    <\/p>\n
    A m\u00f3d be\u00e1ll\u00edt\u00e1sa ut\u00e1n enged\u00e9keny<\/strong>, hozzunk l\u00e9tre a gy\u00f6k\u00e9rben egy \u00fcres, rejtett f\u00e1jlt a k\u00f6vetkez\u0151 n\u00e9ven .autorelabel<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    \u00e9s ind\u00edtsa \u00fajra a sz\u00e1m\u00edt\u00f3g\u00e9pet<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Megjegyz\u00e9s: a c\u00edmk\u00e9z\u00e9s sor\u00e1n k\u00f6telez\u0151 m\u00f3dot haszn\u00e1lunk, mivel a k\u00f6telez\u0151 m\u00f3d haszn\u00e1lata a rendszer \u00fajraind\u00edt\u00e1sa sor\u00e1n \u00f6sszeoml\u00e1shoz vezethet. enged\u00e9keny<\/strong> Ne agg\u00f3djon, ha a rendszer bet\u00f6lt\u00e9se elakad egy f\u00e1jln\u00e1l, a c\u00edmk\u00e9z\u00e9s id\u0151ig\u00e9nyes folyamat. A c\u00edmk\u00e9z\u00e9s \u00e9s a rendszer bet\u00f6lt\u00e9se ut\u00e1n \u00e1tmehet a konfigur\u00e1ci\u00f3s f\u00e1jlhoz \u00e9s be\u00e1ll\u00edthatja a m\u00f3dot k\u00f6telez\u0151re<\/strong> , valamint futtathatja a:<\/p>\n
    <\/p>\n
    Most m\u00e1r sikeresen aktiv\u00e1lta a SELinuxot a sz\u00e1m\u00edt\u00f3g\u00e9p\u00e9n. k\u00f6telez\u0151re<\/strong>Fel\u00fcgyelj\u00fck a napl\u00f3kat<\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Most m\u00e1r sikeresen enged\u00e9lyezte a SELinux-ot a sz\u00e1m\u00edt\u00f3g\u00e9p\u00e9n. <\/p>\n
    <\/p>\n
    Figyelj\u00fck a napl\u00f3kat.<\/h1>\n
    <\/p>\n
    Lehets\u00e9ges, hogy hib\u00e1k mer\u00fcltek fel a c\u00edmk\u00e9z\u00e9s sor\u00e1n vagy a rendszer m\u0171k\u00f6d\u00e9se sor\u00e1n. Annak ellen\u0151rz\u00e9s\u00e9hez, hogy a SELinux megfelel\u0151en m\u0171k\u00f6dik-e \u00e9s nem blokkol-e hozz\u00e1f\u00e9r\u00e9st b\u00e1rmely porthoz, alkalmaz\u00e1shoz stb., meg kell n\u00e9zni a napl\u00f3kat. A SELinux napl\u00f3 itt tal\u00e1lhat\u00f3 \/var\/log\/audit\/audit.log<\/code>, de nincs sz\u00fcks\u00e9g arra, hogy teljesen elolvassa a hib\u00e1k keres\u00e9s\u00e9hez. Haszn\u00e1lhatja az audit2why eszk\u00f6zt a hib\u00e1k keres\u00e9s\u00e9re. Futassa le a k\u00f6vetkez\u0151 parancsot:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Ennek eredm\u00e9nyek\u00e9nt egy hiba lista jelenik meg. Ha a napl\u00f3ban nem volt hiba, akkor nem jelenik meg \u00fczenet.<\/p>\n
    <\/p>\n
    A SELinux politika be\u00e1ll\u00edt\u00e1sa<\/h1>\n
    <\/p>\n
    A SELinux politika egy szab\u00e1lyokb\u00f3l \u00e1ll\u00f3 halmaz, amelyet a SELinux biztons\u00e1gi mechanizmus k\u00f6vet. A politika meghat\u00e1rozza a szab\u00e1lyok halmaz\u00e1t egy adott k\u00f6rnyezet sz\u00e1m\u00e1ra. Most n\u00e9zz\u00fck meg, hogyan \u00e1ll\u00edthatjuk be a politik\u00e1t, hogy lehet\u0151v\u00e9 tegy\u00fck a tiltott szolg\u00e1ltat\u00e1sokhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9st.<\/p>\n
    <\/p>\n
    1. Logikai \u00e9rt\u00e9kek (kapcsol\u00f3k)<\/h4>\n
    <\/p>\n
    A kapcsol\u00f3k (booleans) lehet\u0151v\u00e9 teszik a politika egyes r\u00e9szeinek m\u00f3dos\u00edt\u00e1s\u00e1t m\u0171k\u00f6d\u00e9s k\u00f6zben, \u00faj politik\u00e1k l\u00e9trehoz\u00e1sa n\u00e9lk\u00fcl. Lehet\u0151v\u00e9 teszik a m\u00f3dos\u00edt\u00e1sokat \u00fajraind\u00edt\u00e1s vagy SELinux politik\u00e1k \u00fajrakompil\u00e1l\u00e1sa n\u00e9lk\u00fcl.<\/p>\n
    <\/p>\n
    t\u00e1mad\u00e1sra<\/strong>
    \nTegy\u00fck fel, hogy FTP-n kereszt\u00fcl olvas\u00e1si \u00e9s \u00edr\u00e1si hozz\u00e1f\u00e9r\u00e9st szeretn\u00e9nk biztos\u00edtani a felhaszn\u00e1l\u00f3 otthoni k\u00f6nyvt\u00e1r\u00e1hoz, \u00e9s ezt m\u00e1r megosztottuk, de a hozz\u00e1f\u00e9r\u00e9s sor\u00e1n nem l\u00e1tunk semmit. Ez az\u00e9rt van, mert a SELinux politika megakad\u00e1lyozza az FTP szerver sz\u00e1m\u00e1ra, hogy olvassa \u00e9s \u00edrja a felhaszn\u00e1l\u00f3 otthoni k\u00f6nyvt\u00e1r\u00e1ba. A politik\u00e1t m\u00f3dos\u00edtanunk kell, hogy az FTP szerver hozz\u00e1f\u00e9rjen az otthoni k\u00f6nyvt\u00e1rakhoz. N\u00e9zz\u00fck meg, hogy van-e ehhez kapcsol\u00f3nk, futtatva<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Ez a parancs a rendelkez\u00e9sre \u00e1ll\u00f3 kapcsol\u00f3k list\u00e1j\u00e1t adja meg az aktu\u00e1lis \u00e1llapotukkal (bekapcsolva\/on vagy kikapcsolva\/off) \u00e9s le\u00edr\u00e1sukkal. A keres\u00e9s pontos\u00edt\u00e1s\u00e1hoz haszn\u00e1lhatja a grep-et, hogy csak az ftp-vel kapcsolatos eredm\u00e9nyeket tal\u00e1lja:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    \u00e9s a k\u00f6vetkez\u0151t tal\u00e1lja<\/p>\n
    <\/p>\n
    ftp_home_dir -> off       Allow ftp to read & write file in user home directory<\/code><\/pre>\n
    <\/p>\n
    Ez a kapcsol\u00f3 ki van kapcsolva, ez\u00e9rt bekapcsoljuk a k\u00f6vetkez\u0151 paranccsal setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Most az ftp d\u00e9monunk hozz\u00e1f\u00e9rhet a felhaszn\u00e1l\u00f3 otthoni k\u00f6nyvt\u00e1r\u00e1hoz.
    \nMegjegyz\u00e9s: a rendelkez\u00e9sre \u00e1ll\u00f3 kapcsol\u00f3k list\u00e1j\u00e1t k\u00e9rheti le le\u00edr\u00e1s n\u00e9lk\u00fcl is, a k\u00f6vetkez\u0151 parancs futtat\u00e1s\u00e1val getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. C\u00edmk\u00e9k \u00e9s kontextus<\/h4>\n
    <\/p>\n
    Ez a legelterjedtebb m\u00f3dja a SELinux politika megval\u00f3s\u00edt\u00e1s\u00e1nak. Minden f\u00e1jl, mappa, folyamat \u00e9s port SELinux kontextussal van megc\u00edmk\u00e9zve:<\/p>\n
    <\/p>\n