{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Guida per principianti a SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Guida<\/p>\n

<\/p>\n

La traduzione dell'articolo \u00e8 preparata per gli studenti del corso \u00abSicurezza di Linux\u00bb<\/a><\/noindex><\/em><\/p>\n

SELinux o Security Enhanced Linux \u00e8 un meccanismo avanzato di gestione degli accessi, sviluppato dalla National Security Agency degli Stati Uniti (NSA) per prevenire intrusioni dannose. Implementa un modello di controllo degli accessi obbligatorio (Mandatory Access Control, MAC) sovrapposto a un modello discrezionale (Discretionary Access Control, DAC) esistente, ovvero permessi di lettura, scrittura ed esecuzione.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux ha tre modalit\u00e0:<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2014 vieta l'accesso in base alle regole della politica.<\/li>\n
  2. Permissive<\/strong> \u2014 registra le azioni che violano la politica, che sarebbero vietate in modalit\u00e0 enforcing.<\/li>\n
  3. Disabled<\/strong> \u2014 disabilitazione completa di SELinux.<\/li>\n<\/ol>\n

    <\/p>\n

    Per impostazione predefinita, le impostazioni si trovano in \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    Cambiamento delle modalit\u00e0 SELinux<\/h1>\n

    <\/p>\n

    Per conoscere la modalit\u00e0 corrente esegui <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Per cambiare la modalit\u00e0 in permissive, esegui il seguente comando <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    oppure, per cambiare la modalit\u00e0 da permissive<\/strong> in enforcing<\/strong>, esegui <\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Se hai bisogno di disabilitare completamente SELinux, questo pu\u00f2 essere fatto solo tramite il file di configurazione <\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/code><\/pre>\n
    <\/p>\n
    Per disabilitarlo, modifica la variabile SELINUX come segue:<\/p>\n
    <\/p>\n
    SELINUX=disabled<\/code><\/pre>\n
    <\/p>\n
    Configurazione di SELinux<\/h1>\n
    <\/p>\n
    Ogni file e processo \u00e8 contrassegnato da un contesto SELinux, che contiene informazioni aggiuntive come utente, ruolo, tipo, ecc. Se stai attivando SELinux per la prima volta, devi prima configurare i contesti e le etichette. Il processo di assegnazione di etichette e contesti \u00e8 noto come etichettatura. Per iniziare l'etichettatura, nel file di configurazione cambiamo la modalit\u00e0 in permissive<\/strong>.<\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive<\/code><\/pre>\n
    <\/p>\n
    Dopo aver impostato la modalit\u00e0 permissive<\/strong>, creiamo nella root un file nascosto vuoto chiamato autorelabel<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    e riavviamo il computer<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Nota: utilizziamo la modalit\u00e0 permissive<\/strong> per l'etichettatura, poich\u00e9 l'uso della modalit\u00e0 enforcing<\/strong> pu\u00f2 causare un crash del sistema durante il riavvio.<\/p>\n
    <\/p>\n
    Non preoccuparti se il caricamento si blocca su un file, l'etichettatura richiede un po' di tempo. Una volta completata l'etichettatura e il caricamento del sistema, puoi passare al file di configurazione e impostare la modalit\u00e0 enforcing<\/strong>, e inoltre eseguire:<\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Ora hai abilitato con successo SELinux sul tuo computer. <\/p>\n
    <\/p>\n
    Monitoriamo i log<\/h1>\n
    <\/p>\n
    Potrebbe esserci stato un errore durante la marcatura o durante il funzionamento del sistema. Per verificare se il tuo SELinux sta funzionando correttamente e se sta bloccando l'accesso a qualche porta, applicazione, ecc., \u00e8 necessario controllare i log. Il log di SELinux si trova in \/var\/log\/audit\/audit.log<\/code>, ma non \u00e8 necessario leggerlo tutto per trovare gli errori. Puoi utilizzare lo strumento audit2why per cercare gli errori. Esegui il seguente comando:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Di conseguenza, otterrai un elenco di errori. Se non ci sono errori nel log, non verr\u00e0 visualizzato alcun messaggio.<\/p>\n
    <\/p>\n
    Configurazione della politica SELinux<\/h1>\n
    <\/p>\n
    La politica SELinux \u00e8 un insieme di regole che guidano il meccanismo di sicurezza di SELinux. La politica definisce un insieme di regole per un ambiente specifico. Adesso esamineremo come configurare le politiche per consentire l'accesso a servizi vietati.<\/p>\n
    <\/p>\n
    1. Valori booleani (switch)<\/h4>\n
    <\/p>\n
    Gli switch (booleani) consentono di modificare parti della politica durante il funzionamento, senza la necessit\u00e0 di creare nuove politiche. Permettono di apportare modifiche senza riavviare o ricompilare le politiche SELinux.<\/p>\n
    <\/p>\n
    Esempio<\/strong>
    \nSupponiamo di voler fornire l'accesso condiviso alla home directory dell'utente via FTP per lettura e scrittura, e l'abbiamo gi\u00e0 condivisa, ma quando cerchiamo di accedervi non vediamo nulla. Questo \u00e8 dovuto al fatto che la politica SELinux vieta al server FTP di leggere e scrivere nella home directory dell'utente. Dobbiamo modificare la politica affinch\u00e9 il server FTP possa accedere alle home directory. Verifichiamo se ci sono switch disponibili eseguendo<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Questo comando restituir\u00e0 un elenco di switch disponibili con il loro stato attuale (attivato\/on o disattivato\/off) e una descrizione. Puoi affinare la ricerca aggiungendo grep per trovare solo i risultati relativi a ftp:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    e troverai quanto segue<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Permetti a ftp di leggere e scrivere file nella home directory dell'utente<\/code><\/pre>\n
    <\/p>\n
    Questo switch \u00e8 disattivato, quindi lo attiveremo con setsebool $ setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Ora il nostro demone FTP potr\u00e0 accedere alla home directory dell'utente.
    \nNota: puoi anche ottenere un elenco degli switch disponibili senza la descrizione eseguendo getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Etichette e contesto<\/h4>\n
    <\/p>\n
    Questo \u00e8 il modo pi\u00f9 comune di implementare la politica SELinux. Ogni file, cartella, processo e porta \u00e8 contrassegnato con un contesto SELinux:<\/p>\n
    <\/p>\n