{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Guida per principianti a SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Guida<\/p>\n

<\/p>\n

La traduzione dell'articolo \u00e8 stata preparata per gli studenti del corso \u00abSicurezza Linux\u00bb<\/a><\/noindex><\/em><\/p>\n

SELinux, o Security Enhanced Linux, \u00e8 un meccanismo di controllo degli accessi avanzato sviluppato dalla National Security Agency (NSA) degli Stati Uniti per prevenire intrusioni dannose. Implementa un modello di controllo degli accessi obbligatorio (Mandatory Access Control, MAC) sopra il modello discrezionale esistente (Discretionary Access Control, DAC), quindi autorizzazioni di lettura, scrittura, esecuzione.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux ha tre modalit\u00e0:<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2014 nega l'accesso in base a regole di policy.<\/li>\n
  2. Permissive<\/strong> \u2014 registra le azioni che violano la policy, che sarebbero state negate in modalit\u00e0 enforcing.<\/li>\n
  3. Disabilitato<\/strong> \u2014 disabilitazione completa di SELinux.<\/li>\n<\/ol>\n

    <\/p>\n

    Per impostazione predefinita, le configurazioni si trovano in \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    Cambiamento delle modalit\u00e0 di SELinux<\/h1>\n

    <\/p>\n

    Per scoprire la modalit\u00e0 attuale, esegui <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Per cambiare la modalit\u00e0 su permissive, esegui il seguente comando <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    oppure, per cambiare la modalit\u00e0 da permissive<\/strong> con enforcing<\/strong>, esegui <\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Se hai bisogno di disabilitare completamente SELinux, ci\u00f2 pu\u00f2 essere fatto solo tramite il file di configurazione <\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/code><\/pre>\n
    <\/p>\n
    Per disabilitarlo, modifica il parametro SELINUX nel seguente modo:<\/p>\n
    <\/p>\n
    SELINUX=disabled<\/code><\/pre>\n
    <\/p>\n
    Configurazione di SELinux<\/h1>\n
    <\/p>\n
    Ogni file e processo \u00e8 contrassegnato con un contesto SELinux, che contiene informazioni aggiuntive, come l'utente, il ruolo, il tipo, ecc. Se attivi SELinux per la prima volta, \u00e8 necessario configurare prima il contesto e le etichette. Il processo di assegnazione delle etichette e del contesto \u00e8 noto come etichettatura. Per iniziare l'etichettatura, nel file di configurazione cambiamo la modalit\u00e0 in permissive<\/strong>.<\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive<\/code><\/pre>\n
    <\/p>\n
    Dopo aver impostato la modalit\u00e0 permissive<\/strong>, creiamo nella radice un file nascosto vuoto chiamato .autorelabel<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    e riavviamo il computer<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Nota: utilizziamo la modalit\u00e0 permissive<\/strong> per l'etichettatura, poich\u00e9 l'uso della modalit\u00e0 enforcing<\/strong> pu\u00f2 causare il crash del sistema durante il riavvio.<\/p>\n
    <\/p>\n
    Non preoccuparti se il caricamento si blocca su un file, l'etichettatura richiede un po' di tempo. Al termine dell'etichettatura e del caricamento del sistema, puoi tornare al file di configurazione e impostare la modalit\u00e0 enforcing<\/strong>, e anche eseguire:<\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Ora hai attivato con successo SELinux sul tuo computer. <\/p>\n
    <\/p>\n
    Monitoriamo i log<\/h1>\n
    <\/p>\n
    Potresti aver riscontrato degli errori durante la marcatura o durante il funzionamento del sistema. Per verificare se il tuo SELinux sta funzionando correttamente e se sta bloccando l'accesso a qualche porta, applicazione, ecc., \u00e8 necessario controllare i log. Il log di SELinux si trova in \/var\/log\/audit\/audit.log<\/code>, ma non \u00e8 necessario leggerlo per intero per trovare gli errori. Puoi utilizzare l'utilit\u00e0 audit2why per cercare gli errori. Esegui il seguente comando:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Come risultato, otterrai un elenco di errori. Se non ci sono stati errori nel log, non verr\u00e0 visualizzato alcun messaggio.<\/p>\n
    <\/p>\n
    Configurazione della politica SELinux<\/h1>\n
    <\/p>\n
    La politica SELinux \u00e8 un insieme di regole che guidano il meccanismo di sicurezza SELinux. La politica definisce un insieme di regole per un ambiente specifico. Ora esamineremo come configurare le politiche per consentire l'accesso ai servizi vietati.<\/p>\n
    <\/p>\n
    1. Valori logici (switch)<\/h4>\n
    <\/p>\n
    Gli switch (booleans) consentono di modificare parti della politica durante l'esecuzione, senza la necessit\u00e0 di creare nuove politiche. Permettono di effettuare cambiamenti senza riavviare o ricompilare le politiche SELinux.<\/p>\n
    <\/p>\n
    Esempio<\/strong>
    \nSupponiamo di voler fornire l'accesso condiviso alla directory home dell'utente tramite FTP, sia in lettura che in scrittura, e che l'abbiamo gi\u00e0 condivisa, ma quando tentiamo di accedervi non vediamo nulla. Ci\u00f2 \u00e8 dovuto al fatto che la politica SELinux impedisce al server FTP di leggere e scrivere nella directory home dell'utente. Dobbiamo modificare la politica affinch\u00e9 il server FTP possa accedere alle directory home. Vediamo se ci sono dei flag disponibili per questo, eseguendo<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Questo comando restituir\u00e0 un elenco dei flag disponibili con il loro stato attuale (attivato \/ on o disattivato \/ off) e una descrizione. Puoi affinare la ricerca aggiungendo grep, per trovare risultati relativi solo a ftp:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    e troverai quanto segue<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Consenti a ftp di leggere e scrivere file nella directory home dell'utente<\/code><\/pre>\n
    <\/p>\n
    Questo flag \u00e8 disattivato, quindi lo abiliteremo con setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Ora il nostro demone ftp potr\u00e0 accedere alla directory home dell'utente.
    \nNota: puoi anche ottenere un elenco dei flag disponibili senza descrizioni eseguendo getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Etichette e contesto<\/h4>\n
    <\/p>\n
    Questo \u00e8 il metodo pi\u00f9 comune per implementare la politica SELinux. Ogni file, cartella, processo e porta \u00e8 contrassegnato con un contesto SELinux:<\/p>\n
    <\/p>\n