കോഴ്‌സ് വിദ്യാർത്ഥികൾക്കായി തയ്യാറാക്കിയ ലേഖനത്തിന്റെ പരിഭാഷ "ലിനക്സ് സുരക്ഷ"

SELinux അല്ലെങ്കിൽ സെക്യൂരിറ്റി എൻഹാൻസ്ഡ് ലിനക്സ് എന്നത് ക്ഷുദ്രകരമായ നുഴഞ്ഞുകയറ്റങ്ങൾ തടയുന്നതിനായി US നാഷണൽ സെക്യൂരിറ്റി ഏജൻസി (NSA) വികസിപ്പിച്ചെടുത്ത ഒരു മെച്ചപ്പെടുത്തിയ ആക്സസ് കൺട്രോൾ മെക്കാനിസമാണ്. നിലവിലുള്ള വിവേചനാധികാര (അല്ലെങ്കിൽ തിരഞ്ഞെടുത്ത) മോഡലിന് (ഇംഗ്ലീഷ് വിവേചനാധികാര ആക്സസ് കൺട്രോൾ, DAC) മുകളിൽ നിർബന്ധിത (അല്ലെങ്കിൽ നിർബന്ധിത) ആക്സസ് കൺട്രോൾ മോഡൽ (ഇംഗ്ലീഷ് നിർബന്ധിത ആക്സസ് കൺട്രോൾ, MAC) നടപ്പിലാക്കുന്നു, അതായത്, വായിക്കാനും എഴുതാനും നടപ്പിലാക്കാനുമുള്ള അനുമതികൾ.

SELinux-ന് മൂന്ന് മോഡുകൾ ഉണ്ട്:

1. നടപ്പിലാക്കുന്നു - നയ നിയമങ്ങൾ അടിസ്ഥാനമാക്കിയുള്ള ആക്സസ് നിരസനം.
2. അനുവദനീയം - നയം ലംഘിക്കുന്ന പ്രവർത്തനങ്ങളുടെ ഒരു ലോഗ് സൂക്ഷിക്കുന്നു, അത് നടപ്പിലാക്കൽ മോഡിൽ നിരോധിക്കും.
3. പ്രവർത്തന രഹിതമായ — SELinux പൂർണ്ണമായും പ്രവർത്തനരഹിതമാക്കുന്നു.

ഡിഫോൾട്ടായി ക്രമീകരണങ്ങൾ ഉള്ളതാണ് /etc/selinux/config

SELinux മോഡുകൾ മാറ്റുന്നു

നിലവിലെ മോഡ് കണ്ടെത്താൻ, പ്രവർത്തിപ്പിക്കുക

$ getenforce

അനുവദനീയമായ മോഡ് മാറ്റുന്നതിന് താഴെ പറയുന്ന കമാൻഡ് പ്രവർത്തിപ്പിക്കുക

$ setenforce 0

അല്ലെങ്കിൽ, മോഡ് മാറ്റാൻ അനുവാദം ഓൺ നടപ്പിലാക്കുന്നു, നടപ്പിലാക്കുക

$ setenforce 1

നിങ്ങൾക്ക് SELinux പൂർണ്ണമായും പ്രവർത്തനരഹിതമാക്കണമെങ്കിൽ, കോൺഫിഗറേഷൻ ഫയലിലൂടെ മാത്രമേ ഇത് ചെയ്യാൻ കഴിയൂ

$ vi /etc/selinux/config

പ്രവർത്തനരഹിതമാക്കുന്നതിന്, SELINUX പാരാമീറ്റർ ഇനിപ്പറയുന്ന രീതിയിൽ മാറ്റുക:

SELINUX=disabled

SELinux സജ്ജീകരിക്കുന്നു

ഓരോ ഫയലും പ്രോസസ്സും ഒരു SELinux സന്ദർഭത്തിൽ അടയാളപ്പെടുത്തിയിരിക്കുന്നു, അതിൽ ഉപയോക്താവ്, റോൾ, തരം മുതലായവ പോലുള്ള അധിക വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു. നിങ്ങൾ SELinux പ്രവർത്തനക്ഷമമാക്കുന്നത് ഇതാദ്യമാണെങ്കിൽ, നിങ്ങൾ ആദ്യം സന്ദർഭവും ലേബലുകളും കോൺഫിഗർ ചെയ്യേണ്ടതുണ്ട്. ലേബലുകളും സന്ദർഭങ്ങളും നൽകുന്ന പ്രക്രിയയെ ടാഗിംഗ് എന്ന് വിളിക്കുന്നു. അടയാളപ്പെടുത്തൽ ആരംഭിക്കുന്നതിന്, കോൺഫിഗറേഷൻ ഫയലിൽ ഞങ്ങൾ മോഡ് മാറ്റുന്നു അനുവാദം.

$ vi /etc/selinux/config
SELINUX=permissive

മോഡ് സജ്ജമാക്കിയ ശേഷം അനുവാദം, പേരിനൊപ്പം റൂട്ടിൽ ഒരു ശൂന്യമായ മറഞ്ഞിരിക്കുന്ന ഫയൽ സൃഷ്ടിക്കുക autorelabel

$ touch /.autorelabel

കമ്പ്യൂട്ടർ റീബൂട്ട് ചെയ്യുക

$ init 6

ശ്രദ്ധിക്കുക: ഞങ്ങൾ മോഡ് ഉപയോഗിക്കുന്നു അനുവാദം അടയാളപ്പെടുത്തലിനായി, മോഡിൻ്റെ ഉപയോഗം മുതൽ നടപ്പിലാക്കുന്നു റീബൂട്ട് ചെയ്യുമ്പോൾ സിസ്റ്റം തകരാറിലായേക്കാം.

ഡൗൺലോഡ് ഏതെങ്കിലും ഫയലിൽ കുടുങ്ങിയാൽ വിഷമിക്കേണ്ട, അടയാളപ്പെടുത്തുന്നതിന് കുറച്ച് സമയമെടുക്കും. അടയാളപ്പെടുത്തൽ പൂർത്തിയായി നിങ്ങളുടെ സിസ്റ്റം ബൂട്ട് ചെയ്തുകഴിഞ്ഞാൽ, നിങ്ങൾക്ക് കോൺഫിഗറേഷൻ ഫയലിലേക്ക് പോയി മോഡ് സജ്ജമാക്കാം നടപ്പിലാക്കുന്നുകൂടാതെ പ്രവർത്തിപ്പിക്കുക:

$ setenforce 1

നിങ്ങൾ ഇപ്പോൾ നിങ്ങളുടെ കമ്പ്യൂട്ടറിൽ SELinux വിജയകരമായി പ്രവർത്തനക്ഷമമാക്കി.

ലോഗുകൾ നിരീക്ഷിക്കുന്നു

അടയാളപ്പെടുത്തുന്ന സമയത്തോ സിസ്റ്റം പ്രവർത്തിക്കുമ്പോഴോ നിങ്ങൾക്ക് ചില പിശകുകൾ നേരിട്ടിരിക്കാം. നിങ്ങളുടെ SELinux ശരിയായി പ്രവർത്തിക്കുന്നുണ്ടോയെന്നും ഏതെങ്കിലും പോർട്ട്, ആപ്ലിക്കേഷൻ മുതലായവയിലേക്കുള്ള ആക്‌സസ്സ് തടയുന്നില്ലെങ്കിൽ, നിങ്ങൾ ലോഗുകൾ നോക്കേണ്ടതുണ്ട്. SELinux ലോഗ് സ്ഥിതിചെയ്യുന്നു /var/log/audit/audit.log, എന്നാൽ പിശകുകൾ കണ്ടെത്താൻ നിങ്ങൾ മുഴുവൻ വായിക്കേണ്ടതില്ല. പിശകുകൾ കണ്ടെത്താൻ നിങ്ങൾക്ക് audit2why യൂട്ടിലിറ്റി ഉപയോഗിക്കാം. ഇനിപ്പറയുന്ന കമാൻഡ് പ്രവർത്തിപ്പിക്കുക:

$ audit2why < /var/log/audit/audit.log

തൽഫലമായി, നിങ്ങൾക്ക് പിശകുകളുടെ ഒരു ലിസ്റ്റ് ലഭിക്കും. ലോഗിൽ പിശകുകൾ ഇല്ലെങ്കിൽ, സന്ദേശങ്ങളൊന്നും പ്രദർശിപ്പിക്കില്ല.

SELinux നയം ക്രമീകരിക്കുന്നു

SELinux സുരക്ഷാ സംവിധാനത്തെ നിയന്ത്രിക്കുന്ന ഒരു കൂട്ടം നിയമങ്ങളാണ് SELinux നയം. ഒരു നയം ഒരു പ്രത്യേക പരിതസ്ഥിതിക്ക് വേണ്ടിയുള്ള ഒരു കൂട്ടം നിയമങ്ങൾ നിർവ്വചിക്കുന്നു. നിരോധിത സേവനങ്ങളിലേക്ക് പ്രവേശനം അനുവദിക്കുന്നതിന് നയങ്ങൾ എങ്ങനെ കോൺഫിഗർ ചെയ്യാമെന്ന് ഇപ്പോൾ നമ്മൾ പഠിക്കും.

1. ലോജിക്കൽ മൂല്യങ്ങൾ (സ്വിച്ചുകൾ)

പുതിയ നയങ്ങൾ സൃഷ്ടിക്കാതെ തന്നെ റൺടൈമിൽ ഒരു പോളിസിയുടെ ഭാഗങ്ങൾ മാറ്റാൻ സ്വിച്ചുകൾ (ബൂലിയൻസ്) നിങ്ങളെ അനുവദിക്കുന്നു. SELinux പോളിസികൾ റീബൂട്ട് ചെയ്യാതെയും വീണ്ടും കംപൈൽ ചെയ്യാതെയും മാറ്റങ്ങൾ വരുത്താൻ അവ നിങ്ങളെ അനുവദിക്കുന്നു.

ഉദാഹരണം:
എഫ്‌ടിപി റീഡ്/റൈറ്റിലൂടെ ഒരു ഉപയോക്താവിൻ്റെ ഹോം ഡയറക്‌ടറി പങ്കിടാൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നുവെന്ന് പറയാം, ഞങ്ങൾ അത് ഇതിനകം പങ്കിട്ടു, പക്ഷേ ഞങ്ങൾ അത് ആക്‌സസ് ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ ഒന്നും കാണുന്നില്ല. കാരണം, SELinux നയം FTP സെർവറിനെ ഉപയോക്താവിൻ്റെ ഹോം ഡയറക്‌ടറിയിൽ വായിക്കുന്നതിൽ നിന്നും എഴുതുന്നതിൽ നിന്നും തടയുന്നു. FTP സെർവറിന് ഹോം ഡയറക്‌ടറികൾ ആക്‌സസ് ചെയ്യാൻ കഴിയുന്ന തരത്തിൽ ഞങ്ങൾ നയം മാറ്റേണ്ടതുണ്ട്. ചെയ്തുകൊണ്ട് ഇതിനുള്ള സ്വിച്ചുകൾ ഉണ്ടോ എന്ന് നോക്കാം

$ semanage boolean -l

ലഭ്യമായ സ്വിച്ചുകൾ അവയുടെ നിലവിലെ അവസ്ഥയും (ഓൺ അല്ലെങ്കിൽ ഓഫ്) വിവരണവും ഉപയോഗിച്ച് ഈ കമാൻഡ് പട്ടികപ്പെടുത്തും. ftp-മാത്രം ഫലങ്ങൾ കണ്ടെത്താൻ grep ചേർത്ത് നിങ്ങളുടെ തിരയൽ പരിഷ്കരിക്കാനാകും:

$ semanage boolean -l | grep ftp

നിങ്ങൾ ഇനിപ്പറയുന്നവ കണ്ടെത്തും

ftp_home_dir        -> off       Allow ftp to read & write file in user home directory

ഈ സ്വിച്ച് പ്രവർത്തനരഹിതമാക്കിയതിനാൽ ഞങ്ങൾ ഇത് പ്രവർത്തനക്ഷമമാക്കും setsebool $ setsebool ftp_home_dir on

ഇപ്പോൾ ഞങ്ങളുടെ ftp ഡെമണിന് ഉപയോക്താവിൻ്റെ ഹോം ഡയറക്ടറി ആക്സസ് ചെയ്യാൻ കഴിയും.
ശ്രദ്ധിക്കുക: ചെയ്യുന്നതിലൂടെ നിങ്ങൾക്ക് വിവരണമില്ലാതെ ലഭ്യമായ സ്വിച്ചുകളുടെ ഒരു ലിസ്റ്റ് ലഭിക്കും getsebool -a

2. ലേബലുകളും സന്ദർഭവും

SELinux നയം നടപ്പിലാക്കുന്നതിനുള്ള ഏറ്റവും സാധാരണമായ മാർഗ്ഗമാണിത്. എല്ലാ ഫയലും ഫോൾഡറും പ്രോസസ്സും പോർട്ടും SELinux സന്ദർഭത്തിൽ അടയാളപ്പെടുത്തിയിരിക്കുന്നു:

• ഫയലുകൾക്കും ഫോൾഡറുകൾക്കുമായി, ഫയൽ സിസ്റ്റത്തിൽ വിപുലീകൃത ആട്രിബ്യൂട്ടുകളായി ലേബലുകൾ സംഭരിക്കുന്നു, ഇനിപ്പറയുന്ന കമാൻഡ് ഉപയോഗിച്ച് ഇത് കാണാൻ കഴിയും:

  $ ls -Z /etc/httpd

• പ്രോസസ്സുകൾക്കും പോർട്ടുകൾക്കുമായി, ലേബലിംഗ് നിയന്ത്രിക്കുന്നത് കേർണലാണ്, നിങ്ങൾക്ക് ഈ ലേബലുകൾ ഇനിപ്പറയുന്ന രീതിയിൽ കാണാൻ കഴിയും:

പ്രക്രിയ

$ ps –auxZ | grep httpd

പോർട്ട്

$ netstat -anpZ | grep httpd

ഉദാഹരണം:
ഇപ്പോൾ ലേബലുകളും സന്ദർഭവും നന്നായി മനസ്സിലാക്കാൻ ഒരു ഉദാഹരണം നോക്കാം. നമുക്ക് ഒരു ഡയറക്‌ടറിക്ക് പകരം ഒരു വെബ് സെർവർ ഉണ്ടെന്ന് പറയാം /var/www/html/ использует /home/dan/html/. SELinux ഇത് നയത്തിൻ്റെ ലംഘനമായി കണക്കാക്കും, നിങ്ങൾക്ക് നിങ്ങളുടെ വെബ് പേജുകൾ കാണാൻ കഴിയില്ല. HTML ഫയലുകളുമായി ബന്ധപ്പെട്ട സുരക്ഷാ സന്ദർഭം ഞങ്ങൾ സജ്ജീകരിച്ചിട്ടില്ല എന്നതാണ് ഇതിന് കാരണം. സ്ഥിരസ്ഥിതി സുരക്ഷാ സന്ദർഭം കാണുന്നതിന്, ഇനിപ്പറയുന്ന കമാൻഡ് ഉപയോഗിക്കുക:

$ ls –lz /var/www/html
 -rw-r—r—. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/

ഇവിടെ കിട്ടി httpd_sys_content_t html ഫയലുകളുടെ സന്ദർഭമായി. ഞങ്ങളുടെ നിലവിലെ ഡയറക്‌ടറിക്ക് ഈ സുരക്ഷാ സന്ദർഭം സജ്ജീകരിക്കേണ്ടതുണ്ട്, അതിന് നിലവിൽ ഇനിപ്പറയുന്ന സന്ദർഭമുണ്ട്:

-rw-r—r—. dan dan system_u:object_r:user_home_t:s0 /home/dan/html/

ഒരു ഫയലിൻ്റെയോ ഡയറക്ടറിയുടെയോ സുരക്ഷാ സന്ദർഭം പരിശോധിക്കുന്നതിനുള്ള ഒരു ഇതര കമാൻഡ്:

$ semanage fcontext -l | grep '/var/www'

ശരിയായ സുരക്ഷാ സന്ദർഭം കണ്ടെത്തിക്കഴിഞ്ഞാൽ സന്ദർഭം മാറ്റാൻ ഞങ്ങൾ സെമനേജ് ഉപയോഗിക്കും. /home/dan/html-ൻ്റെ സന്ദർഭം മാറ്റുന്നതിന്, ഇനിപ്പറയുന്ന കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കുക:

$ semanage fcontext -a -t httpd_sys_content_t ‘/home/dan/html(/.*)?’
$ semanage fcontext -l | grep ‘/home/dan/html’
/home/dan/html(/.*)? all files system_u:object_r:httpd_sys_content_t:s0
$ restorecon -Rv /home/dan/html

സെമാനേജ് ഉപയോഗിച്ച് സന്ദർഭം മാറ്റിയ ശേഷം, ഫയലുകൾക്കും ഡയറക്‌ടറികൾക്കുമുള്ള സ്ഥിരസ്ഥിതി കോൺടെക്‌സ്‌റ്റ് റീസ്‌റ്റോക്കൺ കമാൻഡ് ലോഡ് ചെയ്യും. ഞങ്ങളുടെ വെബ് സെർവറിന് ഇപ്പോൾ ഫോൾഡറിൽ നിന്ന് ഫയലുകൾ വായിക്കാൻ കഴിയും /home/dan/htmlകാരണം ഈ ഫോൾഡറിൻ്റെ സുരക്ഷാ സന്ദർഭം മാറ്റിയിരിക്കുന്നു httpd_sys_content_t.

3. പ്രാദേശിക നയങ്ങൾ സൃഷ്ടിക്കുക

മുകളിൽ പറഞ്ഞ രീതികൾ നിങ്ങൾക്ക് പ്രയോജനമില്ലാത്ത സാഹചര്യങ്ങൾ ഉണ്ടാകാം, കൂടാതെ audit.log-ൽ നിങ്ങൾക്ക് പിശകുകൾ (avc/denial) ലഭിക്കുന്നു. ഇത് സംഭവിക്കുമ്പോൾ, നിങ്ങൾ ഒരു പ്രാദേശിക നയം സൃഷ്ടിക്കേണ്ടതുണ്ട്. മുകളിൽ വിവരിച്ചതുപോലെ, audit2why ഉപയോഗിച്ച് നിങ്ങൾക്ക് എല്ലാ പിശകുകളും കണ്ടെത്താനാകും.

പിശകുകൾ പരിഹരിക്കുന്നതിന് നിങ്ങൾക്ക് ഒരു പ്രാദേശിക നയം സൃഷ്ടിക്കാൻ കഴിയും. ഉദാഹരണത്തിന്, ഞങ്ങൾക്ക് httpd (apache) അല്ലെങ്കിൽ smbd (samba) എന്നിവയുമായി ബന്ധപ്പെട്ട ഒരു പിശക് ലഭിക്കുന്നു, ഞങ്ങൾ പിശകുകൾ കണ്ടെത്തി അവയ്‌ക്കായി ഒരു നയം സൃഷ്‌ടിക്കുന്നു:

apache
$ grep httpd_t /var/log/audit/audit.log | audit2allow -M http_policy
samba
$ grep smbd_t /var/log/audit/audit.log | audit2allow -M smb_policy

ഇത് http_policy и smb_policy ഞങ്ങൾ സൃഷ്ടിച്ച പ്രാദേശിക നയങ്ങളുടെ പേരുകളാണ്. ഇപ്പോൾ നമുക്ക് ഈ സൃഷ്ടിച്ച പ്രാദേശിക നയങ്ങൾ നിലവിലെ SELinux നയത്തിലേക്ക് ലോഡ് ചെയ്യേണ്ടതുണ്ട്. ഇത് ഇനിപ്പറയുന്ന രീതിയിൽ ചെയ്യാം:

$ semodule –I http_policy.pp
$ semodule –I smb_policy.pp

ഞങ്ങളുടെ പ്രാദേശിക നയങ്ങൾ ഡൗൺലോഡ് ചെയ്‌തു, audit.log-ൽ ഞങ്ങൾക്ക് ഇനി avc അല്ലെങ്കിൽ denail ലഭിക്കില്ല.

SELinux മനസ്സിലാക്കാൻ നിങ്ങളെ സഹായിക്കാനുള്ള എൻ്റെ ശ്രമമായിരുന്നു ഇത്. ഈ ലേഖനം വായിച്ചതിനുശേഷം നിങ്ങൾക്ക് SELinux-ൽ കൂടുതൽ സുഖം തോന്നുമെന്ന് ഞാൻ പ്രതീക്ഷിക്കുന്നു.

അവലംബം: www.habr.com