ലിനക്സ് സുരക്ഷാ സംവിധാനങ്ങൾ

എംബഡഡ്, മൊബൈൽ ഉപകരണങ്ങൾ, സെർവറുകൾ എന്നിവയിൽ Linux OS-ന്റെ വൻ വിജയത്തിനുള്ള ഒരു കാരണം കേർണലിന്റെയും അനുബന്ധ സേവനങ്ങളുടെയും ആപ്ലിക്കേഷനുകളുടെയും ഉയർന്ന സുരക്ഷയാണ്. പക്ഷേ ചിലപ്പോള സൂക്ഷ്മമായി നോക്കുക ലിനക്സ് കേർണലിന്റെ ആർക്കിടെക്ചറിലേക്ക്, സുരക്ഷാ ഉത്തരവാദിത്തമുള്ള ഒരു ചതുരം അതിൽ കണ്ടെത്തുക അസാധ്യമാണ്. Linux സുരക്ഷാ സബ്സിസ്റ്റം എവിടെയാണ് മറഞ്ഞിരിക്കുന്നത്, അതിൽ എന്താണ് അടങ്ങിയിരിക്കുന്നത്?

Linux സെക്യൂരിറ്റി മൊഡ്യൂളുകളുടെയും SELinux-ന്റെയും പശ്ചാത്തലം

സുരക്ഷാ എൻഹാൻസ്ഡ് ലിനക്സ് എന്നത് ലിനക്സ് സിസ്റ്റങ്ങളെ സാധ്യതയുള്ള ഭീഷണികളിൽ നിന്ന് സംരക്ഷിക്കുന്നതിനും പരമ്പരാഗത യുണിക്സ് സുരക്ഷാ സംവിധാനമായ വിവേചനാധികാര ആക്സസ് കൺട്രോളിന്റെ (ഡിഎസി) പോരായ്മകൾ പരിഹരിക്കുന്നതിനുമുള്ള നിർബന്ധിതവും റോൾ-ബേസ്ഡ് ആക്സസ് മോഡലുകളും അടിസ്ഥാനമാക്കിയുള്ള ഒരു കൂട്ടം നിയമങ്ങളും ആക്സസ് മെക്കാനിസങ്ങളും ആണ്. യുഎസ് നാഷണൽ സെക്യൂരിറ്റി ഏജൻസിയുടെ കുടലിൽ നിന്നാണ് ഈ പ്രോജക്റ്റ് ഉത്ഭവിച്ചത്, പ്രധാനമായും കരാറുകാരായ സെക്യൂർ കമ്പ്യൂട്ടിംഗ് കോർപ്പറേഷനും MITER ഉം കൂടാതെ നിരവധി ഗവേഷണ ലബോറട്ടറികളും നേരിട്ട് വികസിപ്പിച്ചതാണ്.

Linux സുരക്ഷാ മൊഡ്യൂളുകൾ

പുതിയ NSA സംഭവവികാസങ്ങളെക്കുറിച്ച് ലിനസ് ടോർവാൾഡ്സ് നിരവധി അഭിപ്രായങ്ങൾ നടത്തി, അതിനാൽ അവ മെയിൻലൈൻ ലിനക്സ് കേർണലിൽ ഉൾപ്പെടുത്താം. ഒബ്‌ജക്‌റ്റുകളുമായുള്ള പ്രവർത്തനങ്ങൾ നിയന്ത്രിക്കുന്നതിനുള്ള ഒരു കൂട്ടം ഇന്റർസെപ്റ്ററുകളും അനുബന്ധ ആട്രിബ്യൂട്ടുകൾ സംഭരിക്കുന്നതിന് കേർണൽ ഡാറ്റാ സ്ട്രക്‌ചറുകളിലെ ചില സംരക്ഷിത ഫീൽഡുകളും ഉള്ള ഒരു പൊതു അന്തരീക്ഷത്തെ അദ്ദേഹം വിവരിച്ചു. ആവശ്യമുള്ള സുരക്ഷാ മോഡൽ നടപ്പിലാക്കാൻ ഈ എൻവയോൺമെന്റ് പിന്നീട് ലോഡ് ചെയ്യാവുന്ന കേർണൽ മൊഡ്യൂളുകൾക്ക് ഉപയോഗിക്കാം. 2.6-ൽ LSM പൂർണ്ണമായും Linux കേർണൽ v2003-ൽ പ്രവേശിച്ചു.

എൽഎസ്എം ചട്ടക്കൂടിൽ ഡാറ്റാ ഘടനകളിലെ ഗാർഡ് ഫീൽഡുകളും അവ കൈകാര്യം ചെയ്യുന്നതിനും ആക്സസ് നിയന്ത്രണം നടപ്പിലാക്കുന്നതിനുമായി കേർണൽ കോഡിലെ നിർണായക പോയിന്റുകളിൽ ഇന്റർസെപ്ഷൻ ഫംഗ്ഷനുകളിലേക്കുള്ള കോളുകളും ഉൾപ്പെടുന്നു. സുരക്ഷാ മൊഡ്യൂളുകൾ രജിസ്റ്റർ ചെയ്യുന്നതിനുള്ള പ്രവർത്തനവും ഇത് ചേർക്കുന്നു. /sys/kernel/security/lsm ഇന്റർഫേസിൽ സിസ്റ്റത്തിലുള്ള സജീവ മൊഡ്യൂളുകളുടെ ഒരു ലിസ്റ്റ് അടങ്ങിയിരിക്കുന്നു. CONFIG_LSM-ൽ വ്യക്തമാക്കിയ ക്രമത്തിൽ വിളിക്കപ്പെടുന്ന ലിസ്റ്റുകളിൽ LSM ഹുക്കുകൾ സംഭരിച്ചിരിക്കുന്നു. ഹുക്കുകളെക്കുറിച്ചുള്ള വിശദമായ ഡോക്യുമെന്റേഷൻ ഹെഡർ ഫയലിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട് ഉൾപ്പെടുന്നു/linux/lsm_hooks.h.

സ്ഥിരതയുള്ള ലിനക്സ് കേർണൽ v2.6-ന്റെ അതേ പതിപ്പിനൊപ്പം SELinux-ന്റെ പൂർണ്ണമായ സംയോജനം പൂർത്തിയാക്കാൻ LSM സബ്സിസ്റ്റം സാധ്യമാക്കി. ഉടൻ തന്നെ, SELinux ഒരു സുരക്ഷിത ലിനക്സ് എൻവയോൺമെന്റിനുള്ള സ്റ്റാൻഡേർഡ് ആയിത്തീർന്നു, ഏറ്റവും ജനപ്രിയമായ വിതരണങ്ങളിൽ ഉൾപ്പെടുത്തി: RedHat Enterprise Linux, Fedora, Debian, Ubuntu.

SELinux ഗ്ലോസറി

• ഐഡന്റിറ്റി — SELinux ഉപയോക്താവ് സാധാരണ Unix/Linux ഉപയോക്തൃ ഐഡി പോലെയല്ല; അവർക്ക് ഒരേ സിസ്റ്റത്തിൽ ഒരുമിച്ച് നിലനിൽക്കാൻ കഴിയും, എന്നാൽ സാരാംശത്തിൽ തികച്ചും വ്യത്യസ്തമാണ്. ഓരോ സ്റ്റാൻഡേർഡ് ലിനക്സ് അക്കൌണ്ടും SELinux-ൽ ഒന്നോ അതിലധികമോ ആയി പൊരുത്തപ്പെടാൻ കഴിയും. SELinux ഐഡന്റിറ്റി മൊത്തത്തിലുള്ള സുരക്ഷാ സന്ദർഭത്തിന്റെ ഭാഗമാണ്, അത് നിങ്ങൾക്ക് ഏതൊക്കെ ഡൊമെയ്‌നുകളിൽ ചേരാമെന്നും ചേരരുതെന്നും നിർണ്ണയിക്കുന്നു.
• ഡൊമെയ്‌നുകൾ - SELinux-ൽ, ഒരു ഡൊമെയ്ൻ എന്നത് ഒരു വിഷയത്തിന്റെ നിർവ്വഹണ സന്ദർഭമാണ്, അതായത് ഒരു പ്രക്രിയ. ഒരു പ്രോസസിനുള്ള ആക്‌സസ് ഡൊമെയ്‌ൻ നേരിട്ട് നിർണ്ണയിക്കുന്നു. ഒരു ഡൊമെയ്ൻ അടിസ്ഥാനപരമായി പ്രോസസുകൾക്ക് എന്തുചെയ്യാൻ കഴിയും അല്ലെങ്കിൽ ഒരു പ്രക്രിയയ്ക്ക് വ്യത്യസ്ത തരങ്ങളിൽ എന്തുചെയ്യാൻ കഴിയും എന്നതിന്റെ ഒരു ലിസ്റ്റ് ആണ്. ഡൊമെയ്‌നുകളുടെ ചില ഉദാഹരണങ്ങൾ സിസ്റ്റം അഡ്മിനിസ്ട്രേഷനുള്ള sysadm_t ആണ്, കൂടാതെ ഒരു സാധാരണ നോൺ-പ്രിവിലേജ്ഡ് യൂസർ ഡൊമെയ്‌നായ user_t. init സിസ്റ്റം init_t ഡൊമെയ്‌നിലും, പേരിട്ടിരിക്കുന്ന പ്രോസസ്സ് name_t ഡൊമെയ്‌നിലും പ്രവർത്തിക്കുന്നു.
• റോളുകൾ — ഡൊമെയ്‌നുകൾക്കും SELinux ഉപയോക്താക്കൾക്കും ഇടയിൽ ഒരു ഇടനിലക്കാരനായി എന്താണ് പ്രവർത്തിക്കുന്നത്. ഒരു ഉപയോക്താവിന് ഏതൊക്കെ ഡൊമെയ്‌നുകൾ ഉൾപ്പെടാമെന്നും അവർക്ക് ആക്‌സസ് ചെയ്യാനാകുന്ന ഒബ്‌ജക്‌റ്റുകൾ ഏതൊക്കെയാണെന്നും റോളുകൾ നിർണ്ണയിക്കുന്നു. ഈ ആക്സസ് കൺട്രോൾ മെക്കാനിസം പ്രിവിലേജ് എസ്കലേഷൻ ആക്രമണങ്ങളുടെ ഭീഷണി തടയുന്നു. SELinux-ൽ ഉപയോഗിക്കുന്ന റോൾ ബേസ്ഡ് ആക്‌സസ് കൺട്രോൾ (RBAC) സെക്യൂരിറ്റി മോഡലിൽ റോളുകൾ എഴുതിയിരിക്കുന്നു.
• തരങ്ങൾ — ഒരു ഒബ്‌ജക്‌റ്റിന് അസൈൻ ചെയ്‌തിരിക്കുന്ന ഒരു തരം എൻഫോഴ്‌സ്‌മെന്റ് ലിസ്‌റ്റ് ആട്രിബ്യൂട്ട്, അത് ആർക്കൊക്കെ ആക്‌സസ് ചെയ്യാനാകുമെന്ന് നിർണ്ണയിക്കുന്നു. ഡൊമെയ്ൻ നിർവചനത്തിന് സമാനമായി, ഡൊമെയ്ൻ ഒരു പ്രോസസ്സിന് ബാധകമാണ്, കൂടാതെ ഡയറക്‌ടറികൾ, ഫയലുകൾ, സോക്കറ്റുകൾ തുടങ്ങിയ ഒബ്‌ജക്റ്റുകൾക്ക് ടൈപ്പ് ബാധകമാണ്.
• വിഷയങ്ങളും വസ്തുക്കളും - പ്രക്രിയകൾ വിഷയങ്ങളാണ്, അവ ഒരു പ്രത്യേക സന്ദർഭത്തിലോ സുരക്ഷാ ഡൊമെയ്‌നിലോ പ്രവർത്തിക്കുന്നു. ഓപ്പറേറ്റിംഗ് സിസ്റ്റം ഉറവിടങ്ങൾ: ഫയലുകൾ, ഡയറക്‌ടറികൾ, സോക്കറ്റുകൾ മുതലായവ, ഒരു പ്രത്യേക തരം, മറ്റൊരു രീതിയിൽ പറഞ്ഞാൽ, ഒരു പ്രൈവസി ലെവൽ നൽകിയിരിക്കുന്ന ഒബ്ജക്റ്റുകളാണ്.
• SELinux നയങ്ങൾ — സിസ്റ്റത്തെ പരിരക്ഷിക്കുന്നതിനായി SELinux വിവിധ പോളിസികൾ ഉപയോഗിക്കുന്നു. SELinux നയം ഉപയോക്താക്കളുടെ റോളുകളിലേക്കും റോളുകളിലേക്കും ഡൊമെയ്‌നുകളിലേക്കും ഡൊമെയ്‌നുകളിലേക്കും ടൈപ്പുകളിലേക്കുള്ള പ്രവേശനം നിർവ്വചിക്കുന്നു. ആദ്യം, ഒരു റോൾ ലഭിക്കാൻ ഉപയോക്താവിന് അധികാരമുണ്ട്, തുടർന്ന് ഡൊമെയ്‌നുകൾ ആക്‌സസ് ചെയ്യാൻ റോളിന് അധികാരമുണ്ട്. അവസാനമായി, ഒരു ഡൊമെയ്‌നിന് ചില തരം ഒബ്‌ജക്‌റ്റുകളിലേക്ക് മാത്രമേ ആക്‌സസ്സ് ഉണ്ടാകൂ.

LSM ഉം SELinux ആർക്കിടെക്ചറും

പേര് ഉണ്ടായിരുന്നിട്ടും, LSM-കൾ പൊതുവെ ലോഡ് ചെയ്യാവുന്ന Linux മൊഡ്യൂളുകളല്ല. എന്നിരുന്നാലും, SELinux പോലെ, ഇത് നേരിട്ട് കേർണലിലേക്ക് സംയോജിപ്പിച്ചിരിക്കുന്നു. എൽഎസ്എം സോഴ്സ് കോഡിലെ ഏത് മാറ്റത്തിനും ഒരു പുതിയ കേർണൽ കംപൈലേഷൻ ആവശ്യമാണ്. കെർണൽ ക്രമീകരണങ്ങളിൽ അനുബന്ധ ഓപ്ഷൻ പ്രവർത്തനക്ഷമമാക്കിയിരിക്കണം, അല്ലാത്തപക്ഷം ബൂട്ടിനുശേഷം LSM കോഡ് സജീവമാകില്ല. എന്നാൽ ഈ സാഹചര്യത്തിൽ പോലും, OS ബൂട്ട്ലോഡർ ഓപ്ഷൻ ഉപയോഗിച്ച് ഇത് പ്രവർത്തനക്ഷമമാക്കാം.

LSM ചെക്ക് സ്റ്റാക്ക്

പരിശോധനകൾക്ക് പ്രസക്തമായ കോർ കേർണൽ ഫംഗ്ഷനുകളിലെ കൊളുത്തുകൾ കൊണ്ട് LSM സജ്ജീകരിച്ചിരിക്കുന്നു. LSM-കളുടെ പ്രധാന സവിശേഷതകളിലൊന്ന്, അവ അടുക്കിവെച്ചിരിക്കുന്നു എന്നതാണ്. അതിനാൽ, സ്റ്റാൻഡേർഡ് പരിശോധനകൾ ഇപ്പോഴും നടത്തുന്നു, കൂടാതെ എൽഎസ്എമ്മിന്റെ ഓരോ ലെയറും അധിക നിയന്ത്രണങ്ങളും നിയന്ത്രണങ്ങളും മാത്രമേ ചേർക്കൂ. നിരോധനം പിൻവലിക്കാൻ കഴിയില്ലെന്നാണ് ഇതിനർത്ഥം. ഇത് ചിത്രത്തിൽ കാണിച്ചിരിക്കുന്നു; പതിവ് DAC പരിശോധനകളുടെ ഫലം പരാജയമാണെങ്കിൽ, കാര്യം LSM ഹുക്കുകളിൽ പോലും എത്തില്ല.

SELinux ഫ്ലൂക്ക് റിസർച്ച് ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിന്റെ ഫ്ലാസ്ക് സുരക്ഷാ ആർക്കിടെക്ചർ സ്വീകരിക്കുന്നു, പ്രത്യേകിച്ചും കുറഞ്ഞ പ്രിവിലേജ് എന്ന തത്വം. ഈ ആശയത്തിന്റെ സാരാംശം, അതിന്റെ പേര് സൂചിപ്പിക്കുന്നത് പോലെ, ഉപയോക്താവിന് അനുവദിക്കുക അല്ലെങ്കിൽ ഉദ്ദേശിച്ച പ്രവർത്തനങ്ങൾ നടപ്പിലാക്കാൻ ആവശ്യമായ അവകാശങ്ങൾ മാത്രം പ്രോസസ്സ് ചെയ്യുക എന്നതാണ്. നിർബന്ധിത ആക്സസ് ടൈപ്പിംഗ് ഉപയോഗിച്ചാണ് ഈ തത്വം നടപ്പിലാക്കുന്നത്, അതിനാൽ SELinux-ലെ ആക്സസ് നിയന്ത്രണം ഡൊമെയ്ൻ => തരം മോഡലിനെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്.

നിർബന്ധിത ആക്സസ് ടൈപ്പിംഗിന് നന്ദി, Unix/Linux ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളിൽ ഉപയോഗിക്കുന്ന പരമ്പരാഗത DAC മോഡലിനേക്കാൾ വളരെ വലിയ ആക്സസ് കൺട്രോൾ കഴിവുകൾ SELinux-ന് ഉണ്ട്. ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് ftp സെർവർ ബന്ധിപ്പിക്കുന്ന നെറ്റ്‌വർക്ക് പോർട്ട് നമ്പർ പരിമിതപ്പെടുത്താം, ഒരു നിശ്ചിത ഫോൾഡറിൽ ഫയലുകൾ എഴുതാനും മാറ്റാനും അനുവദിക്കുക, പക്ഷേ അവ ഇല്ലാതാക്കരുത്.

SELinux-ന്റെ പ്രധാന ഘടകങ്ങൾ ഇവയാണ്:

• പോളിസി എൻഫോഴ്സ്മെന്റ് സെർവർ - ആക്സസ് നിയന്ത്രണം സംഘടിപ്പിക്കുന്നതിനുള്ള പ്രധാന സംവിധാനം.
• സിസ്റ്റം സുരക്ഷാ നയ ഡാറ്റാബേസ്.
• LSM ഇവന്റ് ഇന്റർസെപ്റ്ററുമായുള്ള ഇടപെടൽ.
• സെലിനക്സ്ഫ്സ് - Pseudo-FS, /proc പോലെയുള്ളതും /sys/fs/selinux-ൽ മൌണ്ട് ചെയ്തതുമാണ്. റൺടൈമിൽ ലിനക്സ് കെർണൽ ഡൈനാമിക് പോപ്പുലേറ്റ് ചെയ്യുകയും SELinux സ്റ്റാറ്റസ് വിവരങ്ങൾ അടങ്ങിയ ഫയലുകൾ അടങ്ങുകയും ചെയ്യുന്നു.
• വെക്റ്റർ കാഷെ ആക്സസ് ചെയ്യുക - ഉത്പാദനക്ഷമത വർദ്ധിപ്പിക്കുന്നതിനുള്ള ഒരു സഹായ സംവിധാനം.

SELinux എങ്ങനെ പ്രവർത്തിക്കുന്നു

എല്ലാം ഇതുപോലെ പ്രവർത്തിക്കുന്നു.

1. ഒരു നിശ്ചിത വിഷയം, SELinux നിബന്ധനകളിൽ, മുകളിലെ ചിത്രത്തിൽ കാണിച്ചിരിക്കുന്നതുപോലെ, ഒരു DAC പരിശോധനയ്ക്ക് ശേഷം ഒരു വസ്തുവിൽ അനുവദനീയമായ പ്രവർത്തനം നടത്തുന്നു. ഒരു ഓപ്പറേഷൻ നടത്താനുള്ള ഈ അഭ്യർത്ഥന LSM ഇവന്റ് ഇന്റർസെപ്റ്ററിലേക്ക് പോകുന്നു.
2. അവിടെ നിന്ന്, വിഷയവും ഒബ്‌ജക്‌റ്റ് സുരക്ഷാ സന്ദർഭവും സഹിതം അഭ്യർത്ഥന, എൽ‌എസ്‌എമ്മുമായി സംവദിക്കുന്നതിന് ഉത്തരവാദിയായ SELinux അബ്‌സ്‌ട്രാക്ഷൻ, ഹുക്ക് ലോജിക് മൊഡ്യൂളിലേക്ക് കൈമാറുന്നു.
3. ഒരു ഒബ്‌ജക്‌റ്റിലേക്കുള്ള ഒരു വിഷയത്തിന്റെ ആക്‌സസ് സംബന്ധിച്ച് തീരുമാനമെടുക്കുന്ന അധികാരം പോളിസി എൻഫോഴ്‌സ്‌മെന്റ് സെർവറാണ്, അത് SELinux AnHL-ൽ നിന്ന് ഡാറ്റ സ്വീകരിക്കുന്നു.
4. ആക്‌സസ് അല്ലെങ്കിൽ നിരസിക്കൽ സംബന്ധിച്ച തീരുമാനങ്ങൾ എടുക്കുന്നതിന്, പോളിസി എൻഫോഴ്‌സ്‌മെന്റ് സെർവർ ഏറ്റവും കൂടുതൽ ഉപയോഗിക്കുന്ന നിയമങ്ങൾക്കായി ആക്‌സസ് വെക്‌റ്റർ കാഷെ (എവിസി) കാഷിംഗ് സബ്‌സിസ്റ്റത്തിലേക്ക് തിരിയുന്നു.
5. കാഷെയിൽ ബന്ധപ്പെട്ട നിയമത്തിനുള്ള പരിഹാരം കണ്ടെത്തിയില്ലെങ്കിൽ, അഭ്യർത്ഥന സുരക്ഷാ നയ ഡാറ്റാബേസിലേക്ക് കൈമാറും.
6. ഡാറ്റാബേസിൽ നിന്നും എവിസിയിൽ നിന്നുമുള്ള തിരയൽ ഫലം പോളിസി എൻഫോഴ്‌സ്‌മെന്റ് സെർവറിലേക്ക് തിരികെ നൽകുന്നു.
7. കണ്ടെത്തിയ നയം അഭ്യർത്ഥിച്ച പ്രവർത്തനവുമായി പൊരുത്തപ്പെടുന്നുവെങ്കിൽ, പ്രവർത്തനം അനുവദനീയമാണ്. അല്ലെങ്കിൽ, പ്രവർത്തനം നിരോധിച്ചിരിക്കുന്നു.

SELinux ക്രമീകരണങ്ങൾ കൈകാര്യം ചെയ്യുന്നു

SELinux മൂന്ന് മോഡുകളിൽ ഒന്നിൽ പ്രവർത്തിക്കുന്നു:

• നടപ്പിലാക്കൽ - സുരക്ഷാ നയങ്ങൾ കർശനമായി പാലിക്കൽ.
• അനുവദനീയം - നിയന്ത്രണങ്ങളുടെ ലംഘനം അനുവദനീയമാണ്; അനുബന്ധ കുറിപ്പ് ജേണലിൽ ഉണ്ടാക്കിയിട്ടുണ്ട്.
• അപ്രാപ്തമാക്കി-സുരക്ഷാ നയങ്ങൾ പ്രാബല്യത്തിലില്ല.

താഴെ പറയുന്ന കമാൻഡ് ഉപയോഗിച്ച് SELinux ഏത് മോഡിൽ ആണെന്ന് നിങ്ങൾക്ക് കാണാൻ കഴിയും.

[admin@server ~]$ getenforce
Permissive

റീബൂട്ട് ചെയ്യുന്നതിന് മുമ്പ് മോഡ് മാറ്റുന്നു, ഉദാഹരണത്തിന്, അത് നടപ്പിലാക്കുന്നതിനായി സജ്ജീകരിക്കുന്നു, അല്ലെങ്കിൽ 1. അനുവദനീയമായ പാരാമീറ്റർ സംഖ്യാ കോഡ് 0 ന് സമാനമാണ്.

[admin@server ~]$ setenfoce enforcing
[admin@server ~]$ setenfoce 1 #то же самое

ഫയൽ എഡിറ്റുചെയ്യുന്നതിലൂടെ നിങ്ങൾക്ക് മോഡ് മാറ്റാനും കഴിയും:

[admin@server ~]$ cat /etc/selinux/config

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
# enforcing - SELinux security policy is enforced.
# permissive - SELinux prints warnings instead of enforcing.
# disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of three values:
# targeted - Targeted processes are protected,
# minimum - Modification of targeted policy. Only selected processes are protected.
# mls - Multi Level Security protection.

SELINUXTYPE=ലക്ഷ്യം

സെറ്റൻഫോസുമായുള്ള വ്യത്യാസം, ഓപ്പറേറ്റിംഗ് സിസ്റ്റം ബൂട്ട് ചെയ്യുമ്പോൾ, കോൺഫിഗറേഷൻ ഫയലിലെ SELINUX പാരാമീറ്ററിന്റെ മൂല്യത്തിന് അനുസൃതമായി SELinux മോഡ് സജ്ജമാക്കും എന്നതാണ്. കൂടാതെ, <=> പ്രവർത്തനരഹിതമാക്കുന്നതിനുള്ള മാറ്റങ്ങൾ /etc/selinux/config ഫയൽ എഡിറ്റ് ചെയ്ത് ഒരു റീബൂട്ടിന് ശേഷം മാത്രമേ പ്രാബല്യത്തിൽ വരികയുള്ളൂ.

ഒരു ഹ്രസ്വ സ്റ്റാറ്റസ് റിപ്പോർട്ട് കാണുക:

[admin@server ~]$ sestatus

SELinux status: enabled
SELinuxfs mount: /sys/fs/selinux
SELinux root directory: /etc/selinux
Loaded policy name: targeted
Current mode: permissive
Mode from config file: enforcing
Policy MLS status: enabled
Policy deny_unknown status: allowed
Max kernel policy version: 31
SELinux ആട്രിബ്യൂട്ടുകൾ കാണുന്നതിന്, ചില സ്റ്റാൻഡേർഡ് യൂട്ടിലിറ്റികൾ -Z പാരാമീറ്റർ ഉപയോഗിക്കുന്നു.

[admin@server ~]$ ls -lZ /var/log/httpd/
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20200920
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20200927
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20201004
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20201011
[admin@server ~]$ ps -u apache -Z
LABEL                             PID TTY          TIME CMD
system_u:system_r:httpd_t:s0     2914 ?        00:00:04 httpd
system_u:system_r:httpd_t:s0     2915 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0     2916 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0     2917 ?        00:00:00 httpd
...
system_u:system_r:httpd_t:s0     2918 ?        00:00:00 httpd

ls -l ന്റെ സാധാരണ ഔട്ട്പുട്ടുമായി താരതമ്യപ്പെടുത്തുമ്പോൾ, ഇനിപ്പറയുന്ന ഫോർമാറ്റിൽ നിരവധി അധിക ഫീൽഡുകൾ ഉണ്ട്:

<user>:<role>:<type>:<level>

അവസാന ഫീൽഡ് ഒരു സുരക്ഷാ വർഗ്ഗീകരണം പോലെയുള്ള ഒന്നിനെ സൂചിപ്പിക്കുന്നു കൂടാതെ രണ്ട് ഘടകങ്ങളുടെ സംയോജനം അടങ്ങിയിരിക്കുന്നു:

• s0 - പ്രാധാന്യം, ലോ-ലെവൽ-ഹൈലെവൽ ഇടവേള എന്നും എഴുതിയിരിക്കുന്നു
• c0, c1... c1023 - വിഭാഗം.

ആക്സസ് കോൺഫിഗറേഷൻ മാറ്റുന്നു

SELinux മൊഡ്യൂളുകൾ ലോഡുചെയ്യാനും ചേർക്കാനും നീക്കംചെയ്യാനും സെമോഡ്യൂൾ ഉപയോഗിക്കുക.

[admin@server ~]$ semodule -l |wc -l #список всех модулей
408
[admin@server ~]$ semodule -e abrt #enable - активировать модуль
[admin@server ~]$ semodule -d accountsd #disable - отключить модуль
[admin@server ~]$ semodule -r avahi #remove - удалить модуль

ആദ്യ ടീം semanage ലോഗിൻ SELinux ഉപയോക്താവിനെ ഓപ്പറേറ്റിംഗ് സിസ്റ്റം ഉപയോക്താവുമായി ബന്ധിപ്പിക്കുന്നു, രണ്ടാമത്തേത് ഒരു ലിസ്റ്റ് പ്രദർശിപ്പിക്കുന്നു. അവസാനമായി, -r സ്വിച്ചുള്ള അവസാന കമാൻഡ്, OS അക്കൗണ്ടുകളിലേക്കുള്ള SELinux ഉപയോക്താക്കളുടെ മാപ്പിംഗ് നീക്കം ചെയ്യുന്നു. MLS/MCS ശ്രേണി മൂല്യങ്ങൾക്കായുള്ള വാക്യഘടനയുടെ വിശദീകരണം മുമ്പത്തെ വിഭാഗത്തിലാണ്.

[admin@server ~]$ semanage login -a -s user_u karol
[admin@server ~]$ semanage login -l

Login Name SELinux User MLS/MCS Range Service
__default__ unconfined_u s0-s0:c0.c1023 *
root unconfined_u s0-s0:c0.c1023 *
system_u system_u s0-s0:c0.c1023 *
[admin@server ~]$ semanage login -d karol

ടീം semanage ഉപയോക്താവ് SELinux ഉപയോക്താക്കൾക്കും റോളുകൾക്കുമിടയിൽ മാപ്പിംഗ് കൈകാര്യം ചെയ്യാൻ ഉപയോഗിക്കുന്നു.

[admin@server ~]$ semanage user -l
                Labeling   MLS/       MLS/                          
SELinux User    Prefix     MCS Level  MCS Range             SELinux Roles
guest_u         user       s0         s0                    guest_r
staff_u         staff      s0         s0-s0:c0.c1023        staff_r sysadm_r
...
user_u          user       s0         s0                    user_r
xguest_u        user       s0         s0                    xguest_r
[admin@server ~]$ semanage user -a -R 'staff_r user_r'
[admin@server ~]$ semanage user -d test_u

കമാൻഡ് പാരാമീറ്ററുകൾ:

• -ഒരു ഇഷ്‌ടാനുസൃത റോൾ മാപ്പിംഗ് എൻട്രി ചേർക്കുക;
• -l പൊരുത്തപ്പെടുന്ന ഉപയോക്താക്കളുടെയും റോളുകളുടെയും ലിസ്റ്റ്;
• -d ഉപയോക്തൃ റോൾ മാപ്പിംഗ് എൻട്രി ഇല്ലാതാക്കുക;
• ഉപയോക്താവുമായി ബന്ധിപ്പിച്ചിട്ടുള്ള റോളുകളുടെ -R ലിസ്റ്റ്;

ഫയലുകൾ, പോർട്ടുകൾ, ബൂളിയൻ മൂല്യങ്ങൾ

ഓരോ SELinux മൊഡ്യൂളും ഒരു കൂട്ടം ഫയൽ ടാഗിംഗ് നിയമങ്ങൾ നൽകുന്നു, എന്നാൽ ആവശ്യമെങ്കിൽ നിങ്ങളുടെ സ്വന്തം നിയമങ്ങളും ചേർക്കാവുന്നതാണ്. ഉദാഹരണത്തിന്, വെബ് സെർവറിന് /srv/www ഫോൾഡറിലേക്കുള്ള ആക്സസ് അവകാശങ്ങൾ ഉണ്ടായിരിക്കണമെന്ന് ഞങ്ങൾ ആഗ്രഹിക്കുന്നു.

[admin@server ~]$ semanage fcontext -a -t httpd_sys_content_t "/srv/www(/.*)?
[admin@server ~]$ restorecon -R /srv/www/

ആദ്യ കമാൻഡ് പുതിയ അടയാളപ്പെടുത്തൽ നിയമങ്ങൾ രജിസ്റ്റർ ചെയ്യുന്നു, രണ്ടാമത്തേത് നിലവിലെ നിയമങ്ങൾക്കനുസൃതമായി ഫയൽ തരങ്ങൾ പുനഃസജ്ജമാക്കുന്നു.

അതുപോലെ, TCP/UDP പോർട്ടുകൾ ഉചിതമായ സേവനങ്ങൾക്ക് മാത്രം കേൾക്കാൻ കഴിയുന്ന തരത്തിൽ അടയാളപ്പെടുത്തിയിരിക്കുന്നു. ഉദാഹരണത്തിന്, പോർട്ട് 8080-ൽ വെബ് സെർവർ കേൾക്കുന്നതിന്, നിങ്ങൾ കമാൻഡ് പ്രവർത്തിപ്പിക്കേണ്ടതുണ്ട്.

[admin@server ~]$ semanage port -m -t http_port_t -p tcp 8080

ഗണ്യമായ എണ്ണം SELinux മൊഡ്യൂളുകൾക്ക് ബൂളിയൻ മൂല്യങ്ങൾ എടുക്കാൻ കഴിയുന്ന പാരാമീറ്ററുകൾ ഉണ്ട്. അത്തരം പരാമീറ്ററുകളുടെ മുഴുവൻ ലിസ്റ്റും getsebool -a ഉപയോഗിച്ച് കാണാൻ കഴിയും. setsebool ഉപയോഗിച്ച് നിങ്ങൾക്ക് ബൂളിയൻ മൂല്യങ്ങൾ മാറ്റാം.

[admin@server ~]$ getsebool httpd_enable_cgi
httpd_enable_cgi --> on
[admin@server ~]$ setsebool -P httpd_enable_cgi off
[admin@server ~]$ getsebool httpd_enable_cgi
httpd_enable_homedirs --> off

വർക്ക്ഷോപ്പ്, Pgadmin-വെബ് ഇന്റർഫേസിലേക്ക് പ്രവേശനം നേടുക

നമുക്ക് ഒരു പ്രായോഗിക ഉദാഹരണം നോക്കാം: PostgreSQL ഡാറ്റാബേസ് കൈകാര്യം ചെയ്യുന്നതിനായി ഞങ്ങൾ RHEL 7.6-ൽ pgadmin4-web ഇൻസ്റ്റാൾ ചെയ്തു. ഞങ്ങൾ കുറച്ചു നടന്നു അന്വേഷണം pg_hba.conf, postgresql.conf, config_local.py എന്നിവയുടെ ക്രമീകരണങ്ങൾക്കൊപ്പം, ഫോൾഡർ അനുമതികൾ സജ്ജമാക്കി, പിപ്പിൽ നിന്ന് കാണാതായ പൈത്തൺ മൊഡ്യൂളുകൾ ഇൻസ്റ്റാൾ ചെയ്തു. എല്ലാം തയ്യാറാണ്, ഞങ്ങൾ സമാരംഭിക്കുകയും സ്വീകരിക്കുകയും ചെയ്യുന്നു 500 ആന്തരിക സെർവർ പിശക്.

/var/log/httpd/error_log പരിശോധിച്ച് സാധാരണ സംശയിക്കുന്നവരിൽ നിന്നാണ് ഞങ്ങൾ ആരംഭിക്കുന്നത്. രസകരമായ ചില എൻട്രികൾ അവിടെയുണ്ട്.

[timestamp] [core:notice] [pid 23689] SELinux policy enabled; httpd running as context system_u:system_r:httpd_t:s0
...
[timestamp] [wsgi:error] [pid 23690] [Errno 13] Permission denied: '/var/lib/pgadmin'
[timestamp] [wsgi:error] [pid 23690] [timestamp] [wsgi:error] [pid 23690] HINT : You may need to manually set the permissions on
[timestamp] [wsgi:error] [pid 23690] /var/lib/pgadmin to allow apache to write to it.

ഈ സമയത്ത്, മിക്ക ലിനക്സ് അഡ്മിനിസ്ട്രേറ്റർമാരും setencorce 0 പ്രവർത്തിപ്പിക്കാൻ ശക്തമായി പ്രലോഭിപ്പിക്കപ്പെടും, അത് അവസാനിക്കും. സത്യം പറഞ്ഞാൽ, ഞാൻ അത് ആദ്യമായി ചെയ്തു. ഇത് തീർച്ചയായും ഒരു വഴിയാണ്, പക്ഷേ മികച്ചതിൽ നിന്ന് വളരെ അകലെയാണ്.

ബുദ്ധിമുട്ടുള്ള ഡിസൈനുകൾ ഉണ്ടെങ്കിലും, SELinux-ന് ഉപയോക്തൃ-സൗഹൃദമാകാം. സെറ്റ്രബിൾഷൂട്ട് പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്ത് സിസ്റ്റം ലോഗ് കാണുക.

[admin@server ~]$ yum install setroubleshoot
[admin@server ~]$ journalctl -b -0
[admin@server ~]$ service restart auditd

ഓഡിറ്റ് സേവനം ഈ രീതിയിൽ പുനരാരംഭിക്കണം, കൂടാതെ OS-ൽ systemd ഉണ്ടെങ്കിലും systemctl ഉപയോഗിക്കാതിരിക്കുക. സിസ്റ്റം ലോഗിൽ സൂചിപ്പിക്കും തടയുന്നതിന്റെ വസ്തുത മാത്രമല്ല, കാരണവും നിരോധനം മറികടക്കാനുള്ള വഴി.

ഞങ്ങൾ ഈ കമാൻഡുകൾ നടപ്പിലാക്കുന്നു:

[admin@server ~]$ setsebool -P httpd_can_network_connect 1
[admin@server ~]$ setsebool -P httpd_can_network_connect_db 1

ഞങ്ങൾ pgadmin4-web വെബ് പേജിലേക്കുള്ള ആക്സസ് പരിശോധിക്കുന്നു, എല്ലാം പ്രവർത്തിക്കുന്നു.

അവലംബം: www.habr.com