🥇संरक्षण प्रणाली Linux

मोठ्या यशामागील कारणांपैकी एक Linux एम्बेडेड, मोबाईल उपकरणे आणि सर्व्हरवरील ऑपरेटिंग सिस्टीममध्ये कर्नल, संबंधित सेवा आणि ॲप्लिकेशन्ससाठी बऱ्यापैकी उच्च पातळीची सुरक्षा असते. पण जर जवळून पहा कर्नल आर्किटेक्चरला Linuxतर मग तुम्हाला त्यात सुरक्षेसाठी जबाबदार असलेली कोणतीही चौकट सापडणार नाही. सुरक्षा उपप्रणाली कुठे लपली आहे? Linux आणि त्यात काय समाविष्ट आहे?

prehistory Linux सुरक्षा मॉड्यूल आणि एसईLinux

सुरक्षा वाढवली Linux प्रणालींचे संरक्षण करण्यासाठी अनिवार्य आणि भूमिका-आधारित प्रवेश मॉडेलवर आधारित नियम आणि प्रवेश यंत्रणांचा एक संच आहे. Linux पारंपरिक युनिक्स सुरक्षा प्रणाली असलेल्या डिस्क्रेशनरी ऍक्सेस कंट्रोल (DAC) मधील संभाव्य धोके आणि त्रुटींवरील उपाययोजना. या प्रकल्पाची सुरुवात अमेरिकेच्या राष्ट्रीय सुरक्षा संस्थेमध्ये झाली, आणि त्याचा विकास प्रामुख्याने सिक्युअर कॉम्प्युटिंग कॉर्पोरेशन व MITRE या कंत्राटदारांनी, तसेच अनेक संशोधन प्रयोगशाळांनी केला.

Linux सुरक्षा मॉड्यूल

लिनस टॉरवॉल्ड्सने एनएसएच्या नवीन घडामोडींवर अनेक टिप्पण्या केल्या, जेणेकरून त्यांचा मेनलाइन कर्नलमध्ये समावेश करता येईल. Linuxत्याने एका सामान्य वातावरणाचे वर्णन केले, ज्यामध्ये ऑब्जेक्ट ऑपरेशन्स व्यवस्थापित करण्यासाठी इंटरसेप्टर्सचा एक संच आणि संबंधित गुणधर्म संग्रहित करण्यासाठी कर्नल डेटा स्ट्रक्चर्समधील संरक्षक फील्ड्सचा एक संच होता. त्यानंतर हे वातावरण लोड करण्यायोग्य कर्नल मॉड्यूल्सद्वारे कोणतेही इच्छित सुरक्षा मॉडेल लागू करण्यासाठी वापरले जाऊ शकत होते. एलएसएम कर्नलमध्ये पूर्णपणे एकात्मिक झाले. Linux v2.6 २००३ मध्ये.

एलएसएम फ्रेमवर्कमध्ये डेटा स्ट्रक्चर्समधील गार्ड फील्ड आणि कर्नल कोडमधील क्रिटिकल पॉईंट्सवर इंटरसेप्शन फंक्शन्सचा समावेश होतो आणि ते हाताळण्यासाठी आणि ऍक्सेस कंट्रोल करण्यासाठी कॉल. हे सुरक्षा मॉड्यूल्सची नोंदणी करण्यासाठी कार्यक्षमता देखील जोडते. /sys/kernel/security/lsm इंटरफेसमध्ये प्रणालीवरील सक्रिय मॉड्यूल्सची सूची समाविष्ट असते. LSM हुक सूचीमध्ये संग्रहित केले जातात, ज्यांना CONFIG_LSM मध्ये निर्दिष्ट केलेल्या क्रमाने कॉल केले जाते. हुकवरील तपशीलवार दस्तऐवजीकरण हेडर फाईलमध्ये समाविष्ट केले आहे include/linux/lsm_hooks.h.

एलएसएम उपप्रणालीमुळे एसईचे पूर्ण एकीकरण शक्य झाले.Linux स्थिर कर्नलची तीच आवृत्ती Linux v2.6. अक्षरशः तात्काळ SELinux सुरक्षित वातावरणासाठी वस्तुतः मानक बनले आहे Linux आणि सर्वात लोकप्रिय वितरणांचा भाग बनले: रेडहॅट एंटरप्राइज Linux, फेडोरा, Debian, Ubuntu.

एसई शब्दावलीLinux

ओळख — एसई वापरकर्ताLinux नेहमीच्या युनिक्ससारखे नाहीLinux वापरकर्ता आयडी, ते एकाच प्रणालीवर एकत्र असू शकतात, परंतु मूलतः पूर्णपणे भिन्न आहेत. प्रत्येक मानक खाते Linux SE मध्ये एक किंवा अधिक जुळू शकतातLinux. एसई आयडेंटिटीLinux एकूण सुरक्षा संदर्भाचा एक अविभाज्य भाग आहे जो ठरवतो की कोणत्या डोमेनमध्ये प्रवेश केला जाऊ शकतो आणि कोणत्यामध्ये नाही.
डोमेन — आग्नेयमध्येLinux डोमेन म्हणजे एखाद्या विषयाचा, म्हणजेच प्रक्रियेचा, कार्यान्वयन संदर्भ होय. डोमेन थेटपणे निर्धारित करतो की प्रक्रियेला कोणता प्रवेश (ॲक्सेस) आहे. डोमेन म्हणजे मूलतः, प्रक्रिया काय करू शकतात किंवा विविध प्रकारांसह कोणती कार्ये करू शकतात याची एक सूची असते. डोमेनची काही उदाहरणे म्हणजे सिस्टीम ॲडमिनिस्ट्रेशनसाठी sysadm_t, आणि user_t, जो एक सामान्य, अविशेषाधिकार असलेला वापरकर्ता डोमेन आहे. init सिस्टीम init_t डोमेनमध्ये चालते, आणि नामित प्रक्रिया named_t डोमेनमध्ये चालते.
भूमिका डोमेन आणि एसई वापरकर्त्यांमध्ये मध्यस्थ म्हणून काय काम करतेLinuxभूमिका ठरवतात की वापरकर्ता कोणत्या डोमेनचा भाग असू शकतो आणि तो कोणत्या प्रकारच्या ऑब्जेक्ट्समध्ये प्रवेश करू शकतो. ही प्रवेश नियंत्रण यंत्रणा विशेषाधिकार वाढवणाऱ्या हल्ल्यांचा धोका टाळते. एसई (SE) मध्ये वापरल्या जाणाऱ्या भूमिका-आधारित प्रवेश नियंत्रण (RBAC) सुरक्षा मॉडेलमध्ये भूमिका समाविष्ट केल्या आहेत.Linux.
प्रकार — एक प्रकार अंमलबजावणी सूची विशेषता जी ऑब्जेक्टला नियुक्त केली जाते आणि त्यात कोण प्रवेश करू शकते हे निर्धारित करते. डोमेनच्या व्याख्येप्रमाणेच, त्याशिवाय डोमेन एखाद्या प्रक्रियेस लागू होतो आणि प्रकार डिरेक्टरी, फाइल्स, सॉकेट्स इत्यादी ऑब्जेक्ट्सवर लागू होतो.
विषय आणि वस्तू - प्रक्रिया विषय आहेत आणि विशिष्ट संदर्भ किंवा सुरक्षा डोमेनमध्ये चालवल्या जातात. ऑपरेटिंग सिस्टम संसाधने: फाईल्स, डिरेक्टरी, सॉकेट्स इ. या वस्तू आहेत ज्यांना विशिष्ट प्रकार नियुक्त केला जातो, दुसऱ्या शब्दांत, एक गोपनीयता स्तर.
एसई धोरणेLinux एसई प्रणालीचे संरक्षण करण्यासाठीLinux विविध धोरणांचा वापर करते. एसई धोरणLinux वापरकर्त्याचा भूमिकांसाठी, भूमिकांचा डोमेन्ससाठी आणि डोमेन्सचा प्रकारांसाठीचा प्रवेश परिभाषित करते. प्रथम, वापरकर्त्याला एका भूमिकेसाठी अधिकृत केले जाते, त्यानंतर भूमिकेला डोमेन्समध्ये प्रवेश करण्यासाठी अधिकृत केले जाते. शेवटी, एखाद्या डोमेनला केवळ विशिष्ट ऑब्जेक्ट प्रकारांमध्येच प्रवेश असू शकतो.

एलएसएम आणि एसई आर्किटेक्चरLinux

नावाप्रमाणे नसले तरी, एलएसएम हे प्रत्यक्षात लोड करण्यायोग्य मॉड्यूल नाहीत. Linuxतथापि, एसई प्रमाणेचLinuxते थेट कर्नलमध्ये समाकलित केलेले आहे. LSM सोर्स कोडमधील कोणत्याही बदलासाठी नवीन कर्नल संकलनाची आवश्यकता असते. कर्नल सेटिंग्जमध्ये संबंधित पर्याय सक्षम करणे आवश्यक आहे, अन्यथा बूट झाल्यानंतर LSM कोड सक्रिय होणार नाही. तथापि, अशा परिस्थितीतही, ते OS बूटलोडर पर्यायाद्वारे सक्षम केले जाऊ शकते.

LSM चेक स्टॅक

LSM कोर कर्नल फंक्शन्समध्ये हुकसह सुसज्ज आहे जे चेकसाठी संबंधित असू शकतात. LSM चे मुख्य वैशिष्ट्य म्हणजे ते स्टॅक केलेले आहेत. अशा प्रकारे, मानक तपासण्या अजूनही केल्या जातात आणि LSM च्या प्रत्येक स्तरामध्ये फक्त अतिरिक्त नियंत्रणे आणि नियंत्रणे जोडली जातात. म्हणजे बंदी मागे घेता येणार नाही. हे आकृतीमध्ये दर्शविले आहे; जर नियमित DAC तपासण्यांचा परिणाम अयशस्वी झाला, तर प्रकरण LSM हुकपर्यंत पोहोचणार नाही.

SELinux फ्लूक रिसर्च ऑपरेटिंग सिस्टीमची फ्लास्क सुरक्षा रचना, विशेषतः 'किमान विशेषाधिकाराचे तत्त्व' (principle of least privilege) स्वीकारले आहे. नावाप्रमाणेच, या संकल्पनेचे सार हे आहे की वापरकर्त्याला किंवा प्रक्रियेला केवळ इच्छित कृती करण्यासाठी आवश्यक असलेले अधिकार देणे. हे तत्त्व अनिवार्य प्रवेश प्रकाराद्वारे (mandatory access typing) अंमलात आणले जाते, ज्यामुळे SE मध्ये प्रवेश अधिकारांवर नियंत्रण ठेवले जाते.Linux डोमेन => प्रकार मॉडेलवर आधारित.

access SE च्या सक्तीच्या टायपिंगबद्दल धन्यवादLinux युनिक्स ओएसमध्ये वापरल्या जाणाऱ्या पारंपरिक डीएसी मॉडेलपेक्षा यात अधिक महत्त्वपूर्ण प्रवेश नियंत्रण क्षमता आहेत.Linuxउदाहरणार्थ, तुम्ही FTP सर्वर ज्या नेटवर्क पोर्ट नंबरवर ऐकेल त्यावर निर्बंध घालू शकता, ज्यामुळे एका विशिष्ट फोल्डरमधील फाईल्स लिहिण्याची आणि बदलण्याची परवानगी मिळेल, परंतु त्या डिलीट करता येणार नाहीत.

एसईचे मुख्य घटकLinux खालीलप्रमाणे आहेत:

धोरण अंमलबजावणी सर्व्हर - प्रवेश नियंत्रण आयोजित करण्यासाठी मुख्य यंत्रणा.
सिस्टम सुरक्षा धोरण डेटाबेस.
एलएसएम इव्हेंट इंटरसेप्टरसह संवाद.
सेलिनक्सफ्स — एक छद्म-एफएस, जे /proc सारखेच असते आणि /sys/fs/selinux मध्ये माउंट केलेले असते. कर्नलद्वारे गतिमानपणे भरले जाते. Linux अंमलबजावणी दरम्यान आणि त्यात एसई स्थितीबद्दल माहिती असलेल्या फायली असतातLinux.
वेक्टर कॅशेमध्ये प्रवेश करा - उत्पादकता वाढवण्यासाठी सहायक यंत्रणा.

एसई ऑपरेशन योजनाLinux

हे सर्व असे कार्य करते.

SE संज्ञांमध्ये एक विशिष्ट विषयLinuxवरील प्रतिमेत दाखवल्याप्रमाणे, DAC पडताळणीनंतर ऑब्जेक्टवर अनुमत कृती केली जाते. ऑपरेशन करण्यासाठीची ही विनंती LSM इव्हेंट इंटरसेप्टरकडे पाठवली जाते.
तिथून, विनंती, विषय आणि वस्तूच्या सुरक्षा संदर्भासह, SE मॉड्यूलकडे पाठवली जाते.Linux LSM सोबत संवाद साधण्यासाठी जबाबदार असलेले अ‍ॅबस्ट्रॅक्शन आणि हुक लॉजिक.
एखाद्या विषयाच्या ऑब्जेक्टवरील प्रवेशासंबंधी निर्णय घेणारा प्राधिकरण पॉलिसी एनफोर्समेंट सर्व्हर आहे, आणि तो एसई कडून डेटा प्राप्त करतो.Linux एएनएचएल.
प्रवेश किंवा नकार याबाबत निर्णय घेण्यासाठी, पॉलिसी अंमलबजावणी सर्व्हर सर्वात जास्त वापरल्या जाणार्‍या नियमांसाठी ऍक्सेस वेक्टर कॅशे (AVC) कॅशिंग उपप्रणालीकडे वळते.
कॅशेमध्ये संबंधित नियमासाठी उपाय सापडला नाही, तर विनंती सुरक्षा धोरण डेटाबेसकडे पाठविली जाते.
डेटाबेस आणि AVC मधील शोध परिणाम पॉलिसी अंमलबजावणी सर्व्हरवर परत केला जातो.
आढळलेले धोरण विनंती केलेल्या कृतीशी जुळत असल्यास, ऑपरेशनला परवानगी आहे. अन्यथा, ऑपरेशन प्रतिबंधित आहे.

SE सेटिंग्ज व्यवस्थापित करणेLinux

SELinux तीनपैकी एका मोडमध्ये चालते:

अंमलबजावणी - सुरक्षा धोरणांचे कठोर पालन.
अनुज्ञेय - निर्बंधांचे उल्लंघन करण्याची परवानगी आहे; जर्नलमध्ये संबंधित टीप तयार केली आहे.
अक्षम-सुरक्षा धोरणे प्रभावी नाहीत.

SE कोणत्या मोडमध्ये आहे ते पहाLinux तुम्ही खालील कमांड वापरू शकता.

[admin@server ~]$ getenforce
Permissive

रीबूट करण्यापूर्वी मोड बदलणे, उदाहरणार्थ, अंमलबजावणीवर सेट करणे किंवा 1. परवानगी देणारा पॅरामीटर अंकीय कोड 0 शी संबंधित आहे.

[admin@server ~]$ setenfoce enforcing
[admin@server ~]$ setenfoce 1 #то же самое

तुम्ही फाइल संपादित करून मोड देखील बदलू शकता:

[admin@server ~]$ cat /etc/selinux/config

# This file controls the state of SELinux on the system. # SELINUX= can take one of these three values: # enforcing - SELinux security policy is enforced. # permissive - SELinux prints warnings instead of enforcing. # disabled - No SELinux policy is loaded. SELINUX=enforcing # SELINUXTYPE= can take one of three values: # targeted - Targeted processes are protected, # minimum - Modification of targeted policy. Only selected processes are protected. # mls - Multi Level Security protection.
SELINUXTYPE=लक्ष्य

setenforce मधील फरक हा आहे की जेव्हा ऑपरेटिंग सिस्टम बूट होते, तेव्हा SE मोडLinux SELINUX कॉन्फिगरेशन फाइल पॅरामीटरच्या मूल्यानुसार सेट केले जाईल. शिवाय, enforcing <=> disabled सेटिंगमधील बदल केवळ /etc/selinux/config फाइल संपादित केल्यानंतर आणि रीबूट केल्यानंतरच प्रभावी होतात.

संक्षिप्त स्थिती अहवाल पहा:

[admin@server ~]$ sestatus

SELinux status: enabled SELinuxfs mount: /sys/fs/selinux SELinux root directory: /etc/selinux Loaded policy name: targeted Current mode: permissive Mode from config file: enforcing Policy MLS status: enabled Policy deny_unknown status: allowed Max kernel policy version: 31
SE गुणधर्म पाहण्यासाठीLinux काही मानक युटिलिटीज -Z पॅरामीटर वापरतात.

[admin@server ~]$ ls -lZ /var/log/httpd/
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20200920
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20200927
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20201004
-rw-r--r--. root root system_u:object_r:httpd_log_t:s0 access_log-20201011
[admin@server ~]$ ps -u apache -Z
LABEL                             PID TTY          TIME CMD
system_u:system_r:httpd_t:s0     2914 ?        00:00:04 httpd
system_u:system_r:httpd_t:s0     2915 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0     2916 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0     2917 ?        00:00:00 httpd
...
system_u:system_r:httpd_t:s0     2918 ?        00:00:00 httpd

ls -l च्या सामान्य आउटपुटच्या तुलनेत, खालील फॉरमॅटमध्ये अनेक अतिरिक्त फील्ड आहेत:

<user>:<role>:<type>:<level>

शेवटचे फील्ड सुरक्षा वर्गीकरणासारखे काहीतरी दर्शवते आणि त्यात दोन घटकांचे संयोजन असते:

s0 - महत्त्व, निम्न-स्तरीय-उच्च-स्तरीय अंतराल म्हणून देखील लिहिलेले आहे
c0, c1… c1023 - श्रेणी.

प्रवेश कॉन्फिगरेशन बदलत आहे

SE मॉड्यूल लोड करण्यासाठी semodule वापरा.Linuxत्यांना जोडा आणि काढा.

[admin@server ~]$ semodule -l |wc -l #список всех модулей
408
[admin@server ~]$ semodule -e abrt #enable - активировать модуль
[admin@server ~]$ semodule -d accountsd #disable - отключить модуль
[admin@server ~]$ semodule -r avahi #remove - удалить модуль

पहिला संघ semanage लॉगिन SE वापरकर्त्याला जोडतेLinux ऑपरेटिंग सिस्टम वापरकर्त्यासह, दुसरी कमांड यादी दाखवते. शेवटी, -r स्विच असलेली शेवटची कमांड SE वापरकर्ता मॅपिंग काढून टाकते.Linux ओएस खात्यांना. एमएलएस/एमसीएस रेंज व्हॅल्यूजची वाक्यरचना मागील विभागात स्पष्ट केली आहे.

[admin@server ~]$ semanage login -a -s user_u karol
[admin@server ~]$ semanage login -l

Login Name SELinux User MLS/MCS Range Service __default__ unconfined_u s0-s0:c0.c1023 * root unconfined_u s0-s0:c0.c1023 * system_u system_u s0-s0:c0.c1023 * [admin@server ~]$ semanage login -d karol
संघ semanage वापरकर्ता वापरकर्ते आणि एसई भूमिकांमधील मॅपिंग व्यवस्थापित करण्यासाठी वापरले जातेLinux.

[admin@server ~]$ semanage user -l
                Labeling   MLS/       MLS/                          
SELinux User    Prefix     MCS Level  MCS Range             SELinux Roles
guest_u         user       s0         s0                    guest_r
staff_u         staff      s0         s0-s0:c0.c1023        staff_r sysadm_r
...
user_u          user       s0         s0                    user_r
xguest_u        user       s0         s0                    xguest_r
[admin@server ~]$ semanage user -a -R 'staff_r user_r'
[admin@server ~]$ semanage user -d test_u

कमांड पॅरामीटर्स:

- सानुकूल भूमिका मॅपिंग एंट्री जोडा;
-l जुळणारे वापरकर्ते आणि भूमिकांची यादी;
-d वापरकर्ता भूमिका मॅपिंग एंट्री हटवा;
- वापरकर्त्याशी संलग्न भूमिकांची सूची;

फाइल्स, पोर्ट्स आणि बुलियन व्हॅल्यू

प्रत्येक SE मॉड्यूलLinux फाइल मार्किंग नियमांचा एक संच प्रदान करते, परंतु आवश्यक असल्यास तुम्ही तुमचे स्वतःचे नियम देखील जोडू शकता. उदाहरणार्थ, आपल्याला वेब सर्व्हरला /srv/www फोल्डरचे ऍक्सेस अधिकार द्यायचे आहेत.

[admin@server ~]$ semanage fcontext -a -t httpd_sys_content_t "/srv/www(/.*)?
[admin@server ~]$ restorecon -R /srv/www/

पहिली कमांड नवीन मार्किंग नियमांची नोंदणी करते आणि दुसरी रिसेट करते किंवा त्याऐवजी सध्याच्या नियमांनुसार फाइल प्रकार सेट करते.

त्याचप्रमाणे, TCP/UDP पोर्ट अशा प्रकारे चिन्हांकित केले जातात की केवळ योग्य सेवाच त्यावर ऐकू शकतात. उदाहरणार्थ, पोर्ट 8080 वर वेब सर्व्हर ऐकण्यासाठी, तुम्हाला कमांड चालवावी लागेल.

[admin@server ~]$ semanage port -m -t http_port_t -p tcp 8080

लक्षणीय संख्येने एसई मॉड्यूलLinux यात बुलियन मूल्ये घेऊ शकणारे पॅरामीटर्स आहेत. अशा पॅरामीटर्सची संपूर्ण यादी getsebool -a वापरून पाहता येते. setsebool वापरून बुलियन मूल्ये बदलता येतात.

[admin@server ~]$ getsebool httpd_enable_cgi
httpd_enable_cgi --> on
[admin@server ~]$ setsebool -P httpd_enable_cgi off
[admin@server ~]$ getsebool httpd_enable_cgi
httpd_enable_homedirs --> off

कार्यशाळा, Pgadmin-वेब इंटरफेसमध्ये प्रवेश मिळवा

चला एक व्यावहारिक उदाहरण पाहू: PostgreSQL डेटाबेस प्रशासित करण्यासाठी आम्ही RHEL 7.6 वर pgadmin4-web स्थापित केले. आम्ही थोडे चाललो शोध pg_hba.conf, postgresql.conf आणि config_local.py च्या सेटिंग्जसह, फोल्डर परवानग्या सेट करा, pip वरून गहाळ Python मॉड्यूल स्थापित करा. सर्व काही तयार आहे, आम्ही लॉन्च करतो आणि प्राप्त करतो 500 अंतर्गत सर्व्हर त्रुटी.

आम्ही ठराविक संशयितांपासून सुरुवात करतो, /var/log/httpd/error_log तपासत आहोत. तेथे काही मनोरंजक नोंदी आहेत.

[timestamp] [core:notice] [pid 23689] SELinux policy enabled; httpd running as context system_u:system_r:httpd_t:s0 ... [timestamp] [wsgi:error] [pid 23690] [Errno 13] Permission denied: '/var/lib/pgadmin' [timestamp] [wsgi:error] [pid 23690] [timestamp] [wsgi:error] [pid 23690] HINT : You may need to manually set the permissions on [timestamp] [wsgi:error] [pid 23690] /var/lib/pgadmin to allow apache to write to it.

बहुतेक प्रशासक येथेच असतात Linux `setencorce 0` चालवून विषय संपवण्याचा तीव्र मोह होईल. खरं सांगायचं तर, पहिल्यांदा मी तेच केलं होतं. हा निश्चितच एक उपाय आहे, पण सर्वोत्तम नाही.

SE डिझाइनच्या अवजडपणामुळेLinux हे वापरण्यास सोपे असू शकते. फक्त setroubleshoot पॅकेज इन्स्टॉल करा आणि सिस्टम लॉग पहा.

[admin@server ~]$ yum install setroubleshoot [admin@server ~]$ journalctl -b -0 [admin@server ~]$ service restart auditd

कृपया लक्षात घ्या की ऑडिट सेवा अशा प्रकारे रीस्टार्ट करणे आवश्यक आहे आणि OS मध्ये systemd ची उपस्थिती असूनही systemctl वापरत नाही. सिस्टम लॉगमध्ये सूचित केले जाईल केवळ अवरोधित करण्याची वस्तुस्थितीच नाही तर कारण आणि बंदी दूर करण्याचा मार्ग.

आम्ही या आज्ञा कार्यान्वित करतो: