{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Beginner's gids voor SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Beginner's<\/p>\n

<\/p>\n

De vertaling van het artikel is voorbereid voor studenten van de cursus Veiligheid van Linux<\/a><\/noindex><\/em><\/p>\n

SELinux of Security Enhanced Linux is een verbeterd toegangsbeheersysteem dat is ontwikkeld door de National Security Agency (NSA) van de Verenigde Staten om kwaadwillige inbraken te voorkomen. Het implementeert een verplichte (of mandataire) toegangsbeheermodel (Engels: Mandatory Access Control, MAC) bovenop het bestaande discretionaire (of selectieve) model (Engels: Discretionary Access Control, DAC), dat wil zeggen de rechten voor lezen, schrijven en uitvoeren.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux heeft drie modi:<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2014 blokkeert toegang op basis van beleidsregels.<\/li>\n
  2. Permissive<\/strong> \u2014 houdt een log bij van acties die het beleid schenden, die in de enforced modus verboden zouden zijn.<\/li>\n
  3. Uitgeschakeld<\/strong> \u2014 schakelt SELinux volledig uit.<\/li>\n<\/ol>\n

    <\/p>\n

    Standaardinstellingen bevinden zich in \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    SELinux-modi wijzigen<\/h1>\n

    <\/p>\n

    Om de huidige modus te controleren, voert u het volgende uit: <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Om de modus naar permissive te wijzigen, voert u de volgende opdracht uit: <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    of om de modus van permissive<\/strong> en een werkende opdracht krijgen. enforcing<\/strong>, voert u uit: <\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Als u SELinux volledig wilt uitschakelen, kan dit alleen worden gedaan via het configuratiebestand: <\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/code><\/pre>\n
    <\/p>\n
    Om uit te schakelen, wijzigt u de parameter SELINUX als volgt:<\/p>\n
    <\/p>\n
    SELINUX=disabled<\/code><\/pre>\n
    <\/p>\n
    SELinux-configuratie<\/h1>\n
    <\/p>\n
    Elk bestand en proces wordt gemarkeerd met een SELinux-context die aanvullende informatie bevat, zoals gebruiker, rol, type, enz. Als u SELinux voor de eerste keer inschakelt, moet u eerst de context en labels configureren. Het proces van labelen en toewijzen van context wordt labeling genoemd. Om met het labelen te beginnen, wijzigen we de modus in het configuratiebestand naar permissive<\/strong>.<\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive<\/code><\/pre>\n
    <\/p>\n
    Na het instellen van de modus permissive<\/strong>, maken we in de root een lege verborgen bestand met de naam .autorelabel<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    en herstarten we de computer:<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Opmerking: we gebruiken de modus permissive<\/strong> voor labeling, omdat het gebruik van de modus enforcing<\/strong> kan leiden tot systeemcrashes tijdens het opstarten.<\/p>\n
    <\/p>\n
    Maak je geen zorgen als het opstarten bij een bepaald bestand vastloopt; labeling duurt enige tijd. Zodra de labeling en het opstarten van uw systeem zijn voltooid, kunt u naar het configuratiebestand gaan en de modus instellen enforcing<\/strong>, en ook uitvoeren:<\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Nu heeft u SELinux succesvol ingeschakeld op uw computer. <\/p>\n
    <\/p>\n
    Logboeken controleren<\/h1>\n
    <\/p>\n
    Misschien heeft u fouten ondervonden tijdens de labeling of tijdens het functioneren van het systeem. Om te controleren of uw SELinux correct werkt en geen toegang tot een bepaalde poort, applicatie, enz. blokkeert, moet u de logboeken bekijken. Het SELinux-logboek bevindt zich in \/var\/log\/audit\/audit.log<\/code>, maar je hoeft het niet helemaal te lezen om fouten te vinden. Je kunt de tool audit2why gebruiken om fouten te zoeken. Voer de volgende opdracht uit:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Als resultaat krijg je een lijst met fouten. Als er geen fouten in het logboek stonden, worden er geen berichten weergegeven.<\/p>\n
    <\/p>\n
    Configuratie van SELinux-beleid<\/h1>\n
    <\/p>\n
    Het SELinux-beleid is een set regels waarmee het beveiligingsmechanisme van SELinux zich richt. Het beleid bepaalt een reeks regels voor een specifieke omgeving. We zullen nu leren hoe we beleidsregels kunnen configureren om toegang tot geblokkeerde services toe te staan.<\/p>\n
    <\/p>\n
    1. Booleaanse waarden (schakelaars)<\/h4>\n
    <\/p>\n
    Schakelaars (booleans) maken het mogelijk om delen van het beleid tijdens runtime te wijzigen, zonder dat er nieuwe beleidsregels hoeven te worden gemaakt. Ze stellen veranderingen mogelijk zonder herstarten of hersamenstellen van SELinux-beleid.<\/p>\n
    <\/p>\n
    Voorbeeld<\/strong>
    \nStel dat we toegang willen geven tot de persoonlijke map van de gebruiker via FTP voor lezen en schrijven, en we hebben deze al gedeeld, maar bij het proberen te benaderen zien we niets. Dit komt omdat het SELinux-beleid de FTP-server verbiedt om te lezen en schrijven in de persoonlijke map van de gebruiker. We moeten het beleid wijzigen zodat de FTP-server toegang kan krijgen tot de persoonlijke mappen. Laten we kijken of er schakelaars zijn om dit te doen door het volgende uit te voeren:<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Deze opdracht geeft een lijst van beschikbare schakelaars met hun huidige status (ingeschakeld\/on of uitgeschakeld\/off) en beschrijving. Je kunt de zoekopdracht verfijnen door grep toe te voegen om alleen resultaten met betrekking tot ftp te vinden:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    en je vindt het volgende:<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Sta ftp toe om bestanden te lezen en schrijven in de persoonlijke map van de gebruiker<\/code><\/pre>\n
    <\/p>\n
    Deze schakelaar is uitgeschakeld, dus we zullen deze inschakelen met: setsebool $ setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Nu kan onze ftp-daemon toegang krijgen tot de persoonlijke map van de gebruiker.
    \nOpmerking: je kunt ook een lijst van beschikbare schakelaars zonder beschrijving krijgen door het volgende uit te voeren: getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Labels en context<\/h4>\n
    <\/p>\n
    Dit is de meest voorkomende manier om SELinux-beleid te implementeren. Elke bestand, map, proces en poort wordt gelabeld met een SELinux-context:<\/p>\n
    <\/p>\n