เจเฉเจฐเจธ เจฆเฉ เจตเจฟเจฆเจฟเจเจฐเจฅเฉเจเจ เจฒเจ เจคเจฟเจเจฐ เจเฉเจคเฉ เจเจ เจฒเฉเจ เจฆเจพ เจ
เจจเฉเจตเจพเจฆ
SELinux เจเจพเจ เจธเจเจฟเจเจฐเจฟเจเฉ เจเจจเจนเจพเจเจธเจก เจฒเฉเจจเจเจธ เจเฉฑเจ เจตเจฟเจธเจคเฉเจฐเจฟเจค เจชเจนเฉเฉฐเจ เจจเจฟเจฏเฉฐเจคเจฐเจฃ เจตเจฟเจงเฉ เจนเฉ เจเฉ เจฏเฉเจเจธ เจจเฉเจธเจผเจจเจฒ เจธเจเจฟเจเจฐเจฟเจเฉ เจเจเฉฐเจธเฉ (NSA) เจฆเฉเจเจฐเจพ เจเจคเจฐเจจเจพเจ เจเฉเจธเจชเฉเจ เจจเฉเฉฐ เจฐเฉเจเจฃ เจฒเจ เจตเจฟเจเจธเจค เจเฉเจคเฉ เจเจ เจนเฉเฅค เจเจน เจฎเฉเจเฉเจฆเจพ เจ
เจเจคเจฟเจเจฐเฉ (เจเจพเจ เจเฉเจฃเจตเฉเจ) เจฎเจพเจกเจฒ (เจ
เฉฐเจเจฐเฉเจเจผเฉ เจ
เจเจคเจฟเจเจฐเฉ เจชเจนเฉเฉฐเจ เจจเจฟเจฏเฉฐเจคเจฐเจฃ, เจกเฉเจเจธเฉ) เจฆเฉ เจธเจฟเจเจฐ 'เจคเฉ เจเฉฑเจ เจเจผเจฌเจฐเจฆเจธเจคเฉ (เจเจพเจ เจฒเจพเจเจผเจฎเฉ) เจชเจนเฉเฉฐเจ เจจเจฟเจฏเฉฐเจคเจฐเจฃ เจฎเจพเจกเจฒ (เจ
เฉฐเจเจฐเฉเจเจผเฉ เจฒเจพเจเจผเจฎเฉ เจชเจนเฉเฉฐเจ เจจเจฟเจฏเฉฐเจคเจฐเจฃ, MAC) เจฒเจพเจเฉ เจเจฐเจฆเจพ เจนเฉ, เจ
เจฐเจฅเจพเจค, เจชเฉเฉเจนเจจ, เจฒเจฟเจเจฃ, เจเจฒเจพเจเจฃ เจฆเฉเจเจ เจเจเจพเจเจผเจคเจพเจเฅค
SELinux เจฆเฉ เจคเจฟเฉฐเจจ เจฎเฉเจก เจนเจจ:
- เจฒเจพเจเฉ เจเจฐเจจเจพ - เจจเฉเจคเฉ เจจเจฟเจฏเจฎเจพเจ เจฆเฉ เจเจงเจพเจฐ 'เจคเฉ เจชเจนเฉเฉฐเจ เจคเฉเจ เจเจจเจเจพเจฐเฅค
- เจเจเจฟเจเจเจพเจฐเฉ - เจจเฉเจคเฉ เจฆเฉ เจเจฒเฉฐเจเจฃเจพ เจเจฐเจจ เจตเจพเจฒเฉเจเจ เจเจพเจฐเจตเจพเจเจเจ เจฆเจพ เจเฉฑเจ เจฒเฉเจ เจฐเฉฑเจเจฃเจพ, เจเฉ เจฒเจพเจเฉ เจเจฐเจจ เจตเจพเจฒเฉ เจฎเฉเจก เจตเจฟเฉฑเจ เจฎเจจเจพเจนเฉ เจนเฉเจตเฉเจเฉเฅค
- เจ เจฏเฉเจ - SELinux เจจเฉเฉฐ เจชเฉเจฐเฉ เจคเจฐเฉเจนเจพเจ เจ เจฏเฉเจ เจเจฐเจจเจพเฅค
เจฎเฉเจฒ เจฐเฉเจช เจตเจฟเฉฑเจ เจธเฉเจเจฟเฉฐเจเจพเจ เจตเจฟเฉฑเจ เจนเจจ /etc/selinux/config
SELinux เจฎเฉเจกเจพเจ เจจเฉเฉฐ เจฌเจฆเจฒเจฃเจพ
เจฎเฉเจเฉเจฆเจพ เจฎเฉเจก เจฆเจพ เจชเจคเจพ เจฒเจเจพเจเจฃ เจฒเจ, เจเจฒเจพเจ
$ getenforce
เจฎเฉเจก เจจเฉเฉฐ เจ เจจเฉเจฎเจคเฉ เจตเจฟเฉฑเจ เจฌเจฆเจฒเจฃ เจฒเจ เจนเฉเจ เจฆเจฟเฉฑเจคเฉ เจเจฎเจพเจเจก เจเจฒเจพเจ
$ setenforce 0
เจเจพเจ, เจคเฉเจ เจฎเฉเจก เจฌเจฆเจฒเจฃ เจฒเจ เจฐเจตเจพเจเจคเฉ 'เจคเฉ เจฒเจพเจเฉ เจเจฐ เจฐเจฟเจนเจพ เจนเฉ, เจเจฒเจพเจ
$ setenforce 1
เจเฉเจเจฐ เจคเฉเจนเจพเจจเฉเฉฐ SELinux เจจเฉเฉฐ เจชเฉเจฐเฉ เจคเจฐเฉเจนเจพเจ เจ เจฏเฉเจ เจเจฐเจจ เจฆเฉ เจฒเฉเฉ เจนเฉ, เจคเจพเจ เจเจน เจเฉเจตเจฒ เจธเฉฐเจฐเจเจจเจพ เจซเจพเจเจฒ เจฐเจพเจนเฉเจ เจนเฉ เจเฉเจคเจพ เจเจพ เจธเจเจฆเจพ เจนเฉ
$ vi /etc/selinux/config
เจ เจฏเฉเจ เจเจฐเจจ เจฒเจ, SELINUX เจชเฉเจฐเจพเจฎเฉเจเจฐ เจจเฉเฉฐ เจนเฉเจ เจพเจ เจฆเจฟเฉฑเจคเฉ เจ เจจเฉเจธเจพเจฐ เจฌเจฆเจฒเฉ:
SELINUX=disabled
SELinux เจฆเฉ เจธเจฅเจพเจชเจจเจพ เจเฉเจคเฉ เจเจพ เจฐเจนเฉ เจนเฉ
เจนเจฐเฉเจ เจซเจพเจเจฒ เจ เจคเฉ เจชเฉเจฐเจเจฟเจฐเจฟเจ เจจเฉเฉฐ เจเฉฑเจ SELinux เจธเฉฐเจฆเจฐเจญ เจจเจพเจฒ เจเจฟเฉฐเจจเฉเจนเจฟเจค เจเฉเจคเจพ เจเจพเจเจฆเจพ เจนเฉ, เจเจฟเจธ เจตเจฟเฉฑเจ เจตเจพเจงเฉ เจเจพเจฃเจเจพเจฐเฉ เจธเจผเจพเจฎเจฒ เจนเฉเฉฐเจฆเฉ เจนเฉ เจเจฟเจตเฉเจ เจเจฟ เจเจชเจญเฉเจเจคเจพ, เจญเฉเจฎเจฟเจเจพ, เจเจฟเจธเจฎ, เจเจฆเจฟเฅค เจเฉเจเจฐ เจคเฉเจธเฉเจ เจชเจนเจฟเจฒเฉ เจตเจพเจฐ SELinux เจจเฉเฉฐ เจฏเฉเจ เจเจฐ เจฐเจนเฉ เจนเฉ, เจคเจพเจ เจคเฉเจนเจพเจจเฉเฉฐ เจชเจนเจฟเจฒเจพเจ เจธเฉฐเจฆเจฐเจญ เจ เจคเฉ เจฒเฉเจฌเจฒเจพเจ เจฆเฉ เจธเฉฐเจฐเจเจจเจพ เจเจฐเจจเฉ เจชเจตเฉเจเฉเฅค เจฒเฉเจฌเจฒ เจ เจคเฉ เจธเฉฐเจฆเจฐเจญ เจจเจฟเจฐเจงเจพเจฐเจค เจเจฐเจจ เจฆเฉ เจชเฉเจฐเจเจฟเจฐเจฟเจ เจจเฉเฉฐ เจเฉเจเจฟเฉฐเจ เจตเจเฉเจ เจเจพเจฃเจฟเจ เจเจพเจเจฆเจพ เจนเฉเฅค เจฎเจพเจฐเจ เจเจฐเจจเจพ เจธเจผเฉเจฐเฉ เจเจฐเจจ เจฒเจ, เจธเฉฐเจฐเจเจจเจพ เจซเจพเจเจฒ เจตเจฟเฉฑเจ เจ เจธเฉเจ เจฎเฉเจก เจจเฉเฉฐ เจเจธ เจตเจฟเฉฑเจ เจฌเจฆเจฒเจฆเฉ เจนเจพเจ เจฐเจตเจพเจเจคเฉ.
$ vi /etc/selinux/config
SELINUX=permissive
เจฎเฉเจก เจธเฉเฉฑเจ เจเจฐเจจ เจคเฉเจ เจฌเจพเจ
เจฆ เจฐเจตเจพเจเจคเฉ, เจจเจพเจฎ เจจเจพเจฒ เจฐเฉเจ เจตเจฟเฉฑเจ เจเฉฑเจ เจเจพเจฒเฉ เจฒเฉเจเจตเฉเจ เจซเจพเจเจฒ เจฌเจฃเจพเจ autorelabel
$ touch /.autorelabel
เจ เจคเฉ เจเฉฐเจชเจฟเจเจเจฐ เจจเฉเฉฐ เจฐเฉเจฌเฉเจ เจเจฐเฉ
$ init 6
เจจเฉเจ: เจ เจธเฉเจ เจฎเฉเจก เจฆเฉ เจตเจฐเจคเฉเจ เจเจฐเจฆเฉ เจนเจพเจ เจฐเจตเจพเจเจคเฉ เจฎเจพเจฐเจ เจเจฐเจจ เจฒเจ, เจฎเฉเจก เจฆเฉ เจตเจฐเจคเฉเจ เจคเฉเจ เจฌเจพเจ เจฆ เจฒเจพเจเฉ เจเจฐ เจฐเจฟเจนเจพ เจนเฉ เจฐเฉเจฌเฉเจ เจฆเฉเจฐเจพเจจ เจธเจฟเจธเจเจฎ เจเจฐเฉเจธเจผ เจนเฉ เจธเจเจฆเจพ เจนเฉเฅค
เจเจฟเฉฐเจคเจพ เจจเจพ เจเจฐเฉ เจเฉเจเจฐ เจกเจพเจเจจเจฒเฉเจก เจเจฟเจธเฉ เจซเจพเจเจฒ 'เจคเฉ เจ เจเจ เจเจพเจเจฆเจพ เจนเฉ, เจฎเจพเจฐเจ เจเจฐเจจ เจตเจฟเฉฑเจ เจเฉเจ เจธเจฎเจพเจ เจฒเฉฑเจเจฆเจพ เจนเฉเฅค เจเฉฑเจ เจตเจพเจฐ เจฎเจพเจฐเจ เจเจฐเจจเจพ เจชเฉเจฐเจพ เจนเฉ เจเจฟเจ เจนเฉ เจ เจคเฉ เจคเฉเจนเจพเจกเจพ เจธเจฟเจธเจเจฎ เจฌเฉเจ เจนเฉ เจเจฟเจ เจนเฉ, เจคเฉเจธเฉเจ เจธเฉฐเจฐเจเจจเจพ เจซเจพเจเจฒ เจคเฉ เจเจพ เจธเจเจฆเฉ เจนเฉ เจ เจคเฉ เจฎเฉเจก เจธเฉเจ เจเจฐ เจธเจเจฆเฉ เจนเฉ เจฒเจพเจเฉ เจเจฐ เจฐเจฟเจนเจพ เจนเฉเจ เจคเฉ เจเจน เจตเฉ เจเจฒเจพเจ:
$ setenforce 1
เจคเฉเจธเฉเจ เจนเฉเจฃ เจเจชเจฃเฉ เจเฉฐเจชเจฟเจเจเจฐ เจเฉฑเจคเฉ SELinux เจจเฉเฉฐ เจธเจซเจฒเจคเจพเจชเฉเจฐเจตเจ เจฏเฉเจ เจเจฐ เจฒเจฟเจ เจนเฉเฅค
เจฒเจพเจ เจฆเฉ เจจเจฟเจเจฐเจพเจจเฉ
เจคเฉเจนเจพเจจเฉเฉฐ เจฎเจพเจฐเจ เจเจฐเจจ เจฆเฉเจฐเจพเจจ เจเจพเจ เจธเจฟเจธเจเจฎ เจฆเฉ เจเฉฑเจฒเจฃ เจฆเฉเจฐเจพเจจ เจเฉเจ เจเจฒเจคเฉเจเจ เจฆเจพ เจธเจพเจนเจฎเจฃเจพ เจเจฐเจจเจพ เจชเฉ เจธเจเจฆเจพ เจนเฉเฅค เจเจน เจฆเฉเจเจฃ เจฒเจ เจเจฟ เจเฉ เจคเฉเจนเจพเจกเจพ SELinux เจธเจนเฉ เจขเฉฐเจ เจจเจพเจฒ เจเฉฐเจฎ เจเจฐ เจฐเจฟเจนเจพ เจนเฉ เจ
เจคเฉ เจเฉเจเจฐ เจเจน เจเจฟเจธเฉ เจชเฉเจฐเจ, เจเจชเจฒเฉเจเฉเจธเจผเจจ เจเจฆเจฟ เจคเฉฑเจ เจชเจนเฉเฉฐเจ เจจเฉเฉฐ เจฐเฉเจ เจจเจนเฉเจ เจฐเจฟเจนเจพ เจนเฉ, เจคเจพเจ เจคเฉเจนเจพเจจเฉเฉฐ เจฒเฉเจเจธ เจจเฉเฉฐ เจฆเฉเจเจฃ เจฆเฉ เจฒเฉเฉ เจนเฉเฅค SELinux เจฒเฉเจ เจตเจฟเฉฑเจ เจธเจฅเจฟเจค เจนเฉ /var/log/audit/audit.log
, เจชเจฐ เจคเฉเจนเจพเจจเฉเฉฐ เจเจฒเจคเฉเจเจ เจฒเฉฑเจญเจฃ เจฒเจ เจชเฉเจฐเฉ เจเฉเจเจผ เจจเฉเฉฐ เจชเฉเฉเจนเจจ เจฆเฉ เจฒเฉเฉ เจจเจนเฉเจ เจนเฉเฅค เจคเฉเจธเฉเจ audit2why เจเจชเจฏเฉเจเจคเจพ เจฆเฉ เจตเจฐเจคเฉเจ เจเจฒเจคเฉเจเจ เจฒเฉฑเจญเจฃ เจฒเจ เจเจฐ เจธเจเจฆเฉ เจนเฉเฅค เจนเฉเจ เจฆเจฟเฉฑเจคเฉ เจเจฎเจพเจเจก เจเจฒเจพเจ:
$ audit2why < /var/log/audit/audit.log
เจจเจคเฉเจเฉ เจตเจเฉเจ, เจคเฉเจนเจพเจจเฉเฉฐ เจเจฒเจคเฉเจเจ เจฆเฉ เจเฉฑเจ เจธเฉเจเฉ เจชเฉเจฐเจพเจชเจค เจนเฉเจตเฉเจเฉเฅค เจเฉเจเจฐ เจฒเฉเจ เจตเจฟเฉฑเจ เจเฉเจ เจเจฒเจคเฉ เจจเจนเฉเจ เจนเฉ, เจคเจพเจ เจเฉเจ เจธเฉเจจเฉเจนเฉ เจชเฉเจฐเจฆเจฐเจธเจผเจฟเจค เจจเจนเฉเจ เจนเฉเจฃเจเฉเฅค
SELinux เจจเฉเจคเฉ เจฆเฉ เจธเฉฐเจฐเจเจจเจพ เจเฉเจคเฉ เจเจพ เจฐเจนเฉ เจนเฉ
เจเฉฑเจ SELinux เจชเจพเจฒเจฟเจธเฉ เจจเจฟเจฏเจฎเจพเจ เจฆเจพ เจเฉฑเจ เจธเจฎเฉเจน เจนเฉ เจเฉ SELinux เจธเฉเจฐเฉฑเจเจฟเจ เจตเจฟเจงเฉ เจจเฉเฉฐ เจจเจฟเจฏเฉฐเจคเจฐเจฟเจค เจเจฐเจฆเฉ เจนเฉเฅค เจเฉฑเจ เจจเฉเจคเฉ เจเฉฑเจ เจเจพเจธ เจตเจพเจคเจพเจตเจฐเจฃ เจฒเจ เจจเจฟเจฏเจฎเจพเจ เจฆเฉ เจเฉฑเจ เจธเจฎเฉเจน เจจเฉเฉฐ เจชเจฐเจฟเจญเจพเจธเจผเจฟเจค เจเจฐเจฆเฉ เจนเฉเฅค เจนเฉเจฃ เจ เจธเฉเจ เจธเจฟเฉฑเจเจพเจเจเฉ เจเจฟ เจตเจฐเจเจฟเจค เจธเฉเจตเจพเจตเจพเจ เจคเฉฑเจ เจชเจนเฉเฉฐเจ เจฆเฉ เจเจเจพเจเจผเจค เจฆเฉเจฃ เจฒเจ เจจเฉเจคเฉเจเจ เจจเฉเฉฐ เจเจฟเจตเฉเจ เจธเฉฐเจฐเจเจฟเจค เจเจฐเจจเจพ เจนเฉเฅค
1. เจฒเจพเจเจผเฉเจเจฒ เจฎเฉเฉฑเจฒ (เจธเจตเจฟเฉฑเจ)
เจธเจตเจฟเฉฑเจเจพเจ (เจฌเฉเจฒเฉเจ เจจเจเจผ) เจคเฉเจนเจพเจจเฉเฉฐ เจฐเจจเจเจพเจเจฎ 'เจคเฉ เจจเฉเจคเฉ เจฆเฉ เจนเจฟเฉฑเจธเฉ เจฌเจฆเจฒเจฃ เจฆเฉ เจเจเจพเจเจผเจค เจฆเจฟเฉฐเจฆเฉ เจนเจจ, เจฌเจฟเจจเจพเจ เจจเจตเฉเจเจ เจจเฉเจคเฉเจเจ เจฌเจฃเจพเจเฅค เจเจน เจคเฉเจนเจพเจจเฉเฉฐ SELinux เจชเจพเจฒเจฟเจธเฉเจเจ เจจเฉเฉฐ เจฐเฉเจฌเฉเจ เจเฉเจคเฉ เจเจพเจ เจฆเฉเจฌเจพเจฐเจพ เจเฉฐเจชเจพเจเจฒ เจเฉเจคเฉ เจฌเจฟเจจเจพเจ เจคเจฌเจฆเฉเจฒเฉเจเจ เจเจฐเจจ เจฆเฉ เจเจเจพเจเจผเจค เจฆเจฟเฉฐเจฆเฉ เจนเจจเฅค
เจเจฆเจพเจนเจฐเจจ:
เจฎเฉฐเจจ เจฒเจ เจเจฟ เจ
เจธเฉเจ FTP เจฐเฉเจก/เจฐเจพเจเจ เจฐเจพเจนเฉเจ เจเจชเจญเฉเจเจคเจพ เจฆเฉ เจนเฉเจฎ เจกเจพเจเจฐเฉเจเจเจฐเฉ เจจเฉเฉฐ เจธเจพเจเจเจพ เจเจฐเจจเจพ เจเจพเจนเฉเฉฐเจฆเฉ เจนเจพเจ, เจ
เจคเฉ เจ
เจธเฉเจ เจเจธเจจเฉเฉฐ เจชเจนเจฟเจฒเจพเจ เจนเฉ เจธเจพเจเจเจพ เจเจฐ เจเฉเฉฑเจเฉ เจนเจพเจ, เจชเจฐ เจเจฆเฉเจ เจ
เจธเฉเจ เจเจธเจจเฉเฉฐ เจเจเจธเฉเจธ เจเจฐเจจ เจฆเฉ เจเฉเจธเจผเจฟเจธเจผ เจเจฐเจฆเฉ เจนเจพเจ, เจคเจพเจ เจธเจพเจจเฉเฉฐ เจเฉเจ เจจเจนเฉเจ เจฆเจฟเจเจพเจ เจฆเจฟเฉฐเจฆเจพเฅค เจเจน เจเจธ เจฒเจ เจนเฉ เจเจฟเจเจเจเจฟ SELinux เจจเฉเจคเฉ FTP เจธเจฐเจตเจฐ เจจเฉเฉฐ เจเจชเจญเฉเจเจคเจพ เจฆเฉ เจนเฉเจฎ เจกเจพเจเจฐเฉเจเจเจฐเฉ เจจเฉเฉฐ เจชเฉเฉเจนเจจ เจ
เจคเฉ เจฒเจฟเจเจฃ เจคเฉเจ เจฐเฉเจเจฆเฉ เจนเฉเฅค เจธเจพเจจเฉเฉฐ เจจเฉเจคเฉ เจจเฉเฉฐ เจฌเจฆเจฒเจฃ เจฆเฉ เจฒเฉเฉ เจนเฉ เจคเจพเจ เจเฉ FTP เจธเจฐเจตเจฐ เจนเฉเจฎ เจกเจพเจเจฐเฉเจเจเจฐเฉเจเจ เจคเฉฑเจ เจชเจนเฉเฉฐเจ เจเจฐ เจธเจเฉเฅค เจเจ เจฆเฉเจเฉเจ เจเจฟ เจเฉ เจเจธ เจฒเจ เจเฉเจ เจธเจตเจฟเฉฑเจ เจนเจจ
$ semanage boolean -l
เจเจน เจเจฎเจพเจเจก เจเจชเจฒเจฌเจง เจธเจตเจฟเฉฑเจเจพเจ เจจเฉเฉฐ เจเจนเจจเจพเจ เจฆเฉ เจฎเฉเจเฉเจฆเจพ เจธเจฅเจฟเจคเฉ (เจเจพเจฒเฉ เจเจพเจ เจฌเฉฐเจฆ) เจ เจคเฉ เจตเจฐเจฃเจจ เจจเจพเจฒ เจธเฉเจเฉเจฌเฉฑเจง เจเจฐเฉเจเฉเฅค เจคเฉเจธเฉเจ เจธเจฟเจฐเจซ ftp-เจจเจคเฉเจเฉ เจฒเฉฑเจญเจฃ เจฒเจ grep เจเฉเฉ เจเฉ เจเจชเจฃเฉ เจเฉเจ เจจเฉเฉฐ เจธเฉเจงเจพเจฐ เจธเจเจฆเฉ เจนเฉ:
$ semanage boolean -l | grep ftp
เจ เจคเฉ เจคเฉเจนเจพเจจเฉเฉฐ เจนเฉเจ เจฒเจฟเจเจฟเจเจ เจจเฉเฉฐ เจฎเจฟเจฒเฉเจเจพ
ftp_home_dir -> off Allow ftp to read & write file in user home directory
เจเจน เจธเจตเจฟเฉฑเจ เจ
เจธเจฎเจฐเฉฑเจฅ เจนเฉ, เจเจธเจฒเจ เจ
เจธเฉเจ เจเจธเจจเฉเฉฐ เจเจธ เจจเจพเจฒ เจธเจฎเจฐเฉฑเจฅ เจเจฐเจพเจเจเฉ setsebool $ setsebool ftp_home_dir on
เจนเฉเจฃ เจธเจพเจกเจพ ftp เจกเฉเจฎเจจ เจเจชเจญเฉเจเจคเจพ เจฆเฉ เจนเฉเจฎ เจกเจพเจเจฐเฉเจเจเจฐเฉ เจคเฉฑเจ เจชเจนเฉเฉฐเจ เจเจฐเจจ เจฆเฉ เจฏเฉเจ เจนเฉเจตเฉเจเจพเฅค
เจจเฉเจ: เจคเฉเจธเฉเจ เจเจฐ เจเฉ เจตเจฐเจฃเจจ เจคเฉเจ เจฌเจฟเจจเจพเจ เจเจชเจฒเจฌเจง เจธเจตเจฟเฉฑเจเจพเจ เจฆเฉ เจธเฉเจเฉ เจตเฉ เจชเฉเจฐเจพเจชเจค เจเจฐ เจธเจเจฆเฉ เจนเฉ getsebool -a
2. เจฒเฉเจฌเจฒ เจ เจคเฉ เจธเฉฐเจฆเจฐเจญ
เจเจน SELinux เจจเฉเจคเฉ เจจเฉเฉฐ เจฒเจพเจเฉ เจเจฐเจจ เจฆเจพ เจธเจญ เจคเฉเจ เจเจฎ เจคเจฐเฉเจเจพ เจนเฉเฅค เจนเจฐเฉเจ เจซเจพเจเจฒ, เจซเฉเจฒเจกเจฐ, เจชเฉเจฐเจเจฟเจฐเจฟเจ เจ เจคเฉ เจชเฉเจฐเจ เจจเฉเฉฐ SELinux เจธเฉฐเจฆเจฐเจญ เจจเจพเจฒ เจเจฟเฉฐเจจเฉเจนเจฟเจค เจเฉเจคเจพ เจเจฟเจ เจนเฉ:
- เจซเจพเจเจฒเจพเจ เจ
เจคเฉ เจซเฉเจฒเจกเจฐเจพเจ เจฒเจ, เจฒเฉเจฌเจฒเจพเจ เจจเฉเฉฐ เจซเจพเจเจฒ เจธเจฟเจธเจเจฎ เจเฉฑเจคเฉ เจตเจฟเจธเจคเฉเจฐเจฟเจค เจตเจฟเจธเจผเฉเจธเจผเจคเจพเจตเจพเจ เจตเจเฉเจ เจธเจเฉเจฐ เจเฉเจคเจพ เจเจพเจเจฆเจพ เจนเฉ เจ
เจคเฉ เจเจนเจจเจพเจ เจจเฉเฉฐ เจนเฉเจ เจฒเจฟเจเฉ เจเจฎเจพเจเจก เจจเจพเจฒ เจฆเฉเจเจฟเจ เจเจพ เจธเจเจฆเจพ เจนเฉ:
$ ls -Z /etc/httpd
- เจชเฉเจฐเจเจฟเจฐเจฟเจเจตเจพเจ เจ เจคเฉ เจชเฉเจฐเจเจพเจ เจฒเจ, เจฒเฉเจฌเจฒเจฟเฉฐเจ เจเจฐเจจเจฒ เจฆเฉเจเจฐเจพ เจชเฉเจฐเจฌเฉฐเจงเจฟเจค เจเฉเจคเฉ เจเจพเจเจฆเฉ เจนเฉ, เจ เจคเฉ เจคเฉเจธเฉเจ เจเจนเจจเจพเจ เจฒเฉเจฌเจฒเจพเจ เจจเฉเฉฐ เจเจธ เจคเจฐเฉเจนเจพเจ เจฆเฉเจ เจธเจเจฆเฉ เจนเฉ:
เจเจพเจฐเจ เจจเฉเฉฐ
$ ps โauxZ | grep httpd
เจฌเฉฐเจฆเจฐเจเจพเจน
$ netstat -anpZ | grep httpd
เจเจฆเจพเจนเจฐเจจ:
เจนเฉเจฃ เจฒเฉเจฌเจฒเจพเจ เจ
เจคเฉ เจธเฉฐเจฆเจฐเจญเจพเจ เจจเฉเฉฐ เจฌเจฟเจนเจคเจฐ เจคเจฐเฉเจเฉ เจจเจพเจฒ เจธเจฎเจเจฃ เจฒเจ เจเฉฑเจ เจเจฆเจพเจนเจฐเจจ เจตเฉเจเฉเจเฅค เจฎเฉฐเจจ เจฒเจ เจเจฟ เจธเจพเจกเฉ เจเฉเจฒ เจเฉฑเจ เจตเฉเฉฑเจฌ เจธเจฐเจตเจฐ เจนเฉ เจเฉ เจเฉฑเจ เจกเจพเจเจฐเฉเจเจเจฐเฉ เจฆเฉ เจฌเจเจพเจ /var/www/html/ ะธัะฟะพะปัะทัะตั /home/dan/html/
. SELinux เจเจธ เจจเฉเฉฐ เจจเฉเจคเฉ เจฆเฉ เจเจฒเฉฐเจเจฃเจพ เจฎเฉฐเจจเฉเจเจพ เจ
เจคเฉ เจคเฉเจธเฉเจ เจเจชเจฃเฉ เจตเฉเฉฑเจฌ เจชเฉฐเจจเจฟเจเจ เจจเฉเฉฐ เจฆเฉเจเจฃ เจฆเฉ เจฏเฉเจ เจจเจนเฉเจ เจนเฉเจตเฉเจเฉเฅค เจเจน เจเจธ เจฒเจ เจนเฉ เจเจฟเจเจเจเจฟ เจ
เจธเฉเจ HTML เจซเจพเจเจฒเจพเจ เจจเจพเจฒ เจธเจฌเฉฐเจงเจฟเจค เจธเฉเจฐเฉฑเจเจฟเจ เจธเฉฐเจฆเจฐเจญ เจธเฉเฉฑเจ เจจเจนเฉเจ เจเฉเจคเจพ เจนเฉเฅค เจกเจฟเจซเจพเจฒเจ เจธเฉเจฐเฉฑเจเจฟเจ เจธเฉฐเจฆเจฐเจญ เจฆเฉเจเจฃ เจฒเจ, เจนเฉเจ เจฆเจฟเฉฑเจคเฉ เจเจฎเจพเจเจก เจฆเฉ เจตเจฐเจคเฉเจ เจเจฐเฉ:
$ ls โlz /var/www/html
-rw-rโrโ. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/
เจเฉฑเจฅเฉ เจธเจพเจจเฉเฉฐ เจฎเจฟเจฒเฉ httpd_sys_content_t
html เจซเจพเจเจฒเจพเจ เจฒเจ เจธเฉฐเจฆเจฐเจญ เจตเจเฉเจ. เจธเจพเจจเฉเฉฐ เจธเจพเจกเฉ เจฎเฉเจเฉเจฆเจพ เจกเจพเจเจฐเฉเจเจเจฐเฉ เจฒเจ เจเจธ เจธเฉเจฐเฉฑเจเจฟเจ เจธเฉฐเจฆเจฐเจญ เจจเฉเฉฐ เจธเฉเฉฑเจ เจเจฐเจจ เจฆเฉ เจฒเฉเฉ เจนเฉ, เจเจฟเจธ เจตเจฟเฉฑเจ เจตเจฐเจคเจฎเจพเจจ เจตเจฟเฉฑเจ เจนเฉเจ เจพเจ เจฆเจฟเฉฑเจคเฉ เจธเฉฐเจฆเจฐเจญ เจนเจจ:
-rw-rโrโ. dan dan system_u:object_r:user_home_t:s0 /home/dan/html/
เจเฉฑเจ เจซเจพเจเจฒ เจเจพเจ เจกเจพเจเจฐเฉเจเจเจฐเฉ เจฆเฉ เจธเฉเจฐเฉฑเจเจฟเจ เจธเฉฐเจฆเจฐเจญ เจฆเฉ เจเจพเจเจ เจเจฐเจจ เจฒเจ เจเฉฑเจ เจตเจฟเจเจฒเจชเจ เจเจฎเจพเจเจก:
$ semanage fcontext -l | grep '/var/www'
เจเฉฑเจ เจตเจพเจฐ เจเจฆเฉเจ เจธเจพเจจเฉเฉฐ เจธเจนเฉ เจธเฉเจฐเฉฑเจเจฟเจ เจธเฉฐเจฆเจฐเจญ เจฎเจฟเจฒ เจเจพเจเจฆเจพ เจนเฉ เจคเจพเจ เจ เจธเฉเจ เจธเฉฐเจฆเจฐเจญ เจจเฉเฉฐ เจฌเจฆเจฒเจฃ เจฒเจ เจธเฉเจฎเจจเฉเจ เจฆเฉ เจตเจฐเจคเฉเจ เจตเฉ เจเจฐเจพเจเจเฉเฅค /home/dan/html เจฆเฉ เจธเฉฐเจฆเจฐเจญ เจจเฉเฉฐ เจฌเจฆเจฒเจฃ เจฒเจ, เจนเฉเจ เจฒเจฟเจเฉเจเจ เจเจฎเจพเจเจกเจพเจ เจเจฒเจพเจ:
$ semanage fcontext -a -t httpd_sys_content_t โ/home/dan/html(/.*)?โ
$ semanage fcontext -l | grep โ/home/dan/htmlโ
/home/dan/html(/.*)? all files system_u:object_r:httpd_sys_content_t:s0
$ restorecon -Rv /home/dan/html
เจธเฉเจฎเฉเจจเฉเจ เจฆเฉ เจตเจฐเจคเฉเจ เจเจฐเจเฉ เจธเฉฐเจฆเจฐเจญ เจจเฉเฉฐ เจฌเจฆเจฒเจฃ เจคเฉเจ เจฌเจพเจ
เจฆ, เจฐเฉเจธเจเฉเจฐเจเฉเจจ เจเจฎเจพเจเจก เจซเจพเจเจฒเจพเจ เจ
เจคเฉ เจกเจพเจเจฐเฉเจเจเจฐเฉเจเจ เจฒเจ เจกเจฟเจซเฉเจฒเจ เจชเฉเจฐเจธเฉฐเจ เจจเฉเฉฐ เจฒเฉเจก เจเจฐเฉเจเฉเฅค เจธเจพเจกเจพ เจตเฉเจฌ เจธเจฐเจตเจฐ เจนเฉเจฃ เจซเฉเจฒเจกเจฐ เจคเฉเจ เจซเจพเจเจฒเจพเจ เจจเฉเฉฐ เจชเฉเฉเจนเจจ เจฆเฉ เจฏเฉเจ เจนเฉเจตเฉเจเจพ /home/dan/html
เจเจฟเจเจเจเจฟ เจเจธ เจซเฉเจฒเจกเจฐ เจฒเจ เจธเฉเจฐเฉฑเจเจฟเจ เจธเฉฐเจฆเจฐเจญ เจตเจฟเฉฑเจ เจฌเจฆเจฒเจฟเจ เจเจฟเจ เจนเฉ httpd_sys_content_t
.
3. เจธเจฅเจพเจจเจ เจจเฉเจคเฉเจเจ เจฌเจฃเจพเจ
เจ เจเจฟเจนเฉเจเจ เจธเจฅเจฟเจคเฉเจเจ เจนเฉ เจธเจเจฆเฉเจเจ เจนเจจ เจเจฟเฉฑเจฅเฉ เจเจชเจฐเฉเจเจค เจคเจฐเฉเจเจฟเจเจ เจฆเจพ เจคเฉเจนเจพเจกเฉ เจฒเจ เจเฉเจ เจฒเจพเจญ เจจเจนเฉเจ เจนเฉเฉฐเจฆเจพ เจ เจคเฉ เจคเฉเจนเจพเจจเฉเฉฐ audit.log เจตเจฟเฉฑเจ เจเจฒเจคเฉเจเจ (avc/denial) เจฎเจฟเจฒเจฆเฉเจเจ เจนเจจเฅค เจเจฆเฉเจ เจ เจเจฟเจนเจพ เจนเฉเฉฐเจฆเจพ เจนเฉ, เจคเฉเจนเจพเจจเฉเฉฐ เจเฉฑเจ เจธเจฅเจพเจจเจ เจจเฉเจคเฉ เจฌเจฃเจพเจเจฃ เจฆเฉ เจฒเฉเฉ เจนเฉเฉฐเจฆเฉ เจนเฉเฅค เจคเฉเจธเฉเจ audit2why เจฆเฉ เจตเจฐเจคเฉเจ เจเจฐเจเฉ เจธเจพเจฐเฉเจเจ เจเจฒเจคเฉเจเจ เจฒเฉฑเจญ เจธเจเจฆเฉ เจนเฉ, เจเจฟเจตเฉเจ เจเจฟ เจเฉฑเจชเจฐ เจฆเฉฑเจธเจฟเจ เจเจฟเจ เจนเฉเฅค
เจคเฉเจธเฉเจ เจเจฒเจคเฉเจเจ เจจเฉเฉฐ เจนเฉฑเจฒ เจเจฐเจจ เจฒเจ เจเฉฑเจ เจธเจฅเจพเจจเจ เจจเฉเจคเฉ เจฌเจฃเจพ เจธเจเจฆเฉ เจนเฉเฅค เจเจฆเจพเจนเจฐเจจ เจฒเจ, เจธเจพเจจเฉเฉฐ httpd (apache) เจเจพเจ smbd (samba) เจจเจพเจฒ เจธเฉฐเจฌเฉฐเจงเจฟเจค เจเฉฑเจ เจเจฒเจคเฉ เจฎเจฟเจฒเจฆเฉ เจนเฉ, เจ เจธเฉเจ เจเจฒเจคเฉเจเจ เจจเฉเฉฐ เจธเจฎเจเจฆเฉ เจนเจพเจ เจ เจคเฉ เจเจนเจจเจพเจ เจฒเจ เจเฉฑเจ เจจเฉเจคเฉ เจฌเจฃเจพเจเจเจฆเฉ เจนเจพเจ:
apache
$ grep httpd_t /var/log/audit/audit.log | audit2allow -M http_policy
samba
$ grep smbd_t /var/log/audit/audit.log | audit2allow -M smb_policy
เจเจน เจเจธ เจฒเจ เจนเฉ http_policy
ะธ smb_policy
เจเจน เจธเจฅเจพเจจเจ เจจเฉเจคเฉเจเจ เจฆเฉ เจจเจพเจฎ เจนเจจ เจเฉ เจ
เจธเฉเจ เจฌเจฃเจพเจเจเจ เจนเจจเฅค เจนเฉเจฃ เจธเจพเจจเฉเฉฐ เจเจนเจจเจพเจ เจฌเจฃเจพเจเจเจ เจเจเจเจ เจธเจฅเจพเจจเจ เจจเฉเจคเฉเจเจ เจจเฉเฉฐ เจฎเฉเจเฉเจฆเจพ SELinux เจชเจพเจฒเจฟเจธเฉ เจตเจฟเฉฑเจ เจฒเฉเจก เจเจฐเจจ เจฆเฉ เจฒเฉเฉ เจนเฉเฅค เจเจน เจเจธ เจคเจฐเฉเจนเจพเจ เจเฉเจคเจพ เจเจพ เจธเจเจฆเจพ เจนเฉ:
$ semodule โI http_policy.pp
$ semodule โI smb_policy.pp
เจธเจพเจกเฉเจเจ เจธเจฅเจพเจจเจ เจจเฉเจคเฉเจเจ เจจเฉเฉฐ เจกเจพเจเจจเจฒเฉเจก เจเฉเจคเจพ เจเจฟเจ เจนเฉ เจ เจคเฉ เจธเจพเจจเฉเฉฐ เจนเฉเจฃ audit.log เจตเจฟเฉฑเจ เจเฉเจ avc เจเจพเจ denail เจชเฉเจฐเจพเจชเจค เจจเจนเฉเจ เจเจฐเจจเจพ เจเจพเจนเฉเจฆเจพ เจนเฉเฅค
เจเจน SELinux เจจเฉเฉฐ เจธเจฎเจเจฃ เจตเจฟเฉฑเจ เจคเฉเจนเจพเจกเฉ เจฎเจฆเจฆ เจเจฐเจจ เจฆเฉ เจฎเฉเจฐเฉ เจเฉเจธเจผเจฟเจธเจผ เจธเฉเฅค เจฎเฉเจจเฉเฉฐ เจเจฎเฉเจฆ เจนเฉ เจเจฟ เจเจธ เจฒเฉเจ เจจเฉเฉฐ เจชเฉเฉเจนเจจ เจคเฉเจ เจฌเจพเจ เจฆ เจคเฉเจธเฉเจ SELinux เจจเจพเจฒ เจตเจงเฉเจฐเฉ เจเจฐเจพเจฎเจฆเจพเจเจ เจฎเจนเจฟเจธเฉเจธ เจเจฐเฉเจเฉเฅค
เจธเจฐเฉเจค: www.habr.com