{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Przewodnik dla pocz\u0105tkuj\u0105cych po SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Przewodnik<\/p>\n

<\/p>\n

T\u0142umaczenie artyku\u0142u przygotowane dla student\u00f3w kursu \u201eBezpiecze\u0144stwo Linux\u201d<\/a><\/noindex><\/em><\/p>\n

SELinux, czyli Security Enhanced Linux, to zaawansowany mechanizm zarz\u0105dzania dost\u0119pem, opracowany przez Agencj\u0119 Bezpiecze\u0144stwa Narodowego USA (NSA) w celu zapobiegania z\u0142o\u015bliwym atakom. Wdra\u017ca on przymusowy (lub mandatuj\u0105cy) model zarz\u0105dzania dost\u0119pem (ang. Mandatory Access Control, MAC) na szczycie istniej\u0105cego dyskrecjonalnego (lub wybi\u00f3rczego) modelu (ang. Discretionary Access Control, DAC), czyli uprawnie\u0144 do odczytu, zapisu i wykonania.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux ma trzy tryby:<\/p>\n

<\/p>\n

    \n
  1. Wymuszaj\u0105cy<\/strong> \u2014 zabrania dost\u0119pu na podstawie regu\u0142 polityki.<\/li>\n
  2. Zezwalaj\u0105cy<\/strong> \u2014 prowadzi dziennik dzia\u0142a\u0144 naruszaj\u0105cych polityk\u0119, kt\u00f3re w trybie wymuszaj\u0105cym by\u0142yby zabronione.<\/li>\n
  3. Wy\u0142\u0105czony<\/strong> \u2014 ca\u0142kowite wy\u0142\u0105czenie SELinux.<\/li>\n<\/ol>\n

    <\/p>\n

    Domy\u015blnie ustawienia znajduj\u0105 si\u0119 w \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    Zmiana tryb\u00f3w SELinux<\/h1>\n

    <\/p>\n

    Aby sprawdzi\u0107 bie\u017c\u0105cy tryb, uruchom <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Aby zmieni\u0107 tryb na zezwalaj\u0105cy, uruchom nast\u0119puj\u0105ce polecenie <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    lub, aby zmieni\u0107 tryb z zezwalaj\u0105cego<\/strong> na na wymuszaj\u0105cy<\/strong>, wykonaj <\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Je\u015bli chcesz ca\u0142kowicie wy\u0142\u0105czy\u0107 SELinux, mo\u017cna to zrobi\u0107 tylko poprzez plik konfiguracyjny <\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/code><\/pre>\n
    <\/p>\n
    Aby wy\u0142\u0105czy\u0107, zmie\u0144 parametr SELINUX w nast\u0119puj\u0105cy spos\u00f3b:<\/p>\n
    <\/p>\n
    SELINUX=disabled<\/code><\/pre>\n
    <\/p>\n
    Konfiguracja SELinux<\/h1>\n
    <\/p>\n
    Ka\u017cdy plik i proces jest oznaczony kontekstem SELinux, kt\u00f3ry zawiera dodatkowe informacje, takie jak u\u017cytkownik, rola, typ itp. Je\u015bli w\u0142\u0105czasz SELinux po raz pierwszy, musisz najpierw skonfigurowa\u0107 konteksty i etykiety. Proces przypisywania etykiet i kontekstu znany jest jako etykietowanie. Aby rozpocz\u0105\u0107 etykietowanie, w pliku konfiguracyjnym zmieniamy tryb na zezwalaj\u0105cego<\/strong>.<\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive<\/code><\/pre>\n
    <\/p>\n
    Po ustawieniu trybu zezwalaj\u0105cego<\/strong>, stw\u00f3rz w katalogu g\u0142\u00f3wnym pusty ukryty plik o nazwie .autorelabel<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    a uruchom ponownie komputer<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Uwaga: u\u017cywamy trybu zezwalaj\u0105cego<\/strong> do etykietowania, poniewa\u017c u\u017cycie trybu na wymuszaj\u0105cy<\/strong> mo\u017ce prowadzi\u0107 do awarii systemu podczas uruchamiania.<\/p>\n
    <\/p>\n
    Nie martw si\u0119, je\u015bli start utknie na jakim\u015b pliku, etykietowanie zajmuje troch\u0119 czasu. Po zako\u0144czeniu etykietowania i uruchomieniu systemu mo\u017cesz przej\u015b\u0107 do pliku konfiguracyjnego i ustawi\u0107 tryb na wymuszaj\u0105cy<\/strong>, a tak\u017ce uruchomi\u0107:<\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Teraz pomy\u015blnie w\u0142\u0105czy\u0142e\u015b SELinux na swoim komputerze. <\/p>\n
    <\/p>\n
    Monitorujemy dzienniki<\/h1>\n
    <\/p>\n
    Mo\u017cliwe, \u017ce wyst\u0105pi\u0142y jakie\u015b b\u0142\u0119dy podczas oznaczania lub pracy systemu. Aby sprawdzi\u0107, czy SELinux dzia\u0142a poprawnie i czy nie blokuje dost\u0119pu do jakiego\u015b portu, aplikacji itp., nale\u017cy sprawdzi\u0107 logi. Log SELinux znajduje si\u0119 w \/var\/log\/audit\/audit.log<\/code>, ale nie musisz go czyta\u0107 w ca\u0142o\u015bci, aby znale\u017a\u0107 b\u0142\u0119dy. Mo\u017cna u\u017cy\u0107 narz\u0119dzia audit2why do wyszukiwania b\u0142\u0119d\u00f3w. Uruchom nast\u0119puj\u0105c\u0105 komend\u0119:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    W rezultacie otrzymasz list\u0119 b\u0142\u0119d\u00f3w. Je\u015bli w logu nie by\u0142o b\u0142\u0119d\u00f3w, nie b\u0119d\u0105 wy\u015bwietlane \u017cadne komunikaty.<\/p>\n
    <\/p>\n
    Konfiguracja polityki SELinux<\/h1>\n
    <\/p>\n
    Polityka SELinux to zbi\u00f3r regu\u0142, kt\u00f3rymi kieruje si\u0119 mechanizm bezpiecze\u0144stwa SELinux. Polityka okre\u015bla zestaw regu\u0142 dla konkretnego \u015brodowiska. Teraz przyjrzymy si\u0119, jak konfigurowa\u0107 polityki, aby zezwoli\u0107 na dost\u0119p do zabronionych us\u0142ug.<\/p>\n
    <\/p>\n
    1. Warto\u015bci logiczne (prze\u0142\u0105czniki)<\/h4>\n
    <\/p>\n
    Prze\u0142\u0105czniki (booleany) pozwalaj\u0105 na zmian\u0119 cz\u0119\u015bci polityki w czasie rzeczywistym, bez potrzeby tworzenia nowych polityk. Umo\u017cliwiaj\u0105 wprowadzanie zmian bez restartu lub rekompilacji polityk SELinux.<\/p>\n
    <\/p>\n
    Przyk\u0142ad<\/strong>
    \nZa\u0142\u00f3\u017cmy, \u017ce chcemy umo\u017cliwi\u0107 wsp\u00f3lny dost\u0119p do katalogu domowego u\u017cytkownika przez FTP w trybie odczytu i zapisu, i ju\u017c go udost\u0119pnili\u015bmy, ale przy pr\u00f3bie dost\u0119pu nic nie widzimy. Jest to spowodowane tym, \u017ce polityka SELinux zabrania serwerowi FTP odczytywania i zapisywania w katalogu domowym u\u017cytkownika. Musimy zmieni\u0107 polityk\u0119, aby serwer FTP m\u00f3g\u0142 uzyskiwa\u0107 dost\u0119p do katalog\u00f3w domowych. Sprawd\u017amy, czy istniej\u0105 jakie\u015b prze\u0142\u0105czniki do tego, wykonuj\u0105c<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Ta komenda wy\u015bwietli list\u0119 dost\u0119pnych prze\u0142\u0105cznik\u00f3w z ich aktualnym stanem (w\u0142\u0105czone\/on lub wy\u0142\u0105czone\/off) oraz opisem. Mo\u017cesz doprecyzowa\u0107 wyszukiwanie, dodaj\u0105c grep, aby znale\u017a\u0107 wyniki, kt\u00f3re dotycz\u0105 tylko FTP:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    i znajdziesz nast\u0119pne<\/p>\n
    <\/p>\n
    ftp_home_dir -> off       Allow ftp to read & write file in user home directory<\/code><\/pre>\n
    <\/p>\n
    Ten prze\u0142\u0105cznik jest wy\u0142\u0105czony, wi\u0119c aktywujemy go za pomoc\u0105 setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Teraz nasz demon FTP b\u0119dzie m\u00f3g\u0142 uzyska\u0107 dost\u0119p do katalogu domowego u\u017cytkownika.
    \nUwaga: mo\u017cesz tak\u017ce uzyska\u0107 list\u0119 dost\u0119pnych prze\u0142\u0105cznik\u00f3w bez opisu, wykonuj\u0105c getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Etykiety i kontekst<\/h4>\n
    <\/p>\n
    To najcz\u0119\u015bciej stosowany spos\u00f3b realizacji polityki SELinux. Ka\u017cdy plik, katalog, proces i port s\u0105 oznaczane kontekstem SELinux:<\/p>\n
    <\/p>\n