{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Guia para iniciantes sobre SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Guia<\/p>\n

<\/p>\n

A tradu\u00e7\u00e3o do artigo foi preparada para os alunos do curso \u00abSeguran\u00e7a do Linux\u00bb<\/a><\/noindex><\/em><\/p>\n

SELinux ou Security Enhanced Linux \u00e9 um mecanismo de controle de acesso aprimorado, desenvolvido pela Ag\u00eancia de Seguran\u00e7a Nacional dos EUA (NSA) para prevenir invas\u00f5es maliciosas. Ele implementa um modelo de controle de acesso mandat\u00e1rio (Mandatory Access Control, MAC) sobre o modelo de controle de acesso discricion\u00e1rio (Discretionary Access Control, DAC), ou seja, permiss\u00f5es de leitura, grava\u00e7\u00e3o e execu\u00e7\u00e3o.<\/a><\/noindex><\/p>\n

<\/p>\n

O SELinux possui tr\u00eas modos:<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2014 nega\u00e7\u00e3o de acesso com base em regras de pol\u00edtica.<\/li>\n
  2. Permissive<\/strong> \u2014 registro de a\u00e7\u00f5es que violariam a pol\u00edtica, as quais seriam proibidas no modo enforcing.<\/li>\n
  3. Disabled<\/strong> \u2014 desativa\u00e7\u00e3o completa do SELinux.<\/li>\n<\/ol>\n

    <\/p>\n

    Por padr\u00e3o, as configura\u00e7\u00f5es est\u00e3o em \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    Mudan\u00e7a dos modos do SELinux<\/h1>\n

    <\/p>\n

    Para descobrir o modo atual, execute <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Para alterar o modo para permissive, execute o seguinte comando <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    ou, para mudar do modo permissive<\/strong> para para<\/strong>enforcing <\/p>\n
    <\/p>\n
    , execute<\/code><\/pre>\n
    <\/p>\n
    $ setenforce 1 <\/p>\n
    <\/p>\n
    Se voc\u00ea precisar desativar completamente o SELinux, isso pode ser feito apenas atrav\u00e9s do arquivo de configura\u00e7\u00e3o<\/code><\/pre>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/p>\n
    <\/p>\n
    Para desativ\u00e1-lo, altere a configura\u00e7\u00e3o SELINUX da seguinte forma:<\/code><\/pre>\n
    <\/p>\n
    SELINUX=disabled<\/h1>\n
    <\/p>\n
    Configura\u00e7\u00e3o do SELinux permissive<\/strong>.<\/p>\n
    <\/p>\n
    Cada arquivo e processo \u00e9 marcado com um contexto SELinux, que cont\u00e9m informa\u00e7\u00f5es adicionais, como usu\u00e1rio, fun\u00e7\u00e3o, tipo, etc. Se voc\u00ea estiver ativando o SELinux pela primeira vez, precisar\u00e1 configurar o contexto e as etiquetas. O processo de atribui\u00e7\u00e3o de etiquetas e contextos \u00e9 conhecido como marca\u00e7\u00e3o. Para iniciar a marca\u00e7\u00e3o, no arquivo de configura\u00e7\u00e3o, alteramos o modo para<\/code><\/pre>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive permissive<\/strong>Ap\u00f3s definir o modo , crie um arquivo oculto vazio chamado<\/code><\/p>\n
    <\/p>\n
    autorelabel<\/code><\/pre>\n
    <\/p>\n
    $ touch \/.autorelabel<\/p>\n
    <\/p>\n
    e reinicie o computador<\/code><\/pre>\n
    <\/p>\n
    $ init 6 permissive<\/strong> Nota: estamos usando o modo para<\/strong> para marca\u00e7\u00e3o, pois usar o modo<\/p>\n
    <\/p>\n
    pode fazer o sistema falhar durante a reinicializa\u00e7\u00e3o. para<\/strong>N\u00e3o se preocupe se a inicializa\u00e7\u00e3o travar em algum arquivo, a marca\u00e7\u00e3o leva um tempo. Ap\u00f3s a conclus\u00e3o da marca\u00e7\u00e3o e a inicializa\u00e7\u00e3o do seu sistema, voc\u00ea pode voltar ao arquivo de configura\u00e7\u00e3o e definir o modo<\/p>\n
    <\/p>\n
    , execute<\/code><\/pre>\n
    <\/p>\n
    , al\u00e9m de executar: <\/p>\n
    <\/p>\n
    Agora voc\u00ea ativou o SELinux com sucesso no seu computador. Monitorando os logs.<\/h1>\n
    <\/p>\n
    Pode haver ocorrido algum erro durante a marca\u00e7\u00e3o ou durante o funcionamento do sistema. Para verificar se o seu SELinux est\u00e1 funcionando corretamente e se n\u00e3o est\u00e1 bloqueando o acesso a alguma porta, aplicativo, etc., \u00e9 necess\u00e1rio observar os logs. O log do SELinux est\u00e1 em \/var\/log\/audit\/audit.log<\/code>, mas voc\u00ea n\u00e3o precisa l\u00ea-lo completamente para encontrar erros. Pode-se usar a ferramenta audit2why para buscar erros. Execute o seguinte comando:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Como resultado, voc\u00ea receber\u00e1 uma lista de erros. Se n\u00e3o houver erros no log, nenhuma mensagem ser\u00e1 exibida.<\/p>\n
    <\/p>\n
    Configura\u00e7\u00e3o da pol\u00edtica SELinux<\/h1>\n
    <\/p>\n
    A pol\u00edtica SELinux \u00e9 um conjunto de regras que orientam o mecanismo de seguran\u00e7a SELinux. A pol\u00edtica define um conjunto de regras para um ambiente espec\u00edfico. Agora, vamos aprender como configurar pol\u00edticas para permitir acesso a servi\u00e7os proibidos.<\/p>\n
    <\/p>\n
    1. Valores l\u00f3gicos (switches)<\/h4>\n
    <\/p>\n
    Os switches (booleanos) permitem modificar partes da pol\u00edtica em tempo de execu\u00e7\u00e3o, sem a necessidade de criar novas pol\u00edticas. Eles permitem fazer altera\u00e7\u00f5es sem reiniciar ou recompilar pol\u00edticas SELinux.<\/p>\n
    <\/p>\n
    Exemplo<\/strong>
    \nSuponha que queremos permitir o acesso ao diret\u00f3rio pessoal do usu\u00e1rio via FTP para leitura e grava\u00e7\u00e3o, e j\u00e1 o compartilhamos, mas ao tentar acessar, n\u00e3o vemos nada. Isso ocorre porque a pol\u00edtica SELinux pro\u00edbe o servidor FTP de ler e gravar no diret\u00f3rio pessoal do usu\u00e1rio. Precisamos alterar a pol\u00edtica para que o servidor FTP possa acessar os diret\u00f3rios pessoais. Vamos verificar se existem alguns switches para isso, executando<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Este comando vai listar os switches dispon\u00edveis com seu estado atual (habilitado\/on ou desabilitado\/off) e uma descri\u00e7\u00e3o. Voc\u00ea pode restringir a pesquisa adicionando grep para encontrar resultados relacionados apenas ao ftp:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    e voc\u00ea encontrar\u00e1 o seguinte<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Permitir que o ftp leia e escreva arquivos no diret\u00f3rio pessoal do usu\u00e1rio<\/code><\/pre>\n
    <\/p>\n
    Este switch est\u00e1 desabilitado, ent\u00e3o n\u00f3s o habilitaremos com setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Agora nosso daemon ftp poder\u00e1 acessar o diret\u00f3rio pessoal do usu\u00e1rio.
    \nNota: voc\u00ea tamb\u00e9m pode obter uma lista de switches dispon\u00edveis sem descri\u00e7\u00e3o, executando getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. R\u00f3tulos e contexto<\/h4>\n
    <\/p>\n
    Esta \u00e9 a maneira mais comum de implementar a pol\u00edtica SELinux. Cada arquivo, pasta, processo e porta \u00e9 rotulado com um contexto SELinux:<\/p>\n
    <\/p>\n