{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"Ghid pentru \u00eencep\u0103tori \u00een SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Ghid<\/p>\n

<\/p>\n

Articolul este tradus pentru studen\u021bii cursului \u201eSecuritatea Linux\u201d<\/a><\/noindex><\/em><\/p>\n

SELinux sau Security Enhanced Linux este un mecanism \u00eembun\u0103t\u0103\u021bit de gestionare a accesului, dezvoltat de Agen\u021bia de Securitate Na\u021bional\u0103 a SUA (NSA) pentru a preveni intruziunile mali\u021bioase. Acesta implementeaz\u0103 un model mandatoriu de gestionare a accesului (Mandatory Access Control, MAC) pe deasupra modelului discre\u021bionar existent (Discretionary Access Control, DAC), adic\u0103 a permisiunilor de citire, scriere \u0219i execu\u021bie.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux are trei moduri:<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2014 interzice accesul pe baza regulilor politicii.<\/li>\n
  2. Permissive<\/strong> \u2014 \u00eenregistreaz\u0103 ac\u021biunile care \u00eencalc\u0103 politica, care \u00een modul enforcing ar fi fost interzise.<\/li>\n
  3. Disabled<\/strong> \u2014 dezactiveaz\u0103 complet SELinux.<\/li>\n<\/ol>\n

    <\/p>\n

    Set\u0103rile sunt, \u00een mod implicit, \u00een \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    Schimbarea modurilor SELinux<\/h1>\n

    <\/p>\n

    Pentru a verifica modul curent, rula\u021bi <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    Pentru a schimba modul \u00een permissive, rula\u021bi urm\u0103toarea comand\u0103 <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    sau, pentru a schimba modul din permissive<\/strong> pe \u00een<\/strong>enforcing <\/p>\n
    <\/p>\n
    , executa\u021bi<\/code><\/pre>\n
    <\/p>\n
    $ setenforce 1 <\/p>\n
    <\/p>\n
    Dac\u0103 trebuie s\u0103 dezactiva\u021bi complet SELinux, acest lucru se poate face doar prin fi\u0219ierul de configurare<\/code><\/pre>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/p>\n
    <\/p>\n
    Pentru a dezactiva, modifica\u021bi parametrul SELINUX astfel:<\/code><\/pre>\n
    <\/p>\n
    SELINUX=disabled<\/h1>\n
    <\/p>\n
    Configurarea SELinux permissive<\/strong>.<\/p>\n
    <\/p>\n
    Fiecare fi\u0219ier \u0219i proces este etichetat cu un context SELinux, care con\u021bine informa\u021bii suplimentare, cum ar fi utilizatorul, rolul, tipul etc. Dac\u0103 activa\u021bi SELinux pentru prima dat\u0103, trebuie mai \u00eent\u00e2i s\u0103 configura\u021bi contextul \u0219i etichetele. Procesul de atribuire a etichetelor \u0219i contextului este cunoscut sub numele de etichetare. Pentru a \u00eencepe etichetarea, \u00een fi\u0219ierul de configurare, schimba\u021bi modul \u00een<\/code><\/pre>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive permissive<\/strong>Dup\u0103 setarea modului , crea\u021bi \u00een r\u0103d\u0103cin\u0103 un fi\u0219ier ascuns, gol, numit<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    \u0219i reporni\u021bi computerul<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Not\u0103: folosim modul permissive<\/strong> pentru etichetare, deoarece utilizarea modului \u00een<\/strong> poate duce la pr\u0103bu\u0219irea sistemului \u00een timpul repornirii.<\/p>\n
    <\/p>\n
    Nu v\u0103 face\u021bi griji dac\u0103 \u00eenc\u0103rcarea se blocheaz\u0103 pe un anumit fi\u0219ier, etichetarea dureaz\u0103 ceva timp. Dup\u0103 finalizarea etichet\u0103rii \u0219i a \u00eenc\u0103rc\u0103rii sistemului dumneavoastr\u0103, pute\u021bi s\u0103 accesa\u021bi fi\u0219ierul de configurare \u0219i s\u0103 seta\u021bi modul \u00een<\/strong>, precum \u0219i s\u0103 rula\u021bi:<\/p>\n
    <\/p>\n
    , executa\u021bi<\/code><\/pre>\n
    <\/p>\n
    Acum a\u021bi activat cu succes SELinux pe computerul dumneavoastr\u0103. <\/p>\n
    <\/p>\n
    Monitoriz\u0103m jurnalele<\/h1>\n
    <\/p>\n
    Este posibil s\u0103 fi \u00eent\u00e2mpinat anumite erori \u00een timpul marc\u0103rii sau \u00een timpul func\u021bion\u0103rii sistemului. Pentru a verifica dac\u0103 SELinux func\u021bioneaz\u0103 corect \u0219i nu blocheaz\u0103 accesul la vreun port, aplica\u021bie etc., trebuie s\u0103 consulta\u021bi jurnalele. Jurnalul SELinux se afl\u0103 \u00een \/var\/log\/audit\/audit.log<\/code>, dar nu trebuie s\u0103-l citi\u021bi \u00een \u00eentregime pentru a g\u0103si erori. Pute\u021bi folosi utilitarul audit2why pentru a c\u0103uta erori. Rula\u021bi urm\u0103toarea comand\u0103:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Ca rezultat, ve\u021bi ob\u021bine o list\u0103 de erori. Dac\u0103 nu au fost erori \u00een jurnal, atunci nu vor ap\u0103rea mesaje.<\/p>\n
    <\/p>\n
    Configurarea politicii SELinux<\/h1>\n
    <\/p>\n
    Politica SELinux este un set de reguli conform c\u0103rora func\u021bioneaz\u0103 mecanismul de securitate SELinux. Politica define\u0219te un set de reguli pentru un anumit mediu. Acum vom studia cum s\u0103 configur\u0103m politicile pentru a permite accesul la servicii interzise.<\/p>\n
    <\/p>\n
    1. Valori logice (comutatoare)<\/h4>\n
    <\/p>\n
    Comutatoarele (booleans) permit modificarea p\u0103r\u021bilor politicii \u00een timpul func\u021bion\u0103rii, f\u0103r\u0103 a fi necesar\u0103 crearea de politici noi. Ele permit efectuarea modific\u0103rilor f\u0103r\u0103 repornirea sau recompilarea politicii SELinux.<\/p>\n
    <\/p>\n
    Exemplu<\/strong>
    \nS\u0103 presupunem c\u0103 dorim s\u0103 oferim acces la directorul personal al utilizatorului prin FTP, \u00een regim de citire \u0219i scriere, \u0219i deja l-am partajat, dar c\u00e2nd \u00eencerc\u0103m s\u0103 acces\u0103m, nu vedem nimic. Acest lucru se datoreaz\u0103 faptului c\u0103 politica SELinux interzice serverului FTP s\u0103 citeasc\u0103 \u0219i s\u0103 scrie \u00een directorul personal al utilizatorului. Trebuie s\u0103 modific\u0103m politica astfel \u00eenc\u00e2t serverul FTP s\u0103 poat\u0103 accesa directoarele personale. S\u0103 vedem dac\u0103 exist\u0103 vreo comutare pentru aceasta, rul\u00e2nd<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Aceast\u0103 comand\u0103 va returna o list\u0103 de comutatoare disponibile cu starea lor actual\u0103 (activat\/on sau dezactivat\/off) \u0219i o descriere. Pute\u021bi rafina c\u0103utarea ad\u0103ug\u00e2nd grep pentru a g\u0103si rezultate legate numai de ftp:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    \u0219i ve\u021bi g\u0103si urm\u0103toarele<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Permite ftp s\u0103 citeasc\u0103 \u0219i s\u0103 scrie fi\u0219iere \u00een directorul personal al utilizatorului<\/code><\/pre>\n
    <\/p>\n
    Acest comutator este oprit, a\u0219a c\u0103 \u00eel vom activa folosind setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Acum demonul nostru ftp va putea accesa directorul personal al utilizatorului.
    \nNot\u0103: de asemenea, pute\u021bi ob\u021bine o list\u0103 de comutatoare disponibile f\u0103r\u0103 descriere, rul\u00e2nd getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Etichete \u0219i context<\/h4>\n
    <\/p>\n
    Aceasta este cea mai comun\u0103 modalitate de implementare a politicii SELinux. Fiecare fi\u0219ier, folder, proces \u0219i port este etichetat cu un context SELinux:<\/p>\n
    <\/p>\n