Översättningen av artikeln förbereddes för studenter i kursen Linux-säkerhet

SELinux eller Security Enhanced Linux är en förbättrad åtkomstkontrollmekanism som utvecklats av USA:s National Security Agency (NSA) för att förhindra illvilliga intrång. Det implementerar en tvingande (eller mandat) modell för åtkomstkontroll (eng. Mandatory Access Control, MAC) ovanpå en befintlig diskretionär (eller valfri) modell (eng. Discretionary Access Control, DAC), det vill säga behörigheter för läsning, skrivning, körning.

SELinux har tre lägen:

1. Enforcing — blockerar åtkomst baserat på policyregler.
2. Permissive — loggar aktiviteter som bryter mot policyn, som skulle vara blockerade i enforcing-läget.
3. Disabled — fullständig avstängning av SELinux.

Som standard är inställningarna i /etc/selinux/config

Ändra SELinux-lägen

För att ta reda på det aktuella läget kör du

$ getenforce

För att ändra läget till permissive kör du följande kommando

$ setenforce 0

eller, för att ändra läget från permissive till enforcing, kör

$ setenforce 1

Om du behöver helt stänga av SELinux kan detta endast göras genom konfigurationsfilen

$ vi /etc/selinux/config

För att stänga av det, ändra parametern SELINUX till följande:

SELINUX=disabled

Konfigurera SELinux

Varje fil och process märks med en SELinux-kontext som innehåller ytterligare information, såsom användare, roll, typ osv. Om du aktiverar SELinux för första gången, måste du först konfigurera kontext och etiketter. Processen att tilldela etiketter och kontext kallas märkning. För att börja märkning ändrar vi läget i konfigurationsfilen till permissive.

$ vi /etc/selinux/config
SELINUX=permissive

När läget har ställts in, permissive, skapar vi en tom, dold fil med namnet .autorelabel

$ touch /.autorelabel

och startar om datorn

$ init 6

Obs: Vi använder läget permissive för märkning, eftersom användning av läget enforcing kan leda till systemkrasch vid omstart.

Oroa dig inte om uppstarten hänger på en viss fil, märkning tar lite tid. Efter att märkningen och uppstarten av ditt system är klar kan du gå till konfigurationsfilen och ställa in läget enforcing, samt köra:

$ setenforce 1

Nu har du framgångsrikt aktiverat SELinux på din dator.

Övervaka loggar

Det kan ha uppstått några fel under märkningen eller i systemets drift. För att kontrollera om din SELinux fungerar korrekt och inte blockerar åtkomst till någon port, applikation mm, behöver du titta på loggarna. SELinux-loggen finns i /var/log/audit/audit.log, men du behöver inte läsa den helt för att hitta fel. Du kan använda verktyget audit2why för att söka efter fel. Kör följande kommando:

$ audit2why < /var/log/audit/audit.log

Som resultat kommer du att få en lista med fel. Om det inte har funnits några fel i loggen kommer inga meddelanden att visas.

Konfigurera SELinux-policy

SELinux-policyn är en uppsättning regler som styrs av SELinux-säkerhetsmekanismen. Policyn definierar en uppsättning regler för en viss miljö. Nu kommer vi att studera hur man konfigurerar policyn för att tillåta åtkomst till blockerade tjänster.

1. Logiska värden (switchar)

Switchar (booleans) gör att du kan ändra delar av policyn medan systemet körs, utan att behöva skapa nya policys. De tillåter ändringar utan omstart eller omkompilering av SELinux-policys.

Exempel
Anta att vi vill ge delad åtkomst till användarens hemkatalog via FTP för läs- och skrivsåtkomst, och vi har redan delat den, men vid åtkomst ser vi inget. Detta beror på att SELinux-policyn förbjuder FTP-servern från att läsa och skriva i användarens hemkatalog. Vi behöver ändra policyn så att FTP-servern kan komma åt hemkatalogerna. Låt oss se om det finns några switchar för detta genom att köra

$ semanage boolean -l

Detta kommando kommer att ge en lista över tillgängliga switchar med deras nuvarande status (aktiverad/on eller inaktiverad/off) och en beskrivning. Du kan precisera sökningen genom att lägga till grep för att hitta resultat som endast rör ftp:

$ semanage boolean -l | grep ftp

och du kommer att hitta följande

ftp_home_dir        -> off       Tillåt ftp att läsa och skriva filer i användarens hemkatalog

Denna switch är avstängd, så vi aktiverar den med setsebool ftp_home_dir on

Nu kommer vår ftp-daemon att kunna få åtkomst till användarens hemkatalog.
Observera: Du kan också få en lista över tillgängliga switchar utan beskrivning genom att köra getsebool -a

2. Etiketter och kontext

Detta är det vanligaste sättet att genomföra SELinux-policy. Varje fil, mapp, process och port märks med SELinux-kontakt:

• För filer och mappar lagras etiketter som utökade attribut i filsystemet och kan visas med följande kommando:

  $ ls -Z /etc/httpd

• För processer och portar hanteras märkningen av kärnan, och dessa etiketter kan ses på följande sätt:

process

$ ps –auxZ | grep httpd

port

$ netstat -anpZ | grep httpd

Exempel
Låt oss nu titta på ett exempel för att bättre förstå etiketter och sammanhang. Anta att vi har webbserver, som istället för en katalog /var/www/html/ использует /home/dan/html/. SELinux kommer att betrakta detta som ett brott mot policyn, och du kommer inte att kunna visa dina webbsidor. Anledningen till detta är att vi inte har ställt in den säkerhetskontext som är kopplad till HTML-filer. För att visa standard säkerhetskontext, använd följande kommando:

$ ls –lz /var/www/html
 -rw-r—r—. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/

Här fick vi httpd_sys_content_t som säkerhetskontext för html-filer. Vi behöver ställa in denna säkerhetskontext för vår nuvarande katalog, som för närvarande har följande kontext:

-rw-r—r—. dan dan system_u:object_r:user_home_t:s0 /home/dan/html/

Ett alternativt kommando för att kontrollera säkerhetskontexten för en fil eller katalog:

$ semanage fcontext -l | grep '/var/www'

Vi kommer också att använda semanage för att ändra kontexten, efter att vi har hittat rätt säkerhetskontext. För att ändra kontexten för /home/dan/html, kör följande kommandon:

$ semanage fcontext -a -t httpd_sys_content_t '/home/dan/html(/.*)?'
$ semanage fcontext -l | grep '/home/dan/html'
/home/dan/html(/.*)? all files system_u:object_r:httpd_sys_content_t:s0
$ restorecon -Rv /home/dan/html

När kontexten har ändrats med semanage, kommer kommandot restorecon att ladda standardkontexten för filer och kataloger. Vår webbserver kommer nu att kunna läsa filer från mappen /home/dan/html, eftersom säkerhetskontexten för denna mapp har ändrats till httpd_sys_content_t.

3. Skapa lokala policys

Det kan uppstå situationer när ovanstående metoder är värdelösa för dig och du får fel (avc/denial) i audit.log. När detta händer, behöver du skapa en lokal policy (Local policy). Alla fel kan du hitta med hjälp av audit2why, som beskrivits ovan.

För att åtgärda felen kan du skapa en lokal policy. Till exempel, om vi får ett fel relaterat till httpd (apache) eller smbd (samba), grep'ar vi felen och skapar en policy för dem:

apache
$ grep httpd_t /var/log/audit/audit.log | audit2allow -M http_policy
samba
$ grep smbd_t /var/log/audit/audit.log | audit2allow -M smb_policy

Här http_policy och smb_policy — detta är namnen på de lokala policyer som vi har skapat. Nu behöver vi ladda upp dessa skapade lokala policyer till den aktuella SELinux-policyn. Detta kan göras på följande sätt:

$ semodule –I http_policy.pp
$ semodule –I smb_policy.pp

Våra lokala policyer har laddats upp, och vi bör inte längre få några avc- eller denial-meddelanden i audit.log.

Detta var mitt försök att hjälpa dig att förstå SELinux. Jag hoppas att du efter att ha läst den här artikeln kommer att känna dig mer bekväm med SELinux.

Källa: habr.com