🥇Snabbguide för systemadministratörer om SELinux: 42 svar på viktiga frågor

Översättningen av artikeln är särskilt utarbetad för studenter i kursen «Linuxadministratör».

Här får du svar på viktiga frågor om livet, universum och allt annat relaterat till Linux med förbättrad säkerhet.

«En viktig sanning är att saker och ting inte alltid är som de verkar, det är allmänt känt…»

―Douglas Adams, Rymdresenärens guide

Säkerhet. Ökad tillförlitlighet. Efterlevnad. Policy. Fyra apokalyptiska ryttare för systemadministratören. Utöver våra dagliga uppgifter – övervakning, backup, implementering, konfigurering, uppdatering och så vidare – ansvarar vi också för säkerheten i våra system. Även för de system där en tredje part rekommenderar oss att stänga av förbättrad säkerhet. Det är som att arbeta Ethan Hunt från «Mission: Impossible».

Möter denna dilemma väljer vissa systemadministratörer att ta den blå tabletten, för de tror att de aldrig kommer att få veta svaret på livets stora fråga, universum och allt annat. Och, som vi alla vet, är svaret 42.

I anda av «Rymdresenärens guide» presenteras här 42 svar på viktiga frågor om hantering och användning SELinux i dina system.

1. SELinux är ett system för tvingande åtkomstkontroll, vilket innebär att varje process har en etikett (label). Varje fil, katalog och systemobjekt har också etiketter. Regelverk övervakar åtkomster mellan märkta processer och objekt. Kärnan säkerställer efterlevnad av dessa regler.

2. De två viktigaste koncepten är: Märkning — märkning (filer, processer, portar etc.) och Typkontroll (som isolerar processer från varandra baserat på typer).

3. Den rätta etikettformatet användare:roll:typ:nivå (valfritt).

4. Målet med att tillhandahålla fler nivåer av säkerhet (Multi-Level Security — MLS) är att hantera processer (domäner) baserat på säkerhetsnivån av de data som de ska använda. Till exempel får en hemlig process inte läsa överhemliga data.

5. Att tillhandahålla mångkategorisk säkerhet (Multi-Category Security — MCS) skyddar liknande processer från varandra (till exempel virtuella maskiner, OpenShift-mekanismer, SELinux-sandlådor, containrar etc.).

6. Kärninställningar för att ändra SELinux-lägen vid uppstart:

autorelabel=1 → får systemet att köra ommärkning
selinux=0 → kärnan laddar inte infrastruktur för SELinux
enforcing=0 → laddar i permissive-läge

7. Om du behöver ommärka hela systemet:

# touch /.autorelabel #reboot

Om systemets märkning innehåller många fel kan det vara nödvändigt att starta i permissiv läge för att ommärkningen ska lyckas.

8. För att kontrollera om SELinux är aktiverat: # getenforce

9. För att tillfälligt aktivera/avaktivera SELinux: # setenforce [1|0]

10. Kontrollera status för SELinux: # sestatus

11. Konfigurationsfil: /etc/selinux/config

12. Hur fungerar SELinux? Här är ett exempel på märkning för webbservern Apache:

Binärt värde: /usr/sbin/httpd→httpd_exec_t
Konfigurationskatalog: /etc/httpd→httpd_config_t
Loggfiler katalog: /var/log/httpd → httpd_log_t
Innehållskatalog: /var/www/html → httpd_sys_content_t
Startskript: /usr/lib/systemd/system/httpd.service → httpd_unit_file_d
Process: /usr/sbin/httpd -DFOREGROUND → httpd_t
Portar: 80/tcp, 443/tcp → httpd_t, http_port_t

Processen som körs i kontext httpd_t, kan interagera med objekt med märkning httpd_something_t.

13. Många kommandon accepterar argumentet -Z för att visa, skapa och ändra kontext:

ls -Z
id -Z
ps -Z
netstat -Z
cp -Z
mkdir -Z

Kontexter sätts när filer skapas baserat på kontexten för deras överordnade katalog (med vissa undantag). RPM kan ställa in kontexter både vid installation.

14. Det finns fyra huvudsakliga orsaker till SELinux-fel, som beskrivs mer utförligt i punkterna 15-21 nedan:

Märkningsproblem
På grund av något som SELinux behöver veta
Fel i SELinux-policy/applikation
Din information kan vara kompromissad

15. Märkningsproblem: om dina filer i /srv/myweb är felaktigt märkta kan åtkomst nekas. Här är några sätt att åtgärda detta:

Om du känner till märkningen:
# semanage fcontext -a -t httpd_sys_content_t '/srv/myweb(/.*)?'
Om du känner till en fil med motsvarande märkning:
# semanage fcontext -a -e /srv/myweb /var/www
Återställ kontexten (för båda fallen):
# restorecon -vR /srv/myweb

16. Märkningsproblem: om du flyttar en fil istället för att kopiera den kommer filen att behålla sin ursprungliga kontext. För att åtgärda detta:

Ändra kontextkommandot till märkning:
# chcon -t httpd_system_content_t /var/www/html/index.html
Ändra kontextkommandot till märkning av länk:
# chcon --reference /var/www/html/ /var/www/html/index.html
Återställ kontexten (för båda fallen): # restorecon -vR /var/www/html/

17. Om SELinux behöver veta, att HTTPD lyssnar på port 8585, informera SELinux:

# semanage port -a -t http_port_t -p tcp 8585

18. SELinux behöver veta logiska värden som gör det möjligt att ändra delar av SELinux-policyn under körning utan att behöva känna till ompolicering av SELinux. Till exempel, om du vill att httpd ska skicka e-post, skriv: # setsebool -P httpd_can_sendmail 1

19. SELinux behöver veta logiska värden för att aktivera/avaktivera SELinux-inställningar:

För att se alla logiska värden: # getsebool -a
För att se beskrivningen av varje: # semanage boolean -l
För att ställa in ett logiskt värde: # setsebool [_boolean_] [1|0]
För permanent installation, lägg till -PJuniper (MX/QFX/ACX) # setsebool httpd_enable_ftp_server 1 -P

20. SELinux-policyer/applikationer kan innehålla fel, inklusive:

Ovanliga kodvägar
Konfigurationer
Omdirigera stdout
Filhandtagläckor
Exekverbart minne
Dåligt konstruerade bibliotek

Öppna biljetter (skicka inte rapporten till Bugzilla; det finns ingen SLA i Bugzilla).

21. Din information kan vara kompromissad, om du har begränsade domäner som försöker:

Ladda kärnmoduler
Stänga av enforced-läget för SELinux
Skriva till etc_t/shadow_t
Ändra iptables-regler

22. SELinux-verktyg för att utveckla policymoduler:

# yum -y install setroubleshoot setroubleshoot-server

Starta om eller starta om auditd efter installation.

23. Använd

journalctl

för att visa en lista över alla loggar relaterade till setroubleshoot:

# journalctl -t setroubleshoot --since=14:20

24. Använd journalctl för att visa en lista över alla loggar relaterade till en specifik SELinux-tagg. Till exempel:

# journalctl _SELINUX_CONTEXT=system_u:system_r:policykit_t:s0

25. Vid ett SELinux-fel, använd loggen setroubleshoot med flera möjliga lösningar.
Till exempel från journalctl:

Jun 14 19:41:07 web1 setroubleshoot: SELinux hindrar httpd från att få getattr-åtkomst på filen /var/www/html/index.html. För komplett meddelande kör: sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755e

# sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755e
SELinux hindrar httpd från att få getattr-åtkomst på filen /var/www/html/index.html.

***** Plugin restorecon (99.5 % säkerhet) föreslår ************************

Om du vill fixa etiketten,
/var/www/html/index.html:s standardetikett bör vara httpd_syscontent_t.
Då kan du använda restorecon.
Kör
# /sbin/restorecon -v /var/www/html/index.html

26. Loggning: SELinux registrerar information på många ställen:

/var/log/messages
/var/log/audit/audit.log
/var/lib/setroubleshoot/setroubleshoot_database.xml

27. Loggning: sök efter SELinux-fel i auditloggen:

# ausearch -m AVC,USER_AVC,SELINUX_ERR -ts today

28. För att hitta meddelanden från SELinux Access Vector Cache (AVC) för en viss tjänst:

# ausearch -m avc -c httpd

29. Verktyg audit2allow samlar information från loggar av nekade operationer och genererar sedan SELinux policyregel. Till exempel:

För att skapa en läsbar beskrivning av varför åtkomsten nekades: # audit2allow -w -a
För att visa en regel för tvingande typ som tillåter nekad åtkomst: # audit2allow -a
För att skapa en användarmodul: # audit2allow -a -M mypolicy
Alternativ -M skapar en fil för tvingande tillämpning av typ (.te) med angivet namn och kompilerar regeln till en policypaket (.pp): mypolicy.pp mypolicy.te
För att installera en användarmodul: # semodule -i mypolicy.pp

30. För att konfigurera enskilda processer (domäner) att arbeta i permissive-läge: # semanage permissive -a httpd_t

31. Om du inte längre vill att domänen ska vara permissive: # semanage permissive -d httpd_t

32. För att stänga av alla permissive domäner: # semodule -d permissivedomains

33. Aktivera MLS-policy för SELinux: # yum install selinux-policy-mls i /etc/selinux/config:

SELINUX=permissive
SELINUXTYPE=mls

Se till att SELinux körs i permissive-läge: # setenforce 0
Använd skriptet fixfiles, för att säkerställa att filer kommer att ommärkas vid nästa omstart:

# fixfiles -F onboot # reboot

34. Skapa en användare med en viss MLS-intervall: # useradd -Z staff_u john

Genom att använda kommandot useradd, koppla den nya användaren till en befintlig SELinux-användare (i detta fall, staff_u).

35. För att se matchningen mellan SELinux-användare och Linux: # semanage login -l

36. Definiera ett specifikt intervall för användaren: # semanage login --modify --range s2:c100 john

37. För att korrigera etiketten i användarens hemmakatalog (om nödvändigt): # chcon -R -l s2:c100 /home/john

38. För att se aktuella kategorier: # chcat -L

39. För att ändra kategorier eller börja skapa egna, ändra filen enligt följande:

\/etc\/selinux\/_<selinuxtype>_\/setrans.conf

40. För att köra ett kommando eller skript i en viss fil, roll och användarkontext:

# runcon -t initrc_t -r system_r -u user_u yourcommandhere

-t filens kontext
-r rollens kontext
-u användarens kontext

41. Containrar som körs med inaktiverad SELinux:

Podman: # podman run --security-opt label=disable …
Docker: # docker run --security-opt label=disable …

42. Om du behöver ge containern fullständig åtkomst till systemet:

Podman: # podman run --privileged …
Docker: # docker run --privileged …

Och nu vet du redan svaret. Därför, vänligen: panikera inte och aktivera SELinux.

Länkar:

Källa: habr.com

Snabbreferens för systemadministratörer om SELinux: 42 svar på viktiga frågor

Länkar: