{"id":36280,"date":"2019-10-31T22:10:39","date_gmt":"2019-10-31T19:10:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rukovodstvo-dlya-nachinayushhih-po-selinux\/"},"modified":"2019-10-31T22:10:39","modified_gmt":"2019-10-31T19:10:39","slug":"rukovodstvo-dlya-nachinayushhih-po-selinux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/rukovodstvo-dlya-nachinayushhih-po-selinux","title":{"rendered":"En nyb\u00f6rjarguide f\u00f6r SELinux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"En<\/p>\n

<\/p>\n

\u00d6vers\u00e4ttningen av artikeln f\u00f6rbereddes f\u00f6r studenter i kursen Linux-s\u00e4kerhet<\/a><\/noindex><\/em><\/p>\n

SELinux eller Security Enhanced Linux \u00e4r en f\u00f6rb\u00e4ttrad \u00e5tkomstkontrollmekanism som utvecklats av USA:s National Security Agency (NSA) f\u00f6r att f\u00f6rhindra illvilliga intr\u00e5ng. Det implementerar en tvingande (eller mandat) modell f\u00f6r \u00e5tkomstkontroll (eng. Mandatory Access Control, MAC) ovanp\u00e5 en befintlig diskretion\u00e4r (eller valfri) modell (eng. Discretionary Access Control, DAC), det vill s\u00e4ga beh\u00f6righeter f\u00f6r l\u00e4sning, skrivning, k\u00f6rning.<\/a><\/noindex><\/p>\n

<\/p>\n

SELinux har tre l\u00e4gen:<\/p>\n

<\/p>\n

    \n
  1. Enforcing<\/strong> \u2014 blockerar \u00e5tkomst baserat p\u00e5 policyregler.<\/li>\n
  2. Permissive<\/strong> \u2014 loggar aktiviteter som bryter mot policyn, som skulle vara blockerade i enforcing-l\u00e4get.<\/li>\n
  3. Disabled<\/strong> \u2014 fullst\u00e4ndig avst\u00e4ngning av SELinux.<\/li>\n<\/ol>\n

    <\/p>\n

    Som standard \u00e4r inst\u00e4llningarna i \/etc\/selinux\/config<\/code><\/p>\n

    <\/p>\n

    \u00c4ndra SELinux-l\u00e4gen<\/h1>\n

    <\/p>\n

    F\u00f6r att ta reda p\u00e5 det aktuella l\u00e4get k\u00f6r du <\/p>\n

    <\/p>\n

    $ getenforce<\/code><\/pre>\n
    <\/p>\n
    F\u00f6r att \u00e4ndra l\u00e4get till permissive k\u00f6r du f\u00f6ljande kommando <\/p>\n
    <\/p>\n
    $ setenforce 0<\/code><\/pre>\n
    <\/p>\n
    eller, f\u00f6r att \u00e4ndra l\u00e4get fr\u00e5n permissive<\/strong> till enforcing<\/strong>, k\u00f6r <\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Om du beh\u00f6ver helt st\u00e4nga av SELinux kan detta endast g\u00f6ras genom konfigurationsfilen <\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config<\/code><\/pre>\n
    <\/p>\n
    F\u00f6r att st\u00e4nga av det, \u00e4ndra parametern SELINUX till f\u00f6ljande:<\/p>\n
    <\/p>\n
    SELINUX=disabled<\/code><\/pre>\n
    <\/p>\n
    Konfigurera SELinux<\/h1>\n
    <\/p>\n
    Varje fil och process m\u00e4rks med en SELinux-kontext som inneh\u00e5ller ytterligare information, s\u00e5som anv\u00e4ndare, roll, typ osv. Om du aktiverar SELinux f\u00f6r f\u00f6rsta g\u00e5ngen, m\u00e5ste du f\u00f6rst konfigurera kontext och etiketter. Processen att tilldela etiketter och kontext kallas m\u00e4rkning. F\u00f6r att b\u00f6rja m\u00e4rkning \u00e4ndrar vi l\u00e4get i konfigurationsfilen till permissive<\/strong>.<\/p>\n
    <\/p>\n
    $ vi \/etc\/selinux\/config\nSELINUX=permissive<\/code><\/pre>\n
    <\/p>\n
    N\u00e4r l\u00e4get har st\u00e4llts in, permissive<\/strong>, skapar vi en tom, dold fil med namnet .autorelabel<\/code><\/p>\n
    <\/p>\n
    $ touch \/.autorelabel<\/code><\/pre>\n
    <\/p>\n
    och startar om datorn<\/p>\n
    <\/p>\n
    $ init 6<\/code><\/pre>\n
    <\/p>\n
    Obs: Vi anv\u00e4nder l\u00e4get permissive<\/strong> f\u00f6r m\u00e4rkning, eftersom anv\u00e4ndning av l\u00e4get enforcing<\/strong> kan leda till systemkrasch vid omstart.<\/p>\n
    <\/p>\n
    Oroa dig inte om uppstarten h\u00e4nger p\u00e5 en viss fil, m\u00e4rkning tar lite tid. Efter att m\u00e4rkningen och uppstarten av ditt system \u00e4r klar kan du g\u00e5 till konfigurationsfilen och st\u00e4lla in l\u00e4get enforcing<\/strong>, samt k\u00f6ra:<\/p>\n
    <\/p>\n
    $ setenforce 1<\/code><\/pre>\n
    <\/p>\n
    Nu har du framg\u00e5ngsrikt aktiverat SELinux p\u00e5 din dator. <\/p>\n
    <\/p>\n
    \u00d6vervaka loggar<\/h1>\n
    <\/p>\n
    Det kan ha uppst\u00e5tt n\u00e5gra fel under m\u00e4rkningen eller i systemets drift. F\u00f6r att kontrollera om din SELinux fungerar korrekt och inte blockerar \u00e5tkomst till n\u00e5gon port, applikation mm, beh\u00f6ver du titta p\u00e5 loggarna. SELinux-loggen finns i \/var\/log\/audit\/audit.log<\/code>, men du beh\u00f6ver inte l\u00e4sa den helt f\u00f6r att hitta fel. Du kan anv\u00e4nda verktyget audit2why f\u00f6r att s\u00f6ka efter fel. K\u00f6r f\u00f6ljande kommando:<\/p>\n
    <\/p>\n
    $ audit2why < \/var\/log\/audit\/audit.log<\/code><\/pre>\n
    <\/p>\n
    Som resultat kommer du att f\u00e5 en lista med fel. Om det inte har funnits n\u00e5gra fel i loggen kommer inga meddelanden att visas.<\/p>\n
    <\/p>\n
    Konfigurera SELinux-policy<\/h1>\n
    <\/p>\n
    SELinux-policyn \u00e4r en upps\u00e4ttning regler som styrs av SELinux-s\u00e4kerhetsmekanismen. Policyn definierar en upps\u00e4ttning regler f\u00f6r en viss milj\u00f6. Nu kommer vi att studera hur man konfigurerar policyn f\u00f6r att till\u00e5ta \u00e5tkomst till blockerade tj\u00e4nster.<\/p>\n
    <\/p>\n
    1. Logiska v\u00e4rden (switchar)<\/h4>\n
    <\/p>\n
    Switchar (booleans) g\u00f6r att du kan \u00e4ndra delar av policyn medan systemet k\u00f6rs, utan att beh\u00f6va skapa nya policys. De till\u00e5ter \u00e4ndringar utan omstart eller omkompilering av SELinux-policys.<\/p>\n
    <\/p>\n
    Exempel<\/strong>
    \nAnta att vi vill ge delad \u00e5tkomst till anv\u00e4ndarens hemkatalog via FTP f\u00f6r l\u00e4s- och skrivs\u00e5tkomst, och vi har redan delat den, men vid \u00e5tkomst ser vi inget. Detta beror p\u00e5 att SELinux-policyn f\u00f6rbjuder FTP-servern fr\u00e5n att l\u00e4sa och skriva i anv\u00e4ndarens hemkatalog. Vi beh\u00f6ver \u00e4ndra policyn s\u00e5 att FTP-servern kan komma \u00e5t hemkatalogerna. L\u00e5t oss se om det finns n\u00e5gra switchar f\u00f6r detta genom att k\u00f6ra<\/p>\n
    <\/p>\n
    $ semanage boolean -l<\/code><\/pre>\n
    <\/p>\n
    Detta kommando kommer att ge en lista \u00f6ver tillg\u00e4ngliga switchar med deras nuvarande status (aktiverad\/on eller inaktiverad\/off) och en beskrivning. Du kan precisera s\u00f6kningen genom att l\u00e4gga till grep f\u00f6r att hitta resultat som endast r\u00f6r ftp:<\/p>\n
    <\/p>\n
    $ semanage boolean -l | grep ftp<\/code><\/pre>\n
    <\/p>\n
    och du kommer att hitta f\u00f6ljande<\/p>\n
    <\/p>\n
    ftp_home_dir        -> off       Till\u00e5t ftp att l\u00e4sa och skriva filer i anv\u00e4ndarens hemkatalog<\/code><\/pre>\n
    <\/p>\n
    Denna switch \u00e4r avst\u00e4ngd, s\u00e5 vi aktiverar den med setsebool ftp_home_dir on<\/code><\/p>\n
    <\/p>\n
    Nu kommer v\u00e5r ftp-daemon att kunna f\u00e5 \u00e5tkomst till anv\u00e4ndarens hemkatalog.
    \nObservera: Du kan ocks\u00e5 f\u00e5 en lista \u00f6ver tillg\u00e4ngliga switchar utan beskrivning genom att k\u00f6ra getsebool -a<\/code><\/p>\n
    <\/p>\n
    2. Etiketter och kontext<\/h4>\n
    <\/p>\n
    Detta \u00e4r det vanligaste s\u00e4ttet att genomf\u00f6ra SELinux-policy. Varje fil, mapp, process och port m\u00e4rks med SELinux-kontakt:<\/p>\n
    <\/p>\n