Eine Einführung in SELinux unter CentOS 7 - Teil 1: Grundlegende Konzepte

Melden Sie sich zuerst als * root * -Nutzer am Server an und führen Sie den folgenden Befehl aus, um Apache zu installieren:

Die Ausgabe zeigt das heruntergeladene Paket und bittet Sie um Erlaubnis zur Installation:

Durch Drücken von * y * wird der Apache-Webserver-Daemon installiert.

Starten Sie den Daemon manuell:

Wenn Sie den Befehl + service httpd status ausführen, wird angezeigt, dass der Dienst jetzt ausgeführt wird:

Als nächstes installieren wir vsftpd:

Die Ausgabe sollte ungefähr so ​​aussehen:

Drücken Sie * y *, um das Paket zu installieren.

Als nächstes verwenden wir den Befehl + service vsftpd start +, um den vsftpd-Daemon zu starten. Die Ausgabe sollte ungefähr so ​​aussehen:

In SELinux wird eine Reihe von Paketen verwendet. Einige sind standardmäßig installiert. Hier ist eine Liste für Red Hat-basierte Distributionen:

Einige davon sind bereits installiert. Um zu überprüfen, welche SELinux-Pakete auf Ihrem CentOS 7-System installiert sind, können Sie als Root-Benutzer einige Befehle wie den folgenden ausführen (mit unterschiedlichen Suchbegriffen nach "+ grep +"):

Die Ausgabe sollte ungefähr so ​​aussehen:

Sie können alle Pakete mit dem folgenden Befehl installieren (yum aktualisiert nur die bereits vorhandenen) oder nur diejenigen, die auf Ihrem System fehlen:

Jetzt sollten wir ein System haben, das mit allen SELinux-Paketen geladen ist. Wir haben auch Apache- und SFTP-Server mit ihren Standardkonfigurationen. Zusätzlich zum * root * -Konto stehen vier reguläre Benutzerkonten zum Testen bereit.

Wir können den Befehl + getenforce + ausführen, um den aktuellen SELinux-Modus zu überprüfen.

SELinux sollte derzeit deaktiviert sein, damit die Ausgabe so aussieht:

Wir können auch den Befehl + sestatus + ausführen:

Wenn SELinux deaktiviert ist, zeigt die Ausgabe:

Das Aktivieren von SELinux ist recht einfach. Im Gegensatz zur Deaktivierung sollte dies jedoch in zwei Schritten erfolgen. Wir gehen davon aus, dass SELinux derzeit deaktiviert ist und dass Sie alle SELinux-Pakete aus dem vorherigen Abschnitt installiert haben.

Als ersten Schritt müssen wir die Datei "+ / etc / selinux / config +" bearbeiten, um die SELINUX-Direktive in den zulässigen Modus zu versetzen.

Das erstmalige Setzen des Status auf * permissive * ist erforderlich, da jeder Datei im System ein Kontext zugewiesen werden muss, bevor SELinux erzwungen werden kann. Wenn nicht alle Dateien ordnungsgemäß gekennzeichnet sind, schlagen Prozesse in begrenzten Domänen möglicherweise fehl, da sie nicht auf Dateien mit den richtigen Kontexten zugreifen können. Dies kann dazu führen, dass der Startvorgang fehlschlägt oder mit Fehlern beginnt. Wir werden Kontexte und Domänen später im Tutorial vorstellen.

Führen Sie nun einen Systemneustart durch:

Beim Neustart werden alle Dateien auf dem Server angezeigt, die mit einem SELinux-Kontext gekennzeichnet sind. Da das System im zulässigen Modus ausgeführt wird, werden SELinux-Fehler und Zugriffsverweigerungen gemeldet, aber es wird nichts gestoppt.

Melden Sie sich erneut als * root * bei Ihrem Server an. Suchen Sie als Nächstes nach der Zeichenfolge "SELinux verhindert" in der Datei / var / log / messages.

Wenn keine Fehler gemeldet werden, können wir sicher mit dem nächsten Schritt fortfahren. Es ist jedoch immer noch eine gute Idee, in der Datei / var / log / messages nach Text zu suchen, der „SELinux“ enthält. In unserem System haben wir den folgenden Befehl ausgeführt:

Dies zeigte einige Fehlermeldungen bezüglich des ausgeführten GNOME-Desktops. Dies geschah, als SELInux entweder deaktiviert war oder sich im zulässigen Modus befand:

Diese Arten von Fehlern sind in Ordnung.

In der zweiten Phase müssen wir die Konfigurationsdatei bearbeiten, um die SELINUX-Direktive in der Datei + / etc / sysconfig / selinux + von * permissive * auf * enforcing * zu ändern:

Starten Sie als Nächstes den Server erneut.

Sobald der Server wieder online ist, können wir den Befehl + sestatus + ausführen, um den SELinux-Status zu überprüfen. Es sollte nun mehr Details zum Server anzeigen:

Überprüfen Sie die Datei / var / log / messages:

Es sollte keine Fehler geben. Die Ausgabe sollte ungefähr so ​​aussehen:

Wir können den Befehl + getenforce + ausführen, um den aktuellen SELinux-Modus zu überprüfen.

Wenn sich unser System im Erzwingungsmodus befindet, sieht die Ausgabe folgendermaßen aus:

Die Ausgabe ist anders, wenn SELinux deaktiviert ist:

Wir können auch den Befehl "+ sestatus +" ausführen, um ein besseres Bild zu erhalten.

Wenn SELinux nicht deaktiviert ist, zeigt der Ausgang seinen aktuellen Status, seinen aktuellen Modus, den in der Konfigurationsdatei definierten Modus und den Richtlinientyp an.

Wenn SELinux deaktiviert ist, zeigt die Ausgabe:

Mit dem Befehl + setenforce + können wir auch vorübergehend zwischen erzwingendem und zulässigem Modus wechseln. (Beachten Sie, dass wir + setenforce + nicht ausführen können, wenn SELinux deaktiviert ist.)

Ändern Sie zunächst den SELinux-Modus in unserem CentOS 7-System von erzwingen auf zulassen:

Das Ausführen des Befehls "+ sestatus +" zeigt nun, dass sich der aktuelle Modus von dem in der Konfigurationsdatei definierten Modus unterscheidet:

Wechseln Sie zurück zu * Durchsetzen *:

Um die Politik zu verstehen, müssen wir einige grundlegende Begriffe lernen. Wir werden später auf die Details eingehen, aber hier ist eine kurze Einführung. Eine SELinux-Richtlinie definiert den Benutzerzugriff auf Rollen, den Rollenzugriff auf Domänen und den Domänenzugriff auf Typen.

SELinux verfügt über eine Reihe vorgefertigter Benutzer. Jedes reguläre Linux-Benutzerkonto wird einem oder mehreren SELinux-Benutzern zugeordnet.

Unter Linux führt ein Benutzer einen Prozess aus. Dies kann so einfach sein, wie der Benutzer * jo *, der ein Dokument im vi-Editor öffnet (dies ist das Konto von jo, das den vi-Prozess ausführt), oder ein Dienstkonto, das den httpd-Daemon ausführt. In der SELinux-Welt wird ein Prozess (ein Daemon oder ein laufendes Programm) als subject bezeichnet.

Eine Rolle ist wie ein Gateway, das sich zwischen einem Benutzer und einem Prozess befindet. Eine Rolle definiert, welche Benutzer auf diesen Prozess zugreifen können. Rollen sind keine Gruppen, sondern eher Filter: Ein Benutzer kann jederzeit eine Rolle eingeben oder übernehmen, sofern die Rolle dies zulässt. Die Definition einer Rolle in der SELinux-Richtlinie definiert, welche Benutzer Zugriff auf diese Rolle haben. Außerdem wird definiert, auf welche Prozessdomänen die Rolle selbst Zugriff hat. Rollen spielen eine Rolle, da ein Teil von SELinux die so genannte * Role Based Access Control * (RBAC) implementiert.

Ein subject ist ein Prozess und kann möglicherweise ein object beeinflussen.

Ein Objekt in SELinux ist alles, worauf reagiert werden kann. Dies kann eine Datei, ein Verzeichnis, ein Port, ein TCP-Socket, der Cursor oder ein X-Server sein. Die Aktionen, die ein Betreff für ein Objekt ausführen kann, sind die Berechtigungen des Betreffs.

Eine Domäne ist der Kontext, in dem ein SELinux-Subjekt (Prozess) ausgeführt werden kann. Dieser Kontext ist wie eine Hülle um das Thema. Es teilt dem Prozess mit, was er kann und was nicht. Die Domäne definiert beispielsweise, auf welche Dateien, Verzeichnisse, Links, Geräte oder Ports der Betreff zugreifen kann.

Ein Typ ist der Kontext für den Kontext einer Datei, der den Zweck der Datei festlegt. Beispielsweise kann der Kontext einer Datei vorgeben, dass es sich um eine Webseite handelt, dass die Datei zum Verzeichnis "+ / etc +" gehört oder dass der Eigentümer der Datei ein bestimmter SELinux-Benutzer ist. Der Kontext einer Datei wird in SELinux-Jargon als type bezeichnet.

Die SELinux-Richtlinie definiert den Benutzerzugriff auf Rollen, den Rollenzugriff auf Domänen und den Domänenzugriff auf Typen. Zuerst muss der Benutzer berechtigt sein, eine Rolle einzugeben, und dann muss die Rolle berechtigt sein, auf die Domäne zuzugreifen. Die Domain kann nur auf bestimmte Dateitypen zugreifen.

Bei der Richtlinie selbst handelt es sich um eine Reihe von Regeln, nach denen Standardbenutzer nur Standardrollen übernehmen können und diese Rollen nur für den Zugriff auf Standarddomänen berechtigt sind. Die Domänen können wiederum nur auf Standarddateitypen zugreifen. Das folgende Bild zeigt das Konzept:

image: https://assets.digitalocean.com/articles/SELinuxCentOS7/1.jpg [SELinux-Benutzer, Rollen, Domänen und Dateien]

Terminologietipp: Das letzte Bit, bei dem ein Prozess, der in einer bestimmten Domäne ausgeführt wird, nur bestimmte Vorgänge für bestimmte Objekttypen ausführen kann, heißt Type Enforcement (TE).

Zurück zum Thema Richtlinien: SELinux-Richtlinienimplementierungen sind in der Regel ebenfalls standardmäßig gerichtet. Wenn Sie sich an die SELinux-Konfigurationsdatei erinnern, die wir zuvor gesehen haben, ist die SELINUXTYPE-Direktive auf "+ target +" gesetzt. Dies bedeutet, dass SELinux standardmäßig nur bestimmte Prozesse im System einschränkt (d. H. nur bestimmte Prozesse sind betroffen). Diejenigen, auf die nicht abgezielt wird, werden in nicht beschränkten Domänen ausgeführt.

Die Alternative ist ein standardmäßig verweigertes Modell, bei dem jeder Zugriff verweigert wird, es sei denn, die Richtlinie genehmigt dies. Es wäre eine sehr sichere Implementierung, aber dies bedeutet auch, dass Entwickler jede einzelne mögliche Berechtigung vorwegnehmen müssen, die jeder einzelne Prozess für jedes einzelne mögliche Objekt benötigt. Das Standardverhalten sieht vor, dass SELinux nur bestimmte Prozesse betrifft.

SELinux-Richtlinien ersetzen nicht die herkömmliche DAC-Sicherheit. Wenn eine DAC-Regel einem Benutzer den Zugriff auf eine Datei untersagt, werden SELinux-Richtlinienregeln nicht ausgewertet, da die erste Verteidigungslinie den Zugriff bereits blockiert hat. SELinux-Sicherheitsentscheidungen spielen eine Rolle, nachdem die DAC-Sicherheit evaluiert wurde.

Wenn ein SELinux-fähiges System gestartet wird, wird die Richtlinie in den Speicher geladen. SELinux-Richtlinien sind modular aufgebaut, ähnlich wie die Kernel-Module, die beim Booten geladen werden. Und genau wie die Kernelmodule können sie zur Laufzeit dynamisch hinzugefügt und aus dem Speicher entfernt werden. Der von SELinux verwendete policy store verfolgt die geladenen Module. Der Befehl + sestatus + zeigt den Namen des Richtlinienspeichers an. Der Befehl + semodule -l + listet die SELinux-Richtlinienmodule auf, die derzeit in den Speicher geladen sind.

Um ein Gefühl dafür zu bekommen, führen wir den Befehl "+ semodule +" aus:

Die Ausgabe sieht ungefähr so ​​aus:

+ semodule + kann für eine Reihe anderer Aufgaben verwendet werden, z. B. zum Installieren, Entfernen, Neuladen, Aktualisieren, Aktivieren und Deaktivieren von SELinux-Richtlinienmodulen.

Inzwischen würden Sie wahrscheinlich interessiert sein, wo sich die Moduldateien befinden. Die meisten modernen Distributionen enthalten Binärversionen der Module als Teil der SELinux-Pakete. Die Richtliniendateien haben die Erweiterung .pp. Für CentOS 7 können wir den folgenden Befehl ausführen:

Die Liste enthält eine Reihe von Dateien mit der Erweiterung "+ .pp +". Wenn Sie genau hinschauen, beziehen sie sich auf verschiedene Anwendungen:

Die + .pp + Dateien sind jedoch nicht für Menschen lesbar.

Die Funktionsweise der SELinux-Modularisierung besteht darin, dass beim Systemstart Richtlinienmodule zu der so genannten aktiven Richtlinie kombiniert werden. Diese Richtlinie wird dann in den Speicher geladen. Die kombinierte Binärversion dieser geladenen Richtlinie befindet sich im Verzeichnis "+ / etc / selinux / target / policy +".

zeigt die aktive Richtlinie an.

Im ersten Teil dieses Tutorials haben wir versucht, einige grundlegende Konzepte rund um SELinux zu verstehen. Wir haben gesehen, wie SELinux ein System sichern kann, wie wir es aktivieren können und in welchen Modi es ausgeführt werden kann. Wir haben auch das Thema SELinux-Politik angesprochen. Als nächstes erfahren wir, wie Sie mit SELinux den Zugriff einschränken können zu Dateien und Prozessen].