Eine Einführung in SELinux unter CentOS 7 - Teil 2: Dateien und Prozesse

Im https://www.digitalocean.com/community/tutorials/an-einführung-in-selinux-on-centos-7-teil-1-grundkonzepte, dem ersten Teil unserer SELinux-Serie, haben wir gesehen, wie das geht Aktivieren und Deaktivieren von SELinux und Ändern einiger Richtlinieneinstellungen mithilfe von Booleschen Werten. In diesem zweiten Teil werden wir über Datei- und Prozesssicherheitskontexte sprechen.

Um Ihren Speicher aus dem vorherigen Lernprogramm zu aktualisieren, ist ein Dateisicherheitskontext ein type und ein Prozesssicherheitskontext eine domain.

_ * Hinweis * + Die in diesem Tutorial gezeigten Befehle, Pakete und Dateien wurden unter CentOS 7 getestet. Die Konzepte bleiben für andere Distributionen gleich. _

In diesem Lernprogramm führen wir die Befehle als Root-Benutzer aus, sofern nicht anders angegeben. Wenn Sie keinen Zugriff auf das Root-Konto haben und ein anderes Konto mit Sudo-Berechtigungen verwenden, müssen Sie den Befehlen das Schlüsselwort "+ sudo +" voranstellen.

Erstellen wir zunächst vier Benutzerkonten, um die SELinux-Funktionen zu demonstrieren.

Sie sollten derzeit der Benutzer * root * sein. Führen Sie den folgenden Befehl aus, um das Konto * regularuser * hinzuzufügen:

Dann führen wir den Befehl + passwd + aus, um das Passwort zu ändern:

Die Ausgabe wird uns nach einem neuen Passwort fragen. Nach der Auslieferung ist das Konto für die Anmeldung bereit:

Erstellen wir auch die anderen Konten:

Der Zweck von SELinux besteht darin, sicherzustellen, wie Prozesse auf Dateien in einer Linux-Umgebung zugreifen. Ohne SELinux wird ein Prozess oder eine Anwendung wie der Apache-Daemon im Kontext des Benutzers ausgeführt, der ihn gestartet hat. Wenn Ihr System also von einer betrügerischen Anwendung kompromittiert wird, die unter dem Root-Benutzer ausgeführt wird, kann die App alles tun, was sie will, da Root über umfassende Rechte für jede Datei verfügt.

SELinux versucht, noch einen Schritt weiter zu gehen und dieses Risiko auszuschalten. Mit SELinux hat ein Prozess oder eine Anwendung nur die Rechte, die sie benötigen, um zu funktionieren, und NICHTS mehr. Die SELinux-Richtlinie für die Anwendung legt fest, auf welche Dateitypen zugegriffen werden muss und zu welchen Prozessen Übergänge möglich sind. SELinux-Richtlinien werden von App-Entwicklern geschrieben und mit der Linux-Distribution ausgeliefert, die sie unterstützt. Eine Richtlinie besteht im Wesentlichen aus einer Reihe von Regeln, mit denen Prozesse und Benutzer ihren Rechten zugeordnet werden.

Wir beginnen die Diskussion dieses Teils des Tutorials damit, zu verstehen, was SELinux-Kontexte und -Domänen bedeuten.

Der erste Teil der Sicherheit versieht jede Entität im Linux-System mit einem Label. Ein Label ist wie jedes andere Datei- oder Prozessattribut (Eigentümer, Gruppe, Erstellungsdatum usw.). Es zeigt den Kontext der Ressource. Was ist also ein Kontext? Einfach ausgedrückt, ist ein Kontext eine Sammlung sicherheitsrelevanter Informationen, die SELinux bei Entscheidungen zur Zugriffssteuerung unterstützen. Jedes Linux-System kann einen Sicherheitskontext haben: Ein Benutzerkonto, eine Datei, ein Verzeichnis, ein Daemon oder ein Port können alle ihre Sicherheitskontexte haben. Sicherheitskontext bedeutet jedoch für verschiedene Objekttypen unterschiedliche Dinge. + ​

Bevor wir fortfahren, finden Sie hier einen Hinweis zur SELinux-Namenskonvention. SELinux-Benutzer haben das Suffix "_u", Rollen das Suffix "_r" und Typen (für Dateien) oder Domänen (für Prozesse) das Suffix "_t".

Bisher haben wir gesehen, dass Dateien und Prozesse unterschiedliche Kontexte haben können und dass sie auf ihre eigenen Typen oder Domänen beschränkt sind. Wie läuft ein Prozess ab? Zur Ausführung muss ein Prozess auf seine Dateien zugreifen und einige Aktionen ausführen (Öffnen, Lesen, Ändern oder Ausführen). Wir haben auch gelernt, dass jeder Prozess nur auf bestimmte Arten von Ressourcen zugreifen kann (Dateien, Verzeichnisse, Ports usw.).

SELinux schreibt diese Zugriffsregeln in einer Richtlinie vor. Die Zugriffsregeln folgen einer standardmäßigen _allow-Anweisungsstruktur:

Wir haben bereits über Domänen und Typen gesprochen. * Klasse * definiert, was die Ressource tatsächlich darstellt (Datei, Verzeichnis, symbolische Verknüpfung, Gerät, Ports, Cursor usw.)

Diese generische Erlaubnis-Anweisung bedeutet Folgendes:

Um zu sehen, wie dies funktioniert, betrachten wir die Sicherheitskontexte des httpd-Daemons, der auf unserem CentOS 7-System ausgeführt wird:

Das Standard-Ausgangsverzeichnis für den Webserver lautet "+ / var / www / html". Erstellen Sie eine Datei in diesem Verzeichnis und überprüfen Sie den Kontext:

Der Dateikontext für unseren Webinhalt lautet * httpd_sys_content_t *:

Wir können den Befehl + sesearch + verwenden, um die Art des Zugriffs zu überprüfen, der für den httpd-Daemon zulässig ist:

Die mit dem Befehl verwendeten Flags sind ziemlich selbsterklärend: Die Quelldomäne ist * httpd_t *, dieselbe Domäne, in der Apache ausgeführt wird. Wir interessieren uns für Zielressourcen, die Dateien sind und einen Typkontext von * httpd_sys_content_t * haben. Ihre Ausgabe sollte folgendermaßen aussehen:

Beachten Sie die erste Zeile:

Dies besagt, dass der httpd-Daemon (der Apache-Webserver) die E / A-Steuerung hat und den Zugriff auf Dateien des Typs * httpd_sys_content * liest, erhält, sperrt und öffnet. In diesem Fall hat Ihre "+ index.html" -Datei den gleichen Typ.

Wenn Sie noch einen Schritt weiter gehen, ändern Sie zunächst die Webseite ("+ / var / www / html / index.html"). Bearbeiten Sie die Datei, um diesen Inhalt zu enthalten:

Als nächstes ändern wir die Berechtigung des Ordners "+ / var / www / +" und seinen Inhalt, gefolgt von einem Neustart des httpd-Daemons:

Wir werden dann versuchen, über einen Browser darauf zuzugreifen:

image: https://assets.digitalocean.com/articles/SELinuxCentOS7/2.jpg [Zugreifen auf eine Webseite mit der richtigen SELiunux-Einstellung]

_ * Hinweis * + Je nachdem, wie Ihr Server eingerichtet ist, müssen Sie möglicherweise Port 80 in der IPTables-Firewall aktivieren, um eingehenden HTTP-Verkehr von außerhalb des Servers zuzulassen. Wir werden hier nicht auf die Details zum Aktivieren von Ports in IPTables eingehen. Es gibt einige ausgezeichnete DigitalOcean-https://www.digitalocean.com/community/tutorials/how-to-set-up-a-firewall- using-iptables-on-ubuntu-14-04[articles] zu dem Thema, das Sie verwenden Kann benutzen. _

So weit, ist es gut. Der httpd-Daemon ist berechtigt, auf einen bestimmten Dateityp zuzugreifen. Dies wird beim Zugriff über den Browser angezeigt. Als nächstes wollen wir die Dinge ein wenig verändern, indem wir den Kontext der Datei ändern. Wir werden den Befehl + chcon + dafür verwenden. Das Flag "+ - type +" für den Befehl ermöglicht es uns, einen neuen Typ für die Zielressource anzugeben. Hier ändern wir den Dateityp in * var_t *.

Wir können die Typenänderung bestätigen:

Als nächstes, wenn wir versuchen, auf die Webseite zuzugreifen (d. H. Der httpd-Daemon versucht, die Datei zu lesen.) Möglicherweise wird ein * Verbotener * Fehler angezeigt, oder es wird die generische CentOS-Seite "Testing 123" angezeigt:

image: https://assets.digitalocean.com/articles/SELinuxCentOS7/3.jpg [Zugriff auf die Webseite mit falscher SELinux-Einstellung]

Was passiert hier? Offensichtlich wird jetzt ein Teil des Zugriffs verweigert, aber um wen handelt es sich dabei? Für SELinux ist der Webserver berechtigt, nur auf bestimmte Dateitypen zuzugreifen, und var_t gehört nicht zu diesen Kontexten. Da wir den Kontext der Datei index.html in var_t geändert haben, kann Apache ihn nicht mehr lesen und es wird eine Fehlermeldung angezeigt.

Um die Arbeit wieder aufzunehmen, ändern wir den Dateityp mit dem Befehl "+ restorecon +". Die Option -v zeigt die Änderung der Kontextbezeichnungen an:

Wenn wir versuchen, jetzt auf die Seite zuzugreifen, wird erneut der Text "Dies ist eine Test-Webseite" angezeigt.

Dies ist ein wichtiges Konzept, das Sie verstehen sollten: Um sicherzustellen, dass sich SELinux so verhält, wie es sollte, muss sichergestellt werden, dass Dateien und Verzeichnisse den richtigen Kontext haben. Wir werden am Ende dieses Abschnitts einen praktischen Anwendungsfall sehen, aber lassen Sie uns vorher noch ein paar Dinge besprechen.

SELinux erzwingt etwas, das wir als "Kontextvererbung" bezeichnen können. Dies bedeutet, dass Prozesse und Dateien mit den Kontexten ihrer Eltern erstellt werden, es sei denn, dies ist in der Richtlinie festgelegt.

Wenn also ein Prozess namens "proc_a" einen anderen Prozess namens "proc_b" erzeugt, wird der erzeugte Prozess in derselben Domäne wie "proc_a" ausgeführt, sofern in der SELinux-Richtlinie nicht anders angegeben.

Wenn wir ein Verzeichnis mit dem Typ "some_context_t" haben, haben alle Dateien oder Verzeichnisse, die unter diesem Typ erstellt wurden, denselben Typkontext, sofern in der Richtlinie nichts anderes angegeben ist.

Um dies zu veranschaulichen, überprüfen wir die Kontexte des Verzeichnisses "+ / var / www / +":

Das Verzeichnis "+ html " in " / var / www / " hat den Typ "* httpd_sys_content_t *". Wie wir zuvor gesehen haben, hat die darin enthaltene Datei " index.html +" denselben Kontext (d. H. Den Kontext des übergeordneten Elements):

Diese Vererbung bleibt nicht erhalten, wenn Dateien an einen anderen Speicherort kopiert werden. Bei einem Kopiervorgang nimmt die kopierte Datei oder das kopierte Verzeichnis den Typkontext des Zielverzeichnisses an. Im folgenden Codeausschnitt kopieren wir die Datei "+ index.html" (mit dem Typ "httpd_sys_content_t") in das Verzeichnis "+ / var / +":

Wenn wir den Kontext der kopierten Datei überprüfen, werden wir feststellen, dass er in * var_t * geändert wurde, dem Kontext des aktuellen übergeordneten Verzeichnisses:

Diese Änderung des Kontexts kann durch die Klausel "+ - preserver = context" im Befehl "+ cp" überschrieben werden.

Beim Verschieben von Dateien oder Verzeichnissen bleiben die ursprünglichen Kontexte erhalten. Im folgenden Befehl verschieben wir die Datei "+ / var / index.html " in das Verzeichnis " / etc / +":

Wenn wir den Kontext der verschobenen Datei überprüfen, stellen wir fest, dass der * var_t * -Kontext im Verzeichnis "+ / etc / +" beibehalten wurde:

Warum beschäftigen wir uns also so mit Dateikontexten? Warum ist dieses Konzept zum Kopieren und Verschieben wichtig? Denken Sie darüber nach: Vielleicht haben Sie beschlossen, alle HTML-Dateien Ihres Webservers in ein separates Verzeichnis unter dem Stammordner zu kopieren. Sie haben dies getan, um den Sicherungsvorgang zu vereinfachen und die Sicherheit zu erhöhen: Sie möchten nicht, dass Hacker einfach erraten, wo sich die Dateien Ihrer Website befinden. Sie haben die Zugriffssteuerung des Verzeichnisses aktualisiert, die Webkonfigurationsdatei so geändert, dass sie auf den neuen Speicherort verweist, den Dienst neu gestartet, aber er funktioniert immer noch nicht. Vielleicht können Sie sich dann als nächsten Fehlerbehebungsschritt die Kontexte des Verzeichnisses und seiner Dateien ansehen. Lassen Sie es uns als praktisches Beispiel ausführen.

In einem früheren Codebeispiel haben wir zwei Befehle zum Ändern des Dateiinhalts gesehen: "+ chcon " und " restorecon ". Das Ausführen von ` chcon ` ist eine vorübergehende Maßnahme. Sie können damit vorübergehend Datei- oder Verzeichniskontexte ändern, um Fehler bei der Zugriffsverweigerung zu beheben. Diese Methode ist jedoch nur vorübergehend: Wenn Sie ein Dateisystem neu beschriften oder den Befehl ` restorecon +` ausführen, wird die Datei auf den ursprünglichen Kontext zurückgesetzt.

Wenn Sie + chcon + ausführen, müssen Sie den richtigen Kontext für die Datei kennen. Das Flag "+ - Typ " gibt den Kontext für das Ziel an. Für " restorecon " ist dies nicht erforderlich. Wenn Sie ` restorecon +` ausführen, wird auf die Datei der richtige Kontext erneut angewendet und die Änderungen werden dauerhaft übernommen.

Aber wenn Sie den korrekten Kontext der Datei nicht kennen, woher weiß das System, welcher Kontext angewendet werden soll, wenn es "+ restorecon +" ausführt?

Praktischerweise „merkt“ sich SELinux den Kontext jeder Datei oder jedes Verzeichnisses auf dem Server. In CentOS 7 werden Kontexte von Dateien, die bereits im System vorhanden sind, in der Datei + / etc / selinux / target / contexts / files / file_contexts + aufgelistet. Es handelt sich um eine große Datei, in der alle Dateitypen aufgelistet sind, die mit jeder von der Linux-Distribution unterstützten Anwendung verknüpft sind. Kontexte neuer Verzeichnisse und Dateien werden in der Datei + / etc / selinux / target / contexts / files / file_contexts.local + aufgezeichnet. Wenn wir also den Befehl + restorecon + ausführen, sucht SELinux in einer dieser beiden Dateien nach dem richtigen Kontext und wendet ihn auf das Ziel an.

Das folgende Code-Snippet zeigt einen Auszug aus einer der Dateien:

Um den Kontext unserer index.html-Datei unter "+ / www / html +" dauerhaft zu ändern, müssen wir zwei Schritte ausführen.

Um sicherzustellen, können wir die Dateikontextdatenbank überprüfen (beachten Sie, dass wir die Datei + file_contexts.local + verwenden):

Sie sollten die aktualisierten Kontexte sehen:

Als nächstes führen wir den Befehl + restorecon + aus. Dadurch wird die Datei oder das Verzeichnis mit den im vorherigen Schritt aufgezeichneten Daten neu gekennzeichnet:

Dies sollte den Kontext in drei Ebenen zurücksetzen: das Verzeichnis der obersten Ebene "+ / www ", das Verzeichnis " / www / html" und die Datei "+ index.html" unter "+ / www / html +":

Wenn wir jetzt versuchen, auf die Webseite zuzugreifen, sollte dies funktionieren.

Es gibt ein nützliches Tool mit dem Namen "+ matchpathcon ", mit dem Sie kontextbezogene Probleme beheben können. Dieser Befehl zeigt den aktuellen Kontext einer Ressource an und vergleicht ihn mit den in der SELinux-Kontextdatenbank aufgelisteten. Wenn dies nicht der Fall ist, wird die erforderliche Änderung vorgeschlagen. Testen wir dies mit der Datei " / www / html / index.html ". Wir werden das ` -V +` Flag verwenden, das den Kontext überprüft:

Die Ausgabe von + matchpathcon + sollte zeigen, dass der Kontext überprüft wurde.

Bei einer falsch beschrifteten Datei wird in der Nachricht der Kontext angegeben:

Bisher haben wir gesehen, wie Prozesse auf Dateisystemressourcen zugreifen. Wir werden nun sehen, wie Prozesse auf andere Prozesse zugreifen.

Domänenübergang ist die Methode, mit der ein Prozess seinen Kontext von einer Domäne in eine andere ändert. Angenommen, Sie haben einen Prozess namens proc_a, der in einem Kontext von contexta_t ausgeführt wird. Beim Domänenübergang kann proc_a eine Anwendung (ein Programm oder ein ausführbares Skript) mit dem Namen app_x ausführen, die einen anderen Prozess erzeugt. Dieser neue Prozess könnte proc_b heißen und in der contextb_t-Domäne ausgeführt werden. So effektiv ist contexta_t transitioning zu contextb_t durch app_x. Die ausführbare Datei app_x fungiert als Eintragspunkt für contextb_t. Der Ablauf kann wie folgt dargestellt werden:

image: https://assets.digitalocean.com/articles/SELinuxCentOS7/4.jpg [SELinux Domain Transition]

Der Fall eines Domain-Übergangs ist in SELinux ziemlich häufig. Betrachten wir den vsftpd-Prozess, der auf unserem Server ausgeführt wird. Wenn es nicht läuft, können wir den Befehl + service vsftpd start + ausführen, um den Daemon zu starten.

Als nächstes betrachten wir den systemd-Prozess. Dies ist der Vorfahr aller Prozesse. Dies ist die Ersetzung des System V-Init-Prozesses und wird in einem Kontext von * init_t * ausgeführt. :

Der in der * init_t * -Domäne ausgeführte Prozess ist von kurzer Dauer: Er ruft die ausführbare Binärdatei + / usr / sbin / vsftpd + auf, die den Typ Kontext * ftpd_exec_t * hat. Wenn die ausführbare Binärdatei gestartet wird, wird sie selbst zum vsftpd-Daemon und wird in der Domäne * ftpd_t * ausgeführt.

Wir können den Domänenkontext der Dateien und Prozesse überprüfen:

Zeigt uns:

Prozess überprüfen:

Zeigt uns:

In diesem Fall führt der in der Domäne * init_t * ausgeführte Prozess eine Binärdatei vom Typ * ftpd_exec_t * aus. Diese Datei startet einen Daemon in der Domäne * ftpd_t *.

Dieser Übergang kann weder von der Anwendung noch vom Benutzer gesteuert werden. Dies wurde in der SELinux-Richtlinie festgelegt, die beim Systemstart in den Speicher geladen wird. Auf einem Nicht-SELinux-Server kann ein Benutzer einen Prozess starten, indem er zu einem leistungsstärkeren Konto wechselt (vorausgesetzt, er hat das Recht dazu). In SELinux wird ein solcher Zugriff durch vordefinierte Richtlinien gesteuert. Auch aus diesem Grund soll SELinux die obligatorische Zugriffskontrolle implementieren.

Der Domainwechsel unterliegt drei strengen Regeln:

Führen Sie im obigen Beispiel für den vsftpd-Daemon den Befehl "+ sesearch +" mit verschiedenen Schaltern aus, um festzustellen, ob der Daemon diesen drei Regeln entspricht.

Zunächst muss die Quelldomäne init_t über die Ausführungsberechtigung für die Entrypoint-Anwendung mit dem Kontext ftpd_exec_t verfügen. Also, wenn wir den folgenden Befehl ausführen:

Das Ergebnis zeigt, dass Prozesse in der Domäne init_t Dateien des Kontexts ftpd_exec_t lesen, Attribute abrufen, ausführen und öffnen können:

Als nächstes prüfen wir, ob die Binärdatei der Eintrittspunkt für die Zieldomäne ftpd_t ist:

Und tatsächlich ist es so:

Und schließlich muss die Quelldomäne init_t über die Berechtigung verfügen, auf die Zieldomäne ftpd_t zu wechseln:

Wie wir unten sehen können, hat die Quelldomäne diese Berechtigung:

Als wir das Domänenkonzept einführten, verglichen wir es mit einer hypothetischen Blase um den Prozess herum: Etwas, das festlegt, was der Prozess kann und was nicht. Dies ist es, was den Prozess einschränkt.

SELinux verfügt auch über Prozesse, die in nicht definierten Domänen ausgeführt werden. Wie Sie sich vorstellen können, haben unbeschränkte Prozesse alle Arten von Zugriff auf das System. Auch dann ist dieser Vollzugriff nicht willkürlich: Der Vollzugriff ist auch in der SELinux-Richtlinie festgelegt.

Ein Beispiel für eine nicht definierte Prozessdomäne wäre unconfined_t. Dies ist dieselbe Domäne, in der angemeldete Benutzer standardmäßig ihre Prozesse ausführen. Wir werden in den folgenden Abschnitten über Benutzer und ihre Zugriffe auf Prozessdomänen sprechen.

Wir haben heute hier einige sehr wichtige SELinux-Konzepte behandelt. Die Verwaltung des Datei- und Prozesskontexts ist das Herzstück einer erfolgreichen SELinux-Implementierung. Wie wir im nächsten und https://www.digitalocean.com/community/tutorials/an-einführung-in-selinux-on-centos-7-teil-3-benutzer im letzten Teil dieser Reihe sehen werden], gibt es Ein weiterer Teil des Puzzles bleibt: der SELinux-Benutzer.