前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >SELinux初学者指南

SELinux初学者指南

作者头像
伍尚国
发布2018-09-11 10:56:45
1.3K0
发布2018-09-11 10:56:45
举报
文章被收录于专栏:尚国

SELinux(Security Enhanced Linux)是美国国家安全局2000年发布的一种高级MAC(Mandatory Access Control,强制访问控制)机制,用来预防恶意入侵。SELinux在DAC(Discretionary Access Control,自主访问控制)的基础上实现了强制访问控制,比如读、写和执行权限。

SElinux有三种模式,分别是Enforcing, permissive, disabled。

1. Enforcing,强制模式。该模式下会基于policy规则拒绝某些访问。

2. Permissive宽容模式。

3. Disabled,该模式下会关闭SELinux。

修改模式的默认配置文件为/etc/selinux/config。

改变SELinux模式

setenforce 1 设置SELinux 成为enforcing模式

setenforce 0 设置SELinux 成为permissive模式

运行$ getenforce可以看到当前运行模式:

代码语言:javascript
复制
$ getenforce

运行下面的命令切换到Permissive 模式

代码语言:javascript
复制
$ setenforce 0

运行下面命令从permissive模式切换到enforcing模式

代码语言:javascript
复制
$ setenforce 1

如果想要关闭SELinux,可以通过配置文件修改。

代码语言:javascript
复制
$ vi /etc/selinux/config
SELINUX=disabled

配置Selinux

每个文件或进程用SELinux上下文环境上下文环境中含有SELinux用户、角色、类型等额外的信息。如果第一次开启SELinux,需要配置上下文环境和标签。配置修复label和上下文环境的过程叫做relabeling。在relabeling时,首先要切换到permissive模式。

代码语言:javascript
复制
$ vi /etc/selinux/config
SELINUX=permissive

模式切换到permissive时,会在目录/directory下创建一个隐藏的名为autorelabel的文件。

代码语言:javascript
复制
$ touch /.autorelabel

重启机器

代码语言:javascript
复制
$ init 6

注:选择用permissive模式而不是enforcing模式的原因是,enforcing模式下进行relabeling可能会造成系统奔溃。

Relabeling完成且系统重启后,可以更改到enforcing模式,并运行

代码语言:javascript
复制
$ setenforce 1

这样就成功地配置并开启SELinux了。

监控日志

为了确保SELinux的正常运行,需要对日志进行监控。SELinux的日志文件保存在/var/log/audit/audit.log,日志文件中有很多条记录,但是检查错误信息时不需要阅读全部日志,有一个简单的工具是audit2why,运行下面的命令

代码语言:javascript
复制
$ audit2why < /var/log/audit/audit.log

输出文件就是错误信息。如果没有错误,那么就不会有输出。 

设定Selinux策略

SELinux策略是指导SELinux安全引擎的规则集。策略定义了特殊上下文环境下的规则集,下面是改变策略来允许对拒绝的服务的访问。

1. Booleans

Booleans允许运行时对策略进行改变而不需要写策略。这允许在不重新加载或者编译SELinux策略的同时,实现变化。 

例1:

如果想要通过FTP分享用户home目录的读写权限,我们已经分享了该目录,但是尝试访问时看不到该目录。这是因为SELinux策略阻止了FTP守护进程在用户Home目录进行读写。我们需要对SELinux策略进行改变,这样FTP就可以访问home目录了。我们利用Booleans来完成这个功能。

代码语言:javascript
复制
$ semanage boolean –l

该命令会生成一系列可用的Booleans和对应的实时状态和描述。可以通过grep命令找出关于ftp的结果:

代码语言:javascript
复制
$ semanage boolean –l | grep ftp
ftp_home_dir        -> off      允许ftp在用户目录下进行读写状态

则是off的状态,我们用setsebool来开启

代码语言:javascript
复制
$ setsebool ftp_home_dir on

现在ftp守护进程就可以访问用户的Home目录了。

getsebool -a也可以获取可用的Booleans列表,但是不会显示Boolean的描述。

2. Labelling &Context

这是在服务器上实施SElinux策略的最常用方法。每个文件、文件夹、进程、端口都被SELinux context标记。

对于文件和文件夹,标签是以文件系统的扩展属性存储的,可以通过下面的命令进行查看

代码语言:javascript
复制
$ ls –Z /etc/httpd

对于进程和端口,kernel负责管理标签,同样地,可以通过下面的命令查看对应的标签:

代码语言:javascript
复制
$ ps –auxZ | grephttpd (for process)
$ netstat –anpZ | grephttpd (for port)

例2:

我们有一个web服务器,文件目录是/home/dan/html而不是默认的/var/www/html,这样SELinux就会认为违反了策略,这样就不能访问web页面。这是因为还没有设定与html文件相关的安全上下文环境。可以用下面的命令来检查html文件的默认安全上下文环境;

代码语言:javascript
复制
$ ls –lz /var/www/html
 -rw-r—r—. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/

上面就是我们得到的html文件的安全上下文环境httpd_sys_content_t。同时需要设定当前目录 安全上下文环境为–rw-r—r—. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/。

另一个检查文件或者目录的安全上下文环境的命令为:

代码语言:javascript
复制
$ semanage fcontext -l | grep ‘/var/www’

当我们找到正确的安全上下文环境时,semanage命令同样可以用来改变安全上下文环境。可以用下面的semanage命令来改变/home/dan/html的安全上下文环境:

代码语言:javascript
复制
$ semanage fcontext -a -t httpd_sys_content_t ‘/home/dan/html(/.*)?’
$ semanage fcontext -l | grep ‘/home/dan/html’
/home/dan/html(/.*)? all files system_u:object_r:httpd_sys_content_t:s0
$ restorecon -Rv /home/dan/html

一旦semange操作改变了安全上下文环境,restorecon就会加载文件和目录的默认上下文环境。Web服务器就可以从/home/dan/html文件夹读取文件,同时,文件的安全上下文环境就变成http_sys_content_t了。

3. 创建本地策略

如果上面的访问不能生效,而且audit.log中出现错误消息。当这种情况出现的话,我们需要创建本地策略来解决那些错误信息。同时,可以用上面提到的audit2why查看错误信息。当获取错误后,就可以创建本地策略(Local policy)来解决这些错误。比如,我们获取了httpd或smbd错误,我们可以用grep查找错误信息,并创建安全策略。

代码语言:javascript
复制
$ grep httpd_t /var/log/audit/audit.log | audit2allow -M http_policy (for apache)
$ grep smbd_t /var/log/audit/audit.log | audit2allow -M smb_policy (for samba)

下面的http_policy和smb_policy是本地策略的名字。现在我们必须加载那些创建的本地策略到当前SELinux策略中,可以用semodule命令完成这个功能。

代码语言:javascript
复制
$ semodule –I http_policy.pp
$ semodule –I smb_policy.pp

这样本地策略就加载了,audit.log中也就不会有错误信息了。

本文参与 腾讯云自媒体同步曝光计划,分享自作者个人站点/博客。
原始发表:2018-05-31 ,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 作者个人站点/博客 前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档