SELinux初学者指南

ang010ela 技术 2018年5月30日发布
Favorite收藏

导语:SELinux在自主访问控制的基础上实现了强制访问控制,在系统运维中非常有用。本文是一些简单常用命令的讲解。

SELinux(Security Enhanced Linux)是美国国家安全局2000年发布的一种高级MAC(Mandatory Access Control,强制访问控制)机制,用来预防恶意入侵。SELinux在DAC(Discretionary Access Control,自主访问控制)的基础上实现了强制访问控制,比如读、写和执行权限。

SElinux有三种模式,分别是Enforcing, permissive, disabled。

1. Enforcing,强制模式。该模式下会基于policy规则拒绝某些访问。

2. Permissive宽容模式。

3. Disabled,该模式下会关闭SELinux。

修改模式的默认配置文件为/etc/selinux/config。

改变SELinux模式

setenforce 1 设置SELinux 成为enforcing模式

setenforce 0 设置SELinux 成为permissive模式

运行$ getenforce可以看到当前运行模式:

$ getenforce

运行下面的命令切换到Permissive 模式

$ setenforce 0

运行下面命令从permissive模式切换到enforcing模式

$ setenforce 1

如果想要关闭SELinux,可以通过配置文件修改。

$ vi /etc/selinux/config
SELINUX=disabled

配置Selinux

每个文件或进程用SELinux上下文环境上下文环境中含有SELinux用户、角色、类型等额外的信息。如果第一次开启SELinux,需要配置上下文环境和标签。配置修复label和上下文环境的过程叫做relabeling。在relabeling时,首先要切换到permissive模式。

$ vi /etc/selinux/config
SELINUX=permissive

模式切换到permissive时,会在目录/directory下创建一个隐藏的名为autorelabel的文件。

$ touch /.autorelabel

重启机器

$ init 6

注:选择用permissive模式而不是enforcing模式的原因是,enforcing模式下进行relabeling可能会造成系统奔溃。

Relabeling完成且系统重启后,可以更改到enforcing模式,并运行

$ setenforce 1

这样就成功地配置并开启SELinux了。

监控日志

为了确保SELinux的正常运行,需要对日志进行监控。SELinux的日志文件保存在/var/log/audit/audit.log,日志文件中有很多条记录,但是检查错误信息时不需要阅读全部日志,有一个简单的工具是audit2why,运行下面的命令

$ audit2why < /var/log/audit/audit.log

输出文件就是错误信息。如果没有错误,那么就不会有输出。 

设定Selinux策略

SELinux策略是指导SELinux安全引擎的规则集。策略定义了特殊上下文环境下的规则集,下面是改变策略来允许对拒绝的服务的访问。

1. Booleans

Booleans允许运行时对策略进行改变而不需要写策略。这允许在不重新加载或者编译SELinux策略的同时,实现变化。 

例1:

如果想要通过FTP分享用户home目录的读写权限,我们已经分享了该目录,但是尝试访问时看不到该目录。这是因为SELinux策略阻止了FTP守护进程在用户Home目录进行读写。我们需要对SELinux策略进行改变,这样FTP就可以访问home目录了。我们利用Booleans来完成这个功能。

$ semanage boolean –l

该命令会生成一系列可用的Booleans和对应的实时状态和描述。可以通过grep命令找出关于ftp的结果:

$ semanage boolean –l | grep ftp
ftp_home_dir        -> off      允许ftp在用户目录下进行读写状态

则是off的状态,我们用setsebool来开启

$ setsebool ftp_home_dir on

现在ftp守护进程就可以访问用户的Home目录了。

getsebool -a也可以获取可用的Booleans列表,但是不会显示Boolean的描述。

2. Labelling &Context

这是在服务器上实施SElinux策略的最常用方法。每个文件、文件夹、进程、端口都被SELinux context标记。

对于文件和文件夹,标签是以文件系统的扩展属性存储的,可以通过下面的命令进行查看

$ ls –Z /etc/httpd

对于进程和端口,kernel负责管理标签,同样地,可以通过下面的命令查看对应的标签:

$ ps –auxZ | grephttpd (for process)
$ netstat –anpZ | grephttpd (for port)

例2:

我们有一个web服务器,文件目录是/home/dan/html而不是默认的/var/www/html,这样SELinux就会认为违反了策略,这样就不能访问web页面。这是因为还没有设定与html文件相关的安全上下文环境。可以用下面的命令来检查html文件的默认安全上下文环境;

$ ls –lz /var/www/html
 -rw-r—r—. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/

上面就是我们得到的html文件的安全上下文环境httpd_sys_content_t。同时需要设定当前目录 安全上下文环境为–rw-r—r—. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/。

另一个检查文件或者目录的安全上下文环境的命令为:

$ semanage fcontext -l | grep ‘/var/www’

当我们找到正确的安全上下文环境时,semanage命令同样可以用来改变安全上下文环境。可以用下面的semanage命令来改变/home/dan/html的安全上下文环境:

$ semanage fcontext -a -t httpd_sys_content_t ‘/home/dan/html(/.*)?’
$ semanage fcontext -l | grep ‘/home/dan/html’
/home/dan/html(/.*)? all files system_u:object_r:httpd_sys_content_t:s0
$ restorecon -Rv /home/dan/html

一旦semange操作改变了安全上下文环境,restorecon就会加载文件和目录的默认上下文环境。Web服务器就可以从/home/dan/html文件夹读取文件,同时,文件的安全上下文环境就变成http_sys_content_t了。

3. 创建本地策略

如果上面的访问不能生效,而且audit.log中出现错误消息。当这种情况出现的话,我们需要创建本地策略来解决那些错误信息。同时,可以用上面提到的audit2why查看错误信息。当获取错误后,就可以创建本地策略(Local policy)来解决这些错误。比如,我们获取了httpd或smbd错误,我们可以用grep查找错误信息,并创建安全策略。

$ grep httpd_t /var/log/audit/audit.log | audit2allow -M http_policy (for apache)
$ grep smbd_t /var/log/audit/audit.log | audit2allow -M smb_policy (for samba)

下面的http_policy和smb_policy是本地策略的名字。现在我们必须加载那些创建的本地策略到当前SELinux策略中,可以用semodule命令完成这个功能。

$ semodule –I http_policy.pp
$ semodule –I smb_policy.pp

这样本地策略就加载了,audit.log中也就不会有错误信息了。

本文翻译自:http://linuxtechlab.com/beginners-guide-to-selinux/如若转载,请注明原文地址: http://www.4hou.com/technology/9481.html
点赞 2
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论