Polecenie Linux SELinux: Wprowadzenie do zabezpieczeń systemu

W dzisiejszych czasach bezpieczeństwo systemów operacyjnych jest kluczowe. Wiele osób używa systemów opartych na Linuxie, ale nie wszyscy są świadomi zaawansowanych narzędzi, które mogą poprawić bezpieczeństwo ich maszyn. Jednym z takich narzędzi jest SELinux (Security-Enhanced Linux). W tym artykule przyjrzymy się, czym jest SELinux, jak działa oraz jak używać polecenia Linux SELinux w praktyce. Zapraszam do lektury!

Co to jest SELinux?

SELinux to technologia oparta na modelu kontroli dostępu, która zapewnia dodatkową warstwę ochrony systemów Linux. Jego głównym zadaniem jest zarządzanie i egzekwowanie polityk bezpieczeństwa, które decydują o tym, jakie operacje mogą być wykonywane przez użytkowników i aplikacje w systemie. SELinux kontroluje dostęp do plików, urządzeń, sieci i innych zasobów, wprowadzając zasady, które są bardziej restrykcyjne niż standardowe ustawienia uprawnień w systemie Linux.

W skrócie, SELinux dodaje dodatkowy poziom zabezpieczeń, zapobiegając nieautoryzowanym próbom dostępu do zasobów systemowych, nawet jeśli atakujący zdobędzie dostęp do konta użytkownika lub aplikacji. Jest to niezwykle ważne w środowiskach produkcyjnych, gdzie bezpieczeństwo jest na pierwszym miejscu.

Jak działa SELinux?

SELinux działa na zasadzie polityk, które definiują, kto (który proces lub użytkownik) może uzyskać dostęp do określonych zasobów systemowych. Wykorzystuje zaawansowaną kontrolę dostępu na poziomie obiektów (MAC - Mandatory Access Control), co pozwala na precyzyjne przypisanie uprawnień do procesów i plików. Dzięki temu nawet jeśli użytkownik lub proces ma wysokie uprawnienia, SELinux może ograniczyć jego dostęp do zasobów, jeśli nie jest to dozwolone przez politykę bezpieczeństwa.

W praktyce, SELinux kontroluje procesy w systemie, przypisując im odpowiednie konteksty bezpieczeństwa. Każdy plik i proces ma przypisany kontekst (tag), który decyduje o tym, czy dany proces ma prawo do dostępu do konkretnego zasobu. Jeśli dostęp jest niedozwolony, SELinux blokuje operację i zapisuje zdarzenie w logach systemowych.

Instalacja i wstępna konfiguracja SELinux

SELinux jest zazwyczaj preinstalowany na wielu dystrybucjach Linuxa, szczególnie w Red Hat i jej pochodnych (np. CentOS, Fedora). Jeśli jednak z jakiegoś powodu SELinux nie jest zainstalowany w Twoim systemie, możesz go łatwo zainstalować przy użyciu menedżera pakietów. Oto jak to zrobić:

• Na systemach opartych na Red Hat/CentOS/Fedora:

sudo yum install selinux-policy selinux-policy-targeted

• Na systemach Ubuntu/Debian:

sudo apt install selinux-utils selinux-policy-default

Po zainstalowaniu, należy włączyć SELinux. W pliku konfiguracyjnym /etc/selinux/config ustaw SELINUX=enforcing, aby wymusić egzekwowanie polityk SELinux. Możesz również ustawić tryb na permissive, aby tylko monitorować działania bez ich blokowania.

sudo vi /etc/selinux/config

Znajdź linię SELINUX=enforcing i upewnij się, że jest ustawiona na enforcing, a następnie zapisz plik i zrestartuj system:

sudo reboot

Podstawowe polecenie Linux SELinux

Po zainstalowaniu i skonfigurowaniu SELinux, warto zapoznać się z podstawowymi poleceniami, które pomogą zarządzać tym narzędziem. Oto kilka najczęściej używanych poleceń:

• Sprawdzanie statusu SELinux: Aby sprawdzić, w jakim trybie działa SELinux, użyj polecenia:

sestatus

Wynik pokaże, czy SELinux jest w trybie enforcing, permissive, czy disabled.

• Wymuszenie trybu SELinux: Aby włączyć SELinux w trybie wymuszającym, użyj polecenia:

sudo setenforce 1

W przypadku, gdy chcesz przełączyć SELinux w tryb monitorowania (permissive), użyj:

sudo setenforce 0

• Zmiana polityki SELinux: Polityki SELinux są przechowywane w katalogu /etc/selinux/. Aby zmienić politykę, wystarczy edytować odpowiedni plik konfiguracyjny lub użyć polecenia:

sudo semanage

• Tworzenie własnych polityk: Za pomocą narzędzia semanage, możesz również tworzyć własne polityki dla aplikacji, które działają w Twoim systemie. Przykładowo, aby dodać nową politykę:

sudo semanage fcontext -a -t httpd_sys_content_t "/var/www(/.*)?"

To polecenie przypisuje odpowiedni kontekst bezpieczeństwa dla plików serwera www.

Przykłady użycia polecenia Linux SELinux

Teraz, gdy mamy już podstawową wiedzę na temat SELinux, przyjrzyjmy się kilku praktycznym przykładom użycia polecenia Linux SELinux.

Przykład 1: Sprawdzanie kontekstów bezpieczeństwa plików

SELinux przypisuje konteksty bezpieczeństwa do wszystkich plików w systemie. Możesz sprawdzić kontekst pliku, używając polecenia ls z przełącznikiem -Z. Na przykład:

ls -Z /etc/passwd

Wynik pokaże kontekst bezpieczeństwa przypisany do pliku /etc/passwd. Kontekst ten jest kluczowy dla prawidłowego działania SELinux i określa, kto i w jaki sposób może uzyskać dostęp do pliku.

Przykład 2: Zmienianie kontekstów bezpieczeństwa plików

Jeśli chcesz zmienić kontekst bezpieczeństwa pliku lub katalogu, użyj polecenia chcon. Na przykład:

sudo chcon -t httpd_sys_content_t /var/www/html/index.html

To polecenie przypisuje plikowi /var/www/html/index.html kontekst httpd_sys_content_t, co pozwala na jego dostępność dla serwera WWW.

Przykład 3: Zmiana polityki bezpieczeństwa

Jeśli aplikacja lub proces wymaga specjalnych uprawnień, których nie posiada w domyślnej polityce SELinux, możesz zmodyfikować politykę, aby umożliwić dostęp. Na przykład, aby zezwolić aplikacji na dostęp do pliku w określonym katalogu, możesz użyć polecenia semanage, jak pokazano wcześniej.

Najczęstsze problemy z SELinux i ich rozwiązania

Chociaż SELinux jest potężnym narzędziem, mogą wystąpić problemy, szczególnie jeśli polityki są zbyt restrykcyjne. Oto kilka częstych problemów, które mogą wystąpić, oraz sposoby ich rozwiązania:

• Brak dostępu do plików: Jeśli aplikacja nie ma dostępu do niektórych plików, sprawdź, czy mają one odpowiedni kontekst bezpieczeństwa. Możesz to zrobić za pomocą polecenia ls -Z.
• Problem z logami: Jeśli chcesz sprawdzić, dlaczego SELinux zablokował dostęp, sprawdź logi systemowe w /var/log/audit/audit.log.

Podsumowanie

SELinux to niezwykle potężne narzędzie, które dodaje dodatkową warstwę bezpieczeństwa do systemów Linux. Dzięki precyzyjnej kontroli dostępu i egzekwowaniu polityk, SELinux pomaga chronić system przed atakami i nieautoryzowanym dostępem. W tym artykule omówiliśmy podstawowe polecenie Linux SELinux, jego konfigurację, przykłady użycia oraz sposoby rozwiązywania problemów. Teraz, mając tę wiedzę, możesz wykorzystać SELinux w swoim systemie, aby zwiększyć jego bezpieczeństwo!