SELinux सिस्टम एडमिनिस्ट्रेटर चीट शीट: 42 महत्वपूर्ण सवालों के जवाब

लेख का एक अनुवाद विशेष रूप से लिनक्स प्रशासक पाठ्यक्रम के छात्रों के लिए तैयार किया गया था।

---

यहां आपको जीवन, ब्रह्मांड और उस सभी के बारे में महत्वपूर्ण सवालों के जवाब मिल जाएंगे जो कि लिनक्स में सुरक्षा के साथ हैं।

"महत्वपूर्ण सच्चाई यह है कि चीजें हमेशा वही नहीं होती हैं जो वे अच्छी तरह से जानते हैं ..."

―डॉगलस एडम्स, द हिचहाइकर गाइड टू द गैलेक्सी

सुरक्षा। विश्वसनीयता में सुधार। अनुपालन। नीति। राजवंश के सर्वनाश के चार घुड़सवार। हमारे दैनिक कार्यों के अलावा - निगरानी, ​​बैकअप, कार्यान्वयन, कॉन्फ़िगर करना, अपडेट करना, आदि - हम अपने सिस्टम की सुरक्षा के लिए भी जिम्मेदार हैं। यहां तक ​​कि वे सिस्टम जहां एक तृतीय-पक्ष प्रदाता अनुशंसा करता है कि हम बढ़ी हुई सुरक्षा को बंद कर देते हैं। यह मिशन इम्पॉसिबल से एथन हंट के काम के समान है।

इस दुविधा का सामना करते हुए, कुछ सिस्टम प्रशासक नीले रंग की गोली लेने का फैसला करते हैं क्योंकि उन्हें लगता है कि वे जीवन के बड़े सवाल, ब्रह्मांड और उस सब के जवाब को कभी नहीं जान पाएंगे। और, जैसा कि हम सभी जानते हैं, यह उत्तर 42 है।

"हिचहाइकर गाइड टू द गैलेक्सी" की भावना में, आपके सिस्टम पर SELinux के प्रबंधन और उपयोग के बारे में महत्वपूर्ण सवालों के 42 उत्तर दिए गए हैं।

1. SELinux एक मजबूर अभिगम नियंत्रण प्रणाली है, जिसका अर्थ है कि प्रत्येक प्रक्रिया में एक लेबल होता है। प्रत्येक फ़ाइल, निर्देशिका और सिस्टम ऑब्जेक्ट में टैग भी होते हैं। नीति नियम लेबल प्रक्रियाओं और वस्तुओं के बीच पहुंच को नियंत्रित करते हैं। कर्नेल इन नियमों को लागू करता है।

2. दो सबसे महत्वपूर्ण अवधारणाएं हैं: लेबलिंग - लेबलिंग (फाइलें, प्रक्रियाएं, पोर्ट्स, आदि) और टाइप प्रवर्तन (जो प्रक्रियाओं को एक दूसरे से प्रकारों के आधार पर अलग करती है)।

3. सही लेबल प्रारूप user:role:type:level (वैकल्पिक)।

4. मल्टी लेवल सिक्योरिटी (MLS ) प्रदान करने का लक्ष्य डेटा के सुरक्षा स्तर के आधार पर प्रक्रियाओं (डोमेन) का प्रबंधन करना है जिसका वे उपयोग करेंगे। उदाहरण के लिए, एक गुप्त प्रक्रिया शीर्ष-गुप्त डेटा को नहीं पढ़ सकती है।

5. मल्टी-श्रेणी सुरक्षा (MCS ) सुनिश्चित करना एक-दूसरे से समान प्रक्रियाओं की रक्षा करता है (उदाहरण के लिए, वर्चुअल मशीन, ओपनशिफ्ट तंत्र, SELinux सैंडबॉक्स, कंटेनर, आदि)।

6. बूट पर SELinux मोड बदलने के लिए कर्नेल पैरामीटर:

• autorelabel=1 सिस्टम को फिर से अंकन शुरू करने के लिए मजबूर करता है
• selinux=0 कर्नेल SELinux अवसंरचना को लोड नहीं करता है
• enforcing=0 अनुमति मोड में लोड करना

7. यदि आपको पूरी प्रणाली को फिर से चिह्नित करने की आवश्यकता है:

# touch /.autorelabel
#reboot

यदि सिस्टम मार्किंग में बड़ी संख्या में त्रुटियां हैं, तो आपको सफल होने के लिए मार्किंग के लिए अनुमति मोड में बूट करना पड़ सकता है।

8. यह जांचने के लिए कि क्या SELinux सक्षम है: # getenforce

9. SELinux को अस्थायी रूप से सक्षम / अक्षम करने के लिए: # setenforce [1|0]

10. SELinux स्टेटस की जाँच करना: # sestatus

11. कॉन्फ़िगरेशन फ़ाइल: /etc/selinux/config

12. SELinux कैसे काम करता है? यहाँ अपाचे वेब सर्वर के लिए एक नमूना लेबलिंग है:

• बाइनरी प्रतिनिधित्व: /usr/sbin/httpd→httpd_exec_t
• कॉन्फ़िगरेशन निर्देशिका: /etc/httpd→httpd_config_t
• लॉग फ़ाइल निर्देशिका: /var/log/httpd → httpd_log_t
• सामग्री निर्देशिका: /var/www/html → httpd_sys_content_t
• लॉन्च स्क्रिप्ट: /usr/lib/systemd/system/httpd.service → httpd_unit_file_d
• प्रक्रिया: /usr/sbin/httpd -DFOREGROUND → httpd_t
• पोर्ट: 80/tcp, 443/tcp → httpd_t, http_port_t

httpd_t के संदर्भ में चल रही एक प्रक्रिया httpd_t लेबल वाली एक वस्तु के साथ बातचीत कर सकती है।

13. कई कमांड संदर्भ को देखने, बनाने और बदलने के लिए -Z तर्क को स्वीकार करते हैं:

• ls -Z
• id -Z
• ps -Z
• netstat -Z
• cp -Z
• mkdir -Z

जब उनकी मूल निर्देशिका (कुछ अपवादों के साथ) के संदर्भ के आधार पर फ़ाइलें बनाई जाती हैं, तो संदर्भ सेट किए जाते हैं। RPM संस्थापन के दौरान संदर्भ सेट कर सकते हैं।

14. SELinux त्रुटियों के चार मुख्य कारण हैं, जिन्हें नीचे 15-21 पैराग्राफ में अधिक विस्तार से वर्णित किया गया है:

• लेबलिंग समस्याएँ
• कुछ के कारण SELinux को जानना आवश्यक है
• SELinux नीति / आवेदन में त्रुटि
• आपकी जानकारी से समझौता किया जा सकता है।

15. अंकन में समस्या : यदि आपकी फ़ाइलें /srv/myweb गलत रूप से चिह्नित /srv/myweb , तो एक्सेस से इनकार किया जा सकता है। इसे ठीक करने के कुछ तरीके इस प्रकार हैं:

• यदि आप लेबल जानते हैं:
  # semanage fcontext -a -t httpd_sys_content_t '/srv/myweb(/.*)?'
• यदि आप समतुल्य चिह्नों वाली फाइल जानते हैं:
  # semanage fcontext -a -e /srv/myweb /var/www
• संदर्भ को बहाल करना (दोनों मामलों के लिए):
  # restorecon -vR /srv/myweb

16. मार्किंग की समस्या: यदि आप फाइल को कॉपी करने के बजाय स्थानांतरित करते हैं, तो फाइल अपने मूल संदर्भ को बरकरार रखेगी। इस समस्या को ठीक करने के लिए:

• लेबल के संदर्भ कमांड बदलें:
  # chcon -t httpd_system_content_t /var/www/html/index.html
• लिंक लेबल के साथ संदर्भ कमांड बदलें:
  # chcon --reference /var/www/html/ /var/www/html/index.html
• संदर्भ को पुनर्स्थापित करें (दोनों मामलों के लिए): # restorecon -vR /var/www/html/

17. अगर SELinux को यह जानना है कि HTTPD पोर्ट 8585 पर सुन रहा है, तो SELinux को बताएं:

# semanage port -a -t http_port_t -p tcp 8585

18. SELinux को उन बूलियन मानों को जानना होगा जो आपको SELinux नीतियों के पुनर्लेखन के बिना रनटाइम पर SELinux नीति के कुछ हिस्सों को बदलने की अनुमति देते हैं। उदाहरण के लिए, यदि आप httpd को ईमेल भेजना चाहते हैं, तो दर्ज करें: # setsebool -P httpd_can_sendmail 1

19. SELinux सेटिंग्स को सक्षम / निष्क्रिय करने के लिए SELinux को तार्किक मान जानने की आवश्यकता है :

• सभी बूलियन मूल्यों को देखने के लिए: # getsebool -a
• प्रत्येक का विवरण देखने के लिए: # semanage boolean -l
• बूलियन मान सेट करने के लिए: # setsebool [_boolean_] [1|0]
• स्थायी स्थापना के लिए, -P । उदाहरण के लिए: # setsebool httpd_enable_ftp_server 1 -P

20. SELinux नीतियों / अनुप्रयोगों में त्रुटियां हो सकती हैं, जिनमें शामिल हैं:

• फैंसी कोड पथ
• विन्यास
• रीडायरेक्ट स्टडआउट
• फ़ाइल डिस्क्रिप्टर लीक
• निष्पादन योग्य स्मृति
• पूरी तरह से निर्मित पुस्तकालय

खुले टिकट (बुगज़िला को रिपोर्ट न भेजें; बुगज़िला में कोई SLA नहीं है)।

21. यदि आपके पास सीमित डोमेन हैं, तो आपकी जानकारी से समझौता किया जा सकता है :

• कर्नेल मॉड्यूल डाउनलोड करें
• लागू SELinux मोड अक्षम करें
• etc_t/shadow_t में लिखें
• Iptables नियम बदलें

22. नीति मॉड्यूल विकसित करने के लिए SELinux टूल:

# yum -y install setroubleshoot setroubleshoot-server

स्थापना के बाद रिबूट या पुनरारंभ auditd ।

23. उपयोग करें

 journalctl 

setroubleshoot जुड़े सभी लॉग को सूचीबद्ध करने के लिए:

# journalctl -t setroubleshoot --since=14:20

24. किसी विशेष SELinux लेबल के साथ जुड़े सभी लॉग को सूचीबद्ध करने के लिए journalctl का उपयोग करें। उदाहरण के लिए:

# journalctl _SELINUX_CONTEXT=system_u:system_r:policykit_t:s0

25. यदि एक SELinux त्रुटि होती है, तो कुछ संभावित समाधानों के साथ setroubleshoot लॉग का उपयोग करें।
उदाहरण के लिए, journalctl :

 Jun 14 19:41:07 web1 setroubleshoot: SELinux is preventing httpd from getattr access on the file /var/www/html/index.html. For complete message run: sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755e # sealert -l 12fd8b04-0119-4077-a710-2d0e0ee5755e SELinux is preventing httpd from getattr access on the file /var/www/html/index.html. ***** Plugin restorecon (99.5 confidence) suggests ************************ If you want to fix the label, /var/www/html/index.html default label should be httpd_syscontent_t. Then you can restorecon. Do # /sbin/restorecon -v /var/www/html/index.html 

26. लॉगिंग: SELinux कई स्थानों पर जानकारी दर्ज करता है:

• / var / लॉग / संदेश
• /var/log/audit/audit.log
• /var/lib/setroubleshoot/setroubleshoot_database.xml

27. लॉगिंग: ऑडिट लॉग में SELinux त्रुटियों की खोज:

# ausearch -m AVC,USER_AVC,SELINUX_ERR -ts today

28. किसी विशिष्ट सेवा के लिए SELinux Access वेक्टर कैश (AVC) संदेशों को खोजने के लिए:

# ausearch -m avc -c httpd

29. audit2allow उपयोगिता निषिद्ध संचालन के लॉग से जानकारी एकत्र करती है, और उसके बाद SELinux अनुमति नीति नियम बनाती है। उदाहरण के लिए:

• अस्वीकृत पहुंच के कारण का एक पठनीय विवरण बनाने के लिए: # audit2allow -w -a
• एक प्रकार का प्रवर्तन नियम देखने के लिए जो अस्वीकृत उपयोग की अनुमति देता है: # audit2allow -a
• एक कस्टम मॉड्यूल बनाने के लिए: # audit2allow -a -M mypolicy
• -M विकल्प निर्दिष्ट नाम के साथ एक प्रकार की प्रवर्तन फ़ाइल (.te) बनाता है और नियम को नीति पैकेज (.pp) में संकलित करता है: mypolicy.pp mypolicy.te
• एक कस्टम मॉड्यूल स्थापित करने के लिए: # semodule -i mypolicy.pp

30. अनुमेय मोड में काम करने के लिए एक अलग प्रक्रिया (डोमेन) कॉन्फ़िगर करने के लिए: # semanage permissive -a httpd_t

31. यदि आप अब डोमेन को अनुमति नहीं देना चाहते हैं: तो # semanage permissive -d httpd_t

32. सभी अनुमेय डोमेन को निष्क्रिय करने के लिए: # semodule -d permissivedomains

33. MLS SELinux नीति सक्षम करना: # yum install selinux-policy-mls
/etc/selinux/config:

SELINUX=permissive
SELINUXTYPE=mls # yum install selinux-policy-mls
/etc/selinux/config:

SELINUX=permissive
SELINUXTYPE=mls

सुनिश्चित करें कि SELinux परमिशन मोड में है: # setenforce 0
अगले रिबूट के दौरान फ़ाइलों को फिर से चिह्नित किया जाएगा यह सुनिश्चित करने के लिए fixfiles स्क्रिप्ट का उपयोग करें:

# fixfiles -F onboot # reboot

34. एक विशिष्ट MLS रेंज वाला एक उपयोगकर्ता बनाएं: # useradd -Z staff_u john

useradd कमांड का उपयोग useradd , नए उपयोगकर्ता को मौजूदा SELinux उपयोगकर्ता (इस मामले में, staff_u ) में staff_u ।

35. SELinux और Linux उपयोगकर्ताओं के बीच पत्राचार को देखने के लिए: # semanage login -l

36. उपयोगकर्ता के लिए एक विशिष्ट श्रेणी को परिभाषित करें: # semanage login --modify --range s2:c100 john

37. उपयोगकर्ता के होम डायरेक्टरी में लेबल को सही करने के लिए (यदि आवश्यक हो): # chcon -R -l s2:c100 /home/john

38. वर्तमान श्रेणियों को देखने के लिए: # chcat -L

39. श्रेणियां बदलने के लिए या अपना स्वयं का निर्माण शुरू करने के लिए, फ़ाइल को निम्नानुसार संपादित करें:

/etc/selinux/_< selinuxtype > _/setrans.conf

40. एक विशिष्ट फ़ाइल, भूमिका और उपयोगकर्ता संदर्भ में एक कमांड या स्क्रिप्ट चलाने के लिए:

# runcon -t initrc_t -r system_r -u user_u yourcommandhere

• -t फ़ाइल संदर्भ
• -r भूमिका संदर्भ
• -u संदर्भ

41. विकलांगों के साथ काम करने वाले कंटेनर:

• पॉडमैन: # podman run --security-opt label=disable …
• Docker: # docker run --security-opt label=disable …

42. यदि आपको सिस्टम में कंटेनर को पूर्ण एक्सेस देने की आवश्यकता है:

• पोडमैन: # podman run --privileged …
• # docker run --privileged … : # docker run --privileged …

और अब आप पहले से ही जवाब जानते हैं। इसलिए, कृपया: घबराएं नहीं और SELinux चालू करें।

संदर्भ:

• डेन वॉल्श द्वारा SELinux
• अपने दृश्य कैसे SELinux नीति प्रवर्तन के लिए मार्गदर्शन करने के लिए भी दान वाल्श द्वारा
• थॉमस कैमरन द्वारा महज नश्वरता के लिए सुरक्षा संवर्धित लिनक्स
• मैरिन डफी द्वारा SELinux रंग पुस्तक
• SELinux उपयोगकर्ता और व्यवस्थापक गाइड - Red Hat Enterprise Linux 7