Secure Linux partea 2

Faza pregătitoare

Pentru a înțelege mai bine principiile de securitate Enhanced Linux funcționează, este recomandabil să se încerce să lucreze cu el pe un sistem real. Desigur, nu este necesar să se experimenteze pe servere critice și să se angajeze în recuperare (sau chiar reinstalați!) Calculator sistem de operare acasă, în cazul apariției unor surprize neplăcute, de asemenea, nu este de dorit. Pentru astfel de cazuri, există o soluție dovedită: pentru a se evita accidentele inutile toate experimentele cu SELinux este cel mai bine într-o mașină virtuală (de exemplu, VirtualBox, a se vedea secțiunea 7, secțiunea Resurse ..).

În continuare, aveți nevoie pentru a determina distribuția adecvată, deși este acum aproape toate distribuțiile Linux populare implicit furnizează kernel-ul cu suport SELinux. În cel mai rău caz, tot ce trebuie să faceți - este de a instala instrumente suplimentare și sistem de management profile standard, asigură un control de acces obligatoriu. Se crede că SELinux oferă un foarte bun nivel de securitate, dar la un cost destul de ridicat forței de muncă. Prin urmare, utilizarea SELinux este recomandat numai pentru servere critice care furnizează sisteme complexe de informații și funcționează informații sensibile. Ca o distribuție pentru experimentele cu sistemul de sprijin de control al accesului obligatoriu ar trebui să fie ales platforma, axat pe punerea în aplicare a sarcinilor de server. Exemplele prezentate în această lucrare, se va realiza pe distribuția CentOS 5.5 (a se vedea. P. 8 resurse). Cu toate acestea, puteți utiliza orice distribuție Linux care acceptă SELinux de sprijin de control al accesului obligatoriu (în absența unui sprijin din partea puteți compila propriul nucleu din partea dezvoltatorilor de distribuție întotdeauna SELinux). Diferențele probabil în performanța echipelor și a lucrărilor cu subsistemul de securitate în comparație cu punerea în aplicare de referință va fi mic.

Următoarea etapă de formare - este instalarea sistemului de operare. Prima întâlnire cu Security-Enhanced Linux se va întâmpla atunci când configurarea finală CentOS, așa cum se arată în figura 1.

Figura 1. Configurarea setărilor SELinux la instalarea CentOS 5.5

În această etapă, puteți selecta una din cele trei moduri de SELinux:

• dezactiva (Dezactivat Eng OFF Mode ().) SELinux;
• Restricții de utilizare (modul Asigurarea respectării (Engl activă).);
• stabili numai încălcarea în fișierul jurnal (modul permisiv (Eng. Opțional)).

Puteți selecta imediat executare. Cu toate acestea, în orice caz, setările pot fi schimbate în activitatea viitoare.

SELinux: Moduri

După instalarea sistemului de operare, puteți începe experimentarea cu subsistemul oferă control acces obligatoriu. Dar mai întâi trebuie să vă asigurați că SELinux funcționează cu adevărat. Acest lucru se face cu ajutorul unui instrument special de sestatus. așa cum se arată în Listarea 1 (a se vedea bara laterală „, variabila mediu PATH».):

Listarea 1. Verificați starea SELinux

variabila de mediu PATH

Dacă utilizați o altă distribuție Linux, dar sestatus echipa încă nu este disponibil, atunci problema poate consta in lipsa pachetului necesar. Pentru a elimina necesitatea de a găsi în depozitele pentru un pachet numit policycoreutils.

sestatus de utilitate indică faptul că subsistemul SELinux activat (statusul SELinux: activat), modul de restricții implicate (modul actual: aplicarea) și politica de securitate este utilizat, numit vizate.

Toți acești parametri sunt setate în fișierul de configurare / etc / SELinux / config. Modul de limitare curent este indicat în parametrul SELINUX. Pentru a dezactiva SELinux, specificați suficient pentru această setare dezactivată.

Așa cum am menționat mai devreme, există trei moduri de funcționare a SELinux, care poate fi specificată în parametrul corespunzător al fișierului de configurare:

• Aplicarea. Selectarea acestei opțiuni va duce la aplicarea politicii actuale SELinux, astfel, va bloca toate acțiunile care încalcă politica. Informații despre a blocat acțiunile înregistrate în fișierul jurnal. Modul de executare poate fi modificat fără a restarta sistemul.
• Permisivă. Cu această opțiune syslog modul înregistrat încercări de a executa acțiuni care contravin politicii de securitate actuale, dar nu există nici un bloc de acțiune reală. modul permisiv. de obicei folosit pentru a depana reguli de acces. Modificarea acestui mod de la orice alta și nu necesită o repornire.
• Pentru persoane cu handicap. Valoarea în stabilirea completă a SELinux fișierul de configurare dezactivează subsistemul oferă control acces obligatoriu. Atunci când activați SELinux în orice mod, trebuie să reinstalați etichetele de securitate în sistemul de fișiere (de obicei, acest lucru se face în procesul de repornire a sistemului și poate dura câteva minute).

În modurile de aplicarea și stochează mesajele Permisiv SELinux în fișierul jurnal al acțiunii blocate în numele AVC (Access Vector Cache). Cu toate acestea, diferența dintre aceste moduri, în plus față de blocarea și autorizarea de acte contrare politicii de securitate constă în faptul că în modul de executare. că fără a supraîncărca de mesaje, fișier de informații sunt înregistrate numai pe prima încălcare a permite acest subiect de câmp. În modul Permisivă ține o evidență a fiecăreia dintre aceste tulburări, astfel încât acest mod este convenabil pentru politica de securitate de depanare.

Pentru a comuta între modurile și setenforce permisivă Aplicarea prevederilor fără a restarta utilitarul poate utiliza sistemul de operare. Dacă executați Aplicarea prevederilor setenforce sau setenforce 1. SELinux este în modul comutator Aplicarea. setenforce Echipa permisivă sau setenforce 0 traduce in modul permisiv. Această schimbare nu are nici un efect asupra fișierului de configurare SELinux, astfel încât după repornirea sistemului de sprijin obligatorii de control al accesului revine la modul specificat în fișierul / etc / selinux / config. Există, de asemenea, o echipa getenforce. care afișează un rezumat al modului ce funcționează SELinux în acest moment:

Modurile de operare SELinux pot fi controlate și prin parametrii kernel-ului Linux. Parametrul selinux = 0 este echivalent cu valoarea Disabled configurație SELinux și = 0 și Aplicarea prevederilor = 1 va încărca aplicarea eficientă a sistemului de operare SELinux, situată în modul Permisivă sau respectiv Executarea. Dacă observați că SELinux permanent oprit sau descărcat în modul permisivă, indiferent de valorile parametrilor din fișierul de configurare / etc / selinux / config, atunci sursa problemei, vă puteți uita în încărcătorul de boot. Un parametru ce specifică acest comportament SELinux, puteți găsi în fișierul /boot/grub/grub.conf.

Politica de securitate SELinux

SELinux plus față de modul de funcționare de bază se referă, de asemenea, parametrul SELINUXTYPE setarea subsistemului furnizarea de control al accesului obligatoriu. indicând ce trebuie să fie utilizate fel de politică de securitate. Având în vedere complexitatea sistemului, dezvoltatorii SELinux și experți independenți a fost creată o serie de politici de securitate standard pentru sistemul obligatoriu de control al accesului. Depozitele CentOS pot fi găsite patru pachete care conțin o varietate de politici de securitate, care va fi discutat în detaliu mai jos:

Instalarea pachetele în directorul / etc / selinux politici pentru fiecare dintre subdirectoarele sunt create, care sunt situate în fișierele de configurare corespunzătoare, așa cum se arată în Listarea 2.

Listarea 2. fișiere Configurația politicii de securitate SELinux

În cazul în care toate cele patru pachete, atunci schimbarea în setările politicii de securitate SELINUXTYPE, puteți specifica una dintre valorile au fost stabilite: vizate. stricte. mls. mypolicy și reporniți calculatorul (în acest caz, este de dorit SELINUX a lucrat modul permisiv). Atunci când este încărcat SELinux automat va pune în etichetele sistemul de fișiere necesare corespunzătoare politicii de securitate selectată. În unele distribuții Linux pentru aranjarea etichetelor de securitate trebuie să repornim pentru a crea sistemul de fișiere rădăcină (/), un fișier gol numit .autorelabel. așa cum se arată mai jos:

Politica de securitate orientată

Scopul politicilor specifice - pentru a proteja sistemul de operare de la procesele de sistem, transmite și primește mesaje prin intermediul serviciilor de rețea (de exemplu, NFS, DNS, HTTP). Aceste procese sunt cele mai frecvente ținte pentru atacuri rău intenționate, deoarece există practic orice server și se face de obicei cu privilegii de root ale utilizatorului. Ca parte a sistemului procesează politica de securitate a activității vizate a fost limitată, lăsând aplicații personalizate neschimbate.

Politica minimă de securitate

Politica minimă de securitate a fost elaborat pe baza unor politici orientate în mod special pentru utilizatorii care doresc să practice în crearea propriilor politici de SELinux. În plus, această politică de securitate este utilizat pentru a promova SELinux pentru dispozitive mobile și încorporate.

Politica minimă conține aceleași module ca politica vizate. dar nu le folosesc. Inițial, SELinux nu limitează nici de securitate obiecte, dar puteți, de exemplu, pentru a instala un modul de monitorizare Apache. Cu toate acestea, în acest fel se poate ascunde diverse probleme: de exemplu, dacă instalați doar modulul pentru sistemul de monitorizare Apache, care se execută, de asemenea, Baze de date MySQL, The SELinux nu va permite procesul Apache să se conecteze la baza de date. În acest caz, trebuie să configurați explicit permisiunile necesare în politica de securitate, sau pentru a instala un modul opțional pentru controlul MySQL. Cu toate acestea, politica minimă este bună „Sandbox“ pentru experimente cu SELinux.

politică strictă de securitate

La celălalt capăt este o politică strictă - cea mai strictă a tuturor politicilor de securitate standard. Aceasta limitează activitățile nu numai sistemul, dar procesele de utilizator.

Desigur, putem spune că acest mod este potrivit pentru protecția sistemului de operare, care nu mai este nevoie să se adapteze configurația. Dar este necesar să se gândească la tot binele înainte de a utiliza politica de stricte de securitate într-un sistem real.

mls Politica de securitate

Politica de securitate MLS a fost dezvoltat special pentru servere în timpul realizarea distribuții, Fedora Core 5 și Red Hat Enterprise Linux 5. Unul dintre obiectivele principale ale MLS, atunci când crearea de politici de securitate. - pentru a permite sistemului de operare bazat pe Linux pentru a fi certificate EAL4 + / LSPP (a se vedea caseta «MLS / EA4 + / LSPP».).

Politica MLS conține nu numai reguli, care indică ce obiecte de securitate pot efectua anumite acțiuni, și ceea ce pot face, este la un anumit nivel de securitate. În MLS, există, de asemenea, două caracteristici suplimentare de securitate: importanța (sensibilitate), care este exprimată într-un interval de S0 la S15. și oportunități (capacități) - de la c0 la c255. Acest lucru oferă posibilități suplimentare pentru realizarea unui sistem de securitate multi-nivel bazat pe SELinux.

concluzie

În următorul articol din această serie, „Secure Linux» continuă povestea sistemului de sprijin de securitate îmbunătățită de control al accesului obligatoriu Linux, care este considerat unul dintre cele mai puternice și fiabilă a tuturor sistemelor de siguranță publică. În ultimul articol din serie (vezi. P. secțiunea 1.5 Resurse) să ia în considerare istoria de formare și dezvoltare a SELinux. În acest articol, studiul pune sub semnul întrebării a fost inițiată utilizarea directă a sistemului de securitate. Deci, sa considerat în detaliu SELinux activa sau dezactiva întrebări prin intermediul comenzilor setenforce și selinux = 0 pentru transmiterea parametrilor și asigurarea respectării = 0 direct în nucleul Linux. Acest ultim aspect este crucial, deoarece permite dezactivarea SELinux, vă dacă setați modul de executare pentru o politică de securitate nu a reușit. În plus față de includerea / SELinux Întreruperile subsistemului au fost luate în considerare pe scurt politica de securitate standard (minim. Țintite. Stricte, și mls), distribuite prin distribuții Linux depozite.

Articolul următor va continua să studieze sistemul de securitate obligatorie securitate îmbunătățită de control al accesului Linux, cu un accent pe studiul creației existente și a unor noi norme pentru politica de securitate.