SELinux på CentOS til servere

SELinux det er et linux kernelsikkerhedsmodul, det betyder Sikkerhedsforbedret Linux eller Linux med forbedret sikkerhed.
Dette Linux-sikkerhedsmodul, der giver forskellige sikkerhedspolitikker, herunder adgangskontroller, kan anvendes på Unix-lignende systemer som Linux og BSD.
Den kommer aktiveret i CentOS og i de fleste moderne distroer er det generelt aktiveret på servere.
Vi vil ikke se det som et desktop -program, men som et sikkerhedssystem på serveren, hvad Selinux gør, er hele tiden at kontrollere, om den fil, du forsøger at få adgang til, er gyldig og har tilladelse til at blive brugt af det program, der ønsker det kører.
Bortset fra at kontrollere filer styrer den også porte. En kontrolsag er, hvis vi prøver at starte en FTP -server, skal vi først give den de tilsvarende tilladelser, så serveren kan lytte på porten, ellers fungerer det ikke, normalt udføres denne konfiguration under installationen.
Vi går ud fra, at det allerede er installeret, og vi vil konfigurere det
SELinux har sin egen brugerdatabase, der er forbundet med den normale Linux -brugerdatabase. Identiteter bruges i både emner og objekter. Kun få SELinux -brugere er defineret: (kan angives med kommandoen 'semanage user -l'):
Vejviser / etc / selinux er hovedplaceringen for alle politikfiler samt hovedkonfigurationsfilen.
SELinux hjælpeprogrammer og programmer
Lad os se, hvad nogle af de hjælpeprogrammer, der oftest bruges af selinux
/ usr / bin / setenforce: ændrer måden selinux kører på i realtid. ved udførelse af setenforce 1 -kommandoen placeres selinux i skattemodus, det vil sige, at sikkerhedsreglerne vil være aktive. hvis vi kører setenforce 0, sættes selinux i tilladt tilstand.
For at deaktivere selinux skal du konfigurere parameteren i / etc / sysconfig / selinux eller sende parameteren
selinux = 0 til kernen, eller hvis vi vil have det fra operativsystemets opstart, tilføjer vi kommandoen til filen /etc/grub.conf.
/ usr / bin / sestatus -v- Få den omfattende status for et system, der kører selinux. Eksempel nedenfor viser et uddrag fra sestatus -output

 # sestatus SELinux status: aktiveret SELinuxfs mount: / selinux Aktuel tilstand: håndhævelse af tilstand fra konfigurationsfil: håndhævelse af politikversion: 21 Politik fra konfigurationsfil: målrettet 

Selinux har en grafisk grænseflade, men da den kan fjernstyres med ssh forklarer vi kommandoerne.

En vigtig kommando er getsebool, og den giver dig mulighed for at liste de politikker, der er defineret i SELinux, og bestemme, hvilke regler der er aktive eller inaktive. Fra terminalen skriver vi følgende kommando
getsebool -a | grep tekst
Teksten kan f.eks. Være en tjeneste eller et program, som vi ønsker

getsebool -a | grep ftp

For eksempel kan vi fra denne kommando opnå en status på ftp

 allow_ftpd_anon_write -> on // Tillad adgang til anonyme brugere af ftp på serveren allow_ftpd_full_access -> on // Tillad læsning og skrivning af filer ftp_home_dir -> on // Tillad bruger at få adgang til deres hjemmekataloger 

Vi skal kende hver service på vores server for at kunne kontrollere, hvad hver regel, som Selinux kontrollerer, er, og hvordan den er konfigureret.