Biztonságos linux 2. rész

Az előkészítő szakasz

Hogy jobban megértsük az elvek Security-Enhanced Linux működik, célszerű kipróbálni vele dolgozni egy valós rendszer. Természetesen nem szükséges, hogy a kísérlet a kritikus szerverek, és vegyen részt a helyreállítási (vagy akár újratelepíteni!) Operációs rendszer otthoni számítógép esetén előfordulása semmilyen kellemetlen meglepetés is, nem kívánatos. Ilyen esetekben van egy bevált megoldás: annak érdekében, hogy elkerüljék a felesleges balesetek valamennyi kísérletben SELinux legjobb módja egy virtuális gép (pl VirtualBox, lásd 7. szakasz Resources ..).

Ezután meg kell határoznia a megfelelő elosztása, bár ma már szinte az összes népszerű Linux disztribúció alapértelmezett biztosítja a kernel SELinux támogatást. A legrosszabb esetben, csak annyit kell tennie -, hogy telepíteni további eszközöket és irányítási rendszer szabvány profilokkal kötelező hozzáférés-vezérlés. Úgy véljük, hogy SELinux egy nagyon jó szintű biztonságot, de meglehetősen magas munkaerő-költségek. Ezért a SELinux ajánlott csak a küldetés-kritikus szerverek a komplex információs rendszerek és működteti az érzékeny információkat. Ennek eloszlása ​​a kísérleteket a rendszer támogatja a kötelező hozzáférés-szabályozás kell választani platform, középpontjában a végrehajtásáról kiszolgáló feladatokat. A bemutatott példák ebben a tanulmányban, el kell végezni az elosztó CentOS 5.5 (lásd. P. 8. forrásokat). Azonban, akkor használja a Linux disztribúció, amely támogatja a SELinux támogatása kötelező hozzáférés-vezérlés (annak hiányában a támogatás akkor fordíthatsz saját kernelt oldalán a forgalmazás fejlesztők mindig SELinux). Valószínű különbségek a teljesítménye csapatok és a munka a biztonsági alrendszer, mint a referencia implementációt kicsi lesz.

A következő szakaszban a képzés - a telepítés az operációs rendszer. Az első találkozó Security-Enhanced Linux fog történni, amikor a végleges beállítás CentOS, ahogy az 1. ábrán látható.

1. ábra beállítása SELinux beállítások telepítésekor CentOS 5.5

Biztonságos linux 2. rész

Ebben a szakaszban, akkor válasszon egyet a három mód SELinux:

  • tiltsa le a SELinux (kikapcsolt (OFF Eng) módban.);
  • felhasználási korlátozások (érvényesítése (Engl aktív) üzemmódban.);
  • Csak a hiba kijavítása a naplófájlban (megengedő (Eng. Opcionális) módban).

Akkor azonnal kiválaszthatja végrehajtás során. azonban minden esetben, a beállításokat lehet megváltoztatni a további munkához.

SELinux: módok

Telepítése után az operációs rendszer, akkor lehet kezdeni kísérletezni az alrendszer biztosítja a kötelező hozzáférés-vezérlés. De előbb meg kell győződnie arról, hogy SELinux tényleg működik. Ez úgy történik, egy speciális eszköz sestatus. amint azt az 1. lista (lásd a keretes írást: „A PATH környezeti változóhoz».):

1. listán állapotának ellenőrzése SELinux

PATH környezeti változó

Ha egy másik Linux-disztribúció, de a csapat sestatus még nem áll rendelkezésre, akkor a hiba okozója hiányában a szükséges csomagot. A kiküszöbölésére, hogy megtalálja azt a tárolókból a csomag nevű policycoreutils.

sestatus segédprogram jelzi, hogy a SELinux alrendszer engedélyezett (SELinux állapota: engedélyezve), részt korlátozások mód (Jelenlegi mód: érvényesítése) és a biztonsági politikát alkalmazzák, az úgynevezett célzott.

Mindezek a paraméterek beállítása a konfigurációs fájl / etc / selinux / config. Áramkorlátozás mód van feltüntetve SELinux paraméter. Ahhoz, hogy tiltsa le a SELinux megad ahhoz, hogy ez a beállítás le van tiltva.

Mint korábban említettük, három üzemmódja a SELinux, amely lehet megadni a megfelelő paramétert a konfigurációs fájl:

  • Érvényesítése. A beállítás kiválasztása vezet az alkalmazás a jelenlegi SELinux politika, így blokkolja az összes intézkedéseket, amelyek sértik a politika. Információ blokkolta a műveletek regisztráltak a log fájlt. Érvényesítése mód változtatható a rendszer újraindítása nélkül.
  • Engedékeny. Ezzel az opcióval a modul syslog rögzített kísérletek végrehajtására intézkedéseket, amelyek ellentmondanak a jelenlegi biztonsági politika, de nincs tényleges blokk. Megengedő mód. általában használt debug hozzáférési szabályokat. Ennek megváltoztatása módból bármely más, és nem igényel újraindítást.
  • Akadálymentesített. Az érték a konfigurációs fájlban selinux beállítás teljesen kikapcsolja az alrendszer biztosítja a kötelező hozzáférés-vezérlés. Ha engedélyezi SELinux bármely módban, akkor újra kell telepíteni a biztonsági címkéket a fájlrendszer (általában ez történik a folyamat a rendszer újraindítása és több percig is eltarthat).

Az üzemmódok érvényesítése és Megengedõ SELinux tárolja az üzeneteket a naplófájlban a zárolt nevében keresetet AVC (Access Vector gyorsítótár). A különbség azonban az üzemmódok között, továbbá a blokkoló és engedélyezése ellentétes cselekmények biztonsági politika abban a tényben rejlik, hogy érvényesítése módban. hogy túlterhelése nélkül üzenetküldés, fájl információt rögzítjük csak az első megsértése a tárgy mezőt megengedi. Megengedõ módban tartja nyilván minden ilyen rendellenességek, így ez a mód ideális a hibakeresés biztonsági politika.

A mód érvényesítése és Megengedõ setenforce újraindítása nélkül a segédprogram az operációs rendszert használják. Ha fut setenforce kikényszerítéséből vagy setenforce 1. SELinux érvényesítésében üzemmód kapcsolót. Csapat setenforce megengedő vagy setenforce 0 fordítja Megengedõ módban. Ez az átállás nincs hatással a SELinux konfigurációs fájl, így azután a rendszer újraindítását támogató kötelező hozzáférés-vezérlés visszatér az üzemmód meghatározott az / etc / selinux / config. Van is egy getenforce csapat. amely megjelenít egy összefoglalót, hogy milyen mód SELinux működik abban a pillanatban:

SELinux üzemmódok vezérelhető, és a Linux kernel paraméterek. Paraméter selinux = 0 értékével megegyező Kikapcsolt SELinux konfiguráció és érvényesítéséhez = 0 és érvényesítése = 1 betölti az operációs rendszer SELinux, található permisszív módban vagy érvényesítése volt. Ha úgy találja, hogy a SELinux véglegesen le vagy letölteni Megengedõ mód, függetlenül az értékeket a paramétereket a konfigurációs fájl / etc / selinux / config, akkor az a probléma forrása, akkor nézd a boot loader. A paraméter, amely megadja ezt a viselkedést SELinux, megtalálja a /boot/grub/grub.conf fájlt.

SELinux biztonsági politika

SELinux mellett az alapvető működési mód is vonatkozik SELINUXTYPE paraméterállásnál alrendszer számára kötelező hozzáférés-vezérlés. jelezve, hogy milyen biztonsági politika kell használni. Mivel a rendszer összetettségét, SELinux a fejlesztők és a független szakértők jött létre egy sor szabványos biztonsági irányelvek kötelező beléptető rendszer. A CentOS adattárak megtalálható négy csomag tartalmazza a különböző biztonsági politika, amelyet az alábbiakban részletesen ismertetjük:

Szerelése az említett csomagokat a könyvtár / etc / selinux politika az egyes alkönyvtárak jönnek létre, amelyek található megfelelő konfigurációs fájlok, amint azt a 2. lista.

2. lista A biztonsági politika konfigurációs fájlok SELinux

Ha mind a négy csomagot, akkor a változás SELINUXTYPE biztonságpolitikai beállításokat, megadhatja a következő értékek egyike állítottak: célzott. szigorú. ml-t. mypolicy és indítsa újra a számítógépet (ebben az esetben kívánatos SELinuxhoz dolgozott Megengedõ módban). Amikor a SELinux automatikusan betöltődik fogja állítani a fájlrendszerben előírt címkéket megfelel a kiválasztott biztonsági politika. Néhány Linux disztribúció az elrendezése biztonsági címkék újra kell indítani, hogy hozzon létre a gyökér fájlrendszer (/), egy üres fájl neve .autorelabel. az alábbiak szerint:

biztonságpolitikai célzott

A cél a célzott politikák -, hogy megvédje az operációs rendszer a rendszer feldolgozza, továbbítja és fogadja üzenetek hálózaton keresztül szolgáltatásokat (pl NFS, DNS, HTTP). Ezek a folyamatok a leggyakoribb célpontjai a rosszindulatú támadások, hiszen szinte bármilyen szervert, amely rendszerint root jogosultságokkal a felhasználó. Ennek része a rendszer feldolgozza a biztonsági politika célzott tevékenység korlátozott volt, így az egyedi alkalmazások változatlanok.

minimális biztonsági politika

minimális biztonsági politika alapján került kialakításra célzott politikák kifejezetten azok számára, akik szeretnék gyakorolni a létrehozása saját szabályzata SELinux. Ezen túlmenően, ez a biztonsági politika támogatására használják fel SELinux mobil és beágyazott eszközök.

minimum politika tartalmazza az azonos modulok, mint a célzott politikai. de nem használja őket. Kezdetben SELinux nem korlátozza semmilyen tárgyat a biztonság, de például a modult az Apache ellenőrzés. Azonban ezen a módon lehet rejteni a különböző problémákat: például, ha csak telepíteni a modult az Apache monitoring rendszer, amely működteti a DBMS MySQL, a SELinux nem teszi lehetővé az Apache folyamat kapcsolódni az adatbázishoz. Ebben az esetben kifejezetten meg kell beállítani a szükséges engedélyeket a biztonsági politika, vagy építeni egy opcionális modul ellenőrzése MySQL. Mindazonáltal, a minimális politika jó „sandbox” kísérletekhez SELinux.

szigorú biztonsági politika

A másik végén egy szigorú politikát - a legszigorúbb összes szabványos biztonsági politika. Ez korlátozza a tevékenységét nem csak a rendszert, de a felhasználói folyamatok.

Persze, azt mondhatjuk, hogy ez a mód alkalmas a védelem az operációs rendszer, ami már nem kell beállítani a konfigurációt. De meg kell gondolni minden jót használata előtt szigorú biztonsági politika egy valós rendszer.

Biztonságpolitika MLS

MLS biztonsági politika került kifejlesztésre kifejezetten szerverek készítése során disztribúció, a Fedora Core 5 és a Red Hat Enterprise Linux 5 egyik fő célja az MLS létrehozásakor a biztonsági előírásokat. - annak érdekében, hogy az operációs rendszer Linux alapú igazolandó EAL4 + / LSPP (lásd a keretes «MLS / EA4 + / LSPP».).

MLS tartalmaz, nem csak szabályok, jelezve, hogy milyen biztonsági objektumok bizonyos műveleteket, és mit tehetünk, hogy egy bizonyos szintű biztonságot. A MLS, van még két további jellemzőit biztonsági: a fontossága (érzékenység), amely kifejezett egy sor S0 S15. és lehetőségek (képességek) - a C0 c255. Ez további lehetőségeket a megvalósítása a többszintű biztonsági rendszer alapján SELinux.

következtetés

A következő cikk ebben a sorozatban, „Biztonságos Linux» folytatódik a történet a rendszer támogatja a kötelező fokozott biztonságú Linux hozzáférés-szabályozás, mely még ma is az egyik legerősebb és megbízható az összes állami biztonsági rendszerek. Az utolsó cikk ebben a sorozatban (lásd. P. 1.5 Resources), hogy fontolja meg a történelem kialakulásának és fejlődésének SELinux. Ebben a cikkben a tanulmány megkérdőjelezi a közvetlen használatát a biztonsági rendszer kezdeményezte. Tehát úgy ítélték meg, részletesen SELinux engedélyezze vagy tiltsa le, a kérdéseket setenforce parancsok és paraméterátadást selinux = 0 és követelje = 0 egyenesen a Linux kernel. Az utóbbi szempont kulcsfontosságú, mivel lehetővé teszi, tiltsa le a SELinux, akkor ha meg érvényesítése mód a sikertelen biztonsági politika. Amellett, hogy a felvétel / SELinux alrendszer kimaradások röviden standardnak tekinthető biztonsági politika (minimum. Célzott. Szigorú és MLS) keresztül terjesztett Linux-tárolók.

A következő cikkben továbbra is tanulmányozza a biztonsági rendszer kötelező fokozott biztonságú Linux hozzáférés-szabályozás a hangsúlyt a tanulmányt a meglévő és új szabályok biztonsági politika.