Secure Linux част 2

Подготвителната фаза

За да се разбере по-добре принципите на сигурност-Enhanced Linux работи, е препоръчително да се опита да се работи с него на реална система. Разбира се, че не е необходимо да се експериментира върху критични сървъри и да се занимава с възстановяване (или дори преинсталирате!) Операционна система домашен компютър, в случай на поява на спестите неприятни изненади, също не е желателно. За такива случаи има доказано решение: за да се избегнат ненужни инциденти всички експерименти с SELinux е най-добре във виртуална машина (например, VirtualBox, вижте раздели 7, Ресурси ..).

След това трябва да се определи подходящо разпределение, въпреки че сега е почти всички популярни дистрибуции по подразбиране осигуряват ядрото с поддръжка на SELinux. В най-лошия случай, всичко, което трябва да направите - е да инсталирате допълнителни инструменти и система за управление на стандартни профили осигуряват задължително за контрол на достъпа. Смята се, че SELinux осигурява много добро ниво на сигурност, но на доста високи разходи за труд. Следователно, използването на SELinux се препоръчва само за критични сървъри, които предоставят комплексни информационни системи и работи с поверителна информация. Като разпределение за експерименти със системата, в подкрепа задължителен контрол на достъпа трябва да бъде избран платформа, фокусирана върху изпълнението на сървърни задачи. Примерите, представени в този документ, се извършва върху разпределението Цент 5.5 (вж. Стр 8 на ресурси). Въпреки това, можете да използвате всеки Линукс дистрибуция, която поддържа SELinux подкрепа задължителен контрол на достъпа (при липса на подкрепа от страна можете да компилирате свое собствено ядро ​​страна на разработчиците разпределителните винаги SELinux). Вероятни разлики в представянето на отбора и работата с подсистемата за защита в сравнение с референтния изпълнението ще бъдат малки.

Следващият етап на обучение - е инсталирането на операционната система. Първата среща с Security-Enhanced Linux ще стане, когато крайната настройка CentOS, както е показано на фигура 1.

Фигура 1. Конфигуриране на настройките SELinux, когато инсталирате CentOS 5.5

На този етап можете да изберете един от трите режима на SELinux:

• деактивирате SELinux (Disabled Mode (инж OFF).);
• ограничения употреба (режим Прилагане (Engl активен).);
• Само отстраняване на нарушението в лог файл (режим толерантен (инж. По избор)).

Можете да изберете веднага Налагане. Въпреки това, във всеки случай, настройките могат да се променят в по-нататъшна работа.

SELinux: режими

След като инсталирате операционната система, можете да започнете да експериментирате с подсистемата осигури задължителен контрол на достъпа. Но първо трябва да се уверите, че наистина работи SELinux. Това се прави с помощта на специален инструмент sestatus. както е показано на Обява 1 (виж страничната лента, "The среда променлива PATH».):

Обява 1. Проверете състоянието на SELinux

променлива PATH среда

Ако използвате друга линукс дистрибуция, но екип sestatus все още не е на разположение, тогава проблемът може да се крие в липсата на необходимия пакет. За да се елиминира необходимостта да го намерите в хранилищата за опаковка на име policycoreutils.

sestatus полезност показва, че SELinux подсистема активиран (SELinux статус: активирана), режим на участващите ограничения (Текущ режим: прилагане) и политика на сигурност се използва, наречена насочени.

Всички тези параметри са зададени в конфигурационния файл / и т.н. / SELinux / довереник. текущия режим на ограничение е посочено в параметър SELinux. За да деактивирате SELinux, вие определяте достатъчно за тази настройка е забранено.

Както бе споменато по-рано, има три режима на работа на SELinux, който може да бъде посочен в съответния параметър на конфигурационния файл:

• Налагане. Избирането на тази опция ще доведе до прилагането на настоящата политика SELinux, като по този начин ще блокира всички действия, които нарушават правилата. Информация за блокиран действията, записани в регистрационния файл. Прилагане на режим може да бъде променена без рестартиране на системата.
• Толерантен. С тази опция Syslog модула записва опити да изпълняват действия, които противоречат на настоящата политика за сигурност, но няма действителна блок действие. Разрешителен режим. обикновено се използва за отстраняване на грешки правила за достъп. Промяната на този режим, за да всеки друг и не изисква рестартиране.
• За хора с увреждания. Стойността в конфигурационния файл SELinux залязващото напълно забранява подсистемата осигури задължителен контрол на достъпа. Когато активирате SELinux във всеки режим, трябва да преинсталирате тагове за сигурност в файловата система (обикновено това се прави в процеса на рестартиране на системата и може да отнеме няколко минути).

В режима на въвеждане, и Позволяващи съхранява съобщенията SELinux в лог файл на блокиран действие от името на AVC (Access Vector Cache). Въпреки това, разликата между тези режими, в допълнение към блокиране и разрешение за действия, противоречащи на политиката за сигурност се крие във факта, че в режим на принуждение. че без претоварване съобщения, да подаде информация се записва само по първото нарушение материята позволява на полето. В режим на позволение води отчет на всеки един от тези заболявания, така че този режим е удобен за отстраняване на грешки на политиката за сигурност.

За да превключвате между режимите Налагане и толерантен setenforce без рестартиране на помощната програма може да използва операционната система. Ако изпълните setenforce Налагане или setenforce 1. SELinux е в изпълнение на съдебни превключвател режим. Екип setenforce толерантен или setenforce 0 превръща в разрешителен режим. Тази смяна не оказва влияние върху конфигурационния файл на SELinux, така че след рестартиране на системата, в подкрепа задължителни за контрол на достъпа се връща в режим на посочен във файла / и т.н. / SELinux / довереник. Има и екип getenforce. което показва обобщена информация какъв режим SELinux работи в момента:

режими на работа SELinux може да се контролира и чрез параметри на ядрото на Linux. Параметър SELinux = 0 е равна на стойността деактивиран SELinux конфигурация и прилагането = 0 и прилагането = 1 ще се зареди операционната система SELinux, разположен в разрешителен режим или Прилагане съответно. Ако установите, че SELinux постоянно изключен или да се изтеглят в разрешителен режим, независимо от стойностите на параметрите в конфигурационния файл / и т.н. / SELinux / довереник, а след това на източника на проблема, можете да погледнете в зареждането на системата. Параметър, който определя това поведение SELinux, можете да намерите във файла /boot/grub/grub.conf.

политика SELinux сигурност

SELinux допълнение към основния режим на работа също се отнася параметър SELINUXTYPE определяне подсистема осигурява задължително за контрол на достъпа. което показва какво трябва да се използва един вид политика на сигурност. Като се има предвид сложността на системата, SELinux разработчици и независими експерти, се създават редица стандартни политики за сигурност за задължителна система за контрол на достъпа. В хранилища CentOS могат да бъдат намерени четири пакета, съдържащи различни политиката за сигурност, които ще бъдат обсъдени по-подробно по-долу:

Монтаж на споменатите пакети в / и т.н. / SELinux политиките на директория за всеки от поддиректориите са създадени, които се намират в съответните конфигурационни файлове, както е показано на Обява 2.

Обява 2. Конфигурацията на политиката за сигурност на файловете SELinux

Ако всички четири пакета, след промяната на настройките за правилата SELINUXTYPE за сигурност, можете да зададете една от стойностите са определени: целенасочено. строг. мл. mypolicy и рестартирайте компютъра (в този случай, е желателно да се SELinux работил разрешителен режим). Когато SELinux се зарежда автоматично ще постави в изискваните файлова система етикети, съответстващи на избраната политика за сигурност. В някои Линукс дистрибуции за подреждането на етикети за сигурност трябва да се рестартира, за да се създаде основната файлова система (/), празен файл с име .autorelabel. както е показано по-долу:

политика за сигурност, насочени

Целта на целенасочени политики - за защита на операционната система от процесите на системата, предава и получава съобщения чрез мрежови услуги (например, NFS, DNS, HTTP). Тези процеси са най-често срещаните цели за злонамерени атаки, тъй като има почти всеки сървър и обикновено се извършва с корен привилегии на потребителя. Като част от системата обработва политиката за сигурност, насочена активност е била ограничена, оставяйки потребителски приложения непроменен.

Минималната политика на сигурност

политика минимална сигурност е разработен на базата на конкретни политики, специално за потребители, които искат да практикуват в създаването на своя собствена политика за SELinux. В допълнение, тази политика за защита се използва за насърчаване на SELinux за мобилни и вградени устройства.

Минималната политика съдържа същите модули като целенасочена политика. но не ги използват. Първоначално SELinux не ограничава всяко обекти сигурност, но можете, например, да се инсталира модул за мониторинг на Apache. Въпреки това, по този начин може да се скрие различни проблеми: например, ако просто инсталирате модула за система за мониторинг на Apache, който управлява и СУБД MySQL, на SELinux няма да позволи на процеса на Apache да се свърже с базата данни. В този случай, трябва изрично да конфигурирате необходимите разрешения в политиката за сигурност, или да се инсталира допълнителен модул за контрол на MySQL. Независимо от това, минималната политика е добра "пясък" за експерименти с SELinux.

строга политика на сигурност

На другия край е стриктна политика - най-строгите на всички стандартни политики за сигурност. Тя ограничава дейността на не само системата, но процесите на потребителите.

Разбира се, можем да кажем, че този режим е подходящ за защита на операционната система, която вече не е необходимо да се коригира конфигурацията. Необходимо е обаче да се мисли за всичко добро, преди да използвате стриктна политика за сигурност в реална система.

политиката за сигурност мл

политика на сигурност MLS е разработен специално за сървъри по време на изготвянето на дистрибуции, Fedora Core 5 и Red Hat Enterprise Linux 5. Една от основните цели на MLS при създаването на политики за сигурност. - да се даде възможност да бъдат сертифицирани EAL4 + / LSPP операционната система на базата на Linux (виж карето «MLS / EA4 + / LSPP».).

MLS политика съдържа не само правила, което показва какво обекти за сигурност могат да извършат определени действия, и какво могат да направят, е на определено ниво на сигурност. В МЛС, има и две допълнителни характеристики за сигурност: значението на (чувствителност), която се изразява в поредица от s0 за S15. и възможности (способности) - от c0 да c255. Това дава допълнителни възможности за реализация на системата за сигурност на няколко нива въз основа на SELinux.

заключение

В следващата статия в тази серия, "Secure Linux» продължава историята на системата подкрепа задължително Security-Enhanced Linux контрол на достъпа, който се смята за един от най-мощните и надеждни от всички системи за обществената безопасност. В последната статия в тази серия (вж. П. 1,5 ресурси раздел) да се разгледа историята на формиране и развитие на SELinux. В тази статия, изследването поставя под въпрос бе инициирана пряко използване на системата за сигурност. Така че, това се счита за по-подробно SELinux разрешите или забраните въпроси по електронната setenforce команди и параметрите преминаване SELinux = 0 и прилагането = 0 директно в ядрото на Линукс. Последният аспект е от решаващо значение, тъй като позволява да деактивирате SELinux, можете, ако зададете Прилагане на режим за неизпълнение на политиката за сигурност. В допълнение към включването / прекъсвания SELinux подсистемата се разгледа накратко стандартната политика на сигурност (минимум. Насочили. Строг и мл), разпространявани чрез дистрибуции хранилищата на Linux.

В следващата статия ще продължи да учи система за сигурност задължително Security-Enhanced Linux контрол на достъпа, с акцент върху изучаването на съществуващите и създаване на нови правила за политика на сигурност.