Linux/SELinux/04 Arbeiten mit SELinux

Arbeiten mit SELinux

Beschreibung

Die folgenden Abschnitte bieten einen Überblick über

die wichtigsten SELinux-Pakete in Red Hat Enterprise Linux
die Installation und Aktualisierung von Paketen
die verwendeten Protokolldateien
die wichtigste SELinux-Konfigurationsdatei
das Aktivieren und Deaktivieren von SELinux
SELinux-Modi
das Konfigurieren von Booleschen Werten
das vorübergehende und dauerhafte Ändern von Datei- und Verzeichnis-Labels
das Überschreiben von Dateisystem-Labels mit dem Befehl mount
das Einbinden von NFS-Volumes
sowie das Beibehalten von SELinux-Kontexten beim Kopieren und Archivieren von Dateien und Verzeichnissen

SELinux-Pakete

Bei einer vollständigen Installation von Red Hat Enterprise Linux werden die SELinux-Pakete standardmäßig installiert, sofern sie nicht während der Installation manuell ausgeschlossen werden

Bei einer Minimalinstallation im Textmodus werden die Pakete policycoreutils-python und policycoreutils-gui standardmäßig nicht installiert
Außerdem läuft SELinux standardmäßig SELinux im Enforcing-Modus und die SELinux-Targeted-Policy wird verwendet
Die folgenden SELinux-Pakete sind standardmäßig auf Ihrem System installiert
policycoreutils stellt Dienstprogramme wie restorecon, secon, setfiles, semodule, load_policy und setsebool für den Betrieb und die Verwaltung von SELinux bereit
selinux-policy stellt eine grundlegende Verzeichnisstruktur, die Datei selinux-policy.conf und RPM-Makros bereit
selinux-policy -targeted stellt die SELinux-Targeted-Richtlinie bereit
libselinux – stellt eine API für SELinux-Anwendungen bereit
libselinux-utils stellt die Dienstprogramme avcstat, getenforce, getsebool, matchpathcon, selinuxconlist, selinuxdefcon, selinuxenabled und setenforce bereit
libselinux-python stellt Python-Bindungen für die Entwicklung von SELinux-Anwendungen bereit

Die folgenden Pakete sind standardmäßig nicht installiert, können aber optional durch Ausführen des Befehls [[yum install ‚‘<package-name>‚‘]] installiert werden

selinux-policy-devel stellt Dienstprogramme zum Erstellen einer benutzerdefinierten SELinux-Richtlinie und von Richtlinienmodulen bereit
selinux-policy-doc enthält Handbuchseiten, die beschreiben, wie SELinux zusammen mit verschiedenen Diensten konfiguriert wird
selinux-policy-mls enthält die MLS-SELinux-Richtlinie (Multi-Level Security)
setroubleshoot-server übersetzt Ablehnungsmeldungen, die bei einer Zugriffsverweigerung durch SELinux ausgegeben werden, in detaillierte Beschreibungen, die mit dem ebenfalls in diesem Paket enthaltenen Dienstprogramm sealert angezeigt werden können
setools-console stellt die Tresys Technology SETools-Distribution bereit, eine Reihe von Dienstprogrammen und Bibliotheken zur Analyse und Abfrage von Richtlinien, zur Überwachung und Berichterstellung von Audit-Protokollen sowie zur Verwaltung von Dateikontexten
Das Paket setools ist ein Metapaket für SETools
Das Paket setools-gui stellt die Dienstprogramme apol und seaudit bereit
Das Paket setools-console stellt die Befehlszeilen-Dienstprogramme sechecker, sediff, seinfo, sesearch und findcon bereit
Beachten Sie, dass die Pakete setools und setools-gui nur verfügbar sind, wenn der Red Hat Network Optional-Kanal aktiviert ist
Weitere Informationen finden Sie unter Details zum Abdeckungsumfang
mcstrans übersetzt Stufen wie s0-s0:c0.c1023 in eine besser lesbare Form wie SystemLow-SystemHigh
policycoreutils-python bietet Dienstprogramme wie semanage, audit2allow, audit2why und chcat zum Bedienen und Verwalten von SELinux
policycoreutils-gui stellt system-config-selinux bereit, ein grafisches Dienstprogramm zur Verwaltung von SELinux

Fußnoten

[3] Um vorübergehend zum Standardverhalten zurückzukehren, führen Sie als Linux-Root-Benutzer den Befehl setsebool httpd_can_network_connect_db off aus
- Für Änderungen, die über Neustarts hinweg bestehen bleiben, führen Sie den Befehl setsebool -P httpd_can_network_connect_db off
[4] Dateien im Verzeichnis /etc/selinux/targeted/contexts/files/ definieren Kontexte für Dateien und Verzeichnisse
Dateien in diesem Verzeichnis werden von den Dienstprogrammen restorecon und setfiles gelesen, um Dateien und Verzeichnisse in ihre Standardkontexte zurückzusetzen
[5] Morris, James. „Filesystem Labeling in SELinux“ http://www.linuxjournal.com/article/7426
[6] Weitere Informationen zu matchpathcon finden Sie auf der Handbuchseite matchpathcon(8)

Beschreibung

SELinux-Pakete

Welche Protokolldatei wird verwendet

Hauptkonfigurationsdatei

Dauerhafte Änderungen an SELinux-Zuständen und -Modi

Ändern der SELinux-Modi beim Systemstart

Booleane

SELinux-Kontexte – Dateien kennzeichnen

Die Typen file_t und default_t

Einbinden von Dateisystemen

SELinux-Labels beibehalten

Tools zur Informationsbeschaffung

Priorisierung und Deaktivierung von SELinux-Richtlinienmodulen

Multi-Level Security (MLS)

Dateinamenübergang

Deaktivieren von ptrace()

Schutz von Miniaturansichten

Fußnoten