Ders 3.39: SELinux retlerini okumak ve düzeltmek

Red Hat ailesi sistemlerde SELinux, olağan izinlerden sonra bir sürecin bir dosyaya ya da porta dokunup dokunamayacağına karar verir. Her dosya bir etiket taşır, her hizmet bir alanda çalışır ve politika bir alanın neler yapabileceğini listeler. Hayır dediğinde program yalnızca 'Permission denied' görür; neden denetim günlüğündedir. Laboratuvarda Northwind'in vikisi yeni bir Rocky Linux sunucusuna taşındı ve önce 403, sonra 502 veriyor. Etiketleri ve AVC kayıtlarını okuyor, dosya bağlamını kalıcı yoldan düzeltiyor ve arama sayfasının ihtiyaç duyduğu tek boolean'ı açıyorsun; SELinux'u hiç kapatmadan.

19 dk

Bu derste öğreneceklerin

Etiketleri, alanları ve tür zorlamasını açıklamak
Bağlamları ls -Z ve ps -Z ile okumak
Retleri ausearch -m AVC ile bulmak
Etiketleri semanage fcontext ve restorecon ile düzeltmek
İzin verilen istisnalar için audit2why ve boolean'ları kullanmak

Temel terimler

Zorunlu erişim denetimi (MAC): Sistem politikasının koyduğu ve root'a ait süreçlerin bile aşamadığı kurallar; olağan izinlerden sonra denetlenir.
Bağlam (etiket): Her dosyaya ve sürece eklenen user:role:type:level; politika kurallarının kullandığı türdür.
Alan: Bir sürecin çalıştığı tür; sürecin neye erişebileceğine karar verir.
AVC reddi: Politika bir erişimi reddettiğinde yazılan denetim kaydı.
Dosya bağlamı kuralı: Bir yol deseni ve oradaki dosyaların sahip olması gereken tür; restorecon kuralları uygular.
Boolean: Politika yazarlarının yaygın ihtiyaçlar için koyduğu açık/kapalı anahtar.

← ACL'ler: izinleri gevşetmeden kesin erişim · Tüm dersler · LUKS anahtar yuvaları: diski kim açabilir →