SELinux — Быстрый онбординг: типы, атрибуты, домены, политики и утилиты на практике

В сфере искусственного интеллекта произошло заметное событие. gtosss 15 минут назад SELinux — Быстрый онбординг: типы, атрибуты, домены, политики и утилиты на практике Средний 11 мин 447 Системное администрирование * Linux * Настройка Linux * Информационная безопасность * *nix * Туториал В статье пойдет речь о SELinux. Главная моя задача — провести быстрый онбординг о том, как работать с политиками доступов. Я хочу показать, что это вовсе не так сложно, как может показаться на первый взгляд.

Буквально 15 минут ознакомления с базовыми понятиями дает 80% понимания как работать с SELinux более уверенно. Статья не совсем про написание политик, скорее про их понимание. Все описанное необходимо, чтобы уверенно пользоваться утилитами, более осмысленно работать с системой, решать проблемы и задачи, с которыми придется столкнуться в процессе эксплуатации SELinux.

Технические детали

ОглавлениеПолезные утилиты restoreconsemanagesesearchaudit2allowsealertСинтаксис политик Контекст SELinuxСинтаксис файлов при описании политикСтруктура правил (. te файлы)ТипыАтрибутыКлассыМакросы (макропроцессор m4, интерфейсы, . if файлы)ДоменСоглашение по именованиюРазбираемся на практикеПолезные утилитыЯ использую Fedora.

Для начала убедимся, что у нас есть необходимый набор утилит:which restorecon semanage sesearch audit2allow sealert В моем случае все на месте за исключением sesearch — полезной утилиты, которая позволяет осуществлять поиск правил SELinux политик. Она входит в пакет setools-console. Установим:dnf install setools-console Краткий онбординг по утилитам:restoreconВосстанавливает контекст безопасности файлов/каталогов согласно политике.

Иными словами устанавливает в файловой системе рекомендованный контекст, который предустановлен в политиках. Несколько примеров, когда она используется:Были изменены пути в системе. При копировании наследуется контекст каталога назначения (куда переместили такой контекст и получаем), при перемещении наследуется контекст источника (откуда перемещали тот контекст и сохраниться).

Отраслевые последствия

Что-то создали по нестандартному пути. Распаковали архив (архив хранит исходные контексты). После команды semanage fcontext — базу рекомендованных контекстов изменили, но сама файловая система осталась нетронутой.

Рекомендованный (эталонный контекст) указывается в файлах . fc их можно посмотреть в репозитории SELinuxProject refpolicy. Или соответствующими командами.

Например, известно что, по умолчанию файлам в домашней директории присваивается тип user_home_t. Мы можем увидеть это правило командой:semanage fcontext -l | grep user_home_t /home/+/. + all files unconfined_u:object_r:user_home_t:s0 Или в исходниках refpolicy.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.