SELinux 사용

프로세스

1. 텍스트 편집기에서 /etc/selinux/config 파일을 열고 SELINUX=permissive 옵션을 구성합니다.

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=permissive
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

2. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

검증

1. 시스템이 다시 시작되면 getenforce 명령이 Permissive 를 반환하는지 확인합니다.

   $ getenforce
   Permissive

   Copy to Clipboard Toggle word wrap

프로세스

1. 텍스트 편집기에서 /etc/selinux/config 파일을 열고 SELINUX=enforcing 옵션을 구성합니다.

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

2. 변경 사항을 저장하고 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

   다음 부팅 시 SELinux는 시스템 내의 모든 파일과 디렉터리의 레이블을 다시 지정하고 SELinux가 비활성화될 때 생성된 파일 및 디렉터리에 대한 SELinux 컨텍스트를 추가합니다.

검증

1. 시스템을 다시 시작한 후 getenforce 명령이 Enforcing 을 반환하는지 확인합니다.

   $ getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

절차

1. 허용 모드에서 SELinux를 활성화합니다. 자세한 내용은 SELinux를 허용 모드로 변경을 참조하십시오.

2. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap
3. SELinux 거부 메시지를 확인합니다. 자세한 내용은 SELinux 거부 식별 을 참조하십시오.

4. 다음 재부팅 시 파일의 레이블을 다시 지정했는지 확인합니다.

   # fixfiles -F onboot

   Copy to Clipboard Toggle word wrap

   이렇게 하면 -F 옵션이 포함된 /.autorelabel 파일이 생성됩니다.

   주의

   fixfiles -F onboot 명령을 시작하기 전에 항상 허용 모드로 전환합니다.

   기본적으로 autorelabel 은 시스템에 사용 가능한 CPU 코어만큼 많은 스레드를 병렬로 사용합니다. 자동 레이블을 다시 지정하는 동안 단일 스레드만 사용하려면 fixfiles -T 1 onboot 명령을 사용합니다.

5. 거부 모드가 없는 경우 강제 모드로 전환합니다. 자세한 내용은 부팅 시 SELinux 모드 변경을 참조하십시오.

검증

1. 시스템을 다시 시작한 후 getenforce 명령이 Enforcing 을 반환하는지 확인합니다.

   $ getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

프로세스

1. selinux=0 을 커널 명령줄에 추가하도록 부트 로더를 구성합니다.

   $ sudo grubby --update-kernel ALL --args selinux=0

   Copy to Clipboard Toggle word wrap

2. 시스템을 다시 시작하십시오.

   $ reboot

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 입력하여 이라는 새 Linux 사용자를 생성합니다 <example_user>.

   # useradd <example_user>

   Copy to Clipboard Toggle word wrap

2. Linux <example_user> 사용자에게 암호를 할당하려면 다음을 수행합니다.

   # passwd <example_user>
   Changing password for user <example_user>.
   New password:
   Retype new password:
   passwd: all authentication tokens updated successfully.

   Copy to Clipboard Toggle word wrap
3. 현재 세션에서 로그아웃합니다.
4. Linux <example_user> 사용자로 로그인합니다. 로그인할 때 pam_selinux PAM 모듈은 Linux 사용자를 SELinux 사용자(이 경우 unconfined_u)에 자동으로 매핑하고 결과 SELinux 컨텍스트를 설정합니다. 그런 다음 이 컨텍스트로 Linux 사용자의 쉘이 시작됩니다.

검증

1. 사용자로 <example_user> 로그인하면 Linux 사용자의 컨텍스트를 확인합니다.

   $ id -Z
   unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 입력하여 라는 <example_user> 새 Linux 사용자를 생성하고 SELinux staff_u 사용자에게 매핑합니다.

   # useradd -Z staff_u <example_user>

   Copy to Clipboard Toggle word wrap

2. Linux <example_user> 사용자에게 암호를 할당하려면 다음을 수행합니다.

   # passwd <example_user>
   Changing password for user <example_user>.
   New password:
   Retype new password:
   passwd: all authentication tokens updated successfully.

   Copy to Clipboard Toggle word wrap
3. 현재 세션에서 로그아웃합니다.
4. Linux <example_user> 사용자로 로그인합니다. 사용자의 쉘은 staff_u 컨텍스트로 시작됩니다.

검증

1. 사용자로 <example_user> 로그인하면 Linux 사용자의 컨텍스트를 확인합니다.

   $ id -Z
   uid=1000(<example_user>) gid=1000(<example_user>) groups=1000(<example_user>) context=staff_u:staff_r:staff_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

절차

1. SELinux 로그인 레코드 목록을 표시합니다. 이 목록에는 Linux 사용자의 매핑이 SELinux 사용자에게 표시됩니다.

   # semanage login -l
   
   Login Name    SELinux User  MLS/MCS Range   Service
   
   __default__   unconfined_u  s0-s0:c0.c1023       *
   root          unconfined_u  s0-s0:c0.c1023       *

   Copy to Clipboard Toggle word wrap

2. 명시적 매핑 없이 모든 사용자를 user_u SELinux 사용자에게 매핑하는 __default__ 사용자를 매핑합니다.

   # semanage login -m -s user_u -r s0 __default__

   Copy to Clipboard Toggle word wrap

검증

1. __default__ 사용자가 user_u SELinux 사용자에게 매핑되었는지 확인합니다.

   # semanage login -l
   
   Login Name    SELinux User   MLS/MCS Range    Service
   
   __default__   user_u         s0               *
   root          unconfined_u   s0-s0:c0.c1023   *

   Copy to Clipboard Toggle word wrap

2. 새 사용자의 프로세스가 user_u:user_r:user_t:s0 SELinux 컨텍스트에서 실행되는지 확인합니다.

   1. 새 사용자를 생성합니다.

      # adduser <example_user>

      Copy to Clipboard Toggle word wrap

   2. 다음과 같은 암호를 정의합니다 <example_user>.

      # passwd <example_user>

      Copy to Clipboard Toggle word wrap
   3. root 로 로그아웃하고 새 사용자로 로그인합니다.

   4. 사용자 ID의 보안 컨텍스트를 표시합니다.

      [<example_user>@localhost ~]$ id -Z
      user_u:user_r:user_t:s0

      Copy to Clipboard Toggle word wrap

   5. 사용자 현재 프로세스의 보안 컨텍스트를 표시합니다.

      [<example_user>@localhost ~]$ ps axZ
      LABEL                           PID TTY      STAT   TIME COMMAND
      -                                 1 ?        Ss     0:05 /usr/lib/systemd/systemd --switched-root --system --deserialize 18
      -                              3729 ?        S      0:00 (sd-pam)
      user_u:user_r:user_t:s0        3907 ?        Ss     0:00 /usr/lib/systemd/systemd --user
      -                              3911 ?        S      0:00 (sd-pam)
      user_u:user_r:user_t:s0        3918 ?        S      0:00 sshd: <example_user>@pts/0
      user_u:user_r:user_t:s0        3922 pts/0    Ss     0:00 -bash
      user_u:user_r:user_dbusd_t:s0  3969 ?        Ssl    0:00 /usr/bin/dbus-daemon --session --address=systemd: --nofork --nopidfile --systemd-activation --syslog-only
      user_u:user_r:user_t:s0        3971 pts/0    R+     0:00 ps axZ

      Copy to Clipboard Toggle word wrap

프로세스

1. 선택 사항: sysadm_u 사용자가 SSH를 사용하여 시스템에 연결할 수 있도록 하려면 다음을 수행합니다.

   # setsebool -P ssh_sysadm_login on

   Copy to Clipboard Toggle word wrap

2. 새 사용자 또는 기존 사용자를 sysadm_u SELinux 사용자에게 매핑합니다.

   • 새 사용자를 매핑하려면 새 사용자를 wheel 사용자 그룹에 추가하고 사용자를 sysadm_u SELinux 사용자에게 매핑합니다.

     # adduser -G wheel -Z sysadm_u <example_user>

     Copy to Clipboard Toggle word wrap

   • 기존 사용자를 매핑하려면 사용자를 wheel 사용자 그룹에 추가하고 사용자를 sysadm_u SELinux 사용자에게 매핑합니다.

     # usermod -G wheel -Z sysadm_u <example_user>

     Copy to Clipboard Toggle word wrap

3. 사용자 홈 디렉터리의 컨텍스트를 복원합니다.

   # restorecon -R -F -v /home/<example_user>

   Copy to Clipboard Toggle word wrap

검증

1. 가 <example_user> sysadm_u SELinux 사용자에게 매핑되었는지 확인합니다.

   # semanage login -l | grep <example_user>
   <example_user>     sysadm_u    s0-s0:c0.c1023   *

   Copy to Clipboard Toggle word wrap

2. 예를 들어 SSH를 사용하여 로 <example_user> 로그인하고 사용자의 보안 컨텍스트를 표시합니다.

   [<example_user>@localhost ~]$ id -Z
   sysadm_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

3. root 사용자로 전환합니다.

   $ sudo -i
   [sudo] password for <example_user>:

   Copy to Clipboard Toggle word wrap

4. 보안 컨텍스트가 변경되지 않은 상태로 남아 있는지 확인합니다.

   # id -Z
   sysadm_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

5. 예를 들어 sshd 서비스를 다시 시작하십시오.

   # systemctl restart sshd

   Copy to Clipboard Toggle word wrap

   출력이 없으면 명령이 성공적으로 완료되었습니다.

   명령이 성공적으로 완료되지 않으면 다음 메시지가 출력됩니다.

   Failed to restart sshd.service: Access denied
   See system logs and 'systemctl status sshd.service' for details.

   Copy to Clipboard Toggle word wrap

절차

1. 새 사용자 또는 기존 사용자를 staff_u SELinux 사용자에게 매핑합니다.

   1. 새 사용자를 매핑하려면 새 사용자를 wheel 사용자 그룹에 추가하고 사용자를 staff_u SELinux 사용자에게 매핑합니다.

      # adduser -G wheel -Z staff_u <example_user>

      Copy to Clipboard Toggle word wrap

   2. 기존 사용자를 매핑하려면 사용자를 wheel 사용자 그룹에 추가하고 사용자를 staff_u SELinux 사용자에게 매핑합니다.

      # usermod -G wheel -Z staff_u <example_user>

      Copy to Clipboard Toggle word wrap

2. 사용자 홈 디렉터리의 컨텍스트를 복원합니다.

   # restorecon -R -F -v /home/<example_user>

   Copy to Clipboard Toggle word wrap

3. SELinux 관리자 역할을 얻을 수 있도록 <example_user> 하려면 /etc/sudoers.d/ 디렉터리에 새 파일을 만듭니다. 예를 들면 다음과 같습니다.

   # visudo -f /etc/sudoers.d/<example_user>

   Copy to Clipboard Toggle word wrap

4. 새 파일에 다음 행을 추가합니다.

   <example_user> ALL=(ALL) TYPE=sysadm_t ROLE=sysadm_r ALL

   Copy to Clipboard Toggle word wrap

검증

1. staff_u SELinux 사용자에게 매핑되었는지 <example_user> 확인합니다.

   # semanage login -l | grep <example_user>
   <example_user>     staff_u    s0-s0:c0.c1023   *

   Copy to Clipboard Toggle word wrap

2. 예를 들어 SSH를 사용하여 로 <example_user> 로그인하고 root 사용자로 전환합니다.

   [<example_user>@localhost ~]$ sudo -i
   [sudo] password for <example_user>:

   Copy to Clipboard Toggle word wrap

3. 루트 보안 컨텍스트를 표시합니다.

   # id -Z
   staff_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

4. 예를 들어 sshd 서비스를 다시 시작하십시오.

   # systemctl restart sshd

   Copy to Clipboard Toggle word wrap

   출력이 없으면 명령이 성공적으로 완료되었습니다.

   명령이 성공적으로 완료되지 않으면 다음 메시지가 출력됩니다.

   Failed to restart sshd.service: Access denied
   See system logs and 'systemctl status sshd.service' for details.

   Copy to Clipboard Toggle word wrap

절차

1. httpd 서비스를 시작하고 상태를 확인합니다.

   # systemctl start httpd
   # systemctl status httpd
   …
   httpd[14523]: (13)Permission denied: AH00072: make_sock: could not bind to address [::]:3131
   …
   systemd[1]: Failed to start The Apache HTTP Server.
   …

   Copy to Clipboard Toggle word wrap

2. SELinux 정책은 httpd 가 포트 80에서 실행되는 것으로 가정합니다.

   # semanage port -l | grep http
   http_cache_port_t              tcp      8080, 8118, 8123, 10001-10010
   http_cache_port_t              udp      3130
   http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
   pegasus_http_port_t            tcp      5988
   pegasus_https_port_t           tcp      5989

   Copy to Clipboard Toggle word wrap

3. 포트 3131의 SELinux 유형을 포트 80과 일치하도록 변경합니다.

   # semanage port -a -t http_port_t -p tcp 3131

   Copy to Clipboard Toggle word wrap

4. httpd 를 다시 시작합니다.

   # systemctl start httpd

   Copy to Clipboard Toggle word wrap

5. 그러나 콘텐츠는 계속 액세스할 수 없습니다.

   # wget localhost:3131/index.html
   …
   HTTP request sent, awaiting response... 403 Forbidden
   …

   Copy to Clipboard Toggle word wrap

   sealert 툴로 이유를 찾으십시오.

   # sealert -l "*"
   …
   SELinux is preventing httpd from getattr access on the file /var/test_www/html/index.html.
   …

   Copy to Clipboard Toggle word wrap

6. matchpathcon 툴을 사용하여 표준 및 새 경로에 대한 SELinux 유형을 비교합니다.

   # matchpathcon /var/www/html /var/test_www/html
   /var/www/html       system_u:object_r:httpd_sys_content_t:s0
   /var/test_www/html  system_u:object_r:var_t:s0

   Copy to Clipboard Toggle word wrap

7. 새 /var/test_www/html/ 콘텐츠 디렉터리의 SELinux 유형을 기본 /var/www/html 디렉터리 유형으로 변경합니다.

   # semanage fcontext -a -e /var/www /var/test_www

   Copy to Clipboard Toggle word wrap

8. /var 디렉터리의 레이블을 재귀적으로 다시 지정합니다.

   # restorecon -Rv /var/
   ...
   Relabeled /var/test_www/html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0
   Relabeled /var/test_www/html/index.html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0

   Copy to Clipboard Toggle word wrap

검증

1. httpd 서비스가 실행 중인지 확인합니다.

   # systemctl status httpd
   …
   Active: active (running)
   …
   systemd[1]: Started The Apache HTTP Server.
   httpd[14888]: Server configured, listening on: port 3131
   ...

   Copy to Clipboard Toggle word wrap

2. Apache HTTP 서버에서 제공하는 콘텐츠에 액세스할 수 있는지 확인합니다.

   # wget localhost:3131/index.html
   …
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/html]
   Saving to: ‘index.html'
   …

   Copy to Clipboard Toggle word wrap

절차

1. NFS, CIFS 및 Apache와 관련된 SELinux 부울을 식별합니다.

   # semanage boolean -l | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs                 (off  ,  off)  Allow httpd to access cifs file systems
   httpd_use_nfs                  (off  ,  off)  Allow httpd to access nfs file systems

   Copy to Clipboard Toggle word wrap

2. 부울의 현재 상태를 나열합니다.

   $ getsebool -a | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs --> off
   httpd_use_nfs --> off

   Copy to Clipboard Toggle word wrap

3. 식별된 부울을 활성화합니다.

   # setsebool httpd_use_nfs on
   # setsebool httpd_use_cifs on

   Copy to Clipboard Toggle word wrap
   참고

   다시 시작해도 변경 사항을 유지하려면 -P 옵션과 함께 setsebool 을 사용합니다. setsebool -P 명령에는 전체 정책을 다시 빌드해야 하며 구성에 따라 다소 시간이 걸릴 수 있습니다.

검증

1. 부울이 다음과 같이 설정되어 있는지 확인합니다.

   $ getsebool -a | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs --> on
   httpd_use_nfs --> on

   Copy to Clipboard Toggle word wrap

프로세스

1. 모든 SELinux 관련 주제를 나열하고 결과를 구성하려는 구성 요소로 제한합니다. 예를 들면 다음과 같습니다.

   # man -k selinux | grep samba
   samba_net_selinux (8) - Security Enhanced Linux Policy for the samba_net processes
   samba_selinux (8)    - Security Enhanced Linux Policy for the smbd processes
   …

   Copy to Clipboard Toggle word wrap

   시나리오에 해당하는 도움말 페이지에서 관련 SELinux 부울, 포트 유형 및 파일 유형을 찾습니다.

   selinux-policy-doc 패키지를 설치한 후에만 man -k selinux 또는 apropos selinux 명령을 사용할 수 있습니다.

2. 선택 사항: semanage fcontext -l 명령을 사용하여 기본 위치에 프로세스의 기본 매핑을 표시할 수 있습니다. 예를 들면 다음과 같습니다.

   # semanage fcontext -l | grep samba
   …
   /var/cache/samba(/.*)?                             all files          system_u:object_r:samba_var_t:s0
   …
   /var/spool/samba(/.*)?                             all files          system_u:object_r:samba_spool_t:s0
   …

   Copy to Clipboard Toggle word wrap

3. sesearch 명령을 사용하여 기본 SELinux 정책에 규칙을 표시합니다. 해당 규칙을 나열하여 사용할 유형 및 부울을 찾을 수 있습니다. 예를 들면 다음과 같습니다.

   $ sesearch -A | grep samba | grep httpd
   …
   allow httpd_t cifs_t:dir { getattr open search }; [ use_samba_home_dirs && httpd_enable_homedirs ]:True
   …

   Copy to Clipboard Toggle word wrap

4. SELinux 부울은 구성 문제에 가장 간단한 솔루션일 수 있습니다. getsebool -a 명령을 사용하여 사용 가능한 부울 및 해당 값을 모두 표시할 수 있습니다. 예를 들면 다음과 같습니다.

   $ getsebool -a | grep homedirs
   git_cgi_enable_homedirs --> off
   git_system_enable_homedirs --> off
   httpd_enable_homedirs --> off
   mock_enable_homedirs --> off
   mpd_enable_homedirs --> off
   openvpn_enable_homedirs --> on
   ssh_chroot_rw_homedirs --> off

   Copy to Clipboard Toggle word wrap

5. 예를 들어 sesearch 명령을 사용하여 선택한 부울이 정확히 원하는 작업을 수행하는지 확인할 수 있습니다.

   $ sesearch -A | grep httpd_enable_homedirs
   …
   allow httpd_suexec_t autofs_t:dir { getattr open search }; [ use_nfs_home_dirs && httpd_enable_homedirs ]:True
   allow httpd_suexec_t autofs_t:dir { getattr open search }; [ use_samba_home_dirs && httpd_enable_homedirs ]:True
   …

   Copy to Clipboard Toggle word wrap

6. 부울이 시나리오와 일치하지 않는 경우 케이스에 맞는 SELinux 유형을 찾습니다. sesearch 를 사용하여 기본 정책에서 해당 규칙을 쿼리하여 파일의 유형을 찾을 수 있습니다. 예를 들면 다음과 같습니다.

   $ sesearch -A -s httpd_t -c file -p read
   …
   allow httpd_t httpd_t:file { append getattr ioctl lock open read write };
   allow httpd_t httpd_tmp_t:file { append create getattr ioctl link lock map open read rename setattr unlink write };
   …

   Copy to Clipboard Toggle word wrap
7. 이전 솔루션이 시나리오를 다루지 않는 경우 SELinux 정책에 사용자 지정 규칙을 추가할 수 있습니다. 자세한 내용은 로컬 SELinux 정책 모듈 생성 섹션을 참조하십시오.

프로세스

1. 터미널에서 user_selinux(8) 도움말 페이지를 엽니다.

   $ man user_selinux

   Copy to Clipboard Toggle word wrap

   MANAGED FILES 섹션에서 시나리오에 해당하는 특성 또는 유형을 찾습니다. 예를 들어 user_home_type 속성은 다음과 같습니다.

2. 선택 사항: 속성에 할당된 모든 유형을 나열하려면 -x 및 -a 옵션과 함께 seinfo 명령을 사용합니다.

   $ seinfo -x -a user_home_type
   
   Type Attributes: 1
      attribute user_home_type;
   …
   	chrome_sandbox_home_t
   	config_home_t
   	cvs_home_t
   	data_home_t
   	dbus_home_t
   	fetchmail_home_t
   	gconf_home_t
   	git_user_content_t
   …

   Copy to Clipboard Toggle word wrap

3. 해당 유형에 대한 후보를 확인한 후 이 예제의 data_home_t 유형은 SELinux 매핑을 확인합니다.

   $ semanage fcontext -l | grep data_home_t
   …
   /root/\.local/share(/.*)?                          all files          system_u:object_r:data_home_t:s0
   …

   Copy to Clipboard Toggle word wrap

4. user_u 에서 액세스할 수 있도록 할 해당 유형을 /shared-data 와 같이 매핑합니다.

   $ semanage fcontext -a -t data_home_t '/shared-data(/.*)?'

   Copy to Clipboard Toggle word wrap

검증

1. 구성한 디렉터리의 매핑을 확인합니다.

   # semanage fcontext -l | grep "shared-data"
   /shared-data(/.*)?                             	all files      	system_u:object_r:data_home_t:s0

   Copy to Clipboard Toggle word wrap
2. user_u SELinux 사용자에게 매핑된 Linux 사용자로 로그인하고 디렉터리에 액세스할 수 있는지 확인합니다.

절차

1. SELinux에서 시나리오를 차단하면 /var/log/audit/audit.log 파일이 거부에 대한 자세한 정보를 확인하는 첫 번째 위치입니다. 감사 로그를 쿼리하려면 ausearch 툴을 사용합니다. 액세스 허용 또는 허용하지 않는 것과 같은 SELinux 결정은 캐시되고 이 캐시를 AVC(액세스 벡터 캐시)라고 하므로 메시지 유형 매개 변수에 대해 AVC 및 USER_AVC 값을 사용합니다.

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent

   Copy to Clipboard Toggle word wrap

   일치하는 항목이 없으면 감사 데몬이 실행 중인지 확인합니다. 그렇지 않으면 auditd를 시작한 후 거부된 시나리오를 반복하고 감사 로그를 다시 확인합니다.

2. auditd 가 실행 중이지만 ausearch 출력에 일치하는 항목이 없는 경우 systemd 저널에서 제공하는 메시지를 확인합니다.

   # journalctl -t setroubleshoot

   Copy to Clipboard Toggle word wrap

3. SELinux가 활성 상태이고 시스템에서 감사 데몬이 실행되지 않는 경우 dmesg 명령의 출력에서 특정 SELinux 메시지를 검색합니다.

   # dmesg | grep -i -e type=1300 -e type=1400

   Copy to Clipboard Toggle word wrap

4. 이전 세 가지 점검 후에도 아무 것도 찾을 수 없습니다. 이 경우 dontaudit 규칙으로 인해 AVC 거부를 음소거할 수 있습니다.

   dontaudit 규칙을 일시적으로 비활성화하려면 모든 거부를 로깅할 수 있습니다.

   # semodule -DB

   Copy to Clipboard Toggle word wrap

   거부된 시나리오를 다시 실행하고 이전 단계를 사용하여 거부 메시지를 검색한 후 다음 명령을 사용하면 정책에서 dontaudit 규칙을 다시 활성화합니다.

   # semodule -B

   Copy to Clipboard Toggle word wrap

5. 이전 4 단계를 모두 적용하고 문제가 여전히 확인되지 않은 상태로 남아 있는 경우 SELinux가 시나리오를 실제로 차단하는지 고려하십시오.

   • 허용 모드로 전환합니다.

     # setenforce 0
     $ getenforce
     Permissive

     Copy to Clipboard Toggle word wrap
   • 시나리오를 반복합니다.

   문제가 계속 발생하면 SELinux와 다른 것이 시나리오를 차단하는 것입니다.

절차

1. sealert 명령을 사용하여 기록된 거부에 대한 세부 정보를 나열합니다. 예를 들면 다음과 같습니다.

   $ sealert -l "*"
   SELinux is preventing /usr/bin/passwd from write access on the file
   /root/test.
   
   *****  Plugin leaks (86.2 confidence) suggests *****************************
   
   If you want to ignore passwd trying to write access the test file,
   because you believe it should not need this access.
   Then you should report this as a bug.
   You can generate a local policy module to dontaudit this access.
   Do
   # ausearch -x /usr/bin/passwd --raw | audit2allow -D -M my-passwd
   # semodule -X 300 -i my-passwd.pp
   
   *****  Plugin catchall (14.7 confidence) suggests **************************
   
   ...
   
   Raw Audit Messages
   type=AVC msg=audit(1553609555.619:127): avc:  denied  { write } for
   pid=4097 comm="passwd" path="/root/test" dev="dm-0" ino=17142697
   scontext=unconfined_u:unconfined_r:passwd_t:s0-s0:c0.c1023
   tcontext=unconfined_u:object_r:admin_home_t:s0 tclass=file permissive=0
   
   ...
   
   Hash: passwd,passwd_t,admin_home_t,file,write

   Copy to Clipboard Toggle word wrap

2. 이전 단계에서 얻은 출력에 명확한 제안 사항이 포함되어 있지 않은 경우:

   • 전체 경로 감사를 활성화하여 액세스 오브젝트에 대한 전체 경로를 확인하고 추가 Linux 감사 이벤트 필드를 표시합니다.

     # auditctl -w /etc/shadow -p w -k shadow-write

     Copy to Clipboard Toggle word wrap

   • setroubleshoot 캐시를 지웁니다.

     # rm -f /var/lib/setroubleshoot/setroubleshoot.xml

     Copy to Clipboard Toggle word wrap
   • 문제를 재현합니다.

   • 1단계를 반복합니다.

     프로세스를 완료한 후 전체 경로 감사를 비활성화합니다.

     # auditctl -W /etc/shadow -p w -k shadow-write

     Copy to Clipboard Toggle word wrap
3. sealert 가 catchall 제안만 반환하거나 audit2allow 툴을 사용하여 새 규칙 추가를 제안하는 경우 감사 로그의 SELinux 거부에 나열된 예와 관련된 문제를 일치시킵니다.

절차

1. 텍스트 편집기로 새 .cil 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi <local_module>.cil

   Copy to Clipboard Toggle word wrap

   로컬 모듈을 더 잘 정리하려면 로컬 SELinux 정책 모듈의 이름에 local_ 접두사를 사용합니다.

2. 알려진 문제 또는 Red Hat 솔루션에서 사용자 지정 규칙을 삽입합니다.

   중요

   자체 규칙을 작성하지 마십시오. 특정 알려진 문제 또는 Red Hat 솔루션에서 제공되는 규칙만 사용하십시오.

   • 예를 들어 SELinux가 RHEL의 cups.sock에 대한 cups-lpd 읽기 액세스를 거부하려면 다음 규칙을 삽입합니다.

     (allow cupsd_lpd_t cupsd_var_run_t (sock_file (read)))

     Copy to Clipboard Toggle word wrap

     예제 솔루션은 RHBA-2021:4420 의 {ProductShortName}에 대해 영구적으로 수정되었습니다. 따라서 이 솔루션과 관련된 이 절차의 일부는 업데이트된 {ProductShortName} 8 및 9 시스템에 영향을 미치지 않으며 구문의 예로만 포함됩니다.

     두 가지 SELinux 규칙 구문, CIL(Common Intermediate Language) 및 m4 중 하나를 사용할 수 있습니다. 예를 들어 CIL의 (allow cupsd_lpd_t cupsd_var_run_t (sock_file (read))) 은 m4의 다음과 동일합니다.

     module local_cupslpd-read-cupssock 1.0;
     
     require {
         type cupsd_var_run_t;
         type cupsd_lpd_t;
         class sock_file read;
     }
     
     #============= cupsd_lpd_t ==============
     allow cupsd_lpd_t cupsd_var_run_t:sock_file read;

     Copy to Clipboard Toggle word wrap
3. 파일을 저장하고 닫습니다.

4. 정책 모듈을 설치합니다.

   # semodule -i <local_module>.cil

   Copy to Clipboard Toggle word wrap

   semodule -i 를 사용하여 생성한 로컬 정책 모듈을 제거하려면 .cil 접미사 없이 모듈 이름을 참조하십시오. 로컬 정책 모듈을 제거하려면 semodule -r < local_module> 을 사용합니다.

5. 규칙과 관련된 서비스를 다시 시작합니다.

   # systemctl restart <service_name>

   Copy to Clipboard Toggle word wrap

검증

1. SELinux 정책에 설치된 로컬 모듈을 나열합니다.

   # semodule -lfull | grep "local_"
   400 local_module  cil

   Copy to Clipboard Toggle word wrap

   로컬 모듈에는 우선순위 400 이 있으므로 semodule -lfull | grep -v ^100 명령을 사용하여 해당 값을 사용하여 목록에서도 필터링할 수 있습니다.

2. SELinux 정책에서 관련 허용 규칙을 검색합니다.

   # sesearch -A --source=<SOURCENAME> --target=<TARGETNAME> --class=<CLASSNAME> --perm=<P1>,<P2>

   Copy to Clipboard Toggle word wrap

   여기서 < SOURCENAME >은 소스 SELinux 유형이며 < TARGETNAME >은 대상 SELinux 유형이며 < CLASSNAME >은 보안 클래스 또는 오브젝트 클래스 이름이며 < P1 > 및 < P2 >는 규칙의 특정 권한입니다.

   예를 들어 SELinux가 RHEL의 cups.sock에 대한 cups-lpd 읽기 액세스를 거부합니다.

   # sesearch -A --source=cupsd_lpd_t --target=cupsd_var_run_t --class=sock_file --perm=read
   allow cupsd_lpd_t cupsd_var_run_t:sock_file { append getattr open read write };

   Copy to Clipboard Toggle word wrap

   이제 마지막 줄에 읽기 작업이 포함되어야 합니다.

3. 관련 서비스가 SELinux에 의해 제한된 상태로 실행되는지 확인합니다.

   1. 관련 서비스와 관련된 프로세스를 확인합니다.

      $ systemctl status <service_name>

      Copy to Clipboard Toggle word wrap

   2. 이전 명령의 출력에 나열된 프로세스의 SELinux 컨텍스트를 확인합니다.

      $ ps -efZ | grep <process_name>

      Copy to Clipboard Toggle word wrap

4. 서비스에서 SELinux 거부를 유발하지 않는지 확인합니다.

   # ausearch -m AVC -i -ts recent
   <no matches>

   Copy to Clipboard Toggle word wrap

   i 옵션은 숫자 값을 사람이 읽을 수 있는 텍스트로 해석합니다.

절차

1. selinux-policy-mls 패키지를 설치합니다.

   # dnf install selinux-policy-mls

   Copy to Clipboard Toggle word wrap

2. 선택한 텍스트 편집기에서 /etc/selinux/config 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

3. SELinux 모드를 강제에서 허용으로 변경하고 대상 정책에서 MLS로 전환합니다.

   SELINUX=permissive
   SELINUXTYPE=mls

   Copy to Clipboard Toggle word wrap

   변경 사항을 저장하고 편집기를 종료합니다.

4. MLS 정책을 활성화하려면 파일 시스템의 각 파일의 레이블을 MLS 레이블로 다시 지정해야 합니다.

   # fixfiles -F onboot
   System will relabel on next boot

   Copy to Clipboard Toggle word wrap

5. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

6. SELinux 거부를 확인합니다.

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent -i

   Copy to Clipboard Toggle word wrap

   이전 명령에서는 모든 시나리오를 다루지 않으므로 SELinux 와 관련된 문제 해결을 참조하십시오. SELinux 거부 식별, 분석 및 수정에 대한 지침을 참조하십시오.

7. 시스템에서 SELinux와 관련된 문제가 없는지 확인한 후 /etc/selinux/config 에서 해당 옵션을 변경하여 SELinux를 강제 모드로 다시 전환합니다.

   SELINUX=enforcing

   Copy to Clipboard Toggle word wrap

8. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

검증

1. SELinux가 강제 모드에서 실행되는지 확인합니다.

   # getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

2. SELinux의 상태가 mls 값을 반환하는지 확인합니다.

   # sestatus | grep mls
   Loaded policy name:             mls

   Copy to Clipboard Toggle word wrap

프로세스

1. 선택 사항: SELinux 정책에 오류를 추가하지 않으려면 허용 SELinux 모드로 전환하여 문제 해결을 용이하게 합니다.

   # setenforce 0

   Copy to Clipboard Toggle word wrap

   허용 모드에서 SELinux는 활성 정책을 적용하지 않지만 문제 해결 및 디버깅에 사용할 수 있는 AVC(Access Vector Cache) 메시지만 기록합니다.

2. staff_u SELinux 사용자의 명확한 범위를 정의합니다. 예를 들어 이 명령은 s1 에서 s15 로 명확한 범위를 설정하고 s1 은 기본 명확한 수준입니다.

   # semanage user -m -L s1 -r s1-s15 staff_u

   Copy to Clipboard Toggle word wrap

3. 사용자 홈 디렉터리에 대한 SELinux 파일 컨텍스트 구성 항목을 생성합니다.

   # genhomedircon

   Copy to Clipboard Toggle word wrap

4. 파일 보안 컨텍스트를 기본값으로 복원합니다.

   # restorecon -R -F -v /home/
   Relabeled /home/staff from staff_u:object_r:user_home_dir_t:s0 to staff_u:object_r:user_home_dir_t:s1
   Relabeled /home/staff/.bash_logout from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1
   Relabeled /home/staff/.bash_profile from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1
   Relabeled /home/staff/.bashrc from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1

   Copy to Clipboard Toggle word wrap

5. 사용자에게 명확한 수준을 할당합니다.

   # semanage login -m -r s1 example_user

   Copy to Clipboard Toggle word wrap

   여기서 s1 은 사용자에게 할당된 명확한 수준입니다.

6. 사용자의 홈 디렉터리의 레이블을 사용자의 명확한 수준으로 다시 지정합니다.

   # chcon -R -l s1 /home/example_user

   Copy to Clipboard Toggle word wrap

7. 선택 사항: 이전에 허용 SELinux 모드로 전환했으며 모든 항목이 예상대로 작동하는지 확인한 후 강제 SELinux 모드로 다시 전환합니다.

   # setenforce 1

   Copy to Clipboard Toggle word wrap

검증

1. 사용자가 올바른 SELinux 사용자에게 매핑되고 올바른 명확한 수준이 할당되어 있는지 확인합니다.

   # semanage login -l
   Login Name      SELinux User         MLS/MCS Range        Service
   __default__     user_u               s0-s0                *
   example_user    user_u               s1                   *
   …

   Copy to Clipboard Toggle word wrap
2. MLS 내에서 사용자로 로그인합니다.

3. 사용자의 보안 수준이 올바르게 작동하는지 확인합니다.

   주의

   확인에 사용하는 파일에는 구성이 올바르지 않고 사용자가 실제로 권한 없이 파일에 액세스할 수 있는 경우 중요한 정보가 포함되어 있지 않아야 합니다.

   1. 사용자가 더 높은 수준의 민감도를 가진 파일을 읽을 수 없는지 확인합니다.
   2. 사용자가 민감도가 동일한 파일에 쓸 수 있는지 확인합니다.
   3. 사용자가 낮은 수준의 민감도를 사용하여 파일을 읽을 수 있는지 확인합니다.

절차

1. 보안 터미널에서 사용자로 로그인합니다.

   보안 터미널은 /etc/selinux/mls/contexts/securetty_types 파일에 정의되어 있습니다. 기본적으로 콘솔은 보안 터미널이지만 SSH는 그렇지 않습니다.

2. 현재 사용자의 보안 컨텍스트를 확인합니다.

   $ id -Z
   user_u:user_r:user_t:s0-s2

   Copy to Clipboard Toggle word wrap

   이 예에서 사용자는 user_u SELinux 사용자, user_r 역할, user_t 유형 및 MLS 보안 범위 s0-s2 에 할당됩니다.

3. 현재 사용자의 보안 컨텍스트를 확인합니다.

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard Toggle word wrap

4. 사용자 명확한 범위 내에서 다른 보안 명확한 범위로 전환합니다.

   $ newrole -l s1

   Copy to Clipboard Toggle word wrap

   최대 범위가 더 낮거나 할당된 범위와 동일한 모든 범위로 전환할 수 있습니다. 단일 수준 범위를 입력하면 할당된 범위의 하한이 변경됩니다. 예를 들어 s0-s2 범위가 있는 사용자로 newrole -l s1 을 입력하는 것은 newrole -l s1-s2 를 입력하는 것과 동일합니다.

검증

1. 현재 사용자의 보안 컨텍스트를 표시합니다.

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard Toggle word wrap

2. 현재 쉘을 종료하여 원래 범위로 이전 쉘로 돌아갑니다.

   $ exit

   Copy to Clipboard Toggle word wrap

프로세스

1. 선택 사항: 현재 사용자의 보안 컨텍스트를 표시합니다.

   $ id -Z
   user_u:user_r:user_t:s0-s2

   Copy to Clipboard Toggle word wrap

2. 사용자 MLS 명확한 범위의 더 낮은 수준을 파일에 할당하려는 수준으로 변경합니다.

   $ newrole -l s1-s2

   Copy to Clipboard Toggle word wrap

3. 선택 사항: 현재 사용자의 보안 컨텍스트를 표시합니다.

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard Toggle word wrap

4. 선택 사항: 파일의 보안 컨텍스트를 표시합니다.

   $ ls -Z /path/to/file
   user_u:object_r:user_home_t:s0 /path/to/file

   Copy to Clipboard Toggle word wrap

5. 파일을 수정하여 파일의 민감도 수준을 사용자의 명확한 수준으로 변경합니다.

   $ touch /path/to/file

   Copy to Clipboard Toggle word wrap
   중요

   restorecon 명령이 시스템에서 사용되는 경우 분류 수준은 기본값으로 되돌립니다.

6. 선택 사항: 쉘을 종료하여 사용자의 이전 보안 범위로 돌아갑니다.

   $ exit

   Copy to Clipboard Toggle word wrap

절차

1. 파일의 분류 수준을 확인합니다.

   # ls -lZ /path/to/file
   -rw-r-----. 1 User1 User1 user_u:object_r:user_home_t:s1 0 12. Feb 10:43 /path/to/file

   Copy to Clipboard Toggle word wrap

2. 파일의 기본 분류 수준을 변경합니다.

   # semanage fcontext -a -r s2 /path/to/file

   Copy to Clipboard Toggle word wrap

3. 파일의 SELinux 컨텍스트 레이블을 강제로 다시 지정합니다.

   # restorecon -F -v /path/to/file
   Relabeled /path/to/file from user_u:object_r:user_home_t:s1 to user_u:object_r:user_home_t:s2

   Copy to Clipboard Toggle word wrap

검증

1. 파일의 분류 수준을 확인합니다.

   # ls -lZ /path/to/file
   -rw-r-----. 1 User1 User1 user_u:object_r:user_home_t:s2 0 12. Feb 10:53 /path/to/file

   Copy to Clipboard Toggle word wrap

2. 선택 사항: 하위 사용자가 파일을 읽을 수 없는지 확인합니다.

   $ cat /path/to/file
   cat: file: Permission denied

   Copy to Clipboard Toggle word wrap

절차

1. /etc/sudoers.d 사용자에 대한 새 sudoers 파일을 만듭니다.

   # visudo -f /etc/sudoers.d/<sec_adm_user>

   Copy to Clipboard Toggle word wrap

   sudoers 파일을 정리하려면 < sec_adm_user >를 secadm 역할에 할당할 Linux 사용자로 바꿉니다.

2. /etc/sudoers.d/ <sec_adm_user > 파일에 다음 내용을 추가합니다.

   <sec_adm_user> ALL=(ALL) TYPE=secadm_t ROLE=secadm_r ALL

   Copy to Clipboard Toggle word wrap

   이 행은 모든 호스트의 < sec_adm_user >를 승인하여 모든 명령을 수행하고 기본적으로 secadm SELinux 유형 및 역할에 매핑합니다.

3. < sec_adm_user> 사용자로 로그인합니다.

   SELinux 컨텍스트(SELinux 사용자, 역할 및 유형으로 구성됨)가 변경되었는지 확인하려면 ssh, 콘솔 또는 xdm을 사용하여 로그인합니다. su 및 sudo 와 같은 다른 방법은 전체 SELinux 컨텍스트를 변경할 수 없습니다.

4. 사용자의 보안 컨텍스트를 확인합니다.

   $ id
   uid=1000(<sec_adm_user>) gid=1000(<sec_adm_user>) groups=1000(<sec_adm_user>) context=staff_u:staff_r:staff_t:s0-s15:c0.c1023

   Copy to Clipboard Toggle word wrap

5. root 사용자에 대해 대화형 쉘을 실행합니다.

   $ sudo -i
   [sudo] password for <sec_adm_user>:

   Copy to Clipboard Toggle word wrap

6. 현재 사용자의 보안 컨텍스트를 확인합니다.

   # id
   uid=0(root) gid=0(root) groups=0(root) context=staff_u:secadm_r:secadm_t:s0-s15:c0.c1023

   Copy to Clipboard Toggle word wrap

7. 정책에서 cryptsetup_secadm 모듈을 비활성화합니다.

   # semodule -d sysadm_secadm

   Copy to Clipboard Toggle word wrap
   중요

   semodule -r 명령을 사용하여 시스템 정책 모듈을 제거하는 대신 semodule -d 명령을 사용합니다. semodule -r 명령은 시스템 스토리지에서 모듈을 삭제합니다. 즉 selinux-policy-mls 패키지를 다시 설치하지 않고도 다시 로드할 수 없습니다.

검증

1. secadm 역할에 할당된 사용자로 root 사용자의 대화형 쉘에서 보안 정책 데이터에 액세스할 수 있는지 확인합니다.

   # seinfo -xt secadm_t
   
   Types: 1
      type secadm_t, can_relabelto_shadow_passwords, (…) userdomain;

   Copy to Clipboard Toggle word wrap

2. root 쉘에서 로그아웃합니다.

   # logout

   Copy to Clipboard Toggle word wrap

3. < sec_adm_user > 사용자로부터 로그아웃합니다.

   $ logout
   Connection to localhost closed.

   Copy to Clipboard Toggle word wrap

4. 현재 보안 컨텍스트를 표시합니다.

   # id
   uid=0(root) gid=0(root) groups=0(root) context=root:sysadm_r:sysadm_t:s0-s15:c0.c1023

   Copy to Clipboard Toggle word wrap

5. sysadm_secadm 모듈을 활성화합니다. 이 명령은 실패합니다.

   # semodule -e sysadm_secadm
   SELinux:  Could not load policy file /etc/selinux/mls/policy/policy.31:  Permission denied
   /sbin/load_policy:  Can't load policy:  Permission denied
   libsemanage.semanage_reload_policy: load_policy returned error code 2. (No such file or directory).
   SELinux:  Could not load policy file /etc/selinux/mls/policy/policy.31:  Permission denied
   /sbin/load_policy:  Can't load policy:  Permission denied
   libsemanage.semanage_reload_policy: load_policy returned error code 2. (No such file or directory).
   semodule:  Failed!

   Copy to Clipboard Toggle word wrap

6. sysadm_t SELinux 유형에 대한 세부 정보를 표시하십시오. 이 명령은 실패합니다.

   # seinfo -xt sysadm_t
   [Errno 13] Permission denied: '/sys/fs/selinux/policy'

   Copy to Clipboard Toggle word wrap