SELinux 사용

프로세스

1. 텍스트 편집기에서 /etc/selinux/config 파일을 열고 SELINUX=permissive 옵션을 구성합니다.

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=permissive
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard

2. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard

검증

1. 시스템이 다시 시작되면 getenforce 명령이 Permissive 를 반환하는지 확인합니다.

   $ getenforce
   Permissive

   Copy to Clipboard

프로세스

1. 텍스트 편집기에서 /etc/selinux/config 파일을 열고 SELINUX=enforcing 옵션을 구성합니다.

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard

2. 변경 사항을 저장하고 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard

   다음 부팅 시 SELinux는 시스템 내의 모든 파일과 디렉터리의 레이블을 다시 지정하고 SELinux가 비활성화될 때 생성된 파일 및 디렉터리에 대한 SELinux 컨텍스트를 추가합니다.

검증

1. 시스템을 다시 시작한 후 getenforce 명령이 Enforcing 을 반환하는지 확인합니다.

   $ getenforce
   Enforcing

   Copy to Clipboard

절차

1. 허용 모드에서 SELinux를 활성화합니다. 자세한 내용은 SELinux를 허용 모드로 변경을 참조하십시오.

2. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard
3. SELinux 거부 메시지를 확인합니다. 자세한 내용은 SELinux 거부 식별 을 참조하십시오.

4. 다음 재부팅 시 파일의 레이블을 다시 지정했는지 확인합니다.

   # fixfiles -F onboot

   Copy to Clipboard

   이렇게 하면 -F 옵션이 포함된 /.autorelabel 파일이 생성됩니다.

   주의

   fixfiles -F onboot 명령을 시작하기 전에 항상 허용 모드로 전환합니다.

   기본적으로 autorelabel 은 시스템에 사용 가능한 CPU 코어만큼 많은 스레드를 병렬로 사용합니다. 자동 레이블을 다시 지정하는 동안 단일 스레드만 사용하려면 fixfiles -T 1 onboot 명령을 사용합니다.

5. 거부 모드가 없는 경우 강제 모드로 전환합니다. 자세한 내용은 부팅 시 SELinux 모드 변경을 참조하십시오.

검증

1. 시스템을 다시 시작한 후 getenforce 명령이 Enforcing 을 반환하는지 확인합니다.

   $ getenforce
   Enforcing

   Copy to Clipboard

프로세스

1. selinux=0 을 커널 명령줄에 추가하도록 부트 로더를 구성합니다.

   $ sudo grubby --update-kernel ALL --args selinux=0

   Copy to Clipboard

2. 시스템을 다시 시작하십시오.

   $ reboot

   Copy to Clipboard

프로세스

1. 다음 명령을 입력하여 이라는 새 Linux 사용자를 생성합니다 <example_user>.

   # useradd <example_user>

   Copy to Clipboard

2. Linux <example_user> 사용자에게 암호를 할당하려면 다음을 수행합니다.

   # passwd <example_user>
   Changing password for user <example_user>.
   New password:
   Retype new password:
   passwd: all authentication tokens updated successfully.

   Copy to Clipboard
3. 현재 세션에서 로그아웃합니다.
4. Linux <example_user> 사용자로 로그인합니다. 로그인할 때 pam_selinux PAM 모듈은 Linux 사용자를 SELinux 사용자(이 경우 unconfined_u)에 자동으로 매핑하고 결과 SELinux 컨텍스트를 설정합니다. 그런 다음 이 컨텍스트로 Linux 사용자의 쉘이 시작됩니다.

검증

1. 사용자로 <example_user> 로그인하면 Linux 사용자의 컨텍스트를 확인합니다.

   $ id -Z
   unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

   Copy to Clipboard

프로세스

1. 다음 명령을 입력하여 라는 <example_user> 새 Linux 사용자를 생성하고 SELinux staff_u 사용자에게 매핑합니다.

   # useradd -Z staff_u <example_user>

   Copy to Clipboard

2. Linux <example_user> 사용자에게 암호를 할당하려면 다음을 수행합니다.

   # passwd <example_user>
   Changing password for user <example_user>.
   New password:
   Retype new password:
   passwd: all authentication tokens updated successfully.

   Copy to Clipboard
3. 현재 세션에서 로그아웃합니다.
4. Linux <example_user> 사용자로 로그인합니다. 사용자의 쉘은 staff_u 컨텍스트로 시작됩니다.

검증

1. 사용자로 <example_user> 로그인하면 Linux 사용자의 컨텍스트를 확인합니다.

   $ id -Z
   uid=1000(<example_user>) gid=1000(<example_user>) groups=1000(<example_user>) context=staff_u:staff_r:staff_t:s0-s0:c0.c1023

   Copy to Clipboard

절차

1. SELinux 로그인 레코드 목록을 표시합니다. 이 목록에는 Linux 사용자의 매핑이 SELinux 사용자에게 표시됩니다.

   # semanage login -l
   
   Login Name    SELinux User  MLS/MCS Range   Service
   
   __default__   unconfined_u  s0-s0:c0.c1023       *
   root          unconfined_u  s0-s0:c0.c1023       *

   Copy to Clipboard

2. 명시적 매핑 없이 모든 사용자를 user_u SELinux 사용자에게 매핑하는 __default__ 사용자를 매핑합니다.

   # semanage login -m -s user_u -r s0 __default__

   Copy to Clipboard

검증

1. __default__ 사용자가 user_u SELinux 사용자에게 매핑되었는지 확인합니다.

   # semanage login -l
   
   Login Name    SELinux User   MLS/MCS Range    Service
   
   __default__   user_u         s0               *
   root          unconfined_u   s0-s0:c0.c1023   *

   Copy to Clipboard

2. 새 사용자의 프로세스가 user_u:user_r:user_t:s0 SELinux 컨텍스트에서 실행되는지 확인합니다.

   1. 새 사용자를 생성합니다.

      # adduser <example_user>

      Copy to Clipboard

   2. 다음과 같은 암호를 정의합니다 <example_user>.

      # passwd <example_user>

      Copy to Clipboard
   3. root 로 로그아웃하고 새 사용자로 로그인합니다.

   4. 사용자 ID의 보안 컨텍스트를 표시합니다.

      [<example_user>@localhost ~]$ id -Z
      user_u:user_r:user_t:s0

      Copy to Clipboard

   5. 사용자 현재 프로세스의 보안 컨텍스트를 표시합니다.

      [<example_user>@localhost ~]$ ps axZ
      LABEL                           PID TTY      STAT   TIME COMMAND
      -                                 1 ?        Ss     0:05 /usr/lib/systemd/systemd --switched-root --system --deserialize 18
      -                              3729 ?        S      0:00 (sd-pam)
      user_u:user_r:user_t:s0        3907 ?        Ss     0:00 /usr/lib/systemd/systemd --user
      -                              3911 ?        S      0:00 (sd-pam)
      user_u:user_r:user_t:s0        3918 ?        S      0:00 sshd: <example_user>@pts/0
      user_u:user_r:user_t:s0        3922 pts/0    Ss     0:00 -bash
      user_u:user_r:user_dbusd_t:s0  3969 ?        Ssl    0:00 /usr/bin/dbus-daemon --session --address=systemd: --nofork --nopidfile --systemd-activation --syslog-only
      user_u:user_r:user_t:s0        3971 pts/0    R+     0:00 ps axZ

      Copy to Clipboard

프로세스

1. 선택 사항: sysadm_u 사용자가 SSH를 사용하여 시스템에 연결할 수 있도록 하려면 다음을 수행합니다.

   # setsebool -P ssh_sysadm_login on

   Copy to Clipboard

2. 새 사용자 또는 기존 사용자를 sysadm_u SELinux 사용자에게 매핑합니다.

   • 새 사용자를 매핑하려면 새 사용자를 wheel 사용자 그룹에 추가하고 사용자를 sysadm_u SELinux 사용자에게 매핑합니다.

     # adduser -G wheel -Z sysadm_u <example_user>

     Copy to Clipboard

   • 기존 사용자를 매핑하려면 사용자를 wheel 사용자 그룹에 추가하고 사용자를 sysadm_u SELinux 사용자에게 매핑합니다.

     # usermod -G wheel -Z sysadm_u <example_user>

     Copy to Clipboard

3. 사용자 홈 디렉터리의 컨텍스트를 복원합니다.

   # restorecon -R -F -v /home/<example_user>

   Copy to Clipboard

검증

1. 가 <example_user> sysadm_u SELinux 사용자에게 매핑되었는지 확인합니다.

   # semanage login -l | grep <example_user>
   <example_user>     sysadm_u    s0-s0:c0.c1023   *

   Copy to Clipboard

2. 예를 들어 SSH를 사용하여 로 <example_user> 로그인하고 사용자의 보안 컨텍스트를 표시합니다.

   [<example_user>@localhost ~]$ id -Z
   sysadm_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard

3. root 사용자로 전환합니다.

   $ sudo -i
   [sudo] password for <example_user>:

   Copy to Clipboard

4. 보안 컨텍스트가 변경되지 않은 상태로 남아 있는지 확인합니다.

   # id -Z
   sysadm_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard

5. 예를 들어 sshd 서비스를 다시 시작하십시오.

   # systemctl restart sshd

   Copy to Clipboard

   출력이 없으면 명령이 성공적으로 완료되었습니다.

   명령이 성공적으로 완료되지 않으면 다음 메시지가 출력됩니다.

   Failed to restart sshd.service: Access denied
   See system logs and 'systemctl status sshd.service' for details.

   Copy to Clipboard

절차

1. 새 사용자 또는 기존 사용자를 staff_u SELinux 사용자에게 매핑합니다.

   1. 새 사용자를 매핑하려면 새 사용자를 wheel 사용자 그룹에 추가하고 사용자를 staff_u SELinux 사용자에게 매핑합니다.

      # adduser -G wheel -Z staff_u <example_user>

      Copy to Clipboard

   2. 기존 사용자를 매핑하려면 사용자를 wheel 사용자 그룹에 추가하고 사용자를 staff_u SELinux 사용자에게 매핑합니다.

      # usermod -G wheel -Z staff_u <example_user>

      Copy to Clipboard

2. 사용자 홈 디렉터리의 컨텍스트를 복원합니다.

   # restorecon -R -F -v /home/<example_user>

   Copy to Clipboard

3. SELinux 관리자 역할을 얻을 수 있도록 <example_user> 하려면 /etc/sudoers.d/ 디렉터리에 새 파일을 만듭니다. 예를 들면 다음과 같습니다.

   # visudo -f /etc/sudoers.d/<example_user>

   Copy to Clipboard

4. 새 파일에 다음 행을 추가합니다.

   <example_user> ALL=(ALL) TYPE=sysadm_t ROLE=sysadm_r ALL

   Copy to Clipboard

검증

1. staff_u SELinux 사용자에게 매핑되었는지 <example_user> 확인합니다.

   # semanage login -l | grep <example_user>
   <example_user>     staff_u    s0-s0:c0.c1023   *

   Copy to Clipboard

2. 예를 들어 SSH를 사용하여 로 <example_user> 로그인하고 root 사용자로 전환합니다.

   [<example_user>@localhost ~]$ sudo -i
   [sudo] password for <example_user>:

   Copy to Clipboard

3. 루트 보안 컨텍스트를 표시합니다.

   # id -Z
   staff_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard

4. 예를 들어 sshd 서비스를 다시 시작하십시오.

   # systemctl restart sshd

   Copy to Clipboard

   출력이 없으면 명령이 성공적으로 완료되었습니다.

   명령이 성공적으로 완료되지 않으면 다음 메시지가 출력됩니다.

   Failed to restart sshd.service: Access denied
   See system logs and 'systemctl status sshd.service' for details.

   Copy to Clipboard

절차

1. httpd 서비스를 시작하고 상태를 확인합니다.

   # systemctl start httpd
   # systemctl status httpd
   …
   httpd[14523]: (13)Permission denied: AH00072: make_sock: could not bind to address [::]:3131
   …
   systemd[1]: Failed to start The Apache HTTP Server.
   …

   Copy to Clipboard

2. SELinux 정책은 httpd 가 포트 80에서 실행되는 것으로 가정합니다.

   # semanage port -l | grep http
   http_cache_port_t              tcp      8080, 8118, 8123, 10001-10010
   http_cache_port_t              udp      3130
   http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
   pegasus_http_port_t            tcp      5988
   pegasus_https_port_t           tcp      5989

   Copy to Clipboard

3. 포트 3131의 SELinux 유형을 포트 80과 일치하도록 변경합니다.

   # semanage port -a -t http_port_t -p tcp 3131

   Copy to Clipboard

4. httpd 를 다시 시작합니다.

   # systemctl start httpd

   Copy to Clipboard

5. 그러나 콘텐츠는 계속 액세스할 수 없습니다.

   # wget localhost:3131/index.html
   …
   HTTP request sent, awaiting response... 403 Forbidden
   …

   Copy to Clipboard

   sealert 툴로 이유를 찾으십시오.

   # sealert -l "*"
   …
   SELinux is preventing httpd from getattr access on the file /var/test_www/html/index.html.
   …

   Copy to Clipboard

6. matchpathcon 툴을 사용하여 표준 및 새 경로에 대한 SELinux 유형을 비교합니다.

   # matchpathcon /var/www/html /var/test_www/html
   /var/www/html       system_u:object_r:httpd_sys_content_t:s0
   /var/test_www/html  system_u:object_r:var_t:s0

   Copy to Clipboard

7. 새 /var/test_www/html/ 콘텐츠 디렉터리의 SELinux 유형을 기본 /var/www/html 디렉터리 유형으로 변경합니다.

   # semanage fcontext -a -e /var/www /var/test_www

   Copy to Clipboard

8. /var 디렉터리의 레이블을 재귀적으로 다시 지정합니다.

   # restorecon -Rv /var/
   ...
   Relabeled /var/test_www/html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0
   Relabeled /var/test_www/html/index.html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0

   Copy to Clipboard

검증

1. httpd 서비스가 실행 중인지 확인합니다.

   # systemctl status httpd
   …
   Active: active (running)
   …
   systemd[1]: Started The Apache HTTP Server.
   httpd[14888]: Server configured, listening on: port 3131
   ...

   Copy to Clipboard

2. Apache HTTP 서버에서 제공하는 콘텐츠에 액세스할 수 있는지 확인합니다.

   # wget localhost:3131/index.html
   …
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/html]
   Saving to: ‘index.html'
   …

   Copy to Clipboard

절차

1. NFS, CIFS 및 Apache와 관련된 SELinux 부울을 식별합니다.

   # semanage boolean -l | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs                 (off  ,  off)  Allow httpd to access cifs file systems
   httpd_use_nfs                  (off  ,  off)  Allow httpd to access nfs file systems

   Copy to Clipboard

2. 부울의 현재 상태를 나열합니다.

   $ getsebool -a | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs --> off
   httpd_use_nfs --> off

   Copy to Clipboard

3. 식별된 부울을 활성화합니다.

   # setsebool httpd_use_nfs on
   # setsebool httpd_use_cifs on

   Copy to Clipboard
   참고

   다시 시작해도 변경 사항을 유지하려면 -P 옵션과 함께 setsebool 을 사용합니다. setsebool -P 명령에는 전체 정책을 다시 빌드해야 하며 구성에 따라 다소 시간이 걸릴 수 있습니다.

검증

1. 부울이 다음과 같이 설정되어 있는지 확인합니다.

   $ getsebool -a | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs --> on
   httpd_use_nfs --> on

   Copy to Clipboard

프로세스

1. 모든 SELinux 관련 주제를 나열하고 결과를 구성하려는 구성 요소로 제한합니다. 예를 들면 다음과 같습니다.

   # man -k selinux | grep samba
   samba_net_selinux (8) - Security Enhanced Linux Policy for the samba_net processes
   samba_selinux (8)    - Security Enhanced Linux Policy for the smbd processes
   …

   Copy to Clipboard

   시나리오에 해당하는 도움말 페이지에서 관련 SELinux 부울, 포트 유형 및 파일 유형을 찾습니다.

   selinux-policy-doc 패키지를 설치한 후에만 man -k selinux 또는 apropos selinux 명령을 사용할 수 있습니다.

2. 선택 사항: semanage fcontext -l 명령을 사용하여 기본 위치에 프로세스의 기본 매핑을 표시할 수 있습니다. 예를 들면 다음과 같습니다.

   # semanage fcontext -l | grep samba
   …
   /var/cache/samba(/.*)?                             all files          system_u:object_r:samba_var_t:s0
   …
   /var/spool/samba(/.*)?                             all files          system_u:object_r:samba_spool_t:s0
   …

   Copy to Clipboard

3. sesearch 명령을 사용하여 기본 SELinux 정책에 규칙을 표시합니다. 해당 규칙을 나열하여 사용할 유형 및 부울을 찾을 수 있습니다. 예를 들면 다음과 같습니다.

   $ sesearch -A | grep samba | grep httpd
   …
   allow httpd_t cifs_t:dir { getattr open search }; [ use_samba_home_dirs && httpd_enable_homedirs ]:True
   …

   Copy to Clipboard

4. SELinux 부울은 구성 문제에 가장 간단한 솔루션일 수 있습니다. getsebool -a 명령을 사용하여 사용 가능한 부울 및 해당 값을 모두 표시할 수 있습니다. 예를 들면 다음과 같습니다.

   $ getsebool -a | grep homedirs
   git_cgi_enable_homedirs --> off
   git_system_enable_homedirs --> off
   httpd_enable_homedirs --> off
   mock_enable_homedirs --> off
   mpd_enable_homedirs --> off
   openvpn_enable_homedirs --> on
   ssh_chroot_rw_homedirs --> off

   Copy to Clipboard

5. 예를 들어 sesearch 명령을 사용하여 선택한 부울이 정확히 원하는 작업을 수행하는지 확인할 수 있습니다.

   $ sesearch -A | grep httpd_enable_homedirs
   …
   allow httpd_suexec_t autofs_t:dir { getattr open search }; [ use_nfs_home_dirs && httpd_enable_homedirs ]:True
   allow httpd_suexec_t autofs_t:dir { getattr open search }; [ use_samba_home_dirs && httpd_enable_homedirs ]:True
   …

   Copy to Clipboard

6. 부울이 시나리오와 일치하지 않는 경우 케이스에 맞는 SELinux 유형을 찾습니다. sesearch 를 사용하여 기본 정책에서 해당 규칙을 쿼리하여 파일의 유형을 찾을 수 있습니다. 예를 들면 다음과 같습니다.

   $ sesearch -A -s httpd_t -c file -p read
   …
   allow httpd_t httpd_t:file { append getattr ioctl lock open read write };
   allow httpd_t httpd_tmp_t:file { append create getattr ioctl link lock map open read rename setattr unlink write };
   …

   Copy to Clipboard
7. 이전 솔루션이 시나리오를 다루지 않는 경우 SELinux 정책에 사용자 지정 규칙을 추가할 수 있습니다. 자세한 내용은 로컬 SELinux 정책 모듈 생성 섹션을 참조하십시오.

프로세스

1. 터미널에서 user_selinux(8) 도움말 페이지를 엽니다.

   $ man user_selinux

   Copy to Clipboard

   MANAGED FILES 섹션에서 시나리오에 해당하는 특성 또는 유형을 찾습니다. 예를 들어 user_home_type 속성은 다음과 같습니다.

2. 선택 사항: 속성에 할당된 모든 유형을 나열하려면 -x 및 -a 옵션과 함께 seinfo 명령을 사용합니다.

   $ seinfo -x -a user_home_type
   
   Type Attributes: 1
      attribute user_home_type;
   …
   	chrome_sandbox_home_t
   	config_home_t
   	cvs_home_t
   	data_home_t
   	dbus_home_t
   	fetchmail_home_t
   	gconf_home_t
   	git_user_content_t
   …

   Copy to Clipboard

3. 해당 유형에 대한 후보를 확인한 후 이 예제의 data_home_t 유형은 SELinux 매핑을 확인합니다.

   $ semanage fcontext -l | grep data_home_t
   …
   /root/\.local/share(/.*)?                          all files          system_u:object_r:data_home_t:s0
   …

   Copy to Clipboard

4. user_u 에서 액세스할 수 있도록 할 해당 유형을 /shared-data 와 같이 매핑합니다.

   $ semanage fcontext -a -t data_home_t '/shared-data(/.*)?'

   Copy to Clipboard

검증

1. 구성한 디렉터리의 매핑을 확인합니다.

   # semanage fcontext -l | grep "shared-data"
   /shared-data(/.*)?                             	all files      	system_u:object_r:data_home_t:s0

   Copy to Clipboard
2. user_u SELinux 사용자에게 매핑된 Linux 사용자로 로그인하고 디렉터리에 액세스할 수 있는지 확인합니다.

절차

1. SELinux에서 시나리오를 차단하면 /var/log/audit/audit.log 파일이 거부에 대한 자세한 정보를 확인하는 첫 번째 위치입니다. 감사 로그를 쿼리하려면 ausearch 툴을 사용합니다. 액세스 허용 또는 허용하지 않는 것과 같은 SELinux 결정은 캐시되고 이 캐시를 AVC(액세스 벡터 캐시)라고 하므로 메시지 유형 매개 변수에 대해 AVC 및 USER_AVC 값을 사용합니다.

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent

   Copy to Clipboard

   일치하는 항목이 없으면 감사 데몬이 실행 중인지 확인합니다. 그렇지 않으면 auditd를 시작한 후 거부된 시나리오를 반복하고 감사 로그를 다시 확인합니다.

2. auditd 가 실행 중이지만 ausearch 출력에 일치하는 항목이 없는 경우 systemd 저널에서 제공하는 메시지를 확인합니다.

   # journalctl -t setroubleshoot

   Copy to Clipboard

3. SELinux가 활성 상태이고 시스템에서 감사 데몬이 실행되지 않는 경우 dmesg 명령의 출력에서 특정 SELinux 메시지를 검색합니다.

   # dmesg | grep -i -e type=1300 -e type=1400

   Copy to Clipboard

4. 이전 세 가지 점검 후에도 아무 것도 찾을 수 없습니다. 이 경우 dontaudit 규칙으로 인해 AVC 거부를 음소거할 수 있습니다.

   dontaudit 규칙을 일시적으로 비활성화하려면 모든 거부를 로깅할 수 있습니다.

   # semodule -DB

   Copy to Clipboard

   거부된 시나리오를 다시 실행하고 이전 단계를 사용하여 거부 메시지를 검색한 후 다음 명령을 사용하면 정책에서 dontaudit 규칙을 다시 활성화합니다.

   # semodule -B

   Copy to Clipboard

5. 이전 4 단계를 모두 적용하고 문제가 여전히 확인되지 않은 상태로 남아 있는 경우 SELinux가 시나리오를 실제로 차단하는지 고려하십시오.

   • 허용 모드로 전환합니다.

     # setenforce 0
     $ getenforce
     Permissive

     Copy to Clipboard
   • 시나리오를 반복합니다.

   문제가 계속 발생하면 SELinux와 다른 것이 시나리오를 차단하는 것입니다.

절차

1. sealert 명령을 사용하여 기록된 거부에 대한 세부 정보를 나열합니다. 예를 들면 다음과 같습니다.

   $ sealert -l "*"
   SELinux is preventing /usr/bin/passwd from write access on the file
   /root/test.
   
   *****  Plugin leaks (86.2 confidence) suggests *****************************
   
   If you want to ignore passwd trying to write access the test file,
   because you believe it should not need this access.
   Then you should report this as a bug.
   You can generate a local policy module to dontaudit this access.
   Do
   # ausearch -x /usr/bin/passwd --raw | audit2allow -D -M my-passwd
   # semodule -X 300 -i my-passwd.pp
   
   *****  Plugin catchall (14.7 confidence) suggests **************************
   
   ...
   
   Raw Audit Messages
   type=AVC msg=audit(1553609555.619:127): avc:  denied  { write } for
   pid=4097 comm="passwd" path="/root/test" dev="dm-0" ino=17142697
   scontext=unconfined_u:unconfined_r:passwd_t:s0-s0:c0.c1023
   tcontext=unconfined_u:object_r:admin_home_t:s0 tclass=file permissive=0
   
   ...
   
   Hash: passwd,passwd_t,admin_home_t,file,write

   Copy to Clipboard

2. 이전 단계에서 얻은 출력에 명확한 제안 사항이 포함되어 있지 않은 경우:

   • 전체 경로 감사를 활성화하여 액세스 오브젝트에 대한 전체 경로를 확인하고 추가 Linux 감사 이벤트 필드를 표시합니다.

     # auditctl -w /etc/shadow -p w -k shadow-write

     Copy to Clipboard

   • setroubleshoot 캐시를 지웁니다.

     # rm -f /var/lib/setroubleshoot/setroubleshoot.xml

     Copy to Clipboard
   • 문제를 재현합니다.

   • 1단계를 반복합니다.

     프로세스를 완료한 후 전체 경로 감사를 비활성화합니다.

     # auditctl -W /etc/shadow -p w -k shadow-write

     Copy to Clipboard
3. sealert 가 catchall 제안만 반환하거나 audit2allow 툴을 사용하여 새 규칙 추가를 제안하는 경우 감사 로그의 SELinux 거부에 나열된 예와 관련된 문제를 일치시킵니다.

절차

1. 텍스트 편집기로 새 .cil 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vim <local_module>.cil

   Copy to Clipboard

   로컬 모듈을 더 잘 정리하려면 로컬 SELinux 정책 모듈의 이름에 local_ 접두사를 사용합니다.

2. 알려진 문제 또는 Red Hat 솔루션에서 사용자 지정 규칙을 삽입합니다.

   중요

   자체 규칙을 작성하지 마십시오. 특정 알려진 문제 또는 Red Hat 솔루션에서 제공되는 규칙만 사용하십시오.

   • 예를 들어 SELinux를 구현하면 RHEL 솔루션에서 cups.sock에 대한 cups-lpd 읽기 액세스를 거부하려면 다음 규칙을 삽입합니다.

     (allow cupsd_lpd_t cupsd_var_run_t (sock_file (read)))

     Copy to Clipboard

     RHBA-2021:4420 의 RHEL에 대해 예제 솔루션이 영구적으로 수정되었습니다. 따라서 이 솔루션과 관련된 이 절차의 일부는 업데이트된 RHEL 8 및 9 시스템에는 영향을 미치지 않으며 구문 예제로만 포함됩니다.

     두 가지 SELinux 규칙 구문, CIL(Common Intermediate Language) 및 m4 중 하나를 사용할 수 있습니다. 예를 들어 CIL의 (allow cupsd_lpd_t cupsd_var_run_t (sock_file (read))) 은 m4의 다음과 동일합니다.

     module local_cupslpd-read-cupssock 1.0;
     
     require {
         type cupsd_var_run_t;
         type cupsd_lpd_t;
         class sock_file read;
     }
     
     #============= cupsd_lpd_t ==============
     allow cupsd_lpd_t cupsd_var_run_t:sock_file read;

     Copy to Clipboard
3. 파일을 저장하고 닫습니다.

4. 정책 모듈을 설치합니다.

   # semodule -i <local_module>.cil

   Copy to Clipboard

   semodule -i 를 사용하여 생성한 로컬 정책 모듈을 제거하려면 .cil 접미사 없이 모듈 이름을 참조하십시오. 로컬 정책 모듈을 제거하려면 semodule -r < local_module> 을 사용합니다.

5. 규칙과 관련된 서비스를 다시 시작합니다.

   # systemctl restart <service_name>

   Copy to Clipboard

검증

1. SELinux 정책에 설치된 로컬 모듈을 나열합니다.

   # semodule -lfull | grep "local_"
   400 local_module  cil

   Copy to Clipboard

   로컬 모듈에는 우선순위 400 이 있으므로 semodule -lfull | grep -v ^100 명령을 사용하여 해당 값을 사용하여 목록에서도 필터링할 수 있습니다.

2. SELinux 정책에서 관련 허용 규칙을 검색합니다.

   # sesearch -A --source=<SOURCE_NAME> --target=<TARGET_NAME> --class=<CLASS_NAME> --perm=<P1>,<P2>

   Copy to Clipboard

   여기서 < SOURCE_NAME >은 소스 SELinux 유형이며 < TARGET_NAME >은 대상 SELinux 유형이며 < CLASS_NAME >은 보안 클래스 또는 오브젝트 클래스 이름이며 < P1 > 및 < P2 >는 규칙의 특정 권한입니다.

   예를 들어 SELinux의 경우 RHEL 솔루션의 cups.sock에 대한 cups-lpd 읽기 액세스를 거부합니다.

   # sesearch -A --source=cupsd_lpd_t --target=cupsd_var_run_t --class=sock_file --perm=read
   allow cupsd_lpd_t cupsd_var_run_t:sock_file { append getattr open read write };

   Copy to Clipboard

   이제 마지막 줄에 읽기 작업이 포함되어야 합니다.

3. 관련 서비스가 SELinux에 의해 제한된 상태로 실행되는지 확인합니다.

   1. 관련 서비스와 관련된 프로세스를 확인합니다.

      $ systemctl status <service_name>

      Copy to Clipboard

   2. 이전 명령의 출력에 나열된 프로세스의 SELinux 컨텍스트를 확인합니다.

      $ ps -efZ | grep <process_name>

      Copy to Clipboard

4. 서비스에서 SELinux 거부를 유발하지 않는지 확인합니다.

   # ausearch -m AVC -i -ts recent
   <no matches>

   Copy to Clipboard

   i 옵션은 숫자 값을 사람이 읽을 수 있는 텍스트로 해석합니다.

절차

1. selinux-policy-mls 패키지를 설치합니다.

   # dnf install selinux-policy-mls

   Copy to Clipboard

2. 선택한 텍스트 편집기에서 /etc/selinux/config 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/selinux/config

   Copy to Clipboard

3. SELinux 모드를 강제에서 허용으로 변경하고 대상 정책에서 MLS로 전환합니다.

   SELINUX=permissive
   SELINUXTYPE=mls

   Copy to Clipboard

   변경 사항을 저장하고 편집기를 종료합니다.

4. MLS 정책을 활성화하려면 파일 시스템의 각 파일의 레이블을 MLS 레이블로 다시 지정해야 합니다.

   # fixfiles -F onboot
   System will relabel on next boot

   Copy to Clipboard

5. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard

6. SELinux 거부를 확인합니다.

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent -i

   Copy to Clipboard

   이전 명령에서는 모든 시나리오를 다루지 않으므로 SELinux 와 관련된 문제 해결을 참조하십시오. SELinux 거부 식별, 분석 및 수정에 대한 지침을 참조하십시오.

7. 시스템에서 SELinux와 관련된 문제가 없는지 확인한 후 /etc/selinux/config 에서 해당 옵션을 변경하여 SELinux를 강제 모드로 다시 전환합니다.

   SELINUX=enforcing

   Copy to Clipboard

8. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard

검증

1. SELinux가 강제 모드에서 실행되는지 확인합니다.

   # getenforce
   Enforcing

   Copy to Clipboard

2. SELinux의 상태가 mls 값을 반환하는지 확인합니다.

   # sestatus | grep mls
   Loaded policy name:             mls

   Copy to Clipboard

프로세스

1. 선택 사항: SELinux 정책에 오류를 추가하지 않으려면 허용 SELinux 모드로 전환하여 문제 해결을 용이하게 합니다.

   # setenforce 0

   Copy to Clipboard

   허용 모드에서 SELinux는 활성 정책을 적용하지 않지만 문제 해결 및 디버깅에 사용할 수 있는 AVC(Access Vector Cache) 메시지만 기록합니다.

2. staff_u SELinux 사용자의 명확한 범위를 정의합니다. 예를 들어 이 명령은 s1 에서 s15 로 명확한 범위를 설정하고 s1 은 기본 명확한 수준입니다.

   # semanage user -m -L s1 -r s1-s15 staff_u

   Copy to Clipboard

3. 사용자 홈 디렉터리에 대한 SELinux 파일 컨텍스트 구성 항목을 생성합니다.

   # genhomedircon

   Copy to Clipboard

4. 파일 보안 컨텍스트를 기본값으로 복원합니다.

   # restorecon -R -F -v /home/
   Relabeled /home/staff from staff_u:object_r:user_home_dir_t:s0 to staff_u:object_r:user_home_dir_t:s1
   Relabeled /home/staff/.bash_logout from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1
   Relabeled /home/staff/.bash_profile from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1
   Relabeled /home/staff/.bashrc from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1

   Copy to Clipboard

5. 사용자에게 명확한 수준을 할당합니다.

   # semanage login -m -r s1 example_user

   Copy to Clipboard

   여기서 s1 은 사용자에게 할당된 명확한 수준입니다.

6. 사용자의 홈 디렉터리의 레이블을 사용자의 명확한 수준으로 다시 지정합니다.

   # chcon -R -l s1 /home/example_user

   Copy to Clipboard

7. 선택 사항: 이전에 허용 SELinux 모드로 전환했으며 모든 항목이 예상대로 작동하는지 확인한 후 강제 SELinux 모드로 다시 전환합니다.

   # setenforce 1

   Copy to Clipboard

검증

1. 사용자가 올바른 SELinux 사용자에게 매핑되고 올바른 명확한 수준이 할당되어 있는지 확인합니다.

   # semanage login -l
   Login Name      SELinux User         MLS/MCS Range        Service
   __default__     user_u               s0-s0                *
   example_user    user_u               s1                   *
   …

   Copy to Clipboard
2. MLS 내에서 사용자로 로그인합니다.

3. 사용자의 보안 수준이 올바르게 작동하는지 확인합니다.

   주의

   확인에 사용하는 파일에는 구성이 올바르지 않고 사용자가 실제로 권한 없이 파일에 액세스할 수 있는 경우 중요한 정보가 포함되어 있지 않아야 합니다.

   1. 사용자가 더 높은 수준의 민감도를 가진 파일을 읽을 수 없는지 확인합니다.
   2. 사용자가 민감도가 동일한 파일에 쓸 수 있는지 확인합니다.
   3. 사용자가 낮은 수준의 민감도를 사용하여 파일을 읽을 수 있는지 확인합니다.

절차

1. 보안 터미널에서 사용자로 로그인합니다.

   보안 터미널은 /etc/selinux/mls/contexts/securetty_types 파일에 정의되어 있습니다. 기본적으로 콘솔은 보안 터미널이지만 SSH는 그렇지 않습니다.

2. 현재 사용자의 보안 컨텍스트를 확인합니다.

   $ id -Z
   user_u:user_r:user_t:s0-s2

   Copy to Clipboard

   이 예에서 사용자는 user_u SELinux 사용자, user_r 역할, user_t 유형 및 MLS 보안 범위 s0-s2 에 할당됩니다.

3. 현재 사용자의 보안 컨텍스트를 확인합니다.

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard

4. 사용자 명확한 범위 내에서 다른 보안 명확한 범위로 전환합니다.

   $ newrole -l s1

   Copy to Clipboard

   최대 범위가 더 낮거나 할당된 범위와 동일한 모든 범위로 전환할 수 있습니다. 단일 수준 범위를 입력하면 할당된 범위의 하한이 변경됩니다. 예를 들어 s0-s2 범위가 있는 사용자로 newrole -l s1 을 입력하는 것은 newrole -l s1-s2 를 입력하는 것과 동일합니다.

검증

1. 현재 사용자의 보안 컨텍스트를 표시합니다.

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard

2. 현재 쉘을 종료하여 원래 범위로 이전 쉘로 돌아갑니다.

   $ exit

   Copy to Clipboard

프로세스

1. 선택 사항: 현재 사용자의 보안 컨텍스트를 표시합니다.

   $ id -Z
   user_u:user_r:user_t:s0-s2

   Copy to Clipboard

2. 사용자 MLS 명확한 범위의 더 낮은 수준을 파일에 할당하려는 수준으로 변경합니다.

   $ newrole -l s1-s2

   Copy to Clipboard

3. 선택 사항: 현재 사용자의 보안 컨텍스트를 표시합니다.

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard

4. 선택 사항: 파일의 보안 컨텍스트를 표시합니다.

   $ ls -Z /path/to/file
   user_u:object_r:user_home_t:s0 /path/to/file

   Copy to Clipboard

5. 파일을 수정하여 파일의 민감도 수준을 사용자의 명확한 수준으로 변경합니다.

   $ touch /path/to/file

   Copy to Clipboard
   중요

   restorecon 명령이 시스템에서 사용되는 경우 분류 수준은 기본값으로 되돌립니다.

6. 선택 사항: 쉘을 종료하여 사용자의 이전 보안 범위로 돌아갑니다.

   $ exit

   Copy to Clipboard

절차

1. 파일의 분류 수준을 확인합니다.

   # ls -lZ /path/to/file
   -rw-r-----. 1 User1 User1 user_u:object_r:user_home_t:s1 0 12. Feb 10:43 /path/to/file

   Copy to Clipboard

2. 파일의 기본 분류 수준을 변경합니다.

   # semanage fcontext -a -r s2 /path/to/file

   Copy to Clipboard

3. 파일의 SELinux 컨텍스트 레이블을 강제로 다시 지정합니다.

   # restorecon -F -v /path/to/file
   Relabeled /path/to/file from user_u:object_r:user_home_t:s1 to user_u:object_r:user_home_t:s2

   Copy to Clipboard

검증

1. 파일의 분류 수준을 확인합니다.

   # ls -lZ /path/to/file
   -rw-r-----. 1 User1 User1 user_u:object_r:user_home_t:s2 0 12. Feb 10:53 /path/to/file

   Copy to Clipboard

2. 선택 사항: 하위 사용자가 파일을 읽을 수 없는지 확인합니다.

   $ cat /path/to/file
   cat: file: Permission denied

   Copy to Clipboard

절차

1. /etc/sudoers.d 사용자에 대한 새 sudoers 파일을 만듭니다.

   # visudo -f /etc/sudoers.d/<sec_adm_user>

   Copy to Clipboard

   sudoers 파일을 정리하려면 < sec_adm_user >를 secadm 역할에 할당할 Linux 사용자로 바꿉니다.

2. /etc/sudoers.d/ <sec_adm_user > 파일에 다음 내용을 추가합니다.

   <sec_adm_user> ALL=(ALL) TYPE=secadm_t ROLE=secadm_r ALL

   Copy to Clipboard

   이 행은 모든 호스트의 < sec_adm_user >를 승인하여 모든 명령을 수행하고 기본적으로 secadm SELinux 유형 및 역할에 매핑합니다.

3. < sec_adm_user> 사용자로 로그인합니다.

   SELinux 컨텍스트(SELinux 사용자, 역할 및 유형으로 구성됨)가 변경되었는지 확인하려면 ssh, 콘솔 또는 xdm을 사용하여 로그인합니다. su 및 sudo 와 같은 다른 방법은 전체 SELinux 컨텍스트를 변경할 수 없습니다.

4. 사용자의 보안 컨텍스트를 확인합니다.

   $ id
   uid=1000(<sec_adm_user>) gid=1000(<sec_adm_user>) groups=1000(<sec_adm_user>) context=staff_u:staff_r:staff_t:s0-s15:c0.c1023

   Copy to Clipboard

5. root 사용자에 대해 대화형 쉘을 실행합니다.

   $ sudo -i
   [sudo] password for <sec_adm_user>:

   Copy to Clipboard

6. 현재 사용자의 보안 컨텍스트를 확인합니다.

   # id
   uid=0(root) gid=0(root) groups=0(root) context=staff_u:secadm_r:secadm_t:s0-s15:c0.c1023

   Copy to Clipboard

7. 정책에서 cryptsetup_secadm 모듈을 비활성화합니다.

   # semodule -d sysadm_secadm

   Copy to Clipboard
   중요

   semodule -r 명령을 사용하여 시스템 정책 모듈을 제거하는 대신 semodule -d 명령을 사용합니다. semodule -r 명령은 시스템 스토리지에서 모듈을 삭제합니다. 즉 selinux-policy-mls 패키지를 다시 설치하지 않고도 다시 로드할 수 없습니다.

검증

1. secadm 역할에 할당된 사용자로 root 사용자의 대화형 쉘에서 보안 정책 데이터에 액세스할 수 있는지 확인합니다.

   # seinfo -xt secadm_t
   
   Types: 1
      type secadm_t, can_relabelto_shadow_passwords, (…) userdomain;

   Copy to Clipboard

2. root 쉘에서 로그아웃합니다.

   # logout

   Copy to Clipboard

3. < sec_adm_user > 사용자로부터 로그아웃합니다.

   $ logout
   Connection to localhost closed.

   Copy to Clipboard

4. 현재 보안 컨텍스트를 표시합니다.

   # id
   uid=0(root) gid=0(root) groups=0(root) context=root:sysadm_r:sysadm_t:s0-s15:c0.c1023

   Copy to Clipboard

5. sysadm_secadm 모듈을 활성화합니다. 이 명령은 실패합니다.

   # semodule -e sysadm_secadm
   SELinux:  Could not load policy file /etc/selinux/mls/policy/policy.31:  Permission denied
   /sbin/load_policy:  Can't load policy:  Permission denied
   libsemanage.semanage_reload_policy: load_policy returned error code 2. (No such file or directory).
   SELinux:  Could not load policy file /etc/selinux/mls/policy/policy.31:  Permission denied
   /sbin/load_policy:  Can't load policy:  Permission denied
   libsemanage.semanage_reload_policy: load_policy returned error code 2. (No such file or directory).
   semodule:  Failed!

   Copy to Clipboard

6. sysadm_t SELinux 유형에 대한 세부 정보를 표시하십시오. 이 명령은 실패합니다.

   # seinfo -xt sysadm_t
   [Errno 13] Permission denied: '/sys/fs/selinux/policy'

   Copy to Clipboard

절차

1. 현재 터미널 유형을 확인합니다.

   # ls -Z `tty`
   root:object_r:user_devpts_t:s0 /dev/pts/0

   Copy to Clipboard

   이 예제 출력에서 user_devpts_t 는 현재 터미널 유형입니다.

2. /etc/selinux/mls/contexts/securetty_types 파일의 새 행에 관련 SELinux 유형을 추가합니다.

3. 선택 사항: SELinux를 강제 모드로 전환합니다.

   # setenforce 1

   Copy to Clipboard

프로세스

1. 선택 사항: 문제 해결을 위해 허용 모드로 전환합니다.

   # setenforce 0

   Copy to Clipboard

2. 텍스트 편집기로 새 .cil 파일(예: ~/local_mlsfilewrite.cil )을 열고 다음 사용자 지정 규칙을 삽입합니다.

   (typeattributeset mlsfilewrite (_staff_t_))

   Copy to Clipboard

   staff_t 를 다른 SELinux 유형으로 교체할 수 있습니다. SELinux 유형을 지정하면 하위 수준 파일을 편집할 수 있는 SELinux 역할을 제어할 수 있습니다.

   로컬 모듈을 더 잘 정리하려면 로컬 SELinux 정책 모듈의 이름에 local_ 접두사를 사용합니다.

3. 정책 모듈을 설치합니다.

   # semodule -i ~/local_mlsfilewrite.cil

   Copy to Clipboard
   참고

   로컬 정책 모듈을 제거하려면 semodule -r ~/local_mlsfilewrite 를 사용합니다. .cil 접미사 없이 모듈 이름을 참조해야 합니다.

4. 선택 사항: 이전에 허용 모드로 다시 전환한 경우 강제 모드로 돌아갑니다.

   # setenforce 1

   Copy to Clipboard

검증

1. 설치된 SELinux 모듈 목록에서 로컬 모듈을 찾습니다.

   # semodule -lfull | grep "local_mls"
   400 local_mlsfilewrite  cil

   Copy to Clipboard

   로컬 모듈에는 우선 순위가 400 이므로 semodule -lfull | grep -v ^100 명령을 사용하여 나열할 수도 있습니다.

2. 사용자 지정 규칙에 정의된 유형에 할당된 사용자로 로그인합니다(예: staff_t ).

3. 민감도 수준이 낮은 파일에 쓰기를 시도합니다. 이렇게 하면 파일의 분류 수준이 사용자의 명확한 수준으로 증가합니다.

   중요

   확인에 사용하는 파일에는 구성이 올바르지 않고 사용자가 실제로 권한 없이 파일에 액세스할 수 있는 경우 중요한 정보가 포함되어 있지 않아야 합니다.

절차

1. 이름이 local_mcs_user.cil:이라는 새 파일을 만듭니다.

   # vim local_mcs_user.cil

   Copy to Clipboard

2. 다음 규칙을 삽입합니다.

   (typeattributeset mcs_constrained_type (user_t))

   Copy to Clipboard

3. 정책 모듈을 설치합니다.

   # semodule -i local_mcs_user.cil

   Copy to Clipboard

절차

1. 텍스트 편집기에서 /etc/selinux/ <selinux_policy> /setrans.conf 파일을 편집하여 기존 카테고리를 수정하거나 새 카테고리를 만듭니다. 사용하는 SELinux 정책에 따라 & lt;selinux_policy >를 대상 또는 ml 로 바꿉니다. 예를 들면 다음과 같습니다.

   # vi /etc/selinux/targeted/setrans.conf

   Copy to Clipboard

2. 정책에 대한 setrans.conf 파일에서 s_<security_level>_:c_<category_number>_= <category_name > 구문을 사용하여 시나리오에 필요한 카테고리 조합을 정의합니다. 예를 들면 다음과 같습니다.

   s0:c0=Marketing
   s0:c1=Finance
   s0:c2=Payroll
   s0:c3=Personnel

   Copy to Clipboard
   • c0 에서 c1023 까지 카테고리 번호를 사용할 수 있습니다.
   • 대상 정책에서 s0 보안 수준을 사용합니다.
   • mls 정책에서는 민감도 수준 및 범주의 각 조합에 레이블을 지정할 수 있습니다.
3. 선택 사항: setrans.conf 파일에서 MLS 민감도에 레이블을 지정할 수도 있습니다.
4. 파일을 저장하고 종료합니다.

5. 변경 사항을 적용하려면 MCS 변환 서비스를 다시 시작하십시오.

   # systemctl restart mcstrans

   Copy to Clipboard

절차

1. SELinux 사용자의 보안 범위를 정의합니다.

   # semanage user -m -rs0:c0,c1-s0:c0.c9 <user_u>

   Copy to Clipboard

   setrans.conf 파일에 정의된 카테고리 번호 c0 에서 c1023 또는 카테고리 레이블을 사용합니다. 자세한 내용은 MCS의 카테고리 라벨 정의를 참조하십시오.

2. Linux 사용자에게 MCS 범주를 할당합니다. 관련 SELinux 사용자에게 정의된 범위 내에서만 범위를 지정할 수 있습니다.

   # semanage login -m -rs0:c1 <Linux.user1>

   Copy to Clipboard
   참고

   chcat 명령을 사용하여 Linux 사용자의 카테고리를 추가하거나 제거할 수 있습니다. 다음 예제에서는 < category1 >를 추가하고 <Linux.user 1> 및 <Linux.user 2>에서 <category 2>를 제거합니다.

   # chcat -l -- +<category1>,-<category2> <Linux.user1>,<Linux.user2>

   Copy to Clipboard

   - <category > 구문을 사용하기 전에 명령줄에서 -- 를 지정해야 합니다. 그렇지 않으면 chcat 명령이 카테고리 제거를 명령 옵션으로 잘못 해석합니다.

검증

1. 파일의 보안 컨텍스트를 표시하여 올바른 카테고리가 있는지 확인합니다.

   $ ls -lZ <path/to/file>
   -rw-r--r--  <LinuxUser1> <Group1> root:object_r:user_home_t:_<sensitivity>_:_<category>_ <path/to/file>

   Copy to Clipboard

   파일의 특정 보안 컨텍스트는 다를 수 있습니다.

2. 선택 사항: Linux 사용자로 로그인할 때 파일과 동일한 카테고리에 할당되지 않은 경우 파일에 액세스하려면 다음을 수행합니다.

   $ cat <path/to/file>
   cat: <path/to/file>: Permission Denied

   Copy to Clipboard

프로세스

1. 이 예제 프로시저의 경우 쓰기를 위해 /var/log/messages 파일을 여는 간단한 데몬을 준비합니다.

   1. 새 파일을 생성하고 선택한 텍스트 편집기에서 엽니다.

      $ vi mydaemon.c

      Copy to Clipboard

   2. 다음 코드를 삽입합니다.

      #include <unistd.h>
      #include <stdio.h>
      
      FILE *f;
      
      int main(void)
      {
      while(1) {
      f = fopen("/var/log/messages","w");
              sleep(5);
              fclose(f);
          }
      }

      Copy to Clipboard

   3. 파일을 컴파일합니다.

      $ gcc -o mydaemon mydaemon.c

      Copy to Clipboard

   4. 데몬의 systemd 장치 파일을 생성합니다.

      $ vi mydaemon.service
      [Unit]
      Description=Simple testing daemon
      
      [Service]
      Type=simple
      ExecStart=/usr/local/bin/mydaemon
      
      [Install]
      WantedBy=multi-user.target

      Copy to Clipboard

   5. 데몬을 설치하고 시작합니다.

      # cp mydaemon /usr/local/bin/
      # cp mydaemon.service /usr/lib/systemd/system
      # systemctl start mydaemon
      # systemctl status mydaemon
      ● mydaemon.service - Simple testing daemon
         Loaded: loaded (/usr/lib/systemd/system/mydaemon.service; disabled; vendor preset: disabled)
         Active: active (running) since Sat 2020-05-23 16:56:01 CEST; 19s ago
       Main PID: 4117 (mydaemon)
          Tasks: 1
         Memory: 148.0K
         CGroup: /system.slice/mydaemon.service
                 └─4117 /usr/local/bin/mydaemon
      
      May 23 16:56:01 localhost.localdomain systemd[1]: Started Simple testing daemon.

      Copy to Clipboard

   6. 새 데몬이 SELinux에 의해 제한되지 않았는지 확인합니다.

      $ ps -efZ | grep mydaemon
      system_u:system_r:unconfined_service_t:s0 root 4117    1  0 16:56 ?        00:00:00 /usr/local/bin/mydaemon

      Copy to Clipboard

2. 데몬에 대한 사용자 정의 정책을 생성합니다.

   $ sepolicy generate --init /usr/local/bin/mydaemon
   Created the following files:
   /home/example.user/mysepol/mydaemon.te # Type Enforcement file
   /home/example.user/mysepol/mydaemon.if # Interface file
   /home/example.user/mysepol/mydaemon.fc # File Contexts file
   /home/example.user/mysepol/mydaemon_selinux.spec # Spec file
   /home/example.user/mysepol/mydaemon.sh # Setup Script

   Copy to Clipboard

3. 이전 명령으로 생성한 설정 스크립트를 사용하여 새 정책 모듈로 시스템 정책을 다시 빌드합니다.

   # ./mydaemon.sh
   Building and Loading Policy
   + make -f /usr/share/selinux/devel/Makefile mydaemon.pp
   Compiling targeted mydaemon module
   Creating targeted mydaemon.pp policy package
   rm tmp/mydaemon.mod.fc tmp/mydaemon.mod
   + /usr/sbin/semodule -i mydaemon.pp
   ...

   Copy to Clipboard

   설정 스크립트는 restorecon 명령을 사용하여 파일 시스템의 해당 부분을 레이블을 다시 지정합니다.

   restorecon -v /usr/local/bin/mydaemon /usr/lib/systemd/system

   Copy to Clipboard

4. 데몬을 다시 시작하고 이제 SELinux에 의해 제한되는지 확인합니다.

   # systemctl restart mydaemon
   $ ps -efZ | grep mydaemon
   system_u:system_r:mydaemon_t:s0 root        8150       1  0 17:18 ?        00:00:00 /usr/local/bin/mydaemon

   Copy to Clipboard

5. 데몬은 이제 SELinux에 의해 제한되므로 SELinux는 /var/log/messages 에 액세스하지 못하도록 합니다. 해당 거부 메시지를 표시합니다.

   # ausearch -m AVC -ts recent
   ...
   type=AVC msg=audit(1590247112.719:5935): avc:  denied  { open } for  pid=8150 comm="mydaemon" path="/var/log/messages" dev="dm-0" ino=2430831 scontext=system_u:system_r:mydaemon_t:s0 tcontext=unconfined_u:object_r:var_log_t:s0 tclass=file permissive=1
   ...

   Copy to Clipboard

6. sealert 도구를 사용하여 추가 정보를 얻을 수 있습니다.

   $ sealert -l "*"
   SELinux is preventing mydaemon from open access on the file /var/log/messages.
   
   *****  Plugin catchall (100. confidence) suggests   **************************
   
   If you believe that mydaemon should be allowed open access on the messages file by default.
   Then you should report this as a bug.
   You can generate a local policy module to allow this access.
   Do allow this access for now by executing:
   # ausearch -c 'mydaemon' --raw | audit2allow -M my-mydaemon
   # semodule -X 300 -i my-mydaemon.pp
   
   Additional Information:
   Source Context                system_u:system_r:mydaemon_t:s0
   Target Context                unconfined_u:object_r:var_log_t:s0
   Target Objects                /var/log/messages [ file ]
   Source                        mydaemon
   …

   Copy to Clipboard

7. audit2allow 툴을 사용하여 변경 사항을 제안하십시오.

   $ ausearch -m AVC -ts recent | audit2allow -R
   
   require {
   	type mydaemon_t;
   }
   
   #============= mydaemon_t ==============
   logging_write_generic_logs(mydaemon_t)

   Copy to Clipboard

8. audit2allow 에서 제안한 규칙은 특정 경우 올바르지 않을 수 있으므로 출력의 일부만 사용하여 해당 정책 인터페이스를 찾습니다. macro-expander 툴을 사용하여 logging_write_generic_logs(mydaemon_t) 매크로를 검사하여 매크로에서 제공하는 모든 허용 규칙을 확인합니다.

   $ macro-expander "logging_write_generic_logs(mydaemon_t)"
   allow mydaemon_t var_t:dir { getattr search open };
   allow mydaemon_t var_log_t:dir { getattr search open read lock ioctl };
   allow mydaemon_t var_log_t:dir { getattr search open };
   allow mydaemon_t var_log_t:file { open { getattr write append lock ioctl } };
   allow mydaemon_t var_log_t:dir { getattr search open };
   allow mydaemon_t var_log_t:lnk_file { getattr read };

   Copy to Clipboard

9. 이 경우 로그 파일 및 해당 상위 디렉터리에 대한 읽기 및 쓰기 액세스 권한만 제공하므로 제안된 인터페이스를 사용할 수 있습니다. 유형 적용 파일에 해당 규칙을 추가합니다.

   $ echo "logging_write_generic_logs(mydaemon_t)" >> mydaemon.te

   Copy to Clipboard

   또는 인터페이스를 사용하는 대신 이 규칙을 추가할 수 있습니다.

   $ echo "allow mydaemon_t var_log_t:file { open write getattr };" >> mydaemon.te

   Copy to Clipboard

10. 정책을 다시 설치합니다.

    # ./mydaemon.sh
    Building and Loading Policy
    + make -f /usr/share/selinux/devel/Makefile mydaemon.pp
    Compiling targeted mydaemon module
    Creating targeted mydaemon.pp policy package
    rm tmp/mydaemon.mod.fc tmp/mydaemon.mod
    + /usr/sbin/semodule -i mydaemon.pp
    ...

    Copy to Clipboard

검증

1. 다음과 같이 애플리케이션이 SELinux에 의해 제한적으로 실행되는지 확인합니다.

   $ ps -efZ | grep mydaemon
   system_u:system_r:mydaemon_t:s0 root        8150       1  0 17:18 ?        00:00:00 /usr/local/bin/mydaemon

   Copy to Clipboard

2. 사용자 지정 애플리케이션에서 SELinux 거부를 유발하지 않는지 확인합니다.

   # ausearch -m AVC -ts recent
   <no matches>

   Copy to Clipboard

1. JSON 형식으로 컨테이너 사양 파일 구문 분석
2. 첫 번째 파트의 결과에 따라 적절한 허용 규칙 검색
3. 최종 SELinux 정책 생성

절차

1. udica 패키지를 설치합니다.

   # dnf install -y udica

   Copy to Clipboard

   또는 udica 를 포함한 컨테이너 소프트웨어 패키지 세트를 제공하는 container-tools 모듈을 설치합니다.

   # dnf module install -y container-tools

   Copy to Clipboard

2. 읽기 전용 권한과 읽기 및 쓰기 권한이 있는 /var/spool 디렉터리로 /home 디렉터리를 마운트하는 ubi8 컨테이너를 시작합니다. 컨테이너는 포트 21 을 노출합니다.

   # podman run --env container=podman -v /home:/home:ro -v /var/spool:/var/spool:rw -p 21:21 -it ubi8 bash

   Copy to Clipboard

   이제 컨테이너는 container_t SELinux 유형으로 실행됩니다. 이 유형은 SELinux 정책의 모든 컨테이너의 일반 도메인이며 시나리오에 대해 너무 엄격하게 또는 너무 느슨해질 수 있습니다.

3. 새 터미널을 열고 podman ps 명령을 입력하여 컨테이너 ID를 가져옵니다.

   # podman ps
   CONTAINER ID   IMAGE                                   COMMAND   CREATED          STATUS              PORTS   NAMES
   37a3635afb8f   registry.access.redhat.com/ubi8:latest  bash      15 minutes ago   Up 15 minutes ago           heuristic_lewin

   Copy to Clipboard

4. 컨테이너 JSON 파일을 생성하고 udica 를 사용하여 JSON 파일의 정보를 기반으로 정책 모듈을 생성합니다.

   # podman inspect 37a3635afb8f > container.json
   # udica -j container.json my_container
   Policy my_container with container id 37a3635afb8f created!
   […]

   Copy to Clipboard

   또는 다음을 수행합니다.

   # podman inspect 37a3635afb8f | udica my_container
   Policy my_container with container id 37a3635afb8f created!
   
   Please load these modules using:
   # semodule -i my_container.cil /usr/share/udica/templates/{base_container.cil,net_container.cil,home_container.cil}
   
   Restart the container with: "--security-opt label=type:my_container.process" parameter

   Copy to Clipboard

5. 이전 단계에서 udica 의 출력에서 제안한 대로 policy 모듈을 로드합니다.

   # semodule -i my_container.cil /usr/share/udica/templates/{base_container.cil,net_container.cil,home_container.cil}

   Copy to Clipboard

6. 컨테이너를 중지하고 --security-opt label=type:my_container.process 옵션을 사용하여 다시 시작합니다.

   # podman stop 37a3635afb8f
   # podman run --security-opt label=type:my_container.process -v /home:/home:ro -v /var/spool:/var/spool:rw -p 21:21 -it ubi8 bash

   Copy to Clipboard

검증

1. 컨테이너가 my_container.process 유형으로 실행되는지 확인합니다.

   # ps -efZ | grep my_container.process
   unconfined_u:system_r:container_runtime_t:s0-s0:c0.c1023 root 2275 434  1 13:49 pts/1 00:00:00 podman run --security-opt label=type:my_container.process -v /home:/home:ro -v /var/spool:/var/spool:rw -p 21:21 -it ubi8 bash
   system_u:system_r:my_container.process:s0:c270,c963 root 2317 2305  0 13:49 pts/0 00:00:00 bash

   Copy to Clipboard

2. SELinux가 이제 /home 및 /var/spool 마운트 지점에 액세스할 수 있는지 확인합니다.

   [root@37a3635afb8f /]# cd /home
   [root@37a3635afb8f home]# ls
   username
   [root@37a3635afb8f ~]# cd /var/spool/
   [root@37a3635afb8f spool]# touch test
   [root@37a3635afb8f spool]#

   Copy to Clipboard

3. SELinux가 포트 21에만 바인딩할 수 있는지 확인합니다.

   [root@37a3635afb8f /]# dnf install nmap-ncat
   [root@37a3635afb8f /]# nc -lvp 21
   …
   Ncat: Listening on :::21
   Ncat: Listening on 0.0.0.0:21
   ^C
   [root@37a3635afb8f /]# nc -lvp 80
   …
   Ncat: bind to :::80: Permission denied. QUITTING.

   Copy to Clipboard

절차

1. RHEL 10 웹 콘솔에 로그인합니다.
2. SELinux 를 클릭합니다.

3. 자동화 스크립트 보기를 클릭합니다.

   생성된 스크립트가 있는 창이 열립니다. 쉘 스크립트와 Ansible 플레이북 생성 옵션 탭 사이를 탐색할 수 있습니다.

   
4. Copy to clipboard 버튼을 클릭하여 스크립트 또는 플레이북을 선택하고 적용합니다.

절차

1. 확인된 SELinux 설정을 내보냅니다.

   # semanage export -f ./<my-selinux-settings.mod>

   Copy to Clipboard

2. 설정이 포함된 파일을 새 시스템에 복사합니다.

   # scp ./<my-selinux-settings.mod> <new-system-hostname>:

   Copy to Clipboard

3. 새 시스템에 로그인합니다.

   $ ssh root@<new-system-hostname>

   Copy to Clipboard

4. 새 시스템에서 설정을 가져옵니다.

   <new-system-hostname># semanage import -f ./<my-selinux-settings.mod>

   Copy to Clipboard