4.13. 다단계 보안(MLS)

절차 4.19. SELinux MLS 정책 활성화

1. selinux-policy-✓s 패키지를 설치합니다.

   ~]# yum install selinux-policy-mls

   Copy to Clipboard Toggle word wrap
2. MLS 정책을 활성화하기 전에 파일 시스템의 각 파일의 레이블을 MLS 레이블로 다시 지정해야 합니다. 파일 시스템의 레이블을 다시 지정하면 제한된 도메인이 액세스가 거부될 수 있으므로 시스템이 올바르게 부팅되지 않을 수 있습니다. 이러한 문제가 발생하지 않도록 /etc/selinux/config 파일에서 SELINUX=permissive 를 구성합니다. 또한 SELINUXTYPE=mls 를 구성하여 MLS 정책을 활성화합니다. 구성 파일은 다음과 같아야 합니다.

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=permissive
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=mls
   

   Copy to Clipboard Toggle word wrap
3. SELinux가 허용 모드에서 실행 중인지 확인합니다.

   ~]# setenforce 0

   Copy to Clipboard Toggle word wrap

   ~]$ getenforce
   Permissive
   

   Copy to Clipboard Toggle word wrap
4. 수정 파일 스크립트를 사용하여 다음 재부팅 시 파일의 레이블을 다시 지정하도록 -F 옵션이 포함된 /.autorelabel 파일을 만듭니다.

   ~]# fixfiles -F onboot

   Copy to Clipboard Toggle word wrap
5. 시스템을 재부팅합니다. 다음 부팅 중에 모든 파일 시스템은 MLS 정책에 따라 레이블이 다시 지정됩니다. 레이블 프로세스는 적절한 SELinux 컨텍스트를 사용하여 모든 파일의 레이블을 지정합니다.

   *** Warning -- SELinux mls policy relabel is required.
   *** Relabeling could take a very long time, depending on file
   *** system size and speed of hard drives.
   ***********
   

   Copy to Clipboard Toggle word wrap
   맨 아래에 있는 각 * (별표) 문자는 레이블이 지정된 1000개의 파일을 나타냅니다. 위의 예에서 11자 * 문자는 레이블이 지정된 11000 파일을 나타냅니다. 모든 파일에 레이블을 지정하는 데 걸리는 시간은 시스템의 파일 수와 하드 디스크 드라이브의 속도에 따라 달라집니다. 최신 시스템에서 이 프로세스는 10분도 걸리지 않습니다. 레이블 지정 프로세스가 완료되면 시스템이 자동으로 재부팅됩니다.
6. 허용 모드에서는 SELinux 정책이 적용되지 않지만 강제 모드에서 실행 중인 경우 거부된 작업에 여전히 기록됩니다. 강제 모드로 변경하기 전에 root로 다음 명령을 입력하여 마지막 부팅 중에 SELinux가 작업을 거부하지 않았는지 확인합니다. 마지막 부팅 중에 SELinux에서 작업을 거부하지 않은 경우 이 명령은 출력을 반환하지 않습니다. 부팅 중 SELinux가 액세스를 거부한 경우 문제 해결 정보는 11장. 문제 해결 을 참조하십시오.

   ~]# grep "SELinux is preventing" /var/log/messages

   Copy to Clipboard Toggle word wrap
7. /var/log/messages 파일에 거부 메시지가 없거나 모든 기존 거부를 해결한 경우 /etc/selinux/config 파일에서 SELINUX=enforcing 을 구성합니다.

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=mls
   

   Copy to Clipboard Toggle word wrap
8. 시스템을 재부팅하고 SELinux가 강제 모드에서 실행 중인지 확인합니다.

   ~]$ getenforce
   Enforcing
   

   Copy to Clipboard Toggle word wrap
   MLS 정책이 활성화되어 있습니다.

   ~]# sestatus |grep mls
   Policy from config file:        mls
   

   Copy to Clipboard Toggle word wrap

절차 4.20. 특정 MLS 범위를 사용하여 사용자 생성

1. useradd 명령을 사용하여 새 Linux 사용자를 추가하고 새 Linux 사용자를 기존 SELinux 사용자(이 경우 staff_u)에 매핑합니다.

   ~]# useradd -Z staff_u john

   Copy to Clipboard Toggle word wrap
2. 새로 생성된 Linux 사용자에게 암호를 할당합니다.

   prompt~]# passwd john

   Copy to Clipboard Toggle word wrap
3. SELinux와 Linux 사용자 간의 매핑을 보려면 root로 다음 명령을 입력합니다. 출력은 다음과 같아야 합니다.

   ~]# semanage login -l
   Login Name           SELinux User         MLS/MCS Range        Service
   
   __default__          user_u               s0-s0                *
   john                 staff_u              s0-s15:c0.c1023      *
   root                 root                 s0-s15:c0.c1023      *
   staff                staff_u              s0-s15:c0.c1023      *
   sysadm               staff_u              s0-s15:c0.c1023      *
   system_u             system_u             s0-s15:c0.c1023      *

   Copy to Clipboard Toggle word wrap
4. 사용자 john 에 대한 특정 범위를 정의합니다.

   ~]# semanage login --modify --range s2:c100 john

   Copy to Clipboard Toggle word wrap
5. SELinux와 Linux 사용자 간의 매핑을 다시 봅니다. 사용자 john 에는 이제 특정 MLS 범위가 정의되어 있습니다.

   ~]# semanage login -l
   Login Name           SELinux User         MLS/MCS Range        Service
   
   __default__          user_u               s0-s0                *
   john                 staff_u              s2:c100              *
   root                 root                 s0-s15:c0.c1023      *
   staff                staff_u              s0-s15:c0.c1023      *
   sysadm               staff_u              s0-s15:c0.c1023      *
   system_u             system_u             s0-s15:c0.c1023      *

   Copy to Clipboard Toggle word wrap
6. 필요한 경우 john의 홈 디렉터리에서 레이블을 수정하려면 다음 명령을 입력합니다.

   ~]# chcon -R -l s2:c100 /home/john

   Copy to Clipboard Toggle word wrap

절차 4.21. Polyinstantiation 디렉터리 활성화

1. /etc/security/namespace.conf 파일에서 마지막 세 줄의 주석을 제거하여 /tmp , /var /tmp /, 사용자의 홈 디렉터리의 인스턴스화를 활성화합니다.

   ~]$ tail -n 3 /etc/security/namespace.conf
   /tmp     /tmp-inst/            level      root,adm
   /var/tmp /var/tmp/tmp-inst/    level      root,adm
   $HOME    $HOME/$USER.inst/     level
   

   Copy to Clipboard Toggle word wrap
2. /etc/pam.d/login 파일에서 pam_namespace.so 모듈이 세션에 대해 구성되었는지 확인합니다.

   ~]$ grep namespace /etc/pam.d/login
   session    required     pam_namespace.so
   

   Copy to Clipboard Toggle word wrap
3. 시스템을 재부팅합니다.