SELinux 사용

절차

1. 선택한 텍스트 편집기에서 /etc/selinux/config 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

2. SELINUX=permissive 옵션을 구성합니다.

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=permissive
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

3. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

검증

1. 시스템이 다시 시작되면 getenforce 명령이 Permissive 를 반환하는지 확인합니다.

   $ getenforce
   Permissive

   Copy to Clipboard Toggle word wrap

절차

1. 선택한 텍스트 편집기에서 /etc/selinux/config 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

2. SELINUX=enforcing 옵션을 구성합니다.

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

3. 변경 사항을 저장하고 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

   다음 부팅 시 SELinux는 시스템 내의 모든 파일과 디렉터리의 레이블을 다시 지정하고 SELinux가 비활성화될 때 생성된 파일과 디렉토리에 대해 SELinux 컨텍스트를 추가합니다.

검증

1. 시스템이 다시 시작되면 getenforce 명령이 Enforcing:

   $ getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

절차

1. 허용 모드에서 SELinux를 활성화합니다. 자세한 내용은 허용 모드로 변경에서 참조하십시오.

2. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap
3. SELinux 거부 메시지를 확인합니다. 자세한 내용은 SELinux 거부 식별 을 참조하십시오.

4. 다음 재부팅 시 파일의 레이블을 다시 지정했는지 확인합니다.

   # fixfiles -F onboot

   Copy to Clipboard Toggle word wrap

   이렇게 하면 -F 옵션이 포함된 /.autorelabel 파일이 생성됩니다.

   주의

   fixfiles -F onboot 명령을 시작하기 전에 항상 허용 모드로 전환합니다.

   기본적으로 autorelabel 은 시스템에 사용 가능한 CPU 코어만큼 많은 스레드를 병렬로 사용합니다. 자동 레이블을 다시 지정하는 동안 단일 스레드만 사용하려면 fixfiles -T 1 onboot 명령을 사용합니다.

5. 거부가 없는 경우 강제 모드로 전환합니다. 자세한 내용은 부팅 시 SELinux 모드 변경을 참조하십시오.

검증

1. 시스템이 다시 시작되면 getenforce 명령이 Enforcing:

   $ getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

절차

1. selinux=0 을 커널 명령줄에 추가하도록 부트 로더를 구성합니다.

   $ sudo grubby --update-kernel ALL --args selinux=0

   Copy to Clipboard Toggle word wrap

2. 시스템을 다시 시작하십시오.

   $ reboot

   Copy to Clipboard Toggle word wrap

1. 선택한 텍스트 편집기에서 /etc/selinux/config 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

2. SELINUX=disabled 옵션을 구성합니다.

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=disabled
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

3. 변경 사항을 저장하고 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

절차

1. 다음 명령을 입력하여 이라는 새 Linux 사용자를 생성합니다 <example_user>.

   # useradd <example_user>

   Copy to Clipboard Toggle word wrap

2. Linux <example_user> 사용자에게 암호를 할당하려면 다음을 수행합니다.

   # passwd <example_user>
   Changing password for user <example_user>.
   New password:
   Retype new password:
   passwd: all authentication tokens updated successfully.

   Copy to Clipboard Toggle word wrap
3. 현재 세션에서 로그아웃합니다.
4. Linux <example_user> 사용자로 로그인합니다. 로그인할 때 pam_selinux PAM 모듈은 Linux 사용자를 SELinux 사용자(이 경우 unconfined_u)에 자동으로 매핑하고 결과 SELinux 컨텍스트를 설정합니다. 그런 다음 Linux 사용자의 쉘이 이 컨텍스트를 사용하여 시작됩니다.

검증

1. 사용자로 <example_user> 로그인하면 Linux 사용자의 컨텍스트를 확인합니다.

   $ id -Z
   unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

절차

1. 다음 명령을 입력하여 라는 <example_user> 새 Linux 사용자를 생성하고 SELinux staff_u 사용자에게 매핑합니다.

   # useradd -Z staff_u <example_user>

   Copy to Clipboard Toggle word wrap

2. Linux <example_user> 사용자에게 암호를 할당하려면 다음을 수행합니다.

   # passwd <example_user>
   Changing password for user <example_user>.
   New password:
   Retype new password:
   passwd: all authentication tokens updated successfully.

   Copy to Clipboard Toggle word wrap
3. 현재 세션에서 로그아웃합니다.
4. Linux <example_user> 사용자로 로그인합니다. 사용자의 쉘은 staff_u 컨텍스트로 시작됩니다.

검증

1. 사용자로 <example_user> 로그인하면 Linux 사용자의 컨텍스트를 확인합니다.

   $ id -Z
   uid=1000(<example_user>) gid=1000(<example_user>) groups=1000(<example_user>) context=staff_u:staff_r:staff_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

절차

1. SELinux 로그인 레코드 목록을 표시합니다. 목록에는 SELinux 사용자에 대한 Linux 사용자의 매핑이 표시됩니다.

   # semanage login -l
   
   Login Name    SELinux User  MLS/MCS Range   Service
   
   __default__   unconfined_u  s0-s0:c0.c1023       *
   root          unconfined_u  s0-s0:c0.c1023       *

   Copy to Clipboard Toggle word wrap

2. 명시적 매핑 없이 모든 사용자를 user_u SELinux 사용자에게 매핑하는 __default__ 사용자를 매핑합니다.

   # semanage login -m -s user_u -r s0 __default__

   Copy to Clipboard Toggle word wrap

검증

1. __default__ 사용자가 user_u SELinux 사용자에게 매핑되었는지 확인합니다.

   # semanage login -l
   
   Login Name    SELinux User   MLS/MCS Range    Service
   
   __default__   user_u         s0               *
   root          unconfined_u   s0-s0:c0.c1023   *

   Copy to Clipboard Toggle word wrap

2. 새 사용자의 프로세스가 user_u:user_r:user_t:s0 SELinux 컨텍스트에서 실행되는지 확인합니다.

   1. 새 사용자를 생성합니다.

      # adduser <example_user>

      Copy to Clipboard Toggle word wrap

   2. 다음과 같은 암호를 정의합니다 <example_user>.

      # passwd <example_user>

      Copy to Clipboard Toggle word wrap
   3. root 로 로그아웃하고 새 사용자로 로그인합니다.

   4. 사용자 ID의 보안 컨텍스트를 표시합니다.

      [<example_user>@localhost ~]$ id -Z
      user_u:user_r:user_t:s0

      Copy to Clipboard Toggle word wrap

   5. 사용자의 현재 프로세스의 보안 컨텍스트를 표시합니다.

      [<example_user>@localhost ~]$ ps axZ
      LABEL                           PID TTY      STAT   TIME COMMAND
      -                                 1 ?        Ss     0:05 /usr/lib/systemd/systemd --switched-root --system --deserialize 18
      -                              3729 ?        S      0:00 (sd-pam)
      user_u:user_r:user_t:s0        3907 ?        Ss     0:00 /usr/lib/systemd/systemd --user
      -                              3911 ?        S      0:00 (sd-pam)
      user_u:user_r:user_t:s0        3918 ?        S      0:00 sshd: <example_user>@pts/0
      user_u:user_r:user_t:s0        3922 pts/0    Ss     0:00 -bash
      user_u:user_r:user_dbusd_t:s0  3969 ?        Ssl    0:00 /usr/bin/dbus-daemon --session --address=systemd: --nofork --nopidfile --systemd-activation --syslog-only
      user_u:user_r:user_t:s0        3971 pts/0    R+     0:00 ps axZ

      Copy to Clipboard Toggle word wrap

절차

1. 선택 사항: sysadm_u 사용자가 SSH를 사용하여 시스템에 연결할 수 있도록 하려면 다음을 수행합니다.

   # setsebool -P ssh_sysadm_login on

   Copy to Clipboard Toggle word wrap

2. 새 사용자 또는 기존 사용자를 sysadm_u SELinux 사용자에게 매핑합니다.

   • 새 사용자를 매핑하려면 새 사용자를 wheel 사용자 그룹에 추가하고 사용자를 sysadm_u SELinux 사용자에게 매핑합니다.

     # adduser -G wheel -Z sysadm_u <example_user>

     Copy to Clipboard Toggle word wrap

   • 기존 사용자를 매핑하려면 사용자를 wheel 사용자 그룹에 추가하고 사용자를 sysadm_u SELinux 사용자에게 매핑합니다.

     # usermod -G wheel -Z sysadm_u <example_user>

     Copy to Clipboard Toggle word wrap

3. 사용자 홈 디렉터리의 컨텍스트를 복원합니다.

   # restorecon -R -F -v /home/<example_user>

   Copy to Clipboard Toggle word wrap

검증

1. 가 <example_user> sysadm_u SELinux 사용자에게 매핑되었는지 확인합니다.

   # semanage login -l | grep <example_user>
   <example_user>     sysadm_u    s0-s0:c0.c1023   *

   Copy to Clipboard Toggle word wrap

2. 예를 들어 SSH를 사용하여 로 <example_user> 로그인하고 사용자의 보안 컨텍스트를 표시합니다.

   [<example_user>@localhost ~]$ id -Z
   sysadm_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

3. root 사용자로 전환합니다.

   $ sudo -i
   [sudo] password for <example_user>:

   Copy to Clipboard Toggle word wrap

4. 보안 컨텍스트가 변경되지 않은 상태로 남아 있는지 확인합니다.

   # id -Z
   sysadm_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

5. 예를 들어 sshd 서비스를 다시 시작하는 등 관리 작업을 시도합니다.

   # systemctl restart sshd

   Copy to Clipboard Toggle word wrap

   출력이 없으면 명령이 성공적으로 완료되었습니다.

   명령이 성공적으로 완료되지 않으면 다음 메시지가 출력됩니다.

   Failed to restart sshd.service: Access denied
   See system logs and 'systemctl status sshd.service' for details.

   Copy to Clipboard Toggle word wrap

절차

1. 새 사용자 또는 기존 사용자를 staff_u SELinux 사용자에게 매핑합니다.

   1. 새 사용자를 매핑하려면 새 사용자를 wheel 사용자 그룹에 추가하고 사용자를 staff_u SELinux 사용자에게 매핑합니다.

      # adduser -G wheel -Z staff_u <example_user>

      Copy to Clipboard Toggle word wrap

   2. 기존 사용자를 매핑하려면 사용자를 wheel 사용자 그룹에 추가하고 사용자를 staff_u SELinux 사용자에게 매핑합니다.

      # usermod -G wheel -Z staff_u <example_user>

      Copy to Clipboard Toggle word wrap

2. 사용자 홈 디렉터리의 컨텍스트를 복원합니다.

   # restorecon -R -F -v /home/<example_user>

   Copy to Clipboard Toggle word wrap

3. SELinux 관리자 역할을 얻을 수 있도록 <example_user> 하려면 /etc/sudoers.d/ 디렉터리에 새 파일을 만듭니다. 예를 들면 다음과 같습니다.

   # visudo -f /etc/sudoers.d/<example_user>

   Copy to Clipboard Toggle word wrap

4. 새 파일에 다음 행을 추가합니다.

   <example_user> ALL=(ALL) TYPE=sysadm_t ROLE=sysadm_r ALL

   Copy to Clipboard Toggle word wrap

검증

1. staff_u SELinux 사용자에게 매핑되었는지 <example_user> 확인합니다.

   # semanage login -l | grep <example_user>
   <example_user>     staff_u    s0-s0:c0.c1023   *

   Copy to Clipboard Toggle word wrap

2. 예를 들어 SSH를 사용하여 로 <example_user> 로그인하고 root 사용자로 전환합니다.

   [<example_user>@localhost ~]$ sudo -i
   [sudo] password for <example_user>:

   Copy to Clipboard Toggle word wrap

3. 루트 보안 컨텍스트를 표시합니다.

   # id -Z
   staff_u:sysadm_r:sysadm_t:s0-s0:c0.c1023

   Copy to Clipboard Toggle word wrap

4. 예를 들어 sshd 서비스를 다시 시작하는 등 관리 작업을 시도합니다.

   # systemctl restart sshd

   Copy to Clipboard Toggle word wrap

   출력이 없으면 명령이 성공적으로 완료되었습니다.

   명령이 성공적으로 완료되지 않으면 다음 메시지가 출력됩니다.

   Failed to restart sshd.service: Access denied
   See system logs and 'systemctl status sshd.service' for details.

   Copy to Clipboard Toggle word wrap

절차

1. httpd 서비스를 시작하고 상태를 확인합니다.

   # systemctl start httpd
   # systemctl status httpd
   …
   httpd[14523]: (13)Permission denied: AH00072: make_sock: could not bind to address [::]:3131
   …
   systemd[1]: Failed to start The Apache HTTP Server.
   …

   Copy to Clipboard Toggle word wrap

2. SELinux 정책은 httpd 가 포트 80에서 실행된다고 가정합니다.

   # semanage port -l | grep http
   http_cache_port_t              tcp      8080, 8118, 8123, 10001-10010
   http_cache_port_t              udp      3130
   http_port_t                    tcp      80, 81, 443, 488, 8008, 8009, 8443, 9000
   pegasus_http_port_t            tcp      5988
   pegasus_https_port_t           tcp      5989

   Copy to Clipboard Toggle word wrap

3. 포트 3131의 SELinux 유형을 포트 80과 일치하도록 변경합니다.

   # semanage port -a -t http_port_t -p tcp 3131

   Copy to Clipboard Toggle word wrap

4. httpd 를 다시 시작하십시오.

   # systemctl start httpd

   Copy to Clipboard Toggle word wrap

5. 그러나 컨텐츠는 액세스할 수 없습니다.

   # wget localhost:3131/index.html
   …
   HTTP request sent, awaiting response... 403 Forbidden
   …

   Copy to Clipboard Toggle word wrap

   sealert 도구를 사용하여 이유를 찾습니다.

   # sealert -l "*"
   ...
   SELinux is preventing httpd from getattr access on the file /var/test_www/html/index.html.
   …

   Copy to Clipboard Toggle word wrap

6. matchpathcon 도구를 사용하여 표준 및 새 경로에 대한 SELinux 유형을 비교합니다.

   # matchpathcon /var/www/html /var/test_www/html
   /var/www/html       system_u:object_r:httpd_sys_content_t:s0
   /var/test_www/html  system_u:object_r:var_t:s0

   Copy to Clipboard Toggle word wrap

7. 새로운 /var/test_www/html/ 콘텐츠 디렉터리의 SELinux 유형을 기본 /var/www/html 디렉터리의 유형으로 변경합니다.

   # semanage fcontext -a -e /var/www /var/test_www

   Copy to Clipboard Toggle word wrap

8. /var 디렉토리의 레이블을 재귀적으로 다시 지정합니다.

   # restorecon -Rv /var/
   ...
   Relabeled /var/test_www/html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0
   Relabeled /var/test_www/html/index.html from unconfined_u:object_r:var_t:s0 to unconfined_u:object_r:httpd_sys_content_t:s0

   Copy to Clipboard Toggle word wrap

검증

1. httpd 서비스가 실행 중인지 확인합니다.

   # systemctl status httpd
   …
   Active: active (running)
   …
   systemd[1]: Started The Apache HTTP Server.
   httpd[14888]: Server configured, listening on: port 3131
   …

   Copy to Clipboard Toggle word wrap

2. Apache HTTP 서버에서 제공하는 콘텐츠에 액세스할 수 있는지 확인합니다.

   # wget localhost:3131/index.html
   …
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/html]
   Saving to: ‘index.html’
   …

   Copy to Clipboard Toggle word wrap

절차

1. NFS, CIFS 및 Apache와 관련된 SELinux 부울을 식별합니다.

   # semanage boolean -l | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs                 (off  ,  off)  Allow httpd to access cifs file systems
   httpd_use_nfs                  (off  ,  off)  Allow httpd to access nfs file systems

   Copy to Clipboard Toggle word wrap

2. 부울의 현재 상태를 나열합니다.

   $ getsebool -a | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs --> off
   httpd_use_nfs --> off

   Copy to Clipboard Toggle word wrap

3. 식별된 부울을 활성화합니다.

   # setsebool httpd_use_nfs on
   # setsebool httpd_use_cifs on

   Copy to Clipboard Toggle word wrap
   참고

   재시작 시 변경 사항이 지속되도록 하려면 -P 옵션과 함께 setsebool 을 사용합니다. setsebool -P 명령은 전체 정책을 다시 빌드해야 하며 구성에 따라 다소 시간이 걸릴 수 있습니다.

검증

1. 부울이 있는지 확인합니다.

   $ getsebool -a | grep 'nfs\|cifs' | grep httpd
   httpd_use_cifs --> on
   httpd_use_nfs --> on

   Copy to Clipboard Toggle word wrap

절차

1. 모든 SELinux 관련 주제를 나열하고 결과를 구성하려는 구성 요소로 제한합니다. 예를 들면 다음과 같습니다.

   # man -k selinux | grep samba
   samba_net_selinux (8) - Security Enhanced Linux Policy for the samba_net processes
   samba_selinux (8)    - Security Enhanced Linux Policy for the smbd processes
   …

   Copy to Clipboard Toggle word wrap

   시나리오에 해당하는 도움말 페이지에서 관련 SELinux 부울, 포트 유형 및 파일 유형을 찾습니다.

   selinux-policy-doc 패키지를 설치한 후에만 man -k selinux 또는 apropos selinux 명령을 사용할 수 있습니다.

2. 선택 사항: semanage fcontext -l 명령을 사용하여 기본 위치에 프로세스의 기본 매핑을 표시할 수 있습니다. 예를 들면 다음과 같습니다.

   # semanage fcontext -l | grep samba
   …
   /var/cache/samba(/.*)?                             all files          system_u:object_r:samba_var_t:s0
   …
   /var/spool/samba(/.*)?                             all files          system_u:object_r:samba_spool_t:s0
   …

   Copy to Clipboard Toggle word wrap

3. sesearch 명령을 사용하여 기본 SELinux 정책에 규칙을 표시합니다. 해당 규칙을 나열하여 사용할 유형 및 부울을 찾을 수 있습니다. 예를 들면 다음과 같습니다.

   $ sesearch -A | grep samba | grep httpd
   …
   allow httpd_t cifs_t:dir { getattr open search }; [ use_samba_home_dirs && httpd_enable_homedirs ]:True
   …

   Copy to Clipboard Toggle word wrap

4. SELinux 부울은 구성 문제에 가장 간단한 솔루션일 수 있습니다. getsebool -a 명령을 사용하여 사용 가능한 부울 및 해당 값을 모두 표시할 수 있습니다. 예를 들면 다음과 같습니다.

   $ getsebool -a | grep homedirs
   git_cgi_enable_homedirs --> off
   git_system_enable_homedirs --> off
   httpd_enable_homedirs --> off
   mock_enable_homedirs --> off
   mpd_enable_homedirs --> off
   openvpn_enable_homedirs --> on
   ssh_chroot_rw_homedirs --> off

   Copy to Clipboard Toggle word wrap

5. 예를 들어 sesearch 명령을 사용하여 선택한 부울이 정확히 원하는 작업을 수행하는지 확인할 수 있습니다.

   $ sesearch -A | grep httpd_enable_homedirs
   …
   allow httpd_suexec_t autofs_t:dir { getattr open search }; [ use_nfs_home_dirs && httpd_enable_homedirs ]:True
   allow httpd_suexec_t autofs_t:dir { getattr open search }; [ use_samba_home_dirs && httpd_enable_homedirs ]:True
   …

   Copy to Clipboard Toggle word wrap

6. 부울이 시나리오와 일치하지 않는 경우 케이스에 맞는 SELinux 유형을 찾습니다. sesearch 를 사용하여 기본 정책에서 해당 규칙을 쿼리하여 파일의 유형을 찾을 수 있습니다. 예를 들면 다음과 같습니다.

   $ sesearch -A -s httpd_t -c file -p read
   …
   allow httpd_t httpd_t:file { append getattr ioctl lock open read write };
   allow httpd_t httpd_tmp_t:file { append create getattr ioctl link lock map open read rename setattr unlink write };
   …

   Copy to Clipboard Toggle word wrap
7. 이전 솔루션이 시나리오를 다루지 않는 경우 SELinux 정책에 사용자 지정 규칙을 추가할 수 있습니다. 자세한 내용은 로컬 SELinux 정책 모듈 생성 섹션을 참조하십시오.

절차

1. 터미널에서 user_selinux(8) 도움말 페이지를 엽니다.

   $ man user_selinux

   Copy to Clipboard Toggle word wrap

   MANAGED FILES 섹션에서 시나리오에 해당하는 특성 또는 유형을 찾습니다. 예를 들어 user_home_type 속성은 다음과 같습니다.

2. 선택 사항: 속성에 할당된 모든 유형을 나열하려면 -x 및 -a 옵션과 함께 seinfo 명령을 사용합니다.

   $ seinfo -x -a user_home_type
   
   Type Attributes: 1
      attribute user_home_type;
   …
   	chrome_sandbox_home_t
   	config_home_t
   	cvs_home_t
   	data_home_t
   	dbus_home_t
   	fetchmail_home_t
   	gconf_home_t
   	git_user_content_t
   …

   Copy to Clipboard Toggle word wrap

3. 해당 유형에 대한 후보를 확인한 후 이 예제의 data_home_t 유형은 SELinux 매핑을 확인합니다.

   $ semanage fcontext -l | grep data_home_t
   …
   /root/\.local/share(/.*)?                          all files          system_u:object_r:data_home_t:s0
   …

   Copy to Clipboard Toggle word wrap

4. user_u 에서 액세스할 수 있도록 할 해당 유형을 /shared-data 와 같이 매핑합니다.

   $ semanage fcontext -a -t data_home_t '/shared-data(/.*)?'

   Copy to Clipboard Toggle word wrap

검증

1. 구성한 디렉터리의 매핑을 확인합니다.

   # semanage fcontext -l | grep "shared-data"
   /shared-data(/.*)?                             	all files      	system_u:object_r:data_home_t:s0

   Copy to Clipboard Toggle word wrap
2. user_u SELinux 사용자에게 매핑된 Linux 사용자로 로그인하고 디렉터리에 액세스할 수 있는지 확인합니다.

절차

1. SELinux에서 시나리오를 차단하면 /var/log/audit/audit.log 파일이 거부에 대한 자세한 정보를 확인하는 첫 번째 위치입니다. 감사 로그를 쿼리하려면 ausearch 툴을 사용합니다. SELinux 결정(예: 액세스 허용 또는 허용하지 않음)은 캐시되고 이 캐시는 AVC(액세스 벡터 캐시)라고 하며 메시지 유형 매개 변수에 대해 AVC 및 USER_AVC 값을 사용합니다.

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent

   Copy to Clipboard Toggle word wrap

   일치하는 항목이 없으면 감사 데몬이 실행 중인지 확인합니다. 그렇지 않으면 auditd 를 시작한 후 거부된 시나리오를 반복하고 감사 로그를 다시 확인합니다.

2. auditd 가 실행 중이지만 ausearch 출력에 일치하는 항목이 없는 경우 systemd 저널에서 제공하는 메시지를 확인합니다.

   # journalctl -t setroubleshoot

   Copy to Clipboard Toggle word wrap

3. SELinux가 활성 상태이고 감사 데몬이 시스템에서 실행되지 않는 경우 dmesg 명령의 출력에서 특정 SELinux 메시지를 검색합니다.

   # dmesg | grep -i -e type=1300 -e type=1400

   Copy to Clipboard Toggle word wrap

4. 이전 세 번의 확인 이후에도 아무것도 찾을 수 없습니다. 이 경우 dontaudit 규칙으로 인해 AVC 거부를 음소거할 수 있습니다.

   dontaudit 규칙을 일시적으로 비활성화하려면 모든 거부를 허용하십시오.

   # semodule -DB

   Copy to Clipboard Toggle word wrap

   거부된 시나리오를 다시 실행하고 이전 단계를 사용하여 거부 메시지를 찾은 후 다음 명령을 실행하면 정책에서 dontaudit 규칙을 다시 활성화합니다.

   # semodule -B

   Copy to Clipboard Toggle word wrap

5. 4개의 이전 단계를 모두 적용하고 문제를 여전히 식별하지 않은 경우 SELinux가 실제로 시나리오를 차단하는지 고려하십시오.

   • 허용 모드로 전환:

     # setenforce 0
     $ getenforce
     Permissive

     Copy to Clipboard Toggle word wrap
   • 시나리오를 반복합니다.

   문제가 계속 발생하는 경우 SELinux와는 다른 것이 시나리오를 차단하는 것입니다.

절차

1. sealert 명령을 사용하여 기록된 거부에 대한 세부 정보를 나열합니다. 예를 들면 다음과 같습니다.

   $ sealert -l "*"
   SELinux is preventing /usr/bin/passwd from write access on the file
   /root/test.
   
   *****  Plugin leaks (86.2 confidence) suggests *****************************
   
   If you want to ignore passwd trying to write access the test file,
   because you believe it should not need this access.
   Then you should report this as a bug.
   You can generate a local policy module to dontaudit this access.
   Do
   # ausearch -x /usr/bin/passwd --raw | audit2allow -D -M my-passwd
   # semodule -X 300 -i my-passwd.pp
   
   *****  Plugin catchall (14.7 confidence) suggests **************************
   
   ...
   
   Raw Audit Messages
   type=AVC msg=audit(1553609555.619:127): avc:  denied  { write } for
   pid=4097 comm="passwd" path="/root/test" dev="dm-0" ino=17142697
   scontext=unconfined_u:unconfined_r:passwd_t:s0-s0:c0.c1023
   tcontext=unconfined_u:object_r:admin_home_t:s0 tclass=file permissive=0
   
   ...
   
   Hash: passwd,passwd_t,admin_home_t,file,write

   Copy to Clipboard Toggle word wrap

2. 이전 단계에서 얻은 출력에 명확한 제안이 포함되지 않은 경우:

   • 전체 경로 감사를 활성화하여 액세스한 오브젝트의 전체 경로를 확인하고 추가 Linux 감사 이벤트 필드를 표시합니다.

     # auditctl -w /etc/shadow -p w -k shadow-write

     Copy to Clipboard Toggle word wrap

   • setroubleshoot 캐시를 지웁니다.

     # rm -f /var/lib/setroubleshoot/setroubleshoot.xml

     Copy to Clipboard Toggle word wrap
   • 문제를 재현합니다.

   • 1단계 반복.

     프로세스를 완료한 후 전체 경로 감사를 비활성화합니다.

     # auditctl -W /etc/shadow -p w -k shadow-write

     Copy to Clipboard Toggle word wrap
3. sealert 가 catchall 제안만 반환하거나 audit2allow 도구를 사용하여 새 규칙을 추가하는 것을 제안하는 경우, 감사 로그의 SELinux 거부에 나열된 예제와 문제와 일치하십시오.

절차

1. 텍스트 편집기를 사용하여 새 .cil 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vim <local_module>.cil

   Copy to Clipboard Toggle word wrap

   로컬 모듈을 더 잘 정리하려면 로컬 SELinux 정책 모듈의 이름에 local_ 접두사를 사용합니다.

2. 알려진 문제 또는 Red Hat 솔루션에서 사용자 지정 규칙을 삽입합니다.

   중요

   자체 규칙을 작성하지 마십시오. 특정 알려진 문제 또는 Red Hat 솔루션에 제공된 규칙만 사용하십시오.

   • 예를 들어 SELinux에서 cups.sock에 대한 cups-lpd 읽기 액세스를 RHEL 솔루션에서 거부하려면 다음 규칙을 삽입합니다.

     (allow cupsd_lpd_t cupsd_var_run_t (sock_file (read)))

     Copy to Clipboard Toggle word wrap

     RHBA-2021:4420 의 RHEL에서 예제 솔루션이 영구적으로 수정되었습니다. 따라서 이 솔루션과 관련된 절차의 일부는 업데이트된 RHEL 8 및 9 시스템에 영향을 미치지 않으며 구문의 예로만 포함됩니다.

     두 가지 SELinux 규칙 구문, CIL(Common Intermediate Language) 및 m4 중 하나를 사용할 수 있습니다. 예를 들어 CIL의 cupsd_lpd_t cupsd_var_run_t (sock_file (read)) 는 m4의 다음과 같습니다.

     module local_cupslpd-read-cupssock 1.0;
     
     require {
         type cupsd_var_run_t;
         type cupsd_lpd_t;
         class sock_file read;
     }
     
     #============= cupsd_lpd_t ==============
     allow cupsd_lpd_t cupsd_var_run_t:sock_file read;

     Copy to Clipboard Toggle word wrap
3. 파일을 저장하고 종료합니다.

4. policy 모듈을 설치합니다.

   # semodule -i <local_module>.cil

   Copy to Clipboard Toggle word wrap

   semodule -i 를 사용하여 생성한 로컬 정책 모듈을 제거하려면 .cil 접미사 없이 모듈 이름을 참조하십시오. 로컬 정책 모듈을 제거하려면 semodule -r < local_module>을 사용합니다.

5. 규칙과 관련된 서비스를 다시 시작하십시오.

   # systemctl restart <service-name>

   Copy to Clipboard Toggle word wrap

검증

1. SELinux 정책에 설치된 로컬 모듈을 나열합니다.

   # semodule -lfull | grep "local_"
   400 local_module  cil

   Copy to Clipboard Toggle word wrap

   로컬 모듈에는 우선 순위가 400 이므로 예를 들어 semodule -lfull | grep -v ^100 명령을 사용하여 목록에서도 필터링할 수 있습니다.

2. 관련 허용 규칙을 검색하려면 SELinux 정책을 검색합니다.

   # sesearch -A --source=<SOURCENAME> --target=<TARGETNAME> --class=<CLASSNAME> --perm=<P1>,<P2>

   Copy to Clipboard Toggle word wrap

   여기서 <SOURCENAME> 은 소스 SELinux 유형이며 <TARGETNAME> 은 대상 SELinux 유형이며, <CLASSNAME> 은 보안 클래스 또는 개체 클래스 이름이고 <P1> 및 <P2> 는 규칙의 특정 권한입니다.

   예를 들어 SELinux가 RHEL Red Hat knowledgbase 솔루션의 cups.sock에 대한 cups-lpd 읽기 액세스를 거부하려면 다음을 수행합니다.

   # sesearch -A --source=cupsd_lpd_t --target=cupsd_var_run_t --class=sock_file --perm=read
   allow cupsd_lpd_t cupsd_var_run_t:sock_file { append getattr open read write };

   Copy to Clipboard Toggle word wrap

   마지막 행에는 읽기 작업이 포함되어야 합니다.

3. 관련 서비스가 SELinux에 의해 제한되어 실행되는지 확인합니다.

   1. 관련 서비스와 관련된 프로세스를 식별합니다.

      $ systemctl status <service-name>

      Copy to Clipboard Toggle word wrap

   2. 이전 명령의 출력에 나열된 프로세스의 SELinux 컨텍스트를 확인합니다.

      $ ps -efZ | grep <process-name>

      Copy to Clipboard Toggle word wrap

4. 서비스가 SELinux 거부를 유발하지 않는지 확인합니다.

   # ausearch -m AVC -i -ts recent
   <no matches>

   Copy to Clipboard Toggle word wrap

   i 옵션은 숫자 값을 사람이 읽을 수 있는 텍스트로 해석합니다.

절차

1. selinux-policy-✓s 패키지를 설치합니다.

   # yum install selinux-policy-mls

   Copy to Clipboard Toggle word wrap

2. 선택한 텍스트 편집기에서 /etc/selinux/config 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

3. 강제 모드에서 허용으로 SELinux 모드를 변경하고 대상 정책에서 MLS로 전환합니다.

   SELINUX=permissive
   SELINUXTYPE=mls

   Copy to Clipboard Toggle word wrap

   변경 사항을 저장하고 편집기를 종료합니다.

4. MLS 정책을 활성화하기 전에 MLS 레이블을 사용하여 파일 시스템의 각 파일의 레이블을 다시 지정해야 합니다.

   # fixfiles -F onboot
   System will relabel on next boot

   Copy to Clipboard Toggle word wrap

5. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

6. SELinux 거부를 확인합니다.

   # ausearch -m AVC,USER_AVC,SELINUX_ERR,USER_SELINUX_ERR -ts recent -i

   Copy to Clipboard Toggle word wrap

   이전 명령은 모든 시나리오를 다루지 않으므로 SELinux 와 관련된 문제 해결을 참조하십시오. SELinux 거부 식별, 분석 및 수정에 대한 지침은 SELinux와 관련된 문제 해결을 참조하십시오.

7. 시스템에서 SELinux와 관련된 문제가 없는지 확인한 후 /etc/selinux/config 에서 해당 옵션을 변경하여 SELinux를 강제 모드로 다시 전환합니다.

   SELINUX=enforcing

   Copy to Clipboard Toggle word wrap

8. 시스템을 다시 시작하십시오.

   # reboot

   Copy to Clipboard Toggle word wrap

검증

1. SELinux가 강제 모드에서 실행되는지 확인합니다.

   # getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

2. SELinux 상태가 mls 값을 반환하는지 확인합니다.

   # sestatus | grep mls
   Loaded policy name:             mls

   Copy to Clipboard Toggle word wrap

절차

1. 선택 사항: SELinux 정책에 오류를 추가하지 않으려면 허용되는 SELinux 모드로 전환 하여 문제를 쉽게 해결할 수 있습니다.

   # setenforce 0

   Copy to Clipboard Toggle word wrap

   허용 모드에서 SELinux는 활성 정책을 적용하지 않지만 문제 해결 및 디버깅에 사용할 수 있는 AVC(Access Vector Cache) 메시지만 기록합니다.

2. staff_u SELinux 사용자에 대한 범위를 정의합니다. 예를 들어 이 명령은 s1에서 s 15까지의 경우 s 1 이 기본 수준인 s1 범위를 설정합니다.

   # semanage user -m -L s1 -r s1-s15 staff_u

   Copy to Clipboard Toggle word wrap

3. 사용자 홈 디렉토리에 대한 SELinux 파일 컨텍스트 구성 항목을 생성합니다.

   # genhomedircon

   Copy to Clipboard Toggle word wrap

4. 파일 보안 컨텍스트를 기본값으로 복원합니다.

   # restorecon -R -F -v /home/
   Relabeled /home/staff from staff_u:object_r:user_home_dir_t:s0 to staff_u:object_r:user_home_dir_t:s1
   Relabeled /home/staff/.bash_logout from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1
   Relabeled /home/staff/.bash_profile from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1
   Relabeled /home/staff/.bashrc from staff_u:object_r:user_home_t:s0 to staff_u:object_r:user_home_t:s1

   Copy to Clipboard Toggle word wrap

5. 사용자에게 수준 지정:

   # semanage login -m -r s1 example_user

   Copy to Clipboard Toggle word wrap

   여기서 s1 은 사용자에게 할당된 수준입니다.

6. 사용자의 홈 디렉터리의 레이블을 사용자 레벨로 다시 지정합니다.

   # chcon -R -l s1 /home/example_user

   Copy to Clipboard Toggle word wrap

7. 선택 사항: 이전에 허용 SELinux 모드로 전환하고 모든 항목이 예상대로 작동하는지 확인한 후 강제 SELinux 모드로 다시 전환합니다.

   # setenforce 1

   Copy to Clipboard Toggle word wrap

검증

1. 사용자가 올바른 SELinux 사용자에게 매핑되고 올바른 수준이 할당되었는지 확인합니다.

   # semanage login -l
   Login Name      SELinux User         MLS/MCS Range        Service
   __default__     user_u               s0-s0                *
   example_user    user_u               s1                   *
   …

   Copy to Clipboard Toggle word wrap
2. MLS 내에서 사용자로 로그인합니다.

3. 사용자의 보안 수준이 올바르게 작동하는지 확인합니다.

   주의

   구성이 잘못되어 사용자가 실제로 권한 없이 파일에 액세스할 수 있는 경우 중요한 정보를 확인하는 데 사용하는 파일에 중요한 정보가 포함되어서는 안 됩니다.

   1. 사용자가 더 높은 수준의 민감도를 가진 파일을 읽을 수 없는지 확인합니다.
   2. 사용자가 동일한 민감도로 파일에 쓸 수 있는지 확인합니다.
   3. 사용자가 더 낮은 수준의 민감도를 사용하여 파일을 읽을 수 있는지 확인합니다.

절차

1. 보안 터미널에서 사용자로 로그인합니다.

   보안 터미널은 /etc/selinux/mls/contexts/securetty_types 파일에 정의되어 있습니다. 기본적으로 콘솔은 보안 터미널이지만 SSH는 그렇지 않습니다.

2. 현재 사용자의 보안 컨텍스트를 확인합니다.

   $ id -Z
   user_u:user_r:user_t:s0-s2

   Copy to Clipboard Toggle word wrap

   이 예에서 사용자는 user_u SELinux 사용자, user_r 역할, user_t 유형 및 MLS 보안 범위 s0-s2 에 할당됩니다.

3. 현재 사용자의 보안 컨텍스트를 확인합니다.

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard Toggle word wrap

4. 사용자 명확한 범위 내에서 다른 보안 명확한 범위로 전환합니다.

   $ newrole -l s1

   Copy to Clipboard Toggle word wrap

   최대 범위가 더 낮거나 할당된 범위와 동일한 모든 범위로 전환할 수 있습니다. 단일 수준 범위를 입력하면 할당된 범위의 하한 제한이 변경됩니다. 예를 들어 s0-s2 범위가 있는 사용자로 newrole -l s1 을 입력하는 것은 newrole -l s1-s2 를 입력하는 것과 동일합니다.

검증

1. 현재 사용자의 보안 컨텍스트를 표시합니다.

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard Toggle word wrap

2. 현재 쉘을 종료하여 원래 범위로 이전 쉘로 돌아갑니다.

   $ exit

   Copy to Clipboard Toggle word wrap

절차

1. 선택 사항: 현재 사용자의 보안 컨텍스트를 표시합니다.

   $ id -Z
   user_u:user_r:user_t:s0-s2

   Copy to Clipboard Toggle word wrap

2. 사용자의 MLS 지우기 범위의 하위 수준을 파일에 할당할 수준으로 변경합니다.

   $ newrole -l s1-s2

   Copy to Clipboard Toggle word wrap

3. 선택 사항: 현재 사용자의 보안 컨텍스트를 표시합니다.

   $ id -Z
   user_u:user_r:user_t:s1-s2

   Copy to Clipboard Toggle word wrap

4. 선택 사항: 파일의 보안 컨텍스트를 표시합니다.

   $ ls -Z /path/to/file
   user_u:object_r:user_home_t:s0 /path/to/file

   Copy to Clipboard Toggle word wrap

5. 파일을 수정하여 파일의 민감도 수준을 사용자의 명확한 수준으로 변경합니다.

   $ touch /path/to/file

   Copy to Clipboard Toggle word wrap
   중요

   restorecon 명령이 시스템에서 사용되는 경우 분류 수준은 기본값으로 되돌립니다.

6. 선택 사항: 쉘을 종료하여 사용자의 이전 보안 범위로 돌아갑니다.

   $ exit

   Copy to Clipboard Toggle word wrap

절차

1. 파일의 분류 수준을 확인합니다.

   # ls -lZ /path/to/file
   -rw-r-----. 1 User1 User1 user_u:object_r:user_home_t:s1 0 12. Feb 10:43 /path/to/file

   Copy to Clipboard Toggle word wrap

2. 파일의 기본 분류 수준을 변경합니다.

   # semanage fcontext -a -r s2 /path/to/file

   Copy to Clipboard Toggle word wrap

3. 파일의 SELinux 컨텍스트 레이블을 강제 다시 지정합니다.

   # restorecon -F -v /path/to/file
   Relabeled /path/to/file from user_u:object_r:user_home_t:s1 to user_u:object_r:user_home_t:s2

   Copy to Clipboard Toggle word wrap

검증

1. 파일의 분류 수준을 확인합니다.

   # ls -lZ /path/to/file
   -rw-r-----. 1 User1 User1 user_u:object_r:user_home_t:s2 0 12. Feb 10:53 /path/to/file

   Copy to Clipboard Toggle word wrap

2. 선택 사항: 소문자로 된 사용자가 파일을 읽을 수 없는지 확인합니다.

   $ cat /path/to/file
   cat: file: Permission denied

   Copy to Clipboard Toggle word wrap

절차

1. /etc/sudoers.d 디렉토리에 사용자의 새 sudoers 파일을 만듭니다.

   # visudo -f /etc/sudoers.d/<sec_adm_user>

   Copy to Clipboard Toggle word wrap

   sudoers 파일을 정리하여 유지하려면 < sec_adm_user >를 secadm 역할에 할당할 Linux 사용자로 바꿉니다.

2. /etc/sudoers.d/ <sec_adm_user > 파일에 다음 내용을 추가합니다.

   <sec_adm_user> ALL=(ALL) TYPE=secadm_t ROLE=secadm_r ALL

   Copy to Clipboard Toggle word wrap

   이 행은 모든 호스트에서 < secadmuser >를 인증하여 모든 명령을 수행하고 기본적으로 사용자를 secadm SELinux 유형 및 역할에 매핑합니다.

3. < sec_adm_user> 사용자로 로그인합니다.

   SELinux 컨텍스트(SELinux 사용자, 역할 및 유형으로 구성됨)가 변경되었는지 확인하려면 ssh, 콘솔 또는 xdm을 사용하여 로그인합니다. su 및 sudo 와 같은 다른 방법은 전체 SELinux 컨텍스트를 변경할 수 없습니다.

4. 사용자의 보안 컨텍스트를 확인합니다.

   $ id
   uid=1000(<sec_adm_user>) gid=1000(<sec_adm_user>) groups=1000(<sec_adm_user>) context=staff_u:staff_r:staff_t:s0-s15:c0.c1023

   Copy to Clipboard Toggle word wrap

5. root 사용자에 대해 대화형 쉘을 실행합니다.

   $ sudo -i
   [sudo] password for <sec_adm_user>:

   Copy to Clipboard Toggle word wrap

6. 현재 사용자의 보안 컨텍스트를 확인합니다.

   # id
   uid=0(root) gid=0(root) groups=0(root) context=staff_u:secadm_r:secadm_t:s0-s15:c0.c1023

   Copy to Clipboard Toggle word wrap

7. 정책에서 cryptsetup_secadm 모듈을 비활성화합니다.

   # semodule -d sysadm_secadm

   Copy to Clipboard Toggle word wrap
   중요

   semodule -r 명령을 사용하여 시스템 정책 모듈을 제거하는 대신 semodule -d 명령을 사용합니다. semodule -r 명령은 시스템 스토리지에서 모듈을 삭제합니다. 즉 selinux-policy-mls 패키지를 다시 설치하지 않고도 다시 로드할 수 없습니다.