5.4. 로컬 SELinux 정책 모듈 생성

절차

1. 텍스트 편집기를 사용하여 새 .cil 파일을 엽니다. 예를 들면 다음과 같습니다.

   # vim <local_module>.cil

   로컬 모듈을 더 잘 정리하려면 로컬 SELinux 정책 모듈의 이름에 local_ 접두사를 사용합니다.

2. 알려진 문제 또는 Red Hat 솔루션에서 사용자 지정 규칙을 삽입합니다.

   중요

   자체 규칙을 작성하지 마십시오. 특정 알려진 문제 또는 Red Hat 솔루션에 제공된 규칙만 사용하십시오.

   • 예를 들어 SELinux에서 cups.sock에 대한 cups-lpd 읽기 액세스를 RHEL 솔루션에서 거부하려면 다음 규칙을 삽입합니다.

     (allow cupsd_lpd_t cupsd_var_run_t (sock_file (read)))

     RHBA-2021:4420 의 RHEL에서 예제 솔루션이 영구적으로 수정되었습니다. 따라서 이 솔루션과 관련된 절차의 일부는 업데이트된 RHEL 8 및 9 시스템에 영향을 미치지 않으며 구문의 예로만 포함됩니다.

     두 가지 SELinux 규칙 구문, CIL(Common Intermediate Language) 및 m4 중 하나를 사용할 수 있습니다. 예를 들어 CIL의 cupsd_lpd_t cupsd_var_run_t (sock_file (read)) 는 m4의 다음과 같습니다.

     module local_cupslpd-read-cupssock 1.0;
     
     require {
         type cupsd_var_run_t;
         type cupsd_lpd_t;
         class sock_file read;
     }
     
     #============= cupsd_lpd_t ==============
     allow cupsd_lpd_t cupsd_var_run_t:sock_file read;

3. 파일을 저장하고 종료합니다.

4. policy 모듈을 설치합니다.

   # semodule -i <local_module>.cil

   semodule -i 를 사용하여 생성한 로컬 정책 모듈을 제거하려면 .cil 접미사 없이 모듈 이름을 참조하십시오. 로컬 정책 모듈을 제거하려면 semodule -r < local_module>을 사용합니다.

5. 규칙과 관련된 서비스를 다시 시작하십시오.

   # systemctl restart <service-name>

검증

1. SELinux 정책에 설치된 로컬 모듈을 나열합니다.

   # semodule -lfull | grep "local_"
   400 local_module  cil

   로컬 모듈에는 우선 순위가 400 이므로 예를 들어 semodule -lfull | grep -v ^100 명령을 사용하여 목록에서도 필터링할 수 있습니다.

2. 관련 허용 규칙을 검색하려면 SELinux 정책을 검색합니다.

   # sesearch -A --source=<SOURCENAME> --target=<TARGETNAME> --class=<CLASSNAME> --perm=<P1>,<P2>

   여기서 <SOURCENAME> 은 소스 SELinux 유형이며 <TARGETNAME> 은 대상 SELinux 유형이며, <CLASSNAME> 은 보안 클래스 또는 개체 클래스 이름이고 <P1> 및 <P2> 는 규칙의 특정 권한입니다.

   예를 들어 SELinux의 경우, RHEL 솔루션의 cups.sock에 대한 cups-lpd 읽기 액세스 권한을 거부합니다.

   # sesearch -A --source=cupsd_lpd_t --target=cupsd_var_run_t --class=sock_file --perm=read
   allow cupsd_lpd_t cupsd_var_run_t:sock_file { append getattr open read write };

   마지막 행에는 읽기 작업이 포함되어야 합니다.

3. 관련 서비스가 SELinux에 의해 제한되어 실행되는지 확인합니다.

   1. 관련 서비스와 관련된 프로세스를 식별합니다.

      $ systemctl status <service-name>

   2. 이전 명령의 출력에 나열된 프로세스의 SELinux 컨텍스트를 확인합니다.

      $ ps -efZ | grep <process-name>

4. 서비스가 SELinux 거부를 유발하지 않는지 확인합니다.

   # ausearch -m AVC -i -ts recent
   <no matches>

   i 옵션은 숫자 값을 사람이 읽을 수 있는 텍스트로 해석합니다.