{"id":460,"date":"2013-05-30T05:12:45","date_gmt":"2013-05-30T08:12:45","guid":{"rendered":"http:\/\/www.viazap.com.br\/?p=460"},"modified":"2013-05-30T05:12:45","modified_gmt":"2013-05-30T08:12:45","slug":"selinux-seguranca-em-servidores-gnulinux","status":"publish","type":"post","link":"https:\/\/blog.clusterweb.com.br\/?p=460","title":{"rendered":"SELinux – Seguran\u00e7a em Servidores GNU\/Linux"},"content":{"rendered":"\n\n\n\n\n
O SELinux<\/b><\/p>\n
O Security-Enhanced Linux<\/a> – SELinux<\/em> – foi desenvolvido pela Ag\u00eancia Nacional de Seguran\u00e7a dos EUA (NSA). Logo no in\u00edcio, seu objetivo principal era tornar-se um sistema operacional capaz de fornecer controles avan\u00e7ados de acesso para os \u00f3rg\u00e3os militares dos Estados Unidos.<\/p>\n

Por\u00e9m, com o passar do tempo, a NSA identificou que seria mais l\u00f3gico aprimorar um sistema de controle de acesso obrigat\u00f3rio, e adicion\u00e1-los a um sistema operacional j\u00e1 existente.<\/p>\n

A op\u00e7\u00e3o pelo GNU\/Linux<\/a> surgiu devida \u00e0 facilidade e flexibilidade de incorporar tal framework ao Kernel do sistema. Logo depois, sistemas que traziam a plataforma Unix<\/em>, tamb\u00e9m usufru\u00edram desta t\u00e3o poderosa ferramenta.<\/p>\n

Altamente implementado e refinado em cima da arquitetura MAC (Mandatory Access Control), provendo maior seguran\u00e7a a arquivos, diret\u00f3rios, processos, sistema de arquivos, entre outros objetos, atrav\u00e9s de regras providas pelo SELinux.<\/p>\n

Vale ressaltar, que este n\u00edvel de seguran\u00e7a vai al\u00e9m da arquitetura DAC (Discretionary Access Control) que est\u00e1 associada \u00e0 permiss\u00e3o de arquivos e ACLs (Access Control List\u2019s) do GNU\/Linux, como exemplo, as permiss\u00f5es MAC podem ser aplicadas at\u00e9 ao usu\u00e1rio root, limitando a\u00e7\u00f5es do mesmo.<\/p>\n

Em um conceito pr\u00e1tico, imaginemos que a conta de sistema associada ao servi\u00e7o HTTP foi comprometida, o SELinux atrav\u00e9s de regras pr\u00e9 estabelecidas, limita este comprometimento apenas ao servi\u00e7o HTTP, impossibilitando o comprometimento de outros servi\u00e7os, ou at\u00e9 mesmo, do pr\u00f3prio sistema operacional.<\/p>\n

Depois deste breve conceito, vamos \u00e0 pr\u00e1tica.<\/p>\n

Lembrando que mais informa\u00e7\u00f5es do SELinux, podem ser obtidas na Wiki do Projeto:<\/p>\n

Contextos de seguran\u00e7a<\/b><\/p>\n
Em uma explica\u00e7\u00e3o b\u00e1sica, um contexto \u00e9 um valor de dado assumido pelos objetos de uma classe.<\/p>\n

Nome, Idade e Peso, s\u00e3o exemplos de contextos do objeto “Pessoa”. Cor, Categoria e Modelo, s\u00e3o poss\u00edveis contextos do objeto “Carro”. No caso, os contextos da arquitetura DAC s\u00e3o: Tipo, Dono, Grupo e Outros.<\/p>\n

Ex.:<\/p>\n

# ls \u2013ld \/etc<\/strong><\/p>\n

Sa\u00edda do comando:<\/p>\n

drwxr-xr-x<\/p><\/blockquote>\n

Onde:<\/p>\n

    \n
  • d<\/em> = Diret\u00f3rio (Tipo)<\/li>\n
  • rwx<\/em> = Permiss\u00e3o para o dono do arquivo (Dono)<\/li>\n
  • r-x<\/em> = Permiss\u00e3o para o grupo do do arquivo (Grupo)<\/li>\n
  • r-x<\/em> = Permiss\u00e3o para os outros objetos do sistema (Outros)<\/li>\n<\/ul>\n

    No caso da arquitetura MAC, os contextos mudam de caracter\u00edsticas, conforme: Usu\u00e1rio, Papel, Tipo e N\u00edvel.<\/p>\n

    Onde:<\/p>\n

      \n
    • Usu\u00e1rio (user_u<\/em>) \u2013 O campo usu\u00e1rio, indica o nome do usu\u00e1rio do SELinux, por exemplo, o usu\u00e1rio “system_u”, indica processos, arquivos de configura\u00e7\u00e3o e daemons do sistema.<\/li>\n
    • Papel (role_r<\/em>) \u2013 O campo papel, \u00e9 uma forma de agrupar diferentes permiss\u00f5es a um determinado usu\u00e1rio (uma esp\u00e9cie de grupo).<\/li>\n
    • Tipo (type_t<\/em>) \u2013 O campo tipo (tamb\u00e9m conhecido como dom\u00ednio), indica qual \u00e9 permiss\u00e3o prim\u00e1ria de determinado objeto do SELinux, essa \u00e9 a primeira etapa de verifica\u00e7\u00e3o de permiss\u00e3o do sistema MAC.<\/li>\n
    • N\u00edvel (s*:c*<\/em>) \u2013 O campo n\u00edvel, indica em qual categoria determinado objeto se encontra, com rela\u00e7\u00e3o \u00e0 seguran\u00e7a. O mesmo utiliza a politica MCS\/MLS (Multi-Category Security\/ Multi-Level Security).\n

      Por exemplo, o n\u00edvel s0:c0<\/em> indica um objeto Confidencial<\/em> para todos os que possu\u00edrem o mesmo n\u00edvel.<\/li>\n<\/ul>\n

      Na pr\u00e1tica, com o mesmo diret\u00f3rio \/etc<\/em>:<\/p>\n

      # ls \u2013Zd<\/strong><\/p>\n

      Sa\u00edda do comando:<\/p>\n

      System_u:object_r:etc_t:s0<\/p><\/blockquote>\n

      Onde:<\/p>\n

        \n
      • system_u<\/em> =Usu\u00e1rio SELinux dono do objeto<\/li>\n
      • object_r<\/em> = Papel (ou papel) do SELinux<\/li>\n
      • etc_t<\/em> = Dom\u00ednio (ou tipo) do SELinux<\/li>\n
      • s0<\/em> = N\u00edvel de seguran\u00e7a do SELinux<\/li>\n<\/ul>\n

        Visualizando contextos MAC nos objetos do sistema<\/h1>\n

        Para visualizar todos os processos que est\u00e3o rodando no sistema, juntamente com os contextos do SELinux, vamos utilizar o comando abaixo:<\/p>\n

        # ps auxZ<\/strong><\/p>\n

        Perceba que apenas adicionando a op\u00e7\u00e3o “Z” no comando ps<\/em>, j\u00e1 \u00e9 suficiente para visualizarmos os contextos de todos os processos do SELinux. Isto vale para outros comandos tamb\u00e9m, como por exemplo, o comando ls<\/em>.<\/p>\n

        Vamos visualizar o contexto de um arquivo ou diret\u00f3rio qualquer do sistema:<\/p>\n

        # ls \u2013Z \/boot<\/strong><\/p>\n

        Sa\u00edda do comando:<\/p>\n

        system_u:object_r:boot_t:s0<\/p><\/blockquote>\n

        Isso vale tamb\u00e9m para o comando id<\/em>, que nos traz informa\u00e7\u00f5es de um determinado usu\u00e1rio:<\/p>\n

        Ex.:<\/p>\n

        # id \u2013Z<\/strong><\/p>\n

        Sa\u00edda do comando:<\/p>\n

        unconfined_u: unconfined_r: unconfined_t:s0-s0:c0.c1023ls<\/p><\/blockquote>\n

        Perceba que neste caso, todo o contexto est\u00e1 definido como: unconfined_*<\/p>\n

        …Isto indica que o SELinux n\u00e3o ter\u00e1 influ\u00eancia alguma no objeto correspondente.<\/p>\n<\/div>\n<\/td>\n<\/tr>\n

O comando Semanage<\/b><\/p>\n
Para um bom entendimento do SELinux, \u00e9 necess\u00e1rio explorar o mesmo por completo, o comando semanage<\/em> traz uma s\u00e9rie de op\u00e7\u00f5es para que isso aconte\u00e7a.<\/p>\n

Primeiro, devemos instalar o conjunto de pacotes, que traz (al\u00e9m de v\u00e1rios outros) o comando Semanage:<\/p>\n

# yum install policycoreutils-python<\/strong><\/p>\n

Com o Semanage instalado em nossa m\u00e1quina, vamos listar todos os usu\u00e1rios, n\u00edvel de MLS\/MCS e pap\u00e9is (roles) do SELinux:<\/p>\n

# semanage user \u2013l<\/strong><\/p>\n

Onde: -l<\/em> = list<\/p>\n

Sa\u00edda do comando:<\/p>\n

\n
\n\n\n\n
\n
\n
\u00a0\u00a0\u00a0\u00a0<\/code>Labeling\u00a0\u00a0 MLS\/\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 MLS\/\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 <\/code><\/div>\n
SELinux User\u00a0\u00a0\u00a0 Prefix\u00a0\u00a0\u00a0\u00a0 MCS Level\u00a0 MCS Range\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 SELinux Roles<\/code><\/div>\n
<\/div>\n
git_shell_u\u00a0\u00a0\u00a0\u00a0 user\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 git_shell_r<\/code><\/div>\n
guest_u\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 user\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 guest_r<\/code><\/div>\n
root\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 user\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0-s0:c0.c1023\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 staff_r sysadm_r system_r unconfined_r<\/code><\/div>\n
staff_u\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 user\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0-s0:c0.c1023\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 staff_r sysadm_r system_r unconfined_r<\/code><\/div>\n
sysadm_u\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 user\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0-s0:c0.c1023\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 sysadm_r<\/code><\/div>\n
system_u\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 user\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0-s0:c0.c1023\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 system_r unconfined_r<\/code><\/div>\n
unconfined_u\u00a0\u00a0\u00a0 user\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0-s0:c0.c1023\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 system_r unconfined_r<\/code><\/div>\n
user_u\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 user\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 user_r<\/code><\/div>\n
xguest_u\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 user\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 s0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 xguest_r<\/code><\/div>\n<\/div>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n

Pergunta: “ual a fun\u00e7\u00e3o de cada usu\u00e1rio? Permiss\u00e3o? Acessos e etc…?<\/p>\n

Vamos a um overview<\/em> r\u00e1pido e objetivo de cada um:<\/p>\n