SELinux

SELinux†

• Security-Enhanced Linux

概要†

• セキュリティ機能を強化したLinux
• LSM（Linux Security Module）上で提供されている
• Red Hat系ディストリビューション
• 米国NSAが開発した
• 管理者の権限を分散・制限する
• 不正侵入対策の仕組み
• OSS(GPL)

• ドメイン単位でプロセスとユーザーに権限を割り当てる

SELinux の仕組み†

• Flask
  • Flux Advanced Security Kernel
  • セキュリティアーキテクチャ
  • 柔軟な強制アクセス制御が可能

• 処理の流れ
  1. プロセスがリソースにアクセスする為にカーネルにアクセスを要求する
  2. カーネルは、ファイルの許可属性をチェックする
  3. SELinuxが、セキュリティポリシーファイルを参照してアクセスの可否を判断する
  4. プロセスがリソースにアクセスする

SELinux の機能†

MAC†

• 強制アクセス制御
• セキュリティコンテキスト

TE†

• Type Enforcemtnt
• プロセスごとにリソースへのアクセス制御を行う（最小限の権限を付与する）
  • プロセス（サブジェクト）← ドメインというラベルを付与する
  • リソース（オブジェクト）←タイプというラベルを付与する
  • 許可属性（アクセスベクタ）←ドメインとタイプの関係をセキュリティポリシーファイルに設定する
• ラベル名の命名ルール：末尾"_t"

RBAC†

• Role Based Access Control
• 役割別のアクセス制御
• ログインユーザーの権限を分ける機能
• ログイン時にユーザーごとにロール（役割）と呼ばれるアクセス権を与える

MCS†

• Multi Category Security
• カテゴリーが一致するプロセス、リソース同士のみアクセスが可能とする
  • プロセスやリソースにカテゴリーというラベルを付与する
• 簡単にプロセス、リソースを分離できるので、仮想化環境の分離に利用される
  • コンテナ起動時にコンテナごとに一意となるカテゴリーラベルを自動で付与する

MLS†

• Multi-Level Security
• 軍事向けのアクセス制御機能

ドメイン遷移†

• プログラムを実行した際に、起動したプロセスのドメインとは別のドメインで動作するようにする
  • 起動元プロセスのドメイン
  • 実行ファイルのタイプ
  • 起動されたプロセスが動作するドメイン
• ※補足：デフォルトでは、起動したプロセスのドメインは親プロセスのドメインを引き継ぐ

Userland AVC†

• アプリケーション独自のパーミッションルールをチェックする

監査ログ†

• プロセスのアクセス許可・拒否のログを記録する

  /var/log/audit/audit.log

コマンド†

• 「SELinuxコマンド」参照

設定†

• ロール

  sysadm_r	システム管理者
  user_r	一般ユーザー
  system_r	システムプロセス

• ラベル

  デーモン	ドメイン	タイプ
  httpd	httpd_t	httpd_content_t、httpd_sys_content_t、httpd_sys_script_exec_t

• セキュリティコンテキスト
  • ユーザー名、ロール、ラベル（ドメインまたはタイプ）、レベル、カテゴリー
  • セミコロン区切り

• タイプ
  • <ファイルのパス(正規表現可)> <種別> system_u:object_r:<タイプ>:s0
    • 種別；regular file, directory, character device, block device, symbolic link, all files
    • ファイル、ディレクトリ

      /var/www(/.*)? all files system_u:object_r:httpd_sys_content_t:s0

    • ポート番号

      portcon <tcp/udp> <ポート番号> system_u:object_r:http_port_t:s0

  • allow <ドメイン> <タイプ>:<オブジェクトクラス> {<パーミッション>};
    • オブジェクトクラス：file, dir, tcp_socket
    • パーミッション；オブジェクトクラス毎に用意されている（fileの場合read, write など）

• ドメイン遷移

  type_transition <親プロセスのドメイン> <実行ファイルのタイプ> : process <起動時に割り当てるドメイン>

関連サイト†

• SETools - OwlCyberDefense / setools (GitHub)
  https://github.com/OwlCyberDefense/setools

• SELinuxの調査や確認時に使えそうなコマンドメモ
  https://qiita.com/hamamoto_abc/items/15c75016c222855cd0f6

• とほほのSELinux入門
  https://www.tohoho-web.com/ex/selinux.html

関連用語†

• 強制アクセス制御(MAC(Mandatory Access Control))
• セキュリティ
• AppArmor
• Linux
• Trusted OS
• セキュアOS
• LSM(Linux Security Modules)
• sVirt
• AVC(Access Vector Cache)

最新の20件

新規