SELinux の履歴(No.7)

SELinux†

↑

名称†

Security-Enhanced Linux

↑

概要†

セキュリティ機能を強化したLinux
LSM（Linux Security Module）上で提供されている
Red Hat系ディストリビューション
米国NSAが開発した
管理者の権限を分散・制限する
不正侵入対策の仕組み
OSS(GPL)

ドメイン単位でプロセスとユーザーに権限を割り当てる

↑

SELinux の仕組み†

Flask
- Flux Advanced Security Kernel
- セキュリティアーキテクチャ
- 柔軟な強制アクセス制御が可能

処理の流れ
1. プロセスがリソースにアクセスする為にカーネルにアクセスを要求する
2. カーネルは、ファイルの許可属性をチェックする
3. SELinuxが、セキュリティポリシーファイルを参照してアクセスの可否を判断する
4. プロセスがリソースにアクセスする

↑

SELinux のセキュリティ機能†

強制アクセス制御
- セキュリティコンテキスト

TE
- Type Enforcemtnt
- プロセスごとのリソースへのアクセス制御を行う
  - プロセス（サブジェクト）←ドメインというラベルを付与する
  - リソース（オブジェクト）←タイプというラベルを付与する
  - 許可属性（アクセスベクタ）←ドメインとタイプの関係をセキュリティポリシーファイルに設定する
- ラベル名の命名ルール：末尾"_t"

RBAC
- Role Based Access Control
- 役割別のアクセス制御
- ログイン時にユーザーごとにロール（役割）と呼ばれるアクセス権を与える

ドメイン遷移
- プログラムを実行した際に、起動したプロセスのドメインとは別のドメインで動作するようにする
  - 起動元プロセスのドメイン
  - 実行ファイルのタイプ
  - 起動されたプロセスが動作するドメイン

セキュリティサーバ

↑

設定†

Enforced
- 強制モード : セキュリティポリシーに違反するアクションをブロック(Yes)、ログに記録(Yes)　※本番運用向け
Permissive
- 開発モード : セキュリティポリシーに違反するアクションをブロック(No)、ログに記録(Yes)　※開発・調査向け
Disabled
- 無効 : セキュリティポリシーに違反するアクションをブロック(No)、ログに記録(No)

↑

コマンド†

↑

getenforce†

動作状況を確認

↑

sestatus†

動作状況詳細を確認

↑

setenforce†

有効化/無効化の切り替え

setenforce 0　※一時無効化
setenforce 1　※一時有効化

↑

sesearch†

↑

chcon†

セキュリティコンテキストを変更する
```
chcon
```

↑

/etc/selinux/config†

/etc/sysconfig/selinux ※リンク

SELINUX=enforcing　※有効
SELINUX=disabled　※無効

↑

設定†

ロール

sysadm_r　※システム管理者
user_r　※一般ユーザー
system_r　※システムプロセス

↑

設定状況の確認†

ls -Z
ls --context

ps -Z
ps -M

ps x --context

↑

SELinux†

名称†

概要†

SELinux の仕組み†

SELinux のセキュリティ機能†

設定†

コマンド†

getenforce†

sestatus†

setenforce†

sesearch†

chcon†

semanage†

restorecon†

設定ファイル†

/etc/selinux/config†

設定†

設定状況の確認†

関連用語†