RHEL 7 – RHCSA Notes – Imposta modalità di applicazione e permissive per SELinux

RHEL 7 – Note RHCSA (cheat sheet)

Modalità SELinux

SELinux offre un ulteriore livello di sicurezza alle risorse nel sistema. Fornisce il MAC (controllo di accesso obbligatorio) in quanto contrario al DAC (controllo di accesso discrezionale). Prima di addentrarci nell'impostazione delle modalità di SELinux, vediamo quali sono le diverse modalità di funzionamento di SELinux e come funzionano. SELinux può funzionare in una qualsiasi delle 3 modalità :

1. Applicato :le azioni contrarie al criterio vengono bloccate e un evento corrispondente viene registrato nel registro di controllo.
2. Permissivi :le azioni contrarie al criterio vengono registrate solo nel registro di controllo.
3. Disabilitato :SELinux è completamente disabilitato.

File di configurazione

File di configurazione di SELinux /etc/selinux/config :

# cat  /etc/selinux/config

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of three two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected. 
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

Commutazione delle modalità SELinux (temporaneamente)

Per passare temporaneamente tra le modalità SELinux possiamo usare il comando setenforce come mostrato di seguito:

# setenforce [ Enforcing | Permissive | 1 | 0 ]

0 –> Permissivo
1 –> Applicazione

Verifica la modalità corrente di SELinux :

# getenforce
Enforcing

oppure possiamo anche usare il comando sestatus per ottenere uno stato dettagliato :

# sestatus
SELinux status:                 enabled         
SELinuxfs mount:                /selinux        --> virtual FS similar to /proc
Current mode:                   enforcing       --> current mode of operation 
Mode from config file:          permissive      --> mode set in the /etc/sysconfig/selinux file.
Policy version:                 24
Policy from config file:        targeted

Commutazione delle modalità SELinux (permanentemente) [richiede riavvio]

La modalità SELinux può essere impostata in modo permanente utilizzando uno dei seguenti metodi:
1. modificando il file /etc/selinux/config
2. modifica delle opzioni di avvio del kernel

1. modificando il file /etc/selinux/config

per impostare SELinux su permissivo, impostare la riga seguente nel file /etc/selinux/config su :

vi /etc/selinux/config
....
SELINUX=permissive
...

Allo stesso modo è possibile impostare la modalità per imporre/disabilitare impostando la modalità nella stessa riga.

2. modifica delle opzioni di avvio del kernel

Modifica la riga di avvio del kernel e aggiungi enforcing=0 alle opzioni di avvio del kernel. Ad esempio:

title Red Hat Enterprise Linux AS (2.6.9-42.ELsmp)
root (hd0,0)
kernel /vmlinuz-2.6.9-42.ELsmp ro root=LABEL=/ rhgb quiet enforcing=0
initrd /initrd-2.6.9-42.ELsmp.img

Riavvia il server.

# shutdown -r now

Forzare il riavvio al cambio di modalità

Possiamo forzare un riavvio cambiando la modalità selinux :

# setsebool secure_mode_policyload on