SELinux

SELinux se desarrolló como una solución de seguridad adicional de Linux que utiliza el marco de seguridad del kernel de Linux. El propósito era permitir una directiva de seguridad más detallada que fuera más allá de los controles de acceso discrecional (DAC) estándar, los permisos de archivo tradicionales de propietario/grupo/mundo y lectura/escritura/ejecución.

SELinux utiliza etiquetas adjuntas a objetos (por ejemplo, archivos y sockets de red) para tomar decisiones de acceso.

La acción por defecto de SELinux es denegar cualquier acceso. SELinux permite solo las acciones que se permitieron específicamente en la directiva de SELinux. Otra característica de SELinux que aumenta la seguridad es que permite el confinamiento estricto de los procesos hasta el punto en que los procesos no pueden acceder a los archivos de otros procesos en el mismo sistema.

SELinux fue diseñado para mejorar las soluciones de seguridad existentes, no para reemplazarlas. Por ejemplo, el control de acceso discrecional (DAC) se sigue aplicando, incluso si el sistema utiliza SELinux. Si DAC deniega el acceso primero, SELinux no se utiliza porque el acceso ya estaba bloqueado por otro mecanismo.

SELinux se instala por defecto cuando YaST instala SLE Micro o forma parte de las imágenes preconstruidas.

Si SELinux no está configurado en su sistema, ejecute el siguiente comando:

# transactional-update setup-selinux

Rearranque el sistema después de que finalice el comando. El comando instala la directiva de SELinux si no está instalada, establece el modo de SELinux enforcing y reconstruye initrd.

SELinux puede ejecutarse en uno de estos tres modos: disabled, permissive o enforcing.

El uso del modo disabled significa que no se aplica ninguna regla de la directiva de SELinux y que el sistema no está protegido. Por lo tanto, no se recomienda utilizar el modo disabled.

En el modo permissive, SELinux está activo, se carga la directiva de seguridad, se etiqueta el sistema de archivos y se registran las entradas de denegación de acceso. Sin embargo, la directiva no se aplica y, por lo tanto, no se deniega el acceso.

En el modo enforced, se aplica la directiva de seguridad. Se deniegan todos los accesos no permitidos explícitamente por la directiva.

Para obtener información sobre cómo cambiar entre los modos de SELinux, consulte la Sección 3.1, “Cambio del modo de SELinux”.

3.1 Cambio del modo de SELinux #

  

Puede cambiar el modo de SELinux de forma temporal o permanente.

3.1.1 Cambio temporal del modo de SELinux #

  

Para establecer temporalmente el modo permissive o enforcing de SELinux, utilice el comando setenforce.

El comando setenforce tiene la siguiente sintaxis:

# setenforceMODE_ID

donde MODE_ID es 0 para el modo permissive o 1 para el modo enforced.

Recuerde que no puede inhabilitar SELinux mediante el comando setenforce.

3.1.2 Cambio permanente del modo de SELinux #

  

Para realizar cambios en el modo de SELinux que persistan al rearrancar el sistema, edite el archivo de configuración /etc/selinux/config. En este archivo, también puede inhabilitar SELinux en el sistema. Sin embargo, no se recomienda esta acción. Si cabe la posibilidad de que SELinux esté causando problemas en el sistema, cambie al modo permissive y depure el sistema.

En el archivo /etc/selinux/config, cambie el valor de SELINUX a disabled, permissive o enforced de la siguiente manera:

SELINUX=disabled

Los cambios en el archivo se aplican después del siguiente rearranque.

Nota: cambio de etiqueta del sistema después de cambiar del modo disabled

Si inhabilita SELinux en el sistema y luego lo habilita, asegúrese de volver a etiquetar el sistema. Si SELinux está inhabilitado y realiza cambios en el sistema de archivos, los cambios ya no se reflejan en el contexto (por ejemplo, los archivos nuevos no tienen contexto). Por lo tanto, debe volver a etiquetar el sistema mediante el comando restorecon, con el parámetro de arranque autorelabel o creando un archivo que active el cambio de etiqueta en el siguiente arranque. Para crear el archivo, ejecute el siguiente comando:

# touch /etc/selinux/.autorelabel

Después de rearrancar, el archivo /etc/selinux/.autorelabel se sustituye por otro archivo de indicador, /etc/selinux/.relabelled, para evitar que se vuelva a etiquetar en los rearranques posteriores.

3.1.3 Verificación del modo de SELinux activo #

  

Para verificar el modo, ejecute el siguiente comando:

# getenforce

El comando debe devolver permissive o enforced, dependiendo del MODE_ID proporcionado.

El contexto de seguridad es un conjunto de datos asignados a un archivo o proceso. Se compone de un usuario, función, tipo, nivel y categoría de SELinux. Esta información se utiliza para tomar decisiones de control de acceso.

A continuación se muestra un ejemplo de un contexto SELinux:

allow user_t bin_t:file {read execute gettattr};

Esta regla de ejemplo indica que el usuario que tiene el tipo de contexto user_t (este usuario se denomina objeto de origen) puede acceder a los objetos de clase archivo con el tipo de contexto bin_t (el destino), utilizando los permisos read, execute y getattr.

La directiva es el componente clave de SELinux. La directiva de SELinux define reglas que especifican qué objetos pueden acceder a qué archivos, directorios, puertos y procesos de un sistema. Para ello, se define un contexto de seguridad para todos esos elementos.

Una directiva de SELinux contiene un gran número de reglas. Para que sean más fáciles de gestionar, las directivas suelen dividirse en módulos. Esto permite al administrador activar o desactivar la protección para distintas partes del sistema.

Al compilar la directiva para su sistema, tendrá la opción de trabajar con una directiva modular o con una directiva monolítica, donde se utiliza una directiva enorme para proteger todo el sistema. Se recomienda encarecidamente utilizar una directiva modular y no una directiva monolítica. Las directivas modulares son mucho más fáciles de gestionar.

SLE Micro se suministra con la directiva de SELinux targeted.

        semodule -l

> sudo semodule -d MODULENAME

> sudo semodule -e MODULENAME

Los booleanos de SELinux admiten un enfoque de gestión de directivas flexible. Por ejemplo, permiten inhabilitar una directiva concreta en un servidor y mantener la misma directiva activa en otro. En otras palabras, un booleano puede entenderse como un cambio para una regla de directiva. En lugar de cambiar una directiva concreta, puede desactivarla. En el código de la directiva, los booleanos se denominan tunable. Dado que los booleanos se incluyen en la directiva, están disponibles en cuanto se carga una directiva.

Los cambios en los booleanos pueden ser permanentes o temporales y durar hasta el final de la sesión.

SELinux ofrece herramientas que permiten mostrar y ver detalles o cambiar el estado de los booleanos. Para obtener más información, consulte las secciones siguientes.

# getsebool -a

abrt_anon_write --> off
abrt_handle_event --> off
abrt_upload_watch_anon_write --> on
...

# semanage boolean -l

SELinux boolean               State   Default     Description

abrt_anon_write               (off  ,  off)       Allow abrt to anon write
abrt_handle_event             (off  ,  off)       Allow abrt to handle event
abrt_upload_watch_anon_write  (on   ,   on)       Allow abrt to upload watch anon write

# getseboolBOOLEAN_NAME

# semanage boolean -l | grepBOOLEAN_NAME

# setseboolBOOLEAN_NAMEBOOLEAN_VALUE

# setsebool -PBOOLEAN_NAMEBOOLEAN_VALUE

# semanage boolean -m --BOOLEAN_VALUEBOOLEAN_NAME

# sedispol /etc/selinux/targeted/policy/policy.32

SLE Micro proporciona herramientas para gestionar SELinux en el sistema. Si las herramientas descritas a continuación no están instaladas en su sistema, instálelas ejecutando:

# transactional-update pkg install policycoreutils-python-utils

Después de una instalación correcta, rearranque el sistema.

> ls -Z /etc/shadow

        system_u:object_r:shadow_t:s0 /etc/shadow

7.2 El comando chcon #

  

El nombre del comando chcon significa "cambiar contexto". El comando puede cambiar el contexto de seguridad completo de un archivo al valor proporcionado en la interfaz de línea de comandos, o puede cambiar partes del contexto. Como alternativa, puede proporcionar un archivo que sirva de referencia.

Para cambiar el contexto de seguridad completo de un archivo, la sintaxis del comando es la siguiente:

# chconSECURITY_CONTEXTFILENAME

Donde:

• SECURITY_CONTEXT tiene el formato: SELinux_USER:ROLE:TYPE:LEVEL:CATEGORY. Por ejemplo, el contexto podría ser: system_u:object_r:httpd_config_t:s0.

• FILENAME es una vía al archivo cuyo contexto se debe cambiar.

Para definir un contexto de seguridad según un archivo proporcionado que sirva de referencia, ejecute chcon de la siguiente forma:

# chcon --reference=REFERENCE_FILEFILENAME

Donde:

• REFERENCE_FILE es una vía a un archivo que debe utilizarse como referencia.

• FILENAME es una vía al archivo cuyo contexto se debe cambiar.

Como alternativa, puede cambiar solo una parte del contexto de seguridad. La sintaxis general del comando chcon es la siguiente:

# chconCONTEXT_OPTIONCONTEXT_PARTFILENAME

Las opciones y los argumentos tienen el siguiente significado:

• Dependiendo de la parte de contexto, CONTEXT_OPTION puede ser cualquiera de los siguientes:

  -u resp --user

  Indica que se cambiará un contexto de usuario de SELinux en el archivo proporcionado:

  # chcon -u system_u logind.conf

  -r resp --role

  Solo se cambiará la parte de la función en el contexto del archivo proporcionado:

  # chcon -r object_r logind.conf

  -t resp --type

  Solo se cambiará la parte del tipo en el contexto del archivo proporcionado:

  # chcon -t etc_t logind.conf

  -l resp --range

  Solo se cambiará la parte del rango en el contexto de seguridad:

  # chcon -l s0 logind.conf

• CONTEXT_PART es el valor concreto del contexto de seguridad que se va a definir.

• FILENAME es una vía al archivo cuyo contexto se va a cambiar.

Nota: uso de chcon en enlaces simbólicos

Por defecto, cuando se cambia el contexto de seguridad en un enlace simbólico, se cambia el contexto del destino del enlace, pero no se cambia el contexto del enlace simbólico. Para forzar a que chcon cambie el contexto del enlace simbólico y no del destino del enlace, utilice la opción --no-dereference como se muestra a continuación:

# chcon --no-dereference -u system_u -t etc_t network.conf

Puede cambiar el contexto de todos los archivos de un directorio mediante la opción recursiva:

# chcon --recursive  system_u:object_r:httpd_config_t:s0 conf.d

# getenforce

Permissive

# setenforceMODE_ID

# fixfiles [OPTIONS] ARGUMENT

# semanageARGUMENTOPTIONS [OBJECT_NAME]

semanage boolean [-h] [-n]  [ --extract |
       --deleteall | --list [-C] | --modify ( --on | --off | -1 | -0 ) boolean ]

# semanage boolean -m on authlogin_yubikey

sestatus [OPTION]

# sestatus

SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     requested (insecure)
Max kernel policy version:      33

Copyright © 2006 –2024 SUSE LLC y colaboradores. Reservados todos los derechos.

Está permitido copiar, distribuir y modificar este documento según los términos de la licencia de documentación gratuita GNU, versión 1.2 o (según su criterio) versión 1.3. Este aviso de copyright y licencia deberán permanecer inalterados. En la sección titulada “GNU Free Documentation License” (Licencia de documentación gratuita GNU) se incluye una copia de la versión 1.2 de la licencia.

Para obtener información sobre las marcas comerciales de SUSE, consulte https://www.suse.com/company/legal/. Todas las marcas comerciales de otros fabricantes son propiedad de sus respectivas empresas. Los símbolos de marcas comerciales (®, ™, etc.) indican marcas comerciales de SUSE y sus filiales. Los asteriscos (*) indican marcas comerciales de otros fabricantes.

Toda la información recogida en esta publicación se ha compilado prestando toda la atención posible al más mínimo detalle. Sin embargo, esto no garantiza una precisión total. Ni SUSE LLC, ni sus filiales, ni los autores o traductores serán responsables de los posibles errores o las consecuencias que de ellos pudieran derivarse.