SELinux

O SELinux foi desenvolvido como uma solução de segurança adicional do Linux que usa a estrutura de segurança do kernel Linux. O objetivo era permitir uma política de segurança mais granular que fosse além dos Controles de Acesso Discricionários (DAC, Discretionary Access Controls) padrão: as permissões de arquivo tradicionais de proprietário/grupo/globais e leitura/gravação/execução.

O SELinux usa rótulos anexados a objetos (por exemplo, arquivos e soquetes de rede) e toma decisões de acesso com base neles.

A ação padrão do SELinux é negar qualquer acesso. O SELinux apenas permite ações que foram especificamente autorizadas em sua política. Outro recurso do SELinux que reforça a segurança é que ele permite o confinamento rigoroso de processos até o ponto em que os processos não conseguem acessar arquivos de outros processos no mesmo sistema.

O SELinux foi projetado para aprimorar as soluções de segurança existentes, não para substituí-las. Por exemplo, o controle de acesso discricionário (DAC) ainda é aplicado, mesmo que o sistema use o SELinux. Se o DAC negar o acesso primeiro, o SELinux não será usado, pois o acesso já foi bloqueado por outro mecanismo.

O SELinux é instalado por padrão durante a instalação do SLE Micro pelo YaST ou faz parte das imagens predefinidas.

Se o SELinux não está configurado no sistema, execute o seguinte comando:

# transactional-update setup-selinux

Reinicialize o sistema após a conclusão do comando. O comando instala a política do SELinux, se ela não estiver instalada, define o modo enforcing do SELinux e reconstrói o initrd.

O SELinux pode ser executado em um destes três modos: disabled, permissive ou enforcing.

O uso do modo disabled significa que nenhuma regra da política do SELinux é aplicada e o sistema não está protegido. Portanto, não recomendamos o uso do modo disabled.

No modo permissive, o SELinux está ativo, a política de segurança é carregada, o sistema de arquivos é rotulado e as entradas de negação de acesso são registradas. No entanto, a política não é imposta e, portanto, nenhum acesso é, de fato, negado.

No modo enforced, a política de segurança é aplicada. Cada acesso que não é explicitamente permitido pela política é negado.

Para obter informações sobre como alternar entre os modos do SELinux, consulte a Seção 3.1, “Mudando o modo do SELinux”.

3.1 Mudando o modo do SELinux #

  

Você pode alternar o modo do SELinux temporariamente ou permanentemente.

3.1.1 Mudando o modo do SELinux temporariamente #

  

Para definir o SELinux como permissive ou enforcing temporariamente, use o comando setenforce.

O comando setenforce tem a seguinte sintaxe:

# setenforceMODE_ID

Copy

em que MODE_ID é 0 para o modo permissive ou 1 para o modo enforced.

Lembre-se de que você não pode desabilitar o SELinux usando o comando setenforce.

3.1.2 Mudando o modo do SELinux permanentemente #

  

Para fazer mudanças no modo do SELinux que persistam após a reinicialização do sistema, edite o arquivo de configuração /etc/selinux/config. Nesse arquivo, você também pode desabilitar o SELinux no sistema. No entanto, essa ação não é recomendada. Se o SELinux estiver possivelmente causando problemas no sistema, alterne para o modo permissive e depure o sistema.

No arquivo /etc/selinux/config, mude o valor de SELINUX para disabled, permissive ou enforced da seguinte maneira:

SELINUX=disabled

Copy

As mudanças no arquivo serão aplicadas após a próxima reinicialização.

Nota: Rotulando novamente o sistema após alternar do modo disabled

Se você desabilitar e, mais tarde, habilitar o SELinux no sistema, certifique-se de rotular novamente o sistema. Quando o SELinux está desabilitado, e você faz mudanças no sistema de arquivos, as mudanças não são mais refletidas no contexto (por exemplo, novos arquivos não têm nenhum contexto). Portanto, você precisa rotular novamente o sistema usando o comando restorecon, o parâmetro de boot autorelabel ou criando um arquivo que acionará o novo rótulo na próxima inicialização. Para criar o arquivo, execute o seguinte comando:

# touch /etc/selinux/.autorelabel

Copy

Após a reinicialização, o arquivo /etc/selinux/.autorelabel é substituído por outro arquivo de flag /etc/selinux/.relabelled, para evitar que o novo rótulo seja aplicado às reinicializações subsequentes.

3.1.3 Verificando o modo do SELinux ativo #

  

Para verificar o modo, execute o seguinte comando:

# getenforce

Copy

O comando deve retornar permissive ou enforced, dependendo do MODE_ID inserido.

O contexto de segurança é um conjunto de informações atribuídas a um arquivo ou processo. Ele consiste em usuário, função, tipo, nível e categoria do SELinux. Essas informações são usadas para tomar decisões de controle de acesso.

Veja abaixo um exemplo de contexto do SELinux:

allow user_t bin_t:file {read execute gettattr};

Esta regra de exemplo especifica que o usuário com o tipo de contexto user_t (esse usuário é chamado de objeto de origem) tem permissão para acessar objetos do arquivo de classe com o tipo de contexto bin_t (o destino), usando as permissões read, execute e getattr.

A política é o principal componente do SELinux. A política do SELinux define regras que especificam quais objetos podem acessar quais arquivos, diretórios, portas e processos em um sistema. Para fazer isso, um contexto de segurança é definido para todos eles.

Uma política do SELinux contém um grande número de regras. Para torná-las mais gerenciáveis, as políticas costumam ser divididas em módulos. Isso permite que o administrador ative ou desative a proteção para diferentes partes do sistema.

Ao compilar a política para seu sistema, você pode trabalhar com uma política modular ou monolítica, em que uma política extensa é usada para proteger tudo no sistema. É altamente recomendável usar uma política modular em vez de uma monolítica. As políticas modulares são muito mais fáceis de gerenciar.

O SLE Micro já vem com a política targeted do SELinux.

        semodule -l

> sudo semodule -d MODULENAME

> sudo semodule -e MODULENAME

Os boolianos do SELinux suportam uma abordagem flexível de gerenciamento de políticas. Por exemplo, eles permitem desabilitar uma política específica em um servidor e manter a mesma política ativa em outro. Em outras palavras, um booliano pode ser considerado como um switch de uma regra de política. Em vez de mudar uma política específica, você pode desativá-la. No código da política, os boolianos são chamados de ajustáveis. Como estão incluídos na política, eles ficam disponíveis assim que a política é carregada.

As mudanças no valor dos boolianos podem ser persistentes ou temporárias, durando até o término da sessão.

O SELinux oferece ferramentas que permitem listar e ver detalhes ou mudar o estado dos boolianos. Consulte as seções a seguir para obter detalhes.

# getsebool -a

abrt_anon_write --> off
abrt_handle_event --> off
abrt_upload_watch_anon_write --> on
...

# semanage boolean -l

SELinux boolean               State   Default     Description

abrt_anon_write               (off  ,  off)       Allow abrt to anon write
abrt_handle_event             (off  ,  off)       Allow abrt to handle event
abrt_upload_watch_anon_write  (on   ,   on)       Allow abrt to upload watch anon write

# getseboolBOOLEAN_NAME

# semanage boolean -l | grepBOOLEAN_NAME

# setseboolBOOLEAN_NAMEBOOLEAN_VALUE

# setsebool -PBOOLEAN_NAMEBOOLEAN_VALUE

# semanage boolean -m --BOOLEAN_VALUEBOOLEAN_NAME

# sedispol /etc/selinux/targeted/policy/policy.32

O SLE Micro oferece a você ferramentas para gerenciar o SELinux em seu sistema. Se as ferramentas descritas abaixo não estiverem instaladas em seu sistema, instale-as executando:

# transactional-update pkg install policycoreutils-python-utils

Após a instalação bem-sucedida, reinicialize o sistema.

> ls -Z /etc/shadow

        system_u:object_r:shadow_t:s0 /etc/shadow

7.2 O comando chcon #

  

O nome do comando chcon significa mudança de contexto. O comando pode mudar o contexto de segurança completo de um arquivo para o valor fornecido na CLI ou pode mudar partes do contexto. Se preferir, insira um arquivo que sirva como referência.

Para mudar o contexto de segurança completo de um arquivo, a sintaxe do comando é a seguinte:

# chconSECURITY_CONTEXTFILENAME

Copy

em que:

• SECURITY_CONTEXT está no formato: SELinux_USER:ROLE:TYPE:LEVEL:CATEGORY. Por exemplo, o contexto pode ser: system_u:object_r:httpd_config_t:s0.

• FILENAME é um caminho para o arquivo cujo contexto deve ser mudado.

Para definir um contexto de segurança de acordo com um arquivo fornecido que serve como referência, execute o chcon da seguinte maneira:

# chcon --reference=REFERENCE_FILEFILENAME

Copy

em que:

• REFERENCE_FILE é um caminho para um arquivo que deve ser usado como referência.

• FILENAME é um caminho para o arquivo cujo contexto deve ser mudado.

Se preferir, mude apenas uma parte do contexto de segurança. A sintaxe geral do comando chcon é a seguinte:

# chconCONTEXT_OPTIONCONTEXT_PARTFILENAME

Copy

As opções e os argumentos têm o seguinte significado:

• dependendo da parte do contexto, CONTEXT_OPTION pode ser qualquer um dos seguintes:

  -u resp --user

  indica que um contexto de usuário do SELinux será mudado no arquivo fornecido:

  # chcon -u system_u logind.conf

  Copy

  -r resp --role

  apenas a parte da função será mudada no contexto do arquivo fornecido:

  # chcon -r object_r logind.conf

  Copy

  -t resp --type

  apenas a parte do tipo será mudada no contexto do arquivo fornecido:

  # chcon -t etc_t logind.conf

  Copy

  -l resp --range

  apenas a parte da faixa do contexto de segurança será mudada:

  # chcon -l s0 logind.conf

  Copy

• CONTEXT_PART é o valor específico do contexto de segurança que será definido.

• FILENAME é um caminho para o arquivo cujo contexto será mudado.

Nota: Usando chcon em links simbólicos

Por padrão, quando você muda o contexto de segurança em um link simbólico, o contexto do destino do link é mudado e o contexto do link simbólico não é mudado. Para forçar o chcon a mudar o contexto do link simbólico, e não o destino do link, use a opção --no-dereference mostrada abaixo:

# chcon --no-dereference -u system_u -t etc_t network.conf

Copy

Você pode mudar o contexto de todos os arquivos em um diretório usando a opção recursiva:

# chcon --recursive  system_u:object_r:httpd_config_t:s0 conf.d

Copy

# getenforce

Permissive

# setenforceMODE_ID

# fixfiles [OPTIONS] ARGUMENT

# semanageARGUMENTOPTIONS [OBJECT_NAME]

semanage boolean [-h] [-n]  [ --extract |
       --deleteall | --list [-C] | --modify ( --on | --off | -1 | -0 ) boolean ]

# semanage boolean -m on authlogin_yubikey

sestatus [OPTION]

# sestatus

SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     requested (insecure)
Max kernel policy version:      33

Copyright © 2006-2025 SUSE LLC e colaboradores. Todos os direitos reservados.

Permissão concedida para copiar, distribuir e/ou modificar este documento sob os termos da Licença GNU de Documentação Livre, Versão 1.2 ou (por sua opção) versão 1.3; com a Seção Invariante sendo estas informações de copyright e a licença. Uma cópia da versão 1.2 da licença está incluída na seção intitulada “GNU Free Documentation License” (Licença GNU de Documentação Livre).

Para ver as marcas registradas da SUSE, visite https://www.suse.com/company/legal/. Todas as marcas comerciais de terceiros pertencem a seus respectivos proprietários. Os símbolos de marca registrada (®, ™ etc.) indicam marcas registradas da SUSE e de suas afiliadas. Os asteriscos (*) indicam marcas registradas de terceiros.

Todas as informações deste manual foram compiladas com a maior atenção possível aos detalhes. Entretanto, isso não garante uma precisão absoluta. A SUSE LLC, suas afiliadas, os autores ou tradutores não serão responsáveis por possíveis erros nem pelas consequências resultantes de tais erros.