Povinné řízení přístupu

4.1.1 SELinux⁸

1. Nastavení
   
   • nastavuje se v /etc/selinux/config
   • tři různé stavy: enforcing, permissive, disabled
     • příkazy setenforce, getenforce, sestatus
     • pokud se přechází z disabled do permissive, tak je třeba udělat touch /.autorelabel
   • tři různé typy ochrany: targeted, minimum, mls
2. Přepínač -Z
   
   • mnohé programy přidávají podporu SELinuxu pomocí přepínače -Z
   • nastavení defaultního kontextu při přesunu: mv -Z
   • nastavení defaultního kontextu při kopírování: cp -Z
   • vypsání bezpečnostního kontextu uživatele: id -Z
   • vypsání značek portů: netstat -Z
   • vypsání značek u souborů: ls -Z
   • vypsání značek procesů: ps Z
   • přidání značky container_file_t k volume: docker run -v /dir:/dir:Z
3. Booleans
   
   • politiky mohou definovat tzv. booleans
     • umožňují nastavit funkcionalitu bez nutnosti tvorby zcela nové politiky
     • nejsou to čistě jen hodnoty typu boolean
   • nastavení na určitou hodnotu: setsebool
   • získání hodnoty: getsebool či semanage boolean -l
4. Vytváření politik
   
   • nová politika pro daný spustitelný soubor se vytvoří pomocí sepolicy generate¹⁰
     • vznikne soubor NAME.te s definicí politiky
     • soubor NAME.if definuje jak mohou přistupovat k vygenerovaným typům ostatní moduly
     • soubor NAME.fc definuje defaultní kontext pro dané cesty
     • vygeneruje se skript NAME.sh jenž slouží ke kompilaci a instalaci politiky
       • dokáže i opravit značky

   • soubor s politikou může vypadat následovně:¹¹

     policy_module(myapp,1.0)
     
     type myapp_t;
     type myapp_exec_t;
     init_daemon_domain(myapp_t, myapp_exec_t)
     
     # Grant myapp_t the signal privilege
     allow myapp_t self:process { signal };
     

     • příslušný myapp.fc může obsahovat toto: /sbin/myapp -- gen_context(system_u:object_r:myapp_exec_t,s0)
   • můžeme definovat i vlastní značky uvnitř politiky¹²
     • vytvoříme značku: type app_var_t;
     • deklarujeme že značka je typ souborů: files_type(app_var_t)
     • následně můžeme definovat pravidla s novou značkou:
       • allow app_t app_var_t:dir { add_name remove_name write search};
       • allow app_t app_var_t:file { unlink create open rename write read };
   • nástroj audit2allow vytváří politiky z logů
     • např. ausearch -i -m AVC -sc no -ts recent -se myapp_t | audit2allow -m new_module > new_module.te
   • politiku můžeme zkompilovat manuálně:¹³
     • vytvoříme politiky v souboru myapp.te
     • zkompilujeme modul: checkmodule -M -m -o myapp.mod myapp.te
     • následně vytvoříme z modulu balíček: semodule_package -o myapp.pp -m myapp.mod
     • načteme balíček do kernelu: semodule -i myapp.pp
   • pro kontejnery existuje nástroj udica¹⁴
5. Změna kontextu
   
   • automatické nastavení bezpečnostního kontextu dle umístění: restorecon
   • změna bezpečnostního kontextu souboru: chcon
     • změní label ale ne defaultní kontext
   • pythonový nástroj na konfiguraci SELinuxu: semanage
     • nastavení kontextu permanentně: semanage fcontext -a -t myfile_t /path/to/myfile
       • využívá setfiles
6. Řešení problémů¹⁵
   
   • špatně nastavené labely (viz změna kontextu)
   • atypicky nastavená aplikace (např. httpd používá složku v domovském adresáři)
     • ve většině případu stačí nastavit příslušný boolean
     • někdy nutnost vytvořit novou politiku
   • chyba v politice
     • lze vyřešit přidáním nové politiky (audit2allow)
   • problém může také signalizovat útočníka
7. Nevýhody
   
   • aby byl systém chráněn, je třeba velké množství pravidel
   • velmi komplexní systém
     • poměrně složitá konfigurace
     • je třeba aby si některé nástroje byli vědomi SELinuxu
     • může zbrzdit výkon systému až o asi 7 %¹⁶

4.1.2 Smack¹⁷

4.2.1 AppArmor¹⁸

1. Užitečné programy
   
   • zjištění zda AppArmor běží: aa-enabled
   • zjištění informací o AppArmoru: aa-status
   • odnačtení veškerých profilů: aa-teardown
   • spuštění profilu v enforce módu: aa-enforce
   • spuštění profilu v complain módu: aa-complain
2. Vytváření profilu
   
   • pomocí manuálního vytvoření souboru s profilem
     • následné použití aa-complain a aa-enforce
   • pomocí aa-genprof
     • v jednom okně se spustí aa-genprof
     • v druhém zkoumaná aplikace
     • aa-genprof (za pomoci aa-logprof) se doptá uživatele jaké akce chce povolit/zakázat
3. Řešení problémů
   
   • prozkoumání logů (auditd, systemd journal)
     • aa-notify zobrazí přehled sestavený z logů
   • zjištění zda je problém v natavení profilu pomocí aa-complain
     • následné povolení za pomocí aa-logprof
   • systemd je váš přítel (např. ohlásí syntaktickou chybu v profilu)
4. Nevýhody
   
   • pathname MAC
   • nepodporuje MLS
   • nepodporuje MCS
   • špatná podpora kontejnerů
5. Firejail¹⁹
   
   • AppArmor může běžet společně s Firejail
   • speciální profil pro Firejail
   • je doporučeno nekombinovat AppArmor profil a Firejail profil u jedné aplikace

4.2.2 TOMOYO Linux²⁰