Informatica

SELinux: Haciendo Nuestra  Seguridad Impenetrable
Fundacion Codigo Libre Dominicano
J u n i o   2 0 0 8 .

­

Departamento: División:

Investigacion Cientifica Academica

Documentación realizada por:
Jesus Rafael Sanchez Medrano Director de Investigacion Cientifica

Índice de contenido
Que esSELinux?..........................................................................................................................1 Entendiendo como funciona SELinux:......................................................................................2 Conceptos basicos de seguridad.................................................................................................4 Atributos deseguridad...........................................................................................................4 Control de escalamiento de privilegios:...............................................................................5 El sistema de archivos virtual /selinux/...............................................................................6 El archivo de configuración /etc/sysconfig/selinux............................................................7 Utilidades paraSELinux.............................................................................................................9 Creando nuevas politicas de SELinux, Paso a Paso..............................................................10 ¿Como puedo conocer el estado actual de SELinux?......................................................11 ¿Que aplicaciones estan siendo denegadas por SELinux en misistema?.....................11 ¿Como puedo permitir una aplicacion ya denegada por SELinux en el sistema?........11 ¿Como permitir el acceso a las aplicaciones que han sido negadas por el sistema?...14 ¿Como puedo permitir que un servicio pueda usar cualquier puerto?...........................14 ¿Cómo puedo cambiar la localización por defecto de algunos servicios?....................15Fundacion Codigo Libre Dominicano

Que es SELinux?
usando los módulos de seguridad linux (o linux security modules, LSM). Este es un proyecto de la integración de SELinux en Red Hat Enterprise Linux fue un esfuerzo conjunto entre al NSA y Red Hat. MAC) incorporado en el kernel. Bajo el Linux estándar se utiliza el control de acceso a discreción SELinux proporciona un sistema flexible de control de accesoobligatorio ( mandatory access control, Security-Enhanced Linux o SELinux, es una arquitectura de seguridad integrada en el kernel 2.6.x Agencia de Seguridad Nacional (NSA) de los Estados Unidos y de la comunidad SELinux. La

(discretionary access control, DAC), en el que un proceso o aplicación ejectutándose como un usuario (UID o SUID) tiene los permisos y de ese usuario en los objetos, archivos,sockets y otros procesos. Al ejecutar un kernel SELinux MAC se protege al sistema de aplicaciones maliciosas o dañadas que pueden

perjudicar o destruir el sistema. SELinux define el acceso y los derechos de transición de cada usuario, aplicación, proceso y archivo en el sistema. SELinux gobierna la interacción de estos sujetos y objectos usando una política de seguridad que especifica cuán estrictao indulgente una instalación de GNU/Linux dada debería de ser. administradores de sistemas se deben de preocupar sobre lo estricto que debe ser una política a En su mayor parte, SELinux es casi invisible para la mayoría de los usuarios. Solamente los

implementar en sus entorno de servidores. La política puede ser tan estricta o tan indulgente como se sistema completo.

requiera, y es bastantedetallada. Este detalle le dá al kernel SELinux un control total y granular sobre el Cuando un sujeto, tal como una aplicación, intenta acceder a un objeto tal como a un archivo, el

servidor de aplicación de políticas verifica un caché de vector de acceso (AVC), donde se registran los permisos de objeto y del sujeto. Si no se puede tomar una decisión basado en los datos en el AVC, la...