SELinux অক্ষম / সক্ষম করার কারণগুলি


36

স্ট্যাকওভারফ্লো এবং আমাদের এখানে থাকা সম্পূর্ণ ভিন্ন জনতার এই প্রশ্নের পংক্তিতে আমি আশ্চর্য হই: SELinux অক্ষম করার জন্য আপনার বেশিরভাগ কারণগুলি (বেশিরভাগ লোক এখনও ধরে নিচ্ছে)? আপনি কি এটি সক্ষম রাখতে চান? সেলইনাক্স রেখে আপনি কী অস্বাভাবিকতা অনুভব করেছেন? ওরাকল ব্যতীত অন্য বিক্রেতারা এসইএলিনাক্স সক্ষম থাকা সমস্যা সমাধানকারী সিস্টেমগুলি কী দেয়?

বোনাস প্রশ্ন: কেউ লক্ষ্যযুক্ত মোড প্রয়োগের ক্ষেত্রে SELinux এর সাথে আরএইচএল 5 তে ওরেकल চালিত করতে সক্ষম হয়েছেন? আমি বোঝাতে চাইছি, কঠোর হবে দুর্দান্ত, তবে আমি এখনও এটি দূরবর্তীভাবে সম্ভব না, তাই প্রথমে লক্ষ্যযুক্ত হয়ে থাকি ;-)

উত্তর:


25

রেডহ্যাট ডিফল্টরূপে সেলইনাক্স চালু করে কারণ এটি নিরাপদ। রেডহ্যাট থেকে উত্পন্ন পণ্যগুলি ব্যবহার করে এমন প্রায় প্রতিটি বিক্রেতা সেলইনাক্স বন্ধ করে দেয় কারণ জিনিসটি কেন কাজ করে না তা নির্ধারণ করার জন্য তাদের সময় (এবং অর্থ) দিতে হবে না। রেডাহাট / ফেডোরা লোকেরা সেলইনাক্সকে এন্টারপ্রাইজে একটি কার্যকর বিকল্প হিসাবে তৈরি করার জন্য প্রচুর পরিমাণে সময় এবং প্রচেষ্টা চালিয়েছে, তবে অন্যান্য সংস্থাগুলির বেশিরভাগই সত্যই আপনার সুরক্ষার যত্ন নেয় না । (তারা তাদের সুরক্ষা এবং তাদের পণ্যের সুরক্ষা খ্যাতির বিষয়ে যত্নশীল , যা একেবারেই আলাদা জিনিস))

আপনি যদি এটি কাজ করতে পারেন তবে তার জন্য যান। যদি আপনি না করতে পারেন তবে সেখানে বিক্রেতাদের কাছ থেকে প্রচুর সহায়তার আশা করবেন না। আপনি সম্ভবত রেডহাট / ফেডোরা ছেলেরা, ফ্রেইনোডে সেলিনাক্স মেলিং তালিকা এবং #selinux চ্যানেল থেকে সহায়তা পেতে পারেন। তবে ওরাকল-এর মতো সংস্থাগুলি থেকে - ভাল, সেলইনাক্স তাদের ব্যবসায়ের পরিকল্পনায় আসলেই ফ্যাক্টর করে না।


8
একটি "এন্টারপ্রাইজ" সফ্টওয়্যার বিক্রেতার তাদের পণ্য ইনস্টল করার জন্য ভাড়া নেওয়া একটি বড় ডিরেক্টরি ট্রিতে একটি chmod -R 777 * করে একটি অনুমতি সমস্যা পরিচালনা করে। তারা আপনার সুরক্ষার জন্য সত্যই চিন্তা করে না।
কুমারশ

21

সাধারণত পুরোপুরি অক্ষম করার পরিবর্তে আপনি পার্মিসিভে সেলইনাক্স চালানো ভাল। audit2whyআপনার নিয়মিত ব্যবহারের সময় কি ধরণের লঙ্ঘন অস্বীকার করা হবে তা দেখতে আপনি কিছুক্ষণ পরেই (মাধ্যমে ) পরীক্ষা করে দেখতে পারেন এবং audit2allowযদি সেই 'লঙ্ঘন' আপনার সেটআপের জন্য মিথ্যা-ইতিবাচক হয় তবে তার মাধ্যমে কাস্টম নীতিগুলি তৈরি করতে পারেন।

ডিফল্টরূপে আপনি সাধারণ ফেডোরা / আরএইচইএল সিস্টেমের সাথে যা পেয়েছেন তার চেয়ে নন-ফেডোরা ডেরিভেড সিস্টেমগুলিতে সেলইনাক্স আচরণটি উল্লেখযোগ্যভাবে স্পর্শকাতর হয়ে উঠেছে।

আপনি যদি এটি ইতিমধ্যে না দেখে থাকেন তবে আপনি ফেডোরা SELinux ব্যবহারকারী গাইড শিক্ষাগত পেতে পারেন।


16

এর কারণগুলি:

  • বাধ্যতামূলক অ্যাক্সেস নিয়ন্ত্রণের মাধ্যমে উচ্চ স্তরের সুরক্ষা
  • আপনার উচ্চ স্তরের সুরক্ষার বাইরে কোনও কারণ প্রয়োজন? :-)

এর বিরুদ্ধে কারণগুলি:

  • বুঝতে কঠিন
  • পরিচালনা করতে অসুবিধা
  • সমস্যা সমাধানের পক্ষে সমস্যা

এটি যদি আপনি সেলইনাক্স বিবেচনা করে থাকেন তবে আমি উদাহরণ দিয়ে সেলইনাক্স বইটি সুপারিশ করছি ।

আমি এমন একটি সংস্থার জন্য কাজ করেছি যা প্রতিটি সিস্টেমে সেলিনাক্স সক্ষম করে, প্রয়োগের মোডে। আমাদের জন্য চাবিকাঠিটি ছিল অডিট 2 নকল প্রোগ্রামটি বোঝা এবং ব্যবহার করা যা নতুন প্রসঙ্গের নিয়ম তৈরি করতে ব্যবহার করা যেতে পারে।

প্রথমে, আমরা অডিট 2 গিলে একটি টেম্পলেট তৈরি করব এবং তারপরে এটি তৈরি করতে কোনও স্ক্রিপ্ট ব্যবহার করব:

export NAME="my_serviced"
sudo audit2allow -m "${NAME}" -i /var/log/audit/audit.log > ${NAME}.te
sudo setup_semodule ${NAME}

সেটআপ_সেমিউড লিপি:

#!/bin/sh

# Where to store selinux related files
SOURCE=/etc/selinux/local
BUILD=/etc/selinux/local
NAME=$1

/usr/bin/checkmodule -M -m -o ${BUILD}/${NAME}.mod ${SOURCE}/${NAME}.te
/usr/bin/semodule_package -o ${BUILD}/${NAME}.pp -m ${BUILD}/${NAME}.mod
/usr/sbin/semodule -i ${BUILD}/${NAME}.pp

/bin/rm ${BUILD}/${NAME}.mod ${BUILD}/${NAME}.pp

এটি টেমপ্লেট (.tete ফাইল) থেকে মডিউলটি তৈরি করে, একটি প্যাকেজ উত্পন্ন করে এবং মডিউলটি লোড করে।

আমরা আমাদের কনফিগারেশন ম্যানেজমেন্ট সিস্টেমের জন্য পুতুল ব্যবহার করি এবং আমরা এই সমস্ত পরিচালনা করতে পুতুলের জন্য কনফিগারেশন লিখেছিলাম।

সেলিনাক্স পুতুল মডিউল:


2
+1, খুব দরকারী তথ্য।
ডিসিউকি

10

এটি বন্ধ করার কারণ এটি ডিবাগ করতে ব্যথা হতে পারে।

তবে আমরা এখন এটি বন্ধ করি না। আমরা প্রায় সর্বদা চলমান রাখি। এসইলিনাক্স সমস্যা আছে কিনা তাড়াতাড়ি যাচাই করার জন্য আমি মাঝে মধ্যে এটি বন্ধ করে দিই।

এটি এখন ডিবাগ করা অনেক সহজ, বিশেষত যদি আপনি নিজেরাই নিরীক্ষণবিহীন দিয়ে ফ্যামিলির হন। আপনার নিখুঁতভাবে অডিট 2 গলার মাধ্যমে এটি বোঝার দরকার নেই, তবে আপনি অডিট 2 নকলের সাথে যতটা ভাবছেন তার চেয়ে কিছু বেশি প্রশস্ততা শুরু করতে পারেন। কিছু SELinux কারও চেয়ে ভাল বলে জানিয়েছে।

আমি কোনও উপায়েই সেলিনাক্স বিশেষজ্ঞ নই এবং কেবল কয়েক বছর ধরে এটি ব্যবহার করে আসছি। আমি এখনও বেসিকগুলি সত্যই বুঝতে পারি না, তবে অ্যাপ্লিকেশনগুলি চালিত করার জন্য আমি যথেষ্ট জানি, যারা নেট এর সাথে সংকলিত ডিস্ট্রো এবং এলোমেলো জিনিসগুলির সাথে অন্তর্ভুক্ত রয়েছে।

প্রধান জিনিস আমি ব্যবহারের ছিল করেছি ls -lZ(প্রদর্শনী SELinux কনটেক্সট), audit2allow, chcon, semodule, getenforce, setenforceএবং Booleans। এই সরঞ্জামগুলির সাহায্যে আমি সেলইনাক্সের অধীনে চলার জন্য প্রয়োজনীয় প্রতিটি অ্যাপ্লিকেশন পেতে সক্ষম হয়েছি।

সিলিনাক্স সমস্যাটি ডিবাগ করাতে আমি তার মধ্যে একটি বড় সমস্যা পেয়েছি, যখন আমার অন্যান্য বুদ্ধিমান অবর্ণনীয় সমস্যা হয় তখন কেবল সেলইনক্স সমস্যাগুলি পরীক্ষা করা মনে রাখে। "H! SELinux !!" চেক করতে সাধারণত আমার একটু খারাপ লাগে।

বাইন্ড ম্যান পৃষ্ঠা অনুসারে সেল্টাক্স ক্রুট জেলে বাঁধাইয়ের চেয়ে অনেক বেশি নিরাপদ। আমার প্রস্তাবের চেয়ে আরও অনেক ক্লু রয়েছে এমন লোকেরাও এখন আমি অন্ধভাবে চালাচ্ছি। এবং মাঝে মধ্যে সমস্যা সত্ত্বেও সন্দেহ করা সম্ভবত এটি করা ভাল।


2
সেলইনাক্স চালিয়ে যাওয়ার জন্য আপনাকে প্রায়শই ভাল পরিবেশন করার জন্য +1 দেখানো হয় এবং এটি কোনও সমস্যার উত্স কিনা তা যাচাই করতে কেবল এটি বন্ধ করে দেওয়া হয়।
ওফিডিয়ান

2

আমি অ্যাপআর্মারের জন্য সেলিনাক্সকে অক্ষম করেছিলাম , আমি এটি সেলিনাক্সের চেয়ে অনেক বেশি বন্ধুত্বপূর্ণ এবং বজায় রাখা সহজ বলে মনে করি।


মজাদার. আপনি কোন ডিস্ট্রোতে আছেন? আমি কখনই অ্যাপআর্মার ব্যবহার করি নি, তবে আমি আগ্রহী যে এটি বাক্স থেকে কী ডিস্ট্রো কনফিগার করেছে এবং এর বৈশিষ্ট্যগুলি কী। এটি খতিয়ে দেখবে। ব্যক্তিগতভাবে, আমি সেলইনাক্স, বিটিডব্লিউর সাথে ঝামেলা করি না তবে এটি অভ্যস্ত হয়ে উঠতে কিছুটা লাগে না।
wzzrd

অ্যাপআর্মার মূলত নভেল দ্বারা বিকাশিত হয়েছিল এবং তাদের সমস্ত ওপেনসুএস এবং সুস লিনাক্স এন্টারপ্রাইজ বিতরণে ডিফল্টরূপে অন্তর্ভুক্ত ছিল। এটি এন্টারপ্রাইজ ডিস্ট্রোজে ডিফল্টরূপে সক্ষম হয়েছে এবং গ্রাহক ডিস্ট্রোজে এটি চালু করা সহজ। উবুন্টু এটি 7.04 সাল থেকে পেয়েছে তবে এটি ডিফল্টভাবে প্রতিটি অ্যাপ্লিকেশন স্বয়ংক্রিয়ভাবে প্রয়োগ করে না।
অ্যান্ড্রুড 18

আমি মনে করি অ্যাপলআর্মার টিমের বেশিরভাগ অংশ নোভেলকে ছেড়ে দেওয়ার বিষয়ে আমার কিছু কথা মনে আছে। উবুন্টু কি এটিকে ডিস্ট্রো থেকে নামছে না? নাকি আমি আবার মাথায় ভয়েস শুনছি? ;-)
wzzrd

নভেল করেছেন - তবে লেখক এখনও এতে অবৈতনিকভাবে কাজ করেন। এটি এখনও উবুন্টুতে সমর্থিত এবং কাপ এবং মাইএসকিএলডের মতো স্টাফ ডিফল্টরূপে প্রয়োগ করা হচ্ছে।
লীরাণুনা

সবসময় নয় তবে প্রায়শই আমরা সুরক্ষার জন্য বিপরীতে ব্যবহারের সহজলভ্যতা এবং এর বিপরীতে বাণিজ্য করি। এটি একটি ভারসাম্যহীন কাজ এবং উত্তরটি বেশিরভাগ ক্ষেত্রেই ঝুঁকির সংজ্ঞা দেওয়ার কারণে এবং সুরক্ষা লক্ষ্যগুলি একটি খুব কঠিন কাজ।
Rev

1

আপনি যখন এটি Permissive মোডে চালাতে পারবেন তখন এটি বন্ধ করার কোনও কারণ নেই। এটি চলমান অ্যাপ্লিকেশনটিতে হস্তক্ষেপ করবে না এবং এটি এখনও কার্যকর সুরক্ষা লগিং সরবরাহ করবে। কেবলমাত্র ব্যতিক্রমটি ব্যবহারকারী প্রসঙ্গে: যদি আপনি অন্য একটি লিনাক্সের উদাহরণের মধ্যে ক্রোতে চলমান বিভিন্ন ব্যবহারকারীদের মধ্যে পরিবর্তন করে থাকেন তবে আপনার সমস্যা হতে পারে।


আসলে এমন কিছু ক্ষেত্রে রয়েছে যেখানে সেলইনাক্স পার্মিসিভ মোডে অ্যাপ্লিকেশনগুলিতে হস্তক্ষেপ করতে পারে। এক: সিস্টেমটি অনুমতিপ্রাপ্ত হওয়ার পরেও কিছু সময়ে কিছু বিধি প্রয়োগ করা হয়েছিল। এখনও এই ঘটনাটি নিশ্চিত কিনা তা নিশ্চিত। দুটি: বিধি প্রক্রিয়া করার জন্য নেওয়া সময়টি আইপিসি স্ক্রু করার জন্য যথেষ্ট হতে পারে। আমি এটি ওরাকল ক্লাস্টারগুলির সাথে দেখেছি। আবার অতীতেও এবং বর্তমান অবস্থা কী তা নিশ্চিত নয়। তবে মনে রাখবেন প্রায় প্রতিটি সিস্টেম কলের সাথে এতে প্রসেসিংয়ের সময় সামান্য থাকে।
জেসন ট্যান 3

0

এসই লিনাক্স আগের মতো আশ্বাসহীনভাবে বন্ধুত্বপূর্ণ নয়, অন্তত এটি RHEL5 এর মতো বাণিজ্যিকভাবে সমর্থিত ডিস্ট্রোজে নেই। বেশিরভাগ অংশে আপনি এটি ছেড়ে দিতে পারেন, এবং এটি রেডহ্যাট সরবরাহিত কোনও কিছু দিয়ে ভাল হয়ে যাবে fine অন্য যে কোনও কিছুর সাথে এটি পরিবর্তনশীল হতে পারে। সমস্যাটি হ'ল এসই লিনাক্স সক্ষম থাকা অ্যাপ্লিকেশনগুলি পেতে সক্ষম পেশাদার পরিষেবাগুলি রেডহ্যাট এবং ওরাকল এর মতো সংস্থাগুলির জন্য একটি দুর্দান্ত উপার্জন স্রোত, তাই তারা সবকিছু সুন্দরভাবে ওটব করার জন্য কোনও উত্সাহ নেই।


আমি মনে করি না ওরাকল আনুষ্ঠানিকভাবে
সেলইনাক্সকে
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.