Linuxプロセスアクセス制御の概要 - えんでぃの技術ブログ
SELinuxシリーズ 本記事は、SELinuxシリーズの1記事目です。 Linuxプロセスアクセス制御の概要 ←今ココ SELinuxの概要 SELinux Type Enforcement SELinuxの実践 (参考) SELinuxのRBAC、UBAC、MLS、MCS (参考) SELinux Module Policyのソースコード読解、ビルド 参考URL 1〜3記事目は、4記事目を理解するための前提知識をカバーしています。 4記事目が最も重要で、SELinuxの具体的な操作方法やコマンド、トラブルシューティング手順を紹介しています。 5記事目以降は参考情報です。 SELinuxの関連記事は、SELinuxタグから探せます。 一連の記事はFedora環境を前提として書いています。 FedoraやRHELに類するディストリビューションであればほぼ同等の挙動になると思いますが、他のデ
SELinux を踏み台サーバに使ってみた話
これは ビットバンク株式会社 Advent Calendar 2020 の 17 日目の記事です。 はじめに 皆さん setenforce 1してますか？ AWS エンジニアの koarakko です。 普段は DevOps や 統制周りの業務を担当しています。 今回は踏み台サーバでの SELinux 活用事例を交えながら実際にポリシー調査から実装までの方法を紹介したいと思います。 SELinux を本番利用している環境は少なく、貴重な経験ができたと自負しています。 この記事を読むことで SELinux の本番利用の一助になれば幸いです。 当社の踏み台の活用背景 踏み台サーバは本番アプリサーバにログインする場合に経由サーバとして利用しています。 OS は RHEL 8 で2台構成です。 当社では踏み台サーバを２年程度使っていますが、この間に踏み台サーバの置き換えもしています。 以前は am
SELinuxで今どきのログ収集サーバーを守る
前回、SELinuxのアクセス拒否が原因で起きる問題を、いくつかの事例を見ながら確認しました。今回はさらに進んで、SELinuxの機能により、新たにアプリケーションに特定のドメインを作成して制御する方法を紹介します。 SELinuxで新たにドメインを作成するにはいろいろな方法がありますが、一番簡単なのは「selinux-devel」のパッケージをインストールすることです。 ただし、このパッケージはDevパッケージで開発環境を提供するため、ポリシーの開発は開発用サーバーで行い、本番環境には出来上がったポリシーのみをコピーする方が安全に本番環境を運用できます。 以下、実例を使ってドメインの作成方法を見ていきましょう。 logstashのテスト環境を作る logの集中化と安全な保存は、運用管理の中でも（特に金融系など、官庁による査察などが入る場合には）重要なタスクになります。その中でも、logを
dockerで共有ディレクトリを利用したが、「Permission denied」が出てアクセスできない。 - Qiita
dockerで共有ディレクトリを利用したが、「Permission denied」が出てアクセスできない。 AzureDockerRHEL7 事象 dockerにてホストのディレクトリをコンテナと共有をしようと思ったが、「Permission denied」が出てアクセスできなかった。 使用した環境 サーバ：Microsoft Azure OS：Red Hat Enterprise Linux 7.2 docker：version 1.10.3 事象が発生したコマンド [user@host ~]$ mkdir testdir [user@host ~]$ touch testdir/aaa.txt [user@host ~]$ sudo docker run -i -t -v $HOME/testdir:/testdir ubuntu /bin/bash #以下、コンテナ内のコマンド ro
SELinux Mitigates container Vulnerability
A new CVE, (CVE-2016-9962), for the docker container runtime and runc were recently released. Fixed packages are being prepared and shipped for RHEL as well as Fedora and CentOS. This CVE reports that if you execd into a running container, the processes inside of the container could attack the process that just entered the container. If this process had open file descriptors, the processes inside
SELinux を使おう．使ってくれ． - Qiita
この記事の目的 SELinux って邪魔者ですか？ 「トラブルシュートの時に邪魔だから」「トラブルの元だから」とか言う理由で /etc/selinux/config で SELINUX=disable したり setenforce 0 したりしていませんか？ SELinux は理解さえすればとても簡単です． 本番環境でファイアウォールと WAF の設定をして満足していないで SELinux を使いましょう． 対象 SELinux を初めて触る人向けです． 玄人の方は他へ．．． 本稿の範囲 本稿では SELinux を導入しておしまいです．あくまで「みんな，簡単だからね，使おうね！」と言いたいのです． 本当は SELinux の効果を示すために Exploit を仕込んだアプリケーションから root を取って不正にファイルに触るところまでやりたいのですが，これまた別の記事にします． 僕の願
理由がわかれば怖くない！SELinux とのつきあい方
こんにちは。BoltzEngine 担当の伊藤です。 SELinux といえば Linux に強制アクセス制御(MAC)という機能を追加するモジュールで、Linux をより安全に運用することができる機能です。 Linux をインストールするとディストリビューションによっては最初から ON になっていて、一部のソフトウェアがこれが原因で動作しないとか、設定ファイルを外部からアップロードして上書きしたら読み込めなくなってプロセスが起動しなくなった…というようなつまづきをされる方が多いですし、実際自分自身もよくひっかかりました。SELinux で Google 検索すると、サジェストの一番頭が「無効」というワードが続いてしまいますし、検索して出てくる情報も無効にする方法の数が圧倒的に多い状態です。 しかし昨今様々な攻撃がある中、攻撃からの防御を考えて有効にして動かしたいですよね。今回は実際の S
SELinuxが有効な状態でRedmineを動かす - 開発メモ
VirtualBoxにインストールしたCentOSでいろいろ実験するシリーズ。 SELinuxが有効な状態で、Redmineが動作するようにするメモ。 問題なのは、Redmineと言うよりPassengerだったり。 Passengerが使用するディレクトリの権限を設定 Passengerのディレクトリ 以下のコマンドで、Passengerが入っているディレクトリを調査。 # passenger-config --root 権限を変更する。 # chcon -R -h -t httpd_sys_content_t [Passengerのディレクトリ] Redmineを配置したディレクトリ こっちも、権限を変更しておく。 # chcon -R -h -t httpd_sys_content_t [Redmineを配置したディレクトリ] Redmineを動かして調査 Passengerは他にも
Zabbixでsyslog監視(CentOS 7編) - Qiita
はじめに Zabbixでsyslog監視を行うためだけに、AllowRootを有効にすることはお勧めしません。 しかも、SELinuxをdisabledに設定することも避けるべきです。 さらに、Zabbixエージェントの設定で、EnableRemoteCommandsも有効にしていたら、危険度は数十倍増してしまいます。 zabbix_agentd.confのServerの設定でZabbixサーバーを指定しているからといっても、Zabbixサーバーを踏み台にすれば、各Zabbixエージェントがインストールされている甘い設定のサーバーへの攻撃が容易になってしまうことをご認識ください。 セキュリティ上問題のある甘い設定をした環境を攻撃されてもZabbixのせいにしないでくださいね。 想定環境 ということで、参考にすべきではない情報を駆逐するためにも、より安全な方法を整理してみます。 Zabbix
[PDF] SELinux再入門 -基礎編-
FFRI,Inc. 1 Monthly Research SELinux 再入門 -基礎編- 株式会社ＦＦＲＩ http://www.ffri.jp Ver 2.00.01 FFRI,Inc. SELinux再入門のすすめ • 近年、仮想化やコンテナ、AndroidなどでSELinuxを使ったセキュリティ強化が 進んでいる • 一方、サーバ用途において、SELinuxを無言で無効化してきた技術者は数多 い – Web検索のレコメンドで一目瞭然である • 本資料は、最新のSELinux応用事例を理解するための準備資料としての活 用を想定 • なお次回以降、数回に渡り最新のSELinux応用事例を調査する予定 2 FFRI,Inc. 3 SELinux再入門 • SELinuxの概要 • SELinuxのアクセス制御モデル – Type Enforcement (TE) – Role-base
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Chronicles of SELinux: Dealing with web content in unusual directories
Docker, SELinux and the myth of kernel independence | Fewbytes