SELinux là gì? Tại sao bạn nên sử dụng SELinux

MAC: Cơ chế bảo mật thông qua SELinux

MAC là từ viết tắt của Mandatory Access Control (MAC). SELinux là một thực thi của cơ chế bảo mật MAC. Nó được xây dựng trong Linux kernel và được kích hoạt mặc định trên Fedora, CentOS, RHEL và một vài bản phân phối Linux khác. SELinux cho phép quản trị viên máy chủ xác định các quyền khác nhau cho tất cả quy trình. Nó xác định cách tất cả các tiến trình có thể tương tác với các phần khác của máy chủ như:

– Pipes

– Files

– Network ports

– Sockets

– Directories

– Quá trình khác

SELinux đặt các hạn chế đối với từng đối tượng trên theo chính sách. Ví dụ, một người dùng apache với sự cho phép đầy đủ chỉ có thể truy cập thư mục /var/www/html, nhưng không thể chạm vào các phần khác của hệ thống như thư mục /etc. Nếu có thể chiếm quyền truy cập vào sendmail mail hoặc bind dns hoặc apache web server, thì kẻ tấn công này cũng chỉ có quyền truy cập vào máy chủ bị khai thác đó và các tệp trong máy chủ này. Kẻ tấn công không thể truy cập vào các phần khác của hệ thống hoặc mạng nội bộ. Nói cách khác, thiệt hại sẽ được hạn chế đối trong phạm vi máy chủ và các files cụ thể. Các cracker cài cắm được shell lên trên máy chủ của bạn thông qua daemon phổ biến như Apache/BIND/Sendmail khi SELinux cung cấp các tính năng bảo mật sau đây:

– Bảo vệ dữ liệu của người dùng khỏi bị truy cập trái phép.

– Bảo vệ các daemons hoặc programs khác khỏi truy cập trái phép.

– Bảo vệ ports/ sockets/ files khỏi truy cập trái phép.

– Bảo vệ máy chủ chống lại việc khai thác.

– Tránh leo thang đặc quyền.

Hãy lưu ý rằng SELinux không phải là một viên đạn bạc, để bảo vệ máy chủ bạn vẫn cần phải tuân theo các phương thức bảo mật khác như:

– Thực hiện chính sách tường lửa.

– Giám sát máy chủ.

– Vá hệ thống kịp thời.

– Viết và bảo mật các script cgi/ php/ python/ perl.

Cách vô hiệu hóa SELinux trên CentOS

Như đã phân tích ở trên, việc bảo mật trên Linux là rất cần thiết, tuy nhiên có những trường hợp nó lại gây ra sự phiền phức khi bạn muốn cài một phần mềm mà phần mềm đó lại cần can thiệp sâu vào hệ thống Linux.

1. Vô hiệu hóa SELinux tạm thời

Việc vô hiệu hóa SELinux tạm thời sẽ có tác dụng cho đến khi bạn restart lại hệ thống. Để vô hiệu hóa tạm thời các bạn sử dụng command sau:

$ echo 0 > /selinux/enforce

Hoặc:

$ setenforce 0

Để quay trở lại trạng thái chưa bị vô hiệu hóa, các bạn sử dụng command sau:

$ echo 1 > /selinux/enforce

Hoặc:

$ setenforce 1

2. Vô hiệu hóa SELinux vĩnh viễn

Để vô hiệu hóa SELinux ta sửa file sau:

$ vi /etc/selinux/config

Thay đổi giá trị SELINUX=disabled

# SELINUX= can take one of these three values:

#    enforcing – SELinux security policy is enforced.

#     permissive – SELinux prints warnings instead of enforcing.

#     disabled – No SELinux policy is loaded.

SELINUX=disabled

Sau đó restart lại để hệ thống nhận config mới.

3. Kiểm tra trạng thái của SELinux

Để xác nhận SELinux đã bị vô hiệu hóa ta thực hiện command sau: 

sestatus

Nếu trạng thái SELinux là disabled thì bạn đã vô hiệu hóa thành công SELinux rồi.

Tham khảo:

https://www.cyberciti.biz/faq/what-is-selinux/

https://vinasupport.com/selinux-la-gi-cach-vo-hieu-hoa-selinux-tren-centos/

>> Có thể bạn quan tâm: [Infographic] Vì sao Cloud Computing quan trọng trong lĩnh vực giáo dục?