Mandatory Access Control für Linux einsetzen und verwalten. An imprint of Pearson Education

Transkript

1

2 Ralf Spenneberg SELinux & AppArmor open source library Mandatory Access Control für Linux einsetzen und verwalten An imprint of Pearson Education München Boston San Francisco Harlow, England Don Mills, Ontario Sydney Mexico City Madrid Amsterdam

3 SELinux & AppArmor - PDF Inhaltsverzeichnis SELinux & AppArmor - Mandatory Access Control für Linux einsetzen und verwalten Inhaltsübersicht Inhaltsverzeichnis Vorwort Einführung I Was ist ein MAC und warum brauchen wir das? 1 Computersicherheit 2 Access Control Systeme 3 Benchmarks II AppArmor 4 AppArmor-Geschichte 5 AppArmor-Anwendung 6 AppArmor-Funktion 7 AppArmor-Installation 8 AppArmor für Fortgeschrittene 9 Typische AppArmor-Administrationsvorgänge 10 Kritische Betrachtung von AppArmor III SELinux für Einsteiger 11 Hintergrund 12 SELinux-Grundlagen 13 SELinux-Anwendung 14 SELinux-Protokollmeldungen 15 SELinux und boolesche Variablen 16 SELinux-Anpassungen 17 Policys 18 SELinux-Kommandos 19 Typische SELinux-Administrationsaufgaben 20 Analyse mit apol 21 SELinux-Update 22 SELinux-Installation 23 Sicherer Betrieb eines Webservers mit FastCGI und SELinux IV SELinux-Policy-Entwicklung 24 Die erste eigene Policy 25 Boolesche Variablen 26 Policy für einen Netzwerkdienst 27 Labeln von Objekten 28 Entwicklung unter der Strict-Policy

4 29 Die komplett eigene Policy 30 SELinux-Policy-Editoren und -IDEs V Ältere SELinux-Implementierungen 31 Die Example-Policy VI SELinux-Zukunft 32 SELinux Policy Management Server 33 SELinux-erweitertes XWindow 34 SELinux-Symposium VII Anhänge A Auditd-Daemon B Profile für den Benchmark C Ergebnisse des LMBench Literaturverzeichnis Stichwortverzeichnis Vorwort Einführung I Was ist ein MAC und warum brauchen wir das? 1 Computersicherheit Übersicht Anfänge der Computersicherheit 2 Access Control Systeme DAC-, MAC- und RBAC-Systeme Discretionary Access Control (DAC) Mandatory Access Control (MAC) Multi Level Security Multilateral Security Role Based Access Control (RBAC) Type Enforcement Linux-Capabilitys Was ist eine Capability? Welche Capabilitys existieren? Wie setzt man die Capabilitys ein? Filesystem-Capabilitys Alternative MAC-Systeme Linux Intrusion Detection System (LIDS) GetRewted Security (grsecurity) RuleSet Based Access Control (RSBAC) 3 Benchmarks Novell AppArmor SELinux II AppArmor

5 4 AppArmor-Geschichte 5 AppArmor-Anwendung Installation unter SUSE Linux Starten von AppArmor Welche Prozesse werden überwacht? Analyse der Protokolle AppArmor-Benachrichtigungen und -Berichte Executive Summary Report Applications Audit Security Incident Report Erzeugen eines Profils mit Yast Erzeugen eines Subprofils (Hat) mit Yast 6 AppArmor-Funktion Was sollte immunisiert werden? Netzwerkdienste Netzwerkclients Cron-Jobs Wie schützt AppArmor? AppArmor-Befehle apparmor_status audit autodep complain enforce genprof logprof apparmor_parser unconfined AppArmor-Konfigurationsdateien logprof.conf subdomain.conf reports.conf severity.db reports.crontab AppArmor-Syntax Kommentare Include-Direktiven Profil Regel Variablen Capabilitys Abstractions 7 AppArmor-Installation Ubuntu und Debian Installation aus den Sourcen Inhaltsverzeichnis

6 8 AppArmor für Fortgeschrittene Erzeugen der Log-Markierung für logprof ChangeHat Apache 2.0 und mod_apparmor PAM und pam_apparmor Einzelne Benutzer mit unterschiedlichen Profilen 9 Typische AppArmor-Administrationsvorgänge Weiteres Cacheverzeichnis für den Squid-Proxy Eine neue PHP-Anwendung für den Apache VirtualHosts mit Apache Überwachung von Snort mit AppArmor Überwachung von Shellscripts Modifikation eines Profils ohne Neustart der überwachten Applikation 10 Kritische Betrachtung von AppArmor Geschwindigkeit Sicherheit III SELinux für Einsteiger 11 Hintergrund Geschichte Architektur Access-Vector-Cache 12 SELinux-Grundlagen Was ist SELinux? Der Security-Context: SELinux-Benutzer, -Rollen und -Typen Type Enforcement am Beispiel: Squid Welche Ressource erhält welchen Context? Das klassische Beispiel: passwd Domänentransition Rollen und Benutzer Multi Level Security Multi Category Security 13 SELinux-Anwendung Distributionen Fedora Core Debian und Ubuntu Gentoo Slackware Welche SELinux-Policy? Erste Schritte und SELinux-Befehle 14 SELinux-Protokollmeldungen 15 SELinux und boolesche Variablen

7 Administration der booleschen Variablen 16 SELinux-Anpassungen Verwaltung der SELinux-Benutzer Verwaltung der Ports Verwaltung der Security-Contexts der Dateien Customizable Types Erweiterung der Policy 17 Policys Die Targeted-Policy Deaktivierung von SELinux für einzelne Applikationen Die booleschen Variablen der Targeted-Policy Schutz zusätzlicher Applikationen mit SELinux Die Strict-Policy Was unterscheidet die Strict-Policy? Die booleschen Variablen der Strict-Policy Schutz zusätzlicher Applikationen mit SELinux Neue Rollen zur Delegation der Root-Fähigkeiten Die MLS-Policy Labeling der Objekte MLS in der Praxis 18 SELinux-Kommandos apol avcstat audit2allow audit2why chcat chcon checkmodule checkpolicy fixfiles genhomedircon getenforce getsebool load_policy matchpathcon newrole restorecon run_init sealert seaudit seaudit-report sediff sediffx

8 seinfo selinuxenabled semanage SELinux-User-Verwaltung Hinzufügen neuer Dateien Verwaltung der Netzwerk-Ports semodule semodule_expand semodule_link semodule_package sesearch sestatus setenforce setfiles setsebool setroubleshootd system-config-securitylevel togglesebool 19 Typische SELinux-Administrationsaufgaben Abschalten von SELinux Abschalten von SELinux für einen Dienst Erneutes Labeln des Betriebssystems Programme in unconfined_t funktionieren nicht KDE-Programme Start eines Dienstes mit ungewöhnlichem Port Verwendung einer SWAP-Datei Apache Webserver Neues DocumentRoot-Verzeichnis Gleichzeitiger Zugriff per FTP, Samba etc. Zugriff auf eine MySQL-Datenbank Sicherung (Backup) 20 Analyse mit apol Policy-Components Policy-Rules File Contexts Analysis 21 SELinux-Update 22 SELinux-Installation Fedora Core Debian Etch 23 Sicherer Betrieb eines Webservers mit FastCGIund SELinux FastCGI mit mod_fcgid

9 Konfiguration des Apache und mod_fcgid SuExec und mod_fcgid SELinux und mod_fcgid Geschwindigkeit von mod_fcgid und SELinux IV SELinux-Policy-Entwicklung 24 Die erste eigene Policy Start Domänen und Typen File-Contexts Übersetzung Laden der Policy und Labeln der Dateien Test und Analyse der Fehlermeldungen Policy mit Require-Block Policy unter Zugriff auf die Schnittstellen Setzen der Uhrzeit erlauben Ist die Policy nun fertig? Interface Fazit 25 Boolesche Variablen Überblick Operatoren Booleans und Interfaces Praktische Anwendung bei unserer date-policy 26 Policy für einen Netzwerkdienst Installation von HAVP Erzeugung der Policy Verzicht auf run_init 27 Labeln von Objekten Labeling von Dateien Labeling mit xattrs Task-basiertes Labeling Transitionsbasiertes Labeling Generelles Labeling Labeling von Netzwerkobjekten Netzwerkkarten IP-Adressen Ports IP-Pakete Security-Associations Labeling weiterer Objekte Socket System V IPC Capability

10 Prozess System und Security 28 Entwicklung unter der Strict-Policy Der Befehl date Ein Modul für die Targeted- und Strict-Policy Weitere Rollen zur Delegation 29 Die komplett eigene Policy 30 SELinux-Policy-Editoren und -IDEs Vim als SELinux-Editor SELinux Policy IDE (SLIDE) SLIDE-Installation SLIDE-Funktionen SELinux Policy Editor (SEedit) Simplified Policy Description Language (SPDL) SEedit-Installation Cross Domain Solutions Framework (CDS Framework) CDS-Konzept V Ältere SELinux-Implementierungen 31 Die Example-Policy Struktur der Example-Policy Anpassung und Entwicklung von eigenen Regeln VI SELinux-Zukunft 32 SELinux Policy Management Server Installation Anpassung der Policy Anwendung des Policy Management Servers Erlauben der Policy-Verwaltung Fazit 33 SELinux-erweitertes XWindow 34 SELinux-Symposium VII Anhänge A Auditd-Daemon Zertifizierungen nach Common Criteria auditd auditctl aureport ausearch autrace B Profile für den Benchmark AppArmor-Profile für den Benchmark SELinux-Richtlinie für den Benchmark

11 C Ergebnisse des LMBench AppArmor SELinux Literaturverzeichnis Stichwortverzeichnis A B C D E F G H I J K L M N O P R S T U V W X Y Z Ins Internet: Weitere Infos zum Buch, Downloads, etc. Copyright

12 Copyright Daten, Texte, Design und Grafiken dieses ebooks, sowie die eventuell angebotenen ebook-zusatzdaten sind urheberrechtlich geschützt. Dieses ebook stellen wir lediglich als persönliche Einzelplatz-Lizenz zur Verfügung! Jede andere Verwendung dieses ebooks oder zugehöriger Materialien und Informationen, einschliesslich der Reproduktion, der Weitergabe, des Weitervertriebs, der Platzierung im Internet, in Intranets, in Extranets, der Veränderung, des Weiterverkaufs und der Veröffentlichung bedarf der schriftlichen Genehmigung des Verlags. Insbesondere ist die Entfernung oder Änderung des vom Verlag vergebenen Passwortschutzes ausdrücklich untersagt! Bei Fragen zu diesem Thema wenden Sie sich bitte an: Zusatzdaten Möglicherweise liegt dem gedruckten Buch eine CD-ROM mit Zusatzdaten bei. Die Zurverfügungstellung dieser Daten auf unseren Websites ist eine freiwillige Leistung des Verlags. Der Rechtsweg ist ausgeschlossen. Hinweis Dieses und viele weitere ebooks können Sie rund um die Uhr und legal auf unserer Website herunterladen