Cách cài đặt và cấu hình SELinux trên Ubuntu
Bạn có thể cải thiện tính bảo mật cho hệ thống Linux của mình bằng cách cài đặt và triển khai SELinux. Điều này cung cấp thêm một lớp bảo vệ bằng cách cô lập các ứng dụng trên hệ thống và bảo vệ máy chủ.
Theo mặc định, Ubuntu sử dụng AppArmor, một hệ thống Kiểm soát Truy cập Bắt buộc khác. Để làm cho hệ thống Linux của bạn an toàn hơn, bạn có thể sử dụng SELinux để thay thế. Hãy xem cách bạn có thể cài đặt và định cấu hình SELinux trên Ubuntu bằng một vài lệnh Linux cơ bản.
Mục Lục
SELinux là gì?
Security-Enhanced Linux (SELinux) là mô-đun bảo mật nhân Linux cung cấp cơ chế hỗ trợ các chính sách bảo mật kiểm soát truy cập, bao gồm Kiểm soát truy cập bắt buộc (MAC).
SELinux là một cải tiến bảo mật dành cho Linux bao gồm các sửa đổi đối với nhân và công cụ người dùng. Nó tách biệt việc thực hiện các quyết định bảo mật khỏi chính sách bảo mật và đơn giản hóa quá trình thực thi chính sách.
Cách cài đặt SELinux trên Ubuntu
Dưới đây là các bước để cài đặt SELinux trên máy Ubuntu:
Bước 1: Cập nhật và nâng cấp Ubuntu
Trước khi bạn bắt đầu cài đặt SELinux, hãy cập nhật và nâng cấp hệ thống của bạn để bạn có thể cài đặt các ứng dụng mới một cách trơn tru mà không gặp bất kỳ sự cố nào với các gói bị hỏng hoặc lỗi thời.
Để cập nhật và nâng cấp Ubuntu, hãy mở terminal bằng cách nhấn Ctrl + Alt + Tvà chạy:
sudo apt-get update && apt-get upgrade
Bước 2: Dừng và gỡ bỏ AppArmor trên Ubuntu
Một điều khác bạn cần làm trước khi cài đặt SELinux là tắt AppArmor hoặc gỡ bỏ hoàn toàn.
Để tắt AppArmor, trước tiên, hãy dừng dịch vụ bằng tiện ích systemctl:
sudo systemctl stop apparmor
Khi bạn đã dừng dịch vụ, hãy xác minh trạng thái của dịch vụ bằng:
systemctl status apparmor
Bây giờ bạn có thể dễ dàng tắt AppArmor bằng cách chạy:
sudo systemctl disable apparmor
Sẽ ổn thôi nếu bạn chỉ muốn tắt dịch vụ chứ không muốn xóa dịch vụ đó. Tuy nhiên, nếu bạn cũng muốn xóa nó, hãy thực hiện:
sudo apt-get remove apparmor -y
Để các thay đổi có hiệu lực, hãy khởi động lại máy Ubuntu của bạn:
sudo reboot
Bước 3: Cài đặt SELinux trên Ubuntu
Trước khi cài đặt SELinux, bạn phải biết rằng việc cài đặt nó có rủi ro. Dịch vụ này có thể khiến hệ thống của bạn không ổn định, vì vậy hãy đảm bảo sao lưu hệ thống của bạn trước khi tiếp tục.
Nếu bạn đang sử dụng môi trường ảo, hãy chụp nhanh máy ảo Ubuntu (VM) trước khi thực hiện bất kỳ thay đổi nào đối với hệ thống của bạn.
Để cài đặt SELinux và các phụ thuộc thiết yếu của nó trên Ubuntu, hãy chạy:
sudo apt-get install policycoreutils selinux-utils selinux-basics -y
Sau khi cài đặt SELinux và các phần phụ thuộc của nó, hãy kích hoạt dịch vụ bằng cách sử dụng:
sudo selinux-activate
Bước 4: Đặt chế độ SELinux trên Ubuntu
Có bốn chế độ khác nhau có sẵn trong SELinux:
- tắt chế độ
- bật chế độ
- chế độ cho phép
- chế độ thi hành
Chế độ đầu tiên, vô hiệu hóa, cho biết mục đích mà nó phục vụ. Nếu bạn đã đặt chế độ SELinux thành tắt, điều này có nghĩa là dịch vụ không hoạt động trên hệ thống của bạn. Mặt khác, chế độ kích hoạt thì ngược lại, nghĩa là dịch vụ SELinux đang chạy trên hệ thống của bạn.
Khi chế độ SELinux được đặt thành bật, bạn có thể sử dụng chế độ cho phép hoặc thực thi. Bạn nên sử dụng chế độ cho phép khi bạn chỉ cần theo dõi các tương tác. Nhưng nếu bạn muốn lọc cũng như theo dõi các tương tác, hãy sử dụng chế độ thực thi.
Để đặt chế độ SELinux thành thực thi, hãy thực hiện:
sudo selinux-config-enforcing
Thay vào đó, bạn cũng có thể sử dụng lệnh này để đặt chế độ thành thực thi:
setenforce 1
Để cập nhật các thay đổi, hãy khởi động lại hệ thống của bạn:
sudo reboot
Sau khi hệ thống khởi động lại, hãy kiểm tra trạng thái của SELinux để đảm bảo rằng nó đã được bật:
setstatus
Nếu bạn muốn đặt chế độ thành cho phép, hãy sử dụng:
setenforce 0
Sau khi thay đổi chế độ, bạn nên khởi động lại luôn.
sudo reboot
Sử dụng một trong hai lệnh để kiểm tra trạng thái của dịch vụ và xác minh những thay đổi bạn vừa thực hiện:
setstatus
getenforce
Các getenforce lệnh chỉ in chế độ hiện tại trên thiết bị đầu cuối. Tuy nhiên, lệnh setstatus cung cấp thêm chi tiết về chế độ hiện được đặt trên hệ thống của bạn.
Bạn cũng có thể kiểm tra các chế độ hiện tại bằng cách truy cập vào /etc/sysconfig/selinux tập tin.
Chế độ cho phép linh hoạt hơn so với chế độ thực thi. Chế độ này không chặn tất cả các yêu cầu và giữ một tệp nhật ký để lưu trữ sự kiện nếu có vi phạm quy tắc.
Truy cập tệp nhật ký SELinux trên Ubuntu
Bạn sẽ tìm thấy các bản ghi SELinux trong sổ ghi chép đánh giá tập tin được lưu trữ trong /var/log/kiểm toán danh mục.
Để xem nhật ký SELinux, hãy chạy:
grep selinux /var/log/audit/audit.log
Cách vô hiệu hóa SELinux trên Ubuntu
Bây giờ chúng ta hãy khám phá cách gỡ bỏ hoặc vô hiệu hóa SELinux trên Ubuntu. Có hai phương pháp bạn có thể sử dụng để làm như vậy:
1. Tạm thời vô hiệu hóa SELinux
Khi bạn tạm thời tắt SELinux, bạn sẽ ngay lập tức ngừng thực thi nó và tiếp tục với SELinux ở trạng thái không hoạt động cho đến lần khởi động lại hệ thống tiếp theo. Sau khi khởi động lại, SELinux sẽ quay trở lại thực thi.
Để tạm thời tắt SELinux, trước tiên, bạn cần trở thành người dùng root:
sudo -i
Bây giờ hãy tắt SELinux bằng:
echo 0 > /selinux/enforce
Thay vào đó, bạn cũng có thể sử dụng công cụ setenforce để tắt SELinux cho phiên hiện tại:
setenforce 0
2. Vô hiệu hóa vĩnh viễn SELinux
Bạn cũng có thể vô hiệu hóa vĩnh viễn SELinux bằng cách sử dụng tệp cấu hình của nó để nó không quay trở lại chế độ thực thi sau mỗi lần khởi động lại.
Để tắt SELinux, hãy mở tệp cấu hình nằm trong /etc/selinux/config danh mục:
sudo nano /etc/selinux/config
Hãy tìm dòng “SELINUX=thi hành” trong nội dung tập tin và thay đổi nó thành “SELinux=bị vô hiệu hóa”.
Sau khi hoàn tất, hãy lưu và thoát tệp bằng cách nhấn Ctrl + Xsau đó Yva đanh đi vào.
Cách gỡ cài đặt SELinux trên Ubuntu
Nếu bạn không muốn sử dụng SELinux nữa và cần gỡ bỏ nó vì vấn đề không ổn định, hãy chạy:
sudo apt-get install policycoreutils selinux-utils selinux-basics -y
Lệnh nêu trên sẽ loại bỏ hoàn toàn SELinux và các phần phụ thuộc của nó khỏi hệ thống của bạn.
Thêm bảo mật bổ sung cho Linux bằng SELinux
SELinux có thể cung cấp khả năng bảo vệ bổ sung bằng cách hạn chế sự lây lan của vi phạm bảo mật. Ngoài ra, nó có thể bảo mật các máy chủ web dựa trên chế độ SELinux mà bạn đã chọn. Bạn có thể đặt chế độ thành cho phép hoặc thực thi.
Bên cạnh đó, có những biện pháp khác mà bạn có thể thực hiện để giữ an toàn cho hệ thống Linux của mình, chẳng hạn như sử dụng mật khẩu mạnh. Bạn có thể yêu cầu máy Linux của mình tạo mật khẩu mạnh cho bạn bằng cách sử dụng nhiều công cụ dòng lệnh như apg, gpg, pwgen, v.v.