Thomas.will: Die Seite wurde neu angelegt: „= SELinux = SELinux (Security-Enhanced Linux) ist ein Sicherheitssystem, das den Linux-Kernel um eine zusätzliche Kontrollschicht erweitert. Es wurde ursprü…“

2026-05-04T04:26:02Z

Die Seite wurde neu angelegt: „= SELinux = SELinux (Security-Enhanced Linux) ist ein Sicherheitssystem, das den Linux-Kernel um eine zusätzliche Kontrollschicht erweitert. Es wurde ursprü…“

Neue Seite

= SELinux =

SELinux (Security-Enhanced Linux) ist ein Sicherheitssystem, das den Linux-Kernel um eine zusätzliche Kontrollschicht erweitert. Es wurde ursprünglich von der NSA entwickelt und ist heute fester Bestandteil von RHEL-basierten Distributionen wie Rocky Linux.

== Wozu braucht man SELinux? ==

Normalerweise entscheidet Linux anhand von Besitzer, Gruppe und Berechtigungen, ob ein Prozess auf eine Datei zugreifen darf – das klassische rwx-Modell. Das reicht in vielen Fällen aus, hat aber eine Schwachstelle: Wird ein Dienst kompromittiert, darf der Angreifer alles, was der Dienst auch darf.

SELinux geht einen Schritt weiter. Es legt fest, '''welcher Prozess auf welche Ressource zugreifen darf''' – unabhängig vom Dateisystembesitzer. Ein kompromittierter Webserver kann damit zum Beispiel nicht einfach auf die Passwortdatenbank zugreifen, selbst wenn er als root läuft.

Dieses Prinzip nennt sich '''Mandatory Access Control (MAC)'''.

== Wie funktioniert das? ==

SELinux weist jedem Objekt im System einen '''Kontext''' zu – Dateien, Prozessen, Ports und Sockets bekommen ein Etikett. Dieser Kontext hat die Form:

<syntaxhighlight lang="bash">
user:role:type:level
</syntaxhighlight>

In der Praxis ist vor allem der '''Typ''' entscheidend, z. B. <code>httpd_sys_content_t</code> für Webserver-Inhalte oder <code>sshd_exec_t</code> für den SSH-Daemon.

Eine zentrale Richtlinie (Policy) definiert dann, welche Typen miteinander kommunizieren dürfen. Alles, was nicht explizit erlaubt ist, wird blockiert.

== Die drei Modi ==

SELinux kennt drei Betriebsmodi:

{| class="wikitable"
! Modus !! Verhalten
|-
| '''Enforcing''' || SELinux ist aktiv. Verstöße werden blockiert und protokolliert.
|-
| '''Permissive''' || SELinux ist passiv. Verstöße werden nur protokolliert, aber nicht blockiert. Nützlich zur Fehlersuche.
|-
| '''Disabled''' || SELinux ist vollständig deaktiviert. Nicht empfohlen.
|}

Den aktuellen Modus zeigt:

<syntaxhighlight lang="bash">
getenforce
</syntaxhighlight>

== Wichtig zu wissen ==

SELinux ist kein Ersatz für klassische Linux-Berechtigungen – beide Systeme greifen gleichzeitig. Eine Datei muss also sowohl die normalen Dateiberechtigungen als auch den passenden SELinux-Kontext haben, damit ein Prozess darauf zugreifen kann.

Viele Probleme mit Diensten unter Rocky Linux haben SELinux als Ursache. Der erste Schritt bei der Fehlersuche ist daher immer ein Blick in die SELinux-Logs:

<syntaxhighlight lang="bash">
ausearch -m avc -ts recent
</syntaxhighlight>

== Siehe auch ==

* [[SELinux Cheat Sheet]]
* [[Rocky Linux 10]]
* [[Firewall (nftables)]]

[[Kategorie:Rocky Linux]]
[[Kategorie:Sicherheit]]
[[Kategorie:SELinux]]

SELinux Einleitung - Versionsgeschichte

Thomas.will: Die Seite wurde neu angelegt: „= SELinux = SELinux (Security-Enhanced Linux) ist ein Sicherheitssystem, das den Linux-Kernel um eine zusätzliche Kontrollschicht erweitert. Es wurde ursprü…“