SELinux-cheat-sheet: Unterschied zwischen den Versionen

Aktuelle Version vom 27. März 2026, 06:40 Uhr

Allgemeines

SELinux (Security-Enhanced Linux) implementiert Mandatory Access Control (MAC). Es isoliert Prozesse in Sicherheitskontexten, um das Schadenspotenzial bei Kompromittierungen zu minimieren.

Status und Modi prüfen

sestatus
getenforce

Modi temporär umschalten

Wechsel zu Permissive

setenforce 0

Wechsel zu Enforcing

setenforce 1

Modus dauerhaft setzen

Konfiguration in der Datei: /etc/selinux/config

SELINUX=enforcing
SELINUX=permissive

Dateikontexte verwalten

Kontexte anzeigen

zeigt alle Prozesse mit Kontexten

ps -eZ
ls -Z /pfad/zur/datei

Kontext temporär ändern

wird durch restorecon oder Relabel überschrieben

chcon -t httpd_sys_content_t /var/www/html/index.html

Kontext dauerhaft definieren und anwenden

semanage fcontext -a -t httpd_sys_content_t "/custom/www(/.*)?"
restorecon -Rv /custom/www

Booleans verwenden

Alle Booleans anzeigen

getsebool -a

Spezifischen Wert prüfen

getsebool httpd_can_network_connect

Boolean dauerhaft aktivieren

setsebool -P httpd_can_network_connect on

Ports verwalten

Erlaubte Ports für einen Typ anzeigen

semanage port -l | grep http_port_t

Port zu einem Typ hinzufügen

semanage port -a -t http_port_t -p tcp 8080

falls bereits vorhanden:

semanage port -m -t http_port_t -p tcp 8080

Fehlersuche und Analyse

Logs nach aktuellen Blockaden (AVC) durchsuchen

ausearch -m avc -ts recent

zeigt die Ursache der Blockade verständlich

ausearch -m avc -ts recent | audit2why
journalctl -t setroubleshoot

Analyse der Log-Einträge

Paket ggf. erforderlich: setroubleshoot-server

sealert -a /var/log/audit/audit.log

Eigene Policy-Module aus Logs erstellen

nur nach Prüfung verwenden – kann Sicherheitsregeln aufweichen

grep "denied" /var/log/audit/audit.log | audit2allow -M mycustommodule
semodule -i mycustommodule.pp

Best Practices

Betrieb im Modus 'enforcing' sicherstellen.
Modus 'permissive' nur zur Fehlersuche nutzen.
'semanage fcontext' gegenüber 'chcon' bevorzugen.
Vor Erstellung eigener Module prüfen, ob ein passender Boolean existiert.
Relabeling des Dateisystems bei Bedarf: touch /.autorelabel

@@ Zeile 1: / Zeile 1: @@
 == Allgemeines ==
-SELinux (Security-Enhanced Linux) implementiert mit hoher Wahrscheinlichkeit Mandatory Access Control (MAC). Es ist anzunehmen, dass dieses Modul Prozesse in spezifischen Sicherheitskontexten isoliert, um das Schadenspotenzial bei Kompromittierungen zu minimieren.
+SELinux (Security-Enhanced Linux) implementiert Mandatory Access Control (MAC). Es isoliert Prozesse in Sicherheitskontexten, um das Schadenspotenzial bei Kompromittierungen zu minimieren.
 == Status und Modi prüfen ==
@@ Zeile 7: / Zeile 7: @@
 == Modi temporär umschalten ==
-Es besteht die Wahrscheinlichkeit, dass ein Wechsel in den Permissive-Modus notwendig ist, um Blockaden zu diagnostizieren, ohne den Schutz vollständig zu deaktivieren.
 ;Wechsel zu Permissive
@@ Zeile 16: / Zeile 15: @@
 == Modus dauerhaft setzen ==
-Änderungen werden wahrscheinlich in der Konfigurationsdatei /etc/selinux/config vorgenommen.
+Konfiguration in der Datei: /etc/selinux/config
 * SELINUX=enforcing
 * SELINUX=permissive
 == Dateikontexte verwalten ==
-Es ist zu vermuten, dass Dateien korrekte Typ-Labels (_t) benötigen, damit darauf zugegreifende Dienste autorisiert werden.
 ;Kontexte anzeigen
+zeigt alle Prozesse mit Kontexten
+* ps -eZ
 * ls -Z /pfad/zur/datei
-* ps -Z
 ;Kontext temporär ändern
+wird durch restorecon oder Relabel überschrieben
 * chcon -t httpd_sys_content_t /var/www/html/index.html
@@ Zeile 35: / Zeile 35: @@
 == Booleans verwenden ==
-Booleans ermöglichen es wahrscheinlich, vordefinierte Richtlinien zur Laufzeit ein- oder auszuschalten.
 ;Alle Booleans anzeigen
@@ Zeile 47: / Zeile 46: @@
 == Ports verwalten ==
-Wenn Dienste auf Nicht-Standard-Ports betrieben werden, müssen diese vermutlich im SELinux-Regelwerk registriert sein.
 ;Erlaubte Ports für einen Typ anzeigen
@@ Zeile 54: / Zeile 52: @@
 ;Port zu einem Typ hinzufügen
 * semanage port -a -t http_port_t -p tcp 8080
+falls bereits vorhanden:
+* semanage port -m -t http_port_t -p tcp 8080
 == Fehlersuche und Analyse ==
-Es ist anzunehmen, dass Blockaden (AVC denials) im Audit-Log des Systems verzeichnet werden.
-;Logs nach aktuellen Blockaden durchsuchen
+;Logs nach aktuellen Blockaden (AVC) durchsuchen
 * ausearch -m avc -ts recent
+zeigt die Ursache der Blockade verständlich
+* ausearch -m avc -ts recent | audit2why
 * journalctl -t setroubleshoot
-;Analyse der Log-Einträge (setroubleshoot erforderlich)
+;Analyse der Log-Einträge
+Paket ggf. erforderlich: setroubleshoot-server
 * sealert -a /var/log/audit/audit.log
 ;Eigene Policy-Module aus Logs erstellen
+nur nach Prüfung verwenden – kann Sicherheitsregeln aufweichen
 * grep "denied" /var/log/audit/audit.log | audit2allow -M mycustommodule
 * semodule -i mycustommodule.pp
 == Best Practices ==
-* Es ist ratsam, SELinux im Modus 'enforcing' zu betreiben, um die Systemsicherheit zu gewährleisten.
+* Betrieb im Modus 'enforcing' sicherstellen.
-* Der Modus 'permissive' sollte mit hoher Wahrscheinlichkeit nur kurzzeitig zur Fehlersuche genutzt werden.
+* Modus 'permissive' nur zur Fehlersuche nutzen.
-* Die Verwendung von 'semanage fcontext' ist gegenüber 'chcon' zu bevorzugen, damit Labels bei einem Dateisystem-Relabeling erhalten bleiben.
+* 'semanage fcontext' gegenüber 'chcon' bevorzugen.
-* Vor der Erstellung eigener Module sollte geprüft werden, ob ein passender Boolean existiert.
+* Vor Erstellung eigener Module prüfen, ob ein passender Boolean existiert.
-* Ein vollständiges Relabeling des Dateisystems kann bei Bedarf über 'touch /.autorelabel' beim nächsten Systemstart initiiert werden.
+* Relabeling des Dateisystems bei Bedarf: touch /.autorelabel