Eigenes Profil erstellen Beispiel ncat
Version vom 23. November 2022, 09:38 Uhr von Thomas.will (Diskussion | Beiträge)
Kopieren der Netzkatze
- cp /usr/bin/ncat /usr/local/bin/netzkatze
System Dienst
- cat /etc/systemd/system/netzkatze.service
[Unit] Description=Simple testing daemon [Service] Type=simple ExecStart=/usr/local/bin/netzkatze -lp 8888 StandardOutput=/tmp/netzkatze [Install] WantedBy=multi-user.target
Temporäre Änderung des Kontexts
chcon -u system_u -t systemd_unit_t netzkatze.service
Permanente Änderung des Kontexts
- semanage fcontext -a -t systemd_unit_t netzkatze.service
- restorecon -v netzkatze.service
Systemctl status
- systemctl start netzkatze
- systemctl status netzkatze
Check that the new daemon is confined by SELinux
- ps -efZ | grep netzkatze
system_u:system_r:unconfined_service_t:s0 root 5812 1 0 15:41 ? 00:00:00 /usr/local/bin/netzkatze
Generieren Sie eine benutzerdefinierte Richtlinie für den Daemon
- sepolicy generate --init /usr/local/bin/netzkatze
Created the following files: /etc/systemd/system/netzkatze.te # Type Enforcement file /etc/systemd/system/netzkatze.if # Interface file /etc/systemd/system/netzkatze.fc # File Contexts file /etc/systemd/system/netzkatze_selinux.spec # Spec file /etc/systemd/system/netzkatze.sh # Setup Script
Erstellen Sie die Systemrichtlinie mit dem neuen Richtlinienmodul mithilfe des mit dem vorherigen Befehl erstellten Setup-Skripts neu
- ./netzkatze.sh
Building and Loading Policy + make -f /usr/share/selinux/devel/Makefile netzkatze.pp Compiling targeted netzkatze module Creating targeted netzkatze.pp policy package rm tmp/netzkatze.mod tmp/netzkatze.mod.fc + /usr/sbin/semodule -i netzkatze.pp + sepolicy manpage -p . -d netzkatze_t ./netzkatze_selinux.8 + /sbin/restorecon -F -R -v /usr/local/bin/netzkatze Relabeled /usr/local/bin/netzkatze from unconfined_u:object_r:bin_t:s0 to system_u:object_r:netzkatze_exec_t:s0 ...
=Eigenes Programm=
- cat ~/netzkatze.c
#include <unistd.h>
#include <stdio.h>
FILE *f;
int main(void)
{
while(1) {
f = fopen("/var/log/messages","w");
sleep(5);
fclose(f);
}
}
Kompilieren
- gcc -o netzkatze netzkatze.c
Kopieren
- cp netzkatze /usr/local/sbin
System Dienst
- cat /etc/systemd/system/netzkatze.service
[Unit] Description=Simple testing daemon [Service] Type=simple ExecStart=/usr/local/bin/netzkatze [Install] WantedBy=multi-user.target
Temporäre Änderung des Kontexts
chcon -u system_u -t systemd_unit_t netzkatze.service
Permanente Änderung des Kontexts
- semanage fcontext -a -t systemd_unit_t netzkatze.service
- restorecon -v netzkatze.service
Systemctl status
- systemctl start netzkatze
- systemctl status netzkatze
Check that the new daemon is confined by SELinux
- ps -efZ | grep netzkatze
system_u:system_r:unconfined_service_t:s0 root 5812 1 0 15:41 ? 00:00:00 /usr/local/bin/netzkatze
Generieren Sie eine benutzerdefinierte Richtlinie für den Daemon
- sepolicy generate --init /usr/local/bin/netzkatze
Created the following files: /etc/systemd/system/netzkatze.te # Type Enforcement file /etc/systemd/system/netzkatze.if # Interface file /etc/systemd/system/netzkatze.fc # File Contexts file /etc/systemd/system/netzkatze_selinux.spec # Spec file /etc/systemd/system/netzkatze.sh # Setup Script
Erstellen Sie die Systemrichtlinie mit dem neuen Richtlinienmodul mithilfe des mit dem vorherigen Befehl erstellten Setup-Skripts neu
- ./netzkatze.sh
Building and Loading Policy + make -f /usr/share/selinux/devel/Makefile netzkatze.pp Compiling targeted netzkatze module Creating targeted netzkatze.pp policy package rm tmp/netzkatze.mod tmp/netzkatze.mod.fc + /usr/sbin/semodule -i netzkatze.pp + sepolicy manpage -p . -d netzkatze_t ./netzkatze_selinux.8 + /sbin/restorecon -F -R -v /usr/local/bin/netzkatze Relabeled /usr/local/bin/netzkatze from unconfined_u:object_r:bin_t:s0 to system_u:object_r:netzkatze_exec_t:s0 ...
Starten Sie den Daemon neu und überprüfen Sie, ob er jetzt von SELinux eingeschränkt ausgeführt wird
- systemctl restart netzkatze
- ps -efZ | grep netzkatze
Da der Daemon jetzt von SELinux eingeschränkt wird, verhindert SELinux auch den Zugriff auf /var/log/messages. Zeigen Sie die entsprechende Ablehnungsnachricht an
- ausearch -m AVC -ts recent
Weiter Informationen
- sealert -l "*"
Vorgeschlagene Änderungen
- ausearch -m AVC -ts recent | audit2allow -R
Da die von audit2allow vorgeschlagenen Regeln in bestimmten Fällen falsch sein können, verwenden Sie nur einen Teil der Ausgabe, um die entsprechende Richtlinienschnittstelle zu finden
- grep -r "logging_write_generic_logs" /usr/share/selinux/devel/include/ | grep .if
/usr/share/selinux/devel/include/system/logging.if:interface(`logging_write_generic_logs',
Links
Starten Sie den Daemon neu und überprüfen Sie, ob er jetzt von SELinux eingeschränkt ausgeführt wird
- systemctl restart netzkatze
- ps -efZ | grep netzkatze
Da der Daemon jetzt von SELinux eingeschränkt wird, verhindert SELinux auch den Zugriff auf /var/log/messages. Zeigen Sie die entsprechende Ablehnungsnachricht an
- ausearch -m AVC -ts recent
Weiter Informationen
- sealert -l "*"
Vorgeschlagene Änderungen
- ausearch -m AVC -ts recent | audit2allow -R
Da die von audit2allow vorgeschlagenen Regeln in bestimmten Fällen falsch sein können, verwenden Sie nur einen Teil der Ausgabe, um die entsprechende Richtlinienschnittstelle zu finden
- grep -r "logging_write_generic_logs" /usr/share/selinux/devel/include/ | grep .if
/usr/share/selinux/devel/include/system/logging.if:interface(`logging_write_generic_logs',