Admin в 13:25, 18 сентября 2026

2026-09-18T13:25:40Z

Новая страница

== Ядро ==

/sys

<code>/sys/fs/selinux/avc/cache_threshold</code> - максимально занимаемый AVC объем памяти

<code>/sys/fs/selinux/avc/hash_stats</code> - записи кеша AVC (entries); занимаемый AVC объем памяти (buckets used); максимальная длина цепочки (longest chain)

<code>/sys/fs/selinux/enforce</code> - состояние enforce/permissive

<code>/sys/fs/selinux/mls</code> - состояние MLS

/proc/$$/attr

<code>current</code> - содержит текущие параметры безопасности

<code>exec</code> - содержит назначаемые дочерним процессам параметры безопасности (обычно пусто)

<code>fscreate</code> - содержит назначаемые файлам параметры безопасности (обычно пусто)

<code>keycreate</code> - содержит назначаемые параметры безопасности ключам и временно хранимым (cached) данным приложением в ядре (обычно пусто)

<code>prev</code> - содержит родительские параметры безопасности

<code>sockcreate</code> - содержит назначаемые сокетам параметры безопасности (обычно пусто)

Конфигурация ядра

<code>SECURITY_SELINUX_BOOTPARAM</code> - поддержка параметра загрузки ядра "selinux=0"

<code>SECURITY_SELINUX_DEVELOP</code> - режим разработки; поддержка параметра загрузки ядра "enforcing={0,1}"

== Утилиты ==

<code>dnf install policycoreutils-python-utils setools-console policycoreutils–newrole selinux-policy-*</code>

<code>aureport</code>

<code>ausearch -i -m avc,user_avc,selinux_err -ts {yesterday,today,recent}</code>

<code>getenforce</code> / <code>setenforce</code>

<code>getfattr -d -m . $path</code>

<code>matchpathcon $path</code>

<code>restorecon</code>

<code>selinuxexeccon</code>

<code>sestatus</code>

<code>setbool</code>

chcon

<code>chcon -u system_u -t bin_t /opt/nftables/nft</code>

<code>chcon -R -t httpd_sys_content_t /srv/www</code>

<code>chcon --reference /var/www/index.html /srv/www/index.html</code> - скопировать параметры безопасности с /var/www/index.html на /srv/www/index.html

seinfo

<code>seinfo -> Auditallow</code> - регистрируемые разрешенные действия

<code>seinfo -> Dontaudit</code> - нерегистрируемые отказы действий

<code>seinfo -r guest_r -x</code> - отображение типов допустимых функций роли

<code>seinfo -a {daemon,initrc_domain,unconfined_domain_type} -x</code> - вывод списка доменов по атрибуту

semanage

<code>semanage boolean -l</code>

<code>semanage fcontext -a -t httpd_sys_content_t "/srv/www(/.*)?"</code>

<code>semanage login -a -s user_u {username,%groupname}</code>

<code>semanage port -a -t sshd_port_t -p tcp 2233</code>

<code>semanage permissive -a minidlna_t</code>

<code>semanage user -a –L s0 –r "s0–s0:c0.c127" –R user_r finance_u</code>

semodule

<code>semodule --disable_dontaudit --build</code> - собрать политики без правил подавления регистрации отказов действий

setsebool

<code>setsebool -P secure_mode_policyload on</code> - блокировки изменений активной политики SELinux

ausearch

<code>ausearch -ts recent -m user_avc,avc</code>

sesearch

<code>sesearch -T -s user_t -t tmp_t -c dir</code>

=== Стандартные утилиты ===

<code>cp --preserve=context</code> - действие команды вместе с копией файла/директории так же копирует и параметры безопасности этого файла/директории.

<code>mkdir --context=user_u:object_r:user_home_t:s0 /tmp/foo</code>

<code>mv -Z $path1 $path2</code> - действие команды в пределах одной ФС изменяет параметры безопасности перемещаемого файла/директории на параметры безопасности целевой директории.

mount

<code>mount -o context="user_u:object_r:user_home_t:s0" /dev/sdc1 /media/usb</code> - все директории/файлы (в т.ч. в не поддерживающей расширенные атрибуты файловой системе) оперируются с заданными в опции монтирования параметрами безопасности.

<code>mount -o defcontext="system_u:object_r:var_t:s0" /dev/sdc1 /srv/backup</code> - не имеющие параметры безопасности директории/файлы (в поддерживающей расширенные атрибуты файловой системе) оперируются с заданной в опции монтирования параметрами безопасности.

<code>mount -o fscontext="system_u:object_r:iso9660_t:s0" /dev/sdc1 /mnt</code> - применение параметров безопасности к файловой системе в целом.

sudo

<code>sudo -r dbadm_r -t dbadm_t nano /var/lib/postgresql/14/pg_hba.conf</code>

<code>/etc/sudoers</code> => <code>myuser ALL=(ALL) ROLE=dbadm_r TYPE=dbadm_t ALL</code>

== Конфигурация ==

Сопоставление системного пользователя с SELinux-пользователем

Основная конфигурация <code>/etc/selinux/${store}/seusers</code> управляется только командой <code>semanage login</code>

Директория <code>/etc/selinux/${store}/logins</code> содержит вручную создаваемые/редактируемые файлы, имена которых соответствуют именам системных пользователей и предназначены для частных правил сопоставления системного пользователя с SELinux-пользователем относительно служб входа в систему. Пример строки содержимого файла: <code>sshd:user_u:s0</code>

Назначение контекста

Директория содержания правил контекста <code>/etc/selinux/${store}/contexts</code>.

Файл <code>default_contexts</code> - правила назначения роли авторизованному пользователю по умолчанию.

Директория <code>files</code> - выражения путей объектов файловой системы, сопоставляемые с параметрами безопасности; Виды объектов файловой системы в сопоставлениях: regular file (--), directory (–d), socket (–s), named pipe (–p), block device (–b), character device (–c), symbolic link (–l); Приоритетным применяемым выражением из нескольких соответствующих является то, которое в наибольшей степени утечненно, в случае пользовательских выражений приоритетным является последнее добавленное выражение.

Директория <code>users</code> содержит вручную создаваемые/редактируемые файлы, имена которых соответствуют именам SELinux-пользователей и предназначены для частных правил назначения роли авторизованному пользователю. Пример строки содержимого файла <code>dbadm_u</code>: <code>system_r:sshd_t:s0 dbadm_r:dbadm_t:s0</code>

Файл /etc/selinux/semanage.conf

<code>handle–unknown={allow,deny,reject}</code> - действие над неизвестной политикой разрешением

SELinux - История изменений

Admin в 13:25, 18 сентября 2026