การรักษาความปลอดภัยเซิร์ฟเวอร์ Ubuntu Linux ด้วย SELinux

SELinux เป็นระบบรักษาความปลอดภัยที่แข็งแกร่งและปรับแต่งได้ซึ่งจัดส่งโดยค่าเริ่มต้นใน ระบบปฏิบัติการ Linux จำนวนมาก เช่นFedoraและ RHEL หากคุณต้องการเพิ่มความปลอดภัยเป็นพิเศษให้กับเซิร์ฟเวอร์ Ubuntu ของคุณ โปรดทำตามในขณะที่เราแสดงวิธีรักษาความปลอดภัยเซิร์ฟเวอร์ Ubuntu Linux ด้วย SELinux

วิธีปิดการใช้งาน AppArmor บน Ubuntu

Ubuntuใช้ AppArmor เป็นค่าเริ่มต้น เป็นระบบที่ยอดเยี่ยมที่ทำสิ่งที่ SELinux อ้างสิทธิ์อย่างคร่าว ๆ อย่างไรก็ตาม หากคุณต้องการใช้ SELinux แทน คุณจะต้องปิดใช้งาน AppArmor หากต้องการปิดใช้งาน AppArmor บนเซิร์ฟเวอร์ Ubuntu ให้ทำดังต่อไปนี้

ขั้นแรกให้ SSH เข้าสู่ระบบเซิร์ฟเวอร์ Ubuntu ของคุณ (หรือนั่งลงและใช้เทอร์มินัล) เมื่อคุณลงชื่อเข้าใช้เทอร์มินัลแล้ว ให้ใช้ คำสั่ง ปิดการใช้งาน systemctlเพื่อปิดใช้งาน AppArmor จากระบบ Ubuntu ของคุณ

sudo systemctl ปิดการใช้งาน apparmor -- ตอนนี้

หลังจากเรียกใช้คำสั่งนี้ คุณสามารถใช้ คำสั่ง สถานะ systemctlเพื่อตรวจสอบว่า AppArmor ถูกปิดใช้งานจริงหรือไม่ หากไม่ใช่ ให้ลองรีบูตและรัน คำสั่ง ปิดการใช้งาน systemctlอีกครั้ง

เครื่องมือตรวจสอบสถานะ systemctl

วิธีติดตั้ง SELinux บน Ubuntu

ก่อนใช้ SELinux บนระบบ Ubuntu คุณต้องติดตั้งก่อน การติดตั้ง SELinux บน Ubuntu ต้องใช้แพ็คเกจสองสามแพ็คเกจ โดยเฉพาะแพ็คเกจ “policycoreutils” “selinux-utils” และ “selinux-basics” ในการติดตั้งแพ็คเกจเหล่านี้ ให้ใช้คำสั่งต่อไปนี้:

sudo apt ติดตั้ง policycoreutils selinux-utils selinux-basics

หลังจากติดตั้งแพ็คเกจด้านบน SELinux จะถูกติดตั้งบนระบบ Ubuntu ของคุณ อย่างไรก็ตาม คุณจะไม่สามารถใช้ประโยชน์จาก SELinux บนเซิร์ฟเวอร์ Ubuntu ได้อย่างเต็มที่จนกว่าจะเปิดใช้งาน

ในการเปิดใช้งาน SELinux บนระบบเซิร์ฟเวอร์ Ubuntu ของคุณ ให้ใช้คำสั่งselinux-activate คำสั่งนี้จะปรับเปลี่ยน Grub bootloader ของเซิร์ฟเวอร์ Ubuntu ให้ทำงานร่วมกับ SELinux และเปิดใช้งานเมื่อบู๊ต

sudo selinux-เปิดใช้งาน

เมื่อเปิดใช้งาน SELinux ให้เปิดใช้งานการบังคับใช้ SELinux โดยใช้คำสั่งselinux-config-enforcing

sudo selinux-config-บังคับใช้

หลังจากเปิดใช้งาน คุณต้องรีบูตเซิร์ฟเวอร์ Ubuntu ใช้ คำสั่ง sudo rebootเพื่อรีสตาร์ทระบบของคุณ

sudo รีบูต

เมื่อระบบรีบูตเสร็จแล้ว ให้กลับเข้าสู่เซิร์ฟเวอร์ของคุณโดยใช้บัญชีผู้ใช้ของคุณ

วิธีกำหนดค่า SELinux

ในขณะที่เปิดใช้งานการบังคับใช้ SELinux คุณยังคงต้องกำหนดค่าให้เหมาะกับความต้องการของคุณ มีนโยบาย SELinux มากมายที่คุณสามารถเปิดใช้งานเพื่อความปลอดภัยที่ดีขึ้นบนเซิร์ฟเวอร์ Ubuntu

ในการเริ่มต้น ให้ระบุนโยบาย SELinux ที่มีซึ่งระบบของคุณปิดใช้งาน คุณสามารถแสดงนโยบาย SELinux เหล่านี้ได้ด้วยคำสั่งsemanage boolean -l

บูลีน semanage -l

ดูนโยบายที่คุณต้องการเปิดใช้งาน ตัวอย่างเช่น หากคุณต้องการเปิดใช้งาน “use_nfs_home_dirs” ในนโยบายการบังคับใช้ SELinux ของคุณ คุณสามารถเปิดใช้งานได้โดยเรียกใช้คำสั่งต่อไปนี้

โปรดทราบว่า "1" เทียบเท่ากับการเปิดใช้งานบางอย่างใน SELinux ด้วยคำสั่งsetsebool

sudo setsebool -P use_nfs_home_dirs 1

หากคุณต้องการปิดใช้งาน “use_nfs_home_dirs” ในนโยบายบังคับใช้ SELinux ของคุณ คุณสามารถใช้ คำสั่ง setseboolแต่เปลี่ยน “1” เป็น “0” “0” เหมือนกับการเขียน “disable”

sudo setsebool -P use_nfs_home_dirs 0

วิธีปิดการใช้งานค่าที่ไม่จำเป็นด้วย SELinux

มีค่า SELinux หลายค่าที่เปิดใช้งานซึ่งคุณอาจไม่ต้องการ การปิดค่าเหล่านี้ใน SELinux บนระบบ Ubuntu จะเพิ่มความปลอดภัยของคุณอย่างมาก หากต้องการดูค่า SELinux ที่เปิดใช้งาน ให้รันคำสั่ง getsebool -aต่อไปนี้ในเทอร์มินัล

sudo getsebool -a | grep -E '\b\w+\b\s+-->\s+บน\b'

คำสั่งด้านบนจะส่งออกแต่ละค่าที่เปิดใช้งาน ดูค่าที่เปิดใช้งานเหล่านี้และพิจารณาว่าคุณต้องการปล่อยให้เปิดใช้งานหรือไม่ ตัวอย่างเช่น หากคุณไม่ได้ใช้เซิร์ฟเวอร์ Squid คุณอาจไม่จำเป็นต้องเปิดใช้งาน “squid_use_pinger” เป็นต้น

เมื่อคุณได้กำหนดค่าที่คุณต้องการปิดใช้งานแล้ว คุณสามารถเรียกใช้คำสั่งsetsebool ต่อไปนี้ คำสั่งนี้จะเปลี่ยนนโยบายจากเปิดใช้งานเป็นปิดใช้งานในการกำหนดค่า SELinux ของคุณ

sudo setsebool -P VALUE_NAME 0

เปิดใช้งาน AppArmor บนเซิร์ฟเวอร์ Ubuntu อีกครั้ง

หากคุณตัดสินใจว่าไม่ต้องการใช้ SELinux บนเซิร์ฟเวอร์ Ubuntu ต่อไปนี้เป็นวิธีเปลี่ยนกลับเป็น AppArmor ขั้นแรก เปิดเทอร์มินัลแล้วใช้คำสั่ง "sed" ต่อไปนี้เพื่อปิดใช้งาน SELinux ในไฟล์กำหนดค่า

sudo sed -i 's/^SELINUX=.*/SELINUX=disabled/' /etc/selinux/config

หลังจากเพิ่ม "disabled" ลงในไฟล์คอนฟิกูเรชัน SELinux แล้ว คุณต้องรีบูต เมื่อคุณรีบูต SELinux จะไม่ทำงานขณะบูต

sudo รีบูต

เมื่อกลับเข้าสู่ระบบ คุณสามารถเปิดใช้งาน AppArmor บน Ubuntu ได้อีกครั้งโดยใช้คำสั่งsystemctl enable

sudo systemctl เปิดใช้งาน apparmor

หลังจากเปิดใช้งานบริการ AppArmor แล้ว ให้เริ่มต้นระบบ Ubuntu ของคุณโดยรันคำสั่งsystemctl start ต่อไปนี้

sudo systemctl สตาร์ท apparmor

คุณสามารถตรวจสอบว่า AppArmor ทำงานอย่างถูกต้องบนระบบ Ubuntu ของคุณหรือไม่โดยใช้คำสั่งsystemctl status

เครื่องมือตรวจสอบสถานะ systemctl