Security-Enhanced Linux

Security-Enhanced Linux

SELinux (англ. Security-Enhanced Linux — Linux с улучшенной безопасностью) — реализация системы принудительного контроля доступа, которая может работать параллельно с классической дискреционной системой контроля доступа. Входит в стандартное ядро Linux. Также для функционирования SELinux требуются модифицированные версии некоторых утилит (ls, и тд), которые обеспечивают поддержку новых функций ядра, и поддержка со стороны файловой системы.

Оставаясь в рамках дискреционной системы контроля доступа, ОС имеет фундаментальное ограничение в плане разделения доступа процессов к ресурсам — доступ к ресурсам основывается на правах доступа пользователя. Это классические права rwx на трех уровнях — владелец, группа-владелец и остальные.

В SELinux права доступа определяются самой системой при помощи специально определенных политик. Политики работают на уровне системных вызовов и применяются самим ядром (но можно реализовать и на уровне приложения). SELinux действует после классической модели безопасности Linux. Иными словами, через SELinux нельзя разрешить то, что запрещено через права доступа пользователей/групп. Политики описываются при помощи специального гибкого языка описания правил доступа. В большинстве случаев правила SELinux «прозрачны» для приложений, и не требуется никакой их модификации. В состав некоторых дистрибутивов входят готовые политики, в которых права могут определяться на основе совпадения типов процесса (субъекта) и файла (объекта) — это основной механизм SELinux. Две других формы контроля доступа — доступ на основе ролей и на основе многоуровневой системы безопасности (например, ДСП (для служебного пользования), секретно, совершенно секретно, ОВ (особой важности)).

Самый простой для работы и поддержки с точки зрения поддержки тип политики — так называемая «целевая» политика, разработанная в рамках проекта

Кроме «целевой» политики, в состав некоторых дистрибутивов входит политика с многоуровневой моделью безопасности (с поддержкой модели Bell LaPadula).

Третий вариант политики — «строгий». Тут действует принцип «что не разрешено, то запрещено» (принцип наименьших прав). Политика основывается на Reference Policy от компании Tresys.

SELinux был разработан Агентством национальной безопасности США и затем был передан разработчикам открытого кода.

From NSA Security-enhanced Linux Team:
«NSA Security-enhanced Linux is a set of patches to the Linux kernel and some utilities to incorporate a strong, flexible mandatory access control (MAC) architecture into the major subsystems of the kernel. It provides a mechanism to enforce the separation of information based on confidentiality and integrity requirements, which allows threats of tampering and bypassing of application security mechanisms to be addressed and enables the confinement of damage that can be caused by malicious or flawed applications. It includes a set of sample security policy configuration files designed to meet common, general-purpose security goals.»

SELinux включён в состав ядра (начиная с версии 2.6).

Содержание

Возможности

  • Разные политики в зависимости от поставленных задач
  • Четкая реализация политик
  • Поддержка приложений, запрашивающих политику и исполнение контроля доступа этих приложений (для примера, задача, запущенная в cron, с корректным контекстом)
  • Независимые специфичные политики и интернациональные языковые политики SELinux
  • Независимые специфичные форматы меток безопасности и их содержание
  • Индивидуальные метки и рычаги управления для объектов ядра и сервисов (демонов)
  • Кеширование доступных решений для эффективности
  • Возможность изменения политик
  • Различные меры для защищенности целостности системы и конфиденциальности данных
  • Очень гибкие политики
  • Управление процессом инициализации, наследованние прав, запуск программ
  • Управление файловыми системами, папками, файлами и открытыми дескрипторами
  • Управление сокетами, сообщениями (ядра и системы) и сетевыми интерфейсами

Реализации

SELinux доступен с коммерческой поддержкой, как часть Red Hat Enterprise Linux начиная с версии 4.

В сообществе поддерживаемые дистрибутивы Linux:

  1. Fedora Core начиная с версии 2
  2. Hardened Gentoo
  3. Ubuntu
  4. openSUSE c 11.1

Другие системы

SELinux представляет одну из нескольких возможных подходов ограничения каких-либо действий, которые могут делать установленное ПО.

Система AppArmor делает примерно тоже самое, что и SELinux. Одно важное различие между этими системами это их идентификаторы на файловой системе. Это значит что, например, файл, который недоступен, может быть доступен с AppArmor через жесткую ссылку. С SELinux доступ будет запрещен. С другой стороны, недоступные данные могут быть доступными, когда приложение обновляет файл (а это часто используется), перезаписывая его, а AppArmor будет продолжать отказывать в доступе к данным. В обоих случаях, политика по умолчанию "no access" позволяет избежать этих проблем.

См. также

Ссылки



Wikimedia Foundation. 2010.

Игры ⚽ Поможем сделать НИР

Полезное


Смотреть что такое "Security-Enhanced Linux" в других словарях:

  • Security-Enhanced Linux — The SELinux administrator in Fedora 8 Security Enhanced Linux (SELinux) is a Linux feature that provides a mechanism for supporting access control security policies, including United States Department of Defense style mandatory access controls,… …   Wikipedia

  • Security-Enhanced Linux — SELinux Security Enhanced Linux, abrégé SELinux, est un Linux security module (LSM), qui permet de définir une politique de contrôle d accès obligatoire aux éléments d un système basé sur Linux. Initié par la NSA sur la base de travaux menés avec …   Wikipédia en Français

  • Security Enhanced Linux — SELinux Security Enhanced Linux, abrégé SELinux, est un Linux security module (LSM), qui permet de définir une politique de contrôle d accès obligatoire aux éléments d un système basé sur Linux. Initié par la NSA sur la base de travaux menés avec …   Wikipédia en Français

  • Linux Symposium — The Linux Symposium (commonly referred to as OLS, from Ottawa Linux Symposium, though it is not necessarily held in Ottawa) is a Linux and Open Source conference held annually in Canada. It features 100+ paper presentations, tutorials, birds of a …   Wikipedia

  • Linux malware — includes viruses, trojans, worms and other types of malware that affect the Linux operating system. Linux, Unix and other Unix like computer operating systems are generally regarded as very well protected, but not immune, from computer viruses.… …   Wikipedia

  • Multilevel security — or Multiple Levels of Security (abbreviated as MLS) is the application of a computer system to process information with different sensitivities (i.e., at different security levels), permit simultaneous access by users with different security… …   Wikipedia

  • Unix security — Unix security: maintaining a secure environment on Unix and Unix like operating systems is dependent on design concepts of these operating systems, but vigilance through user and administrative techniques is important to maintain security… …   Wikipedia

  • National Security Agency — 39° 06′ 32″ N 76° 46′ 12″ W / 39.109, 76.77 …   Wikipédia en Français

  • SE Linux — SELinux Security Enhanced Linux, abrégé SELinux, est un Linux security module (LSM), qui permet de définir une politique de contrôle d accès obligatoire aux éléments d un système basé sur Linux. Initié par la NSA sur la base de travaux menés avec …   Wikipédia en Français

  • Armed Forces Security Agency — National Security Agency « NSA » redirige ici. Pour les autres significations, voir NSA (homonymie). National Security Agency …   Wikipédia en Français


Поделиться ссылкой на выделенное

Прямая ссылка:
… Нажмите правой клавишей мыши и выберите «Копировать ссылку»