Модуль 5. Организация информационной безопасности

После завершения изучения данного модуля вы научитесь:

• понимать общие принципы работы механизма SELinux;
• настраивать межсетевой экран на основе iptables;
• настраивать аудит системных событий.

5.1. Управление интеллектуальными списками доступа (SELINUX)

Модель разграничения доступа к данным в ОС Linux имеет свои недостатки. Такая модель (концепция доступа к файлам по усмотрению учетной записи с соответствующими разрешениями) традиционно основывается на доверии. Предполагается, что пользователи с правами доступа не имеют злого умысла, что администраторы знают, какие разрешения должны быть у каждого файла в пакете программ.
Механизм SELinux решает эту проблему путем использования мандатного контроля доступа (mandatory access controls - MAC). При мандатном контроле доступа пользователи не имеют полного права управлять доступом к объектам. Вместо этого, администратор определяет общесистемные политики доступа. Хорошо реализованная политика MAC заключается в следовании принципу «наименьшего уровня привилегий», т.е. разрешении доступа только тогда, когда это действительно необходимо приложению. MAC может предотвращать нарушение зашиты системы ПО с уязвимыми местами в коде выполнения (например, переполнениями буфера), ограничивая масштаб уязвимости несколькими конкретными, требующимися этому ПО ресурсами.
Разработка политики SELinux является сложной темой. Для зашиты нового демона, например, в политике должны быть тщательно перечислены все файлы, каталоги и другие объекты, доступ к которым может быть необходим этому процессу.