Root terminal-ka, lagu diiday SELinux hoostiisa: sababta hook u fashilanto

Waxaad up script-ka ku socodsiiyaa root ahaan, wuu dhammaadaa, isla script-kaasna wuu fashilmaa marka adeeggu u yeero. Waxba kama beddelmin fasaxyada faylka, marka talaabada xigta ee dabiiciga ah waa inaad mar kale dabciyaan, taas oo aan waxba hagaajin. Martigeliyaha SELinux, qodobka go'aanka badanaa ma aha cidda habsocodku yahay, balse waa domain-ka uu ku socdo, root-na domain xaddidan gudihiisa wali wuu xaddidan yahay.

Isla amarka, laba domain oo ammaan oo kala duwan

Dhaqangelinta noocyada waxay si wadajir ah u qiimeysaa domain-ka isha, sumadda bartilmaameedka iyo hawlgalka la codsaday. Kalfadhigaaga terminal-ku wuxuu ku socdaa domain aan xaddidnayn ama maamuleed, daemon-kuna wuxuu ku socdaa domain-ka loo qoondeeyay unigiisa. Sidaas darteed amarro isku mid ah waxay bixiyaan go'aamo kala duwan, farqiguna waa mid ula kac ah ee ma aha khalad siyaasadda dhexdeeda.

Taasi waa sababta isbarbardhigga labada socod uu faa'iido leeyahay kaliya haddii aad isbarbardhigto macnahooda. Isla amarka ka socodsii shell-ka iyo hook-ka, nooca shell-ku wuxuu caddaynayaa in binary-ga jiro iyo in doodaha sax yihiin; waxba kama caddaynayo haddii adeeggu fasax u leeyahay inuu socodsiiyo. Labada siyaaboodba ku socodsii oo isbarbardhig domains-ka, ma aha oo kaliya koodhadhka bixitaanka. Isbarbardhiggaas ayaa cabashada fasaxa ah ee aan caddayn u beddela su'aal gaar ah oo ku saabsan hal domain iyo hal sumad.

Qaabka caadiga ah ee cilladdan waa kaaliye u yeera qalab dibadeed. Hook-ka laftiisu wuu fasaxnaan karaa, halka qalabka uu yeero uu qaato sumad aan domain-ka adeeggu socodsii karin, ama wax ku qoraa galka sumaddiisu ka mamnuucdo.

Akhri diiwaanka AVC ee agagaarka khaladka hook-ka

Diidmada AVC waxay sheegtaa beeraha go'aamiya kiiska: macnaha isha ee habsocodka, macnaha bartilmaameedka ee shayga, fasalka shayga iyo fasaxa gaar ah ee la diiday. Akhri afarta oo dhan ka hor intaadan samayn aragti, sababtoo ah diidmada fulinta iyo diidmada qorista waxay leeyihiin hagaajinno gabi ahaan kala duwan.

ausearch -m AVC,USER_AVC -ts recent
ls -Z /usr/local/sbin/vpn-up.sh
ps -eZ | grep openvpn

Macnaha ishu waa inuu la socdaa domain-ka adeeggu runtii ku socdo, macnaha bartilmaameedkuna waa inuu la socdaa sumadda faylka ama galka hawlgalku taabtay. Haddii midkoodna aanu la socon khaladka aad dabagalayso, waxaad akhrinaysaa dhacdo kale.

Diiwaanka agtiisa ku qor nooca siyaasadda iyo wadada saxda ah ee faylka la fulin karo. Magaca domain-ka ee ka muuqda siyaasadda hal qaybinta waa caddayn ku saabsan rakibaaddaas, ma aha dammaanad in dhismo kale isla sharciyadaas keeno. Macnahaas ayaa u oggolaanaya qof kale inuu natiijadaada ku soo celiyo martigeliyihiisa. La'aantiis, diiwaanku wuxuu u akhranayaa sida sheeko ee ma aha caddayn.

Sumad, qaabeynta ama siyaasad: saddex hagaajin

Hagaajinta koowaad waa sumad aan la socon goobta rakiban ee faylka. Script lagu koobiyeeyay goobtiisa cp ama lagu qoray tifaftire ayaa laga yaabaa inuu qaato sumad caadi ah oo aan domain-ka adeeggu isticmaali karin, soo celinta macnaha la filayaa ayaa hagaajisa iyada oo aan siyaasadda taaban.

Tan labaad waa qaabeynta. Qaybintu waxay bixin kartaa hab la taageeray oo hawlgalka lagu socodsiiyo, galka la diiwaangeliyay oo kaaliyaha ah, ama xidhmada siyaasadda la cusboonaysiiyay oo hore u fasaxaysa. Beddelka qaabeyntaada mid la taageeray ayaa ka jaban qorista siyaasad oo ka badbaada cusboonaysiinta.

Tan saddexaad waa sharci runtii maqan, waana inay noqotaa talaabada ugu dambaysa. Samee musharrax adigoo isticmaalaya qalabka hubinta, akhri waxa uu runtii fasaxayo, ku xaddid hawlgalka iyo domain-ka aad fiirsatay, oo ha u eego qof kale ka hor inta aanu soo dhowaan waxsoosaarka.

Sababta modul allow duug ah uusan jawaab ahayn

Natiijooyinka raadinta cilladdan waxay ka buuxaan modul diyaarsan, badanaa qalab aan hook-ku mar dambe yeerin. Midka oo la rakibo wuxuu bixiyaa fasaxyo laga yaabo inaanay wax xiriir ah la lahayn diidmadaada, wuuna ka tagaa ismaandhaafka dhabta ah meeshiisa isagoo ku daraya dalool joogto ah.

Waxay kaloo qarinaysaa fashilka xiga. Modul oo fasaxa fasalka ballaaran ee hawlgallada ayaa ka dhigi doona khaladkan inuu baaba'o oo kan xiga u beddela wax aad u adag in loo aanayn karo. Ka saarista modul-ka mar dambe waa isbeddel qofna aan dooneyn inuu qorsheeyo, sidaas darteed wadada gaaban waxay u egtahay inay noqoto mid joogto ah.

Isbarbardhigga edeb leh waa kan u dhexeeya diidmada aad akhrin karto iyo isbeddelka aad soo jeedinayso. Hagaha Red Hat ee xallinta dhibaatooyinka SELinux wuxuu hubinta sumadaha iyo qaabeynta hor dhigayaa siyaasadda la abuuray sababtan dhabta ah. Haddii aanu diiwaanka ku jirin diidmo u dhiganta, SELinux waxay u badan tahay inuusan ahayn dhibaatadaada, oo arrimaha wadada, sandbox ama fasaxyada wali way furan yihiin.