Sur CentOS Linux, comment gérez-vous la limitation (limitateurs) ? Est-elle toujours désactivée ou active ?

SeLinux (Security-Enhanced Linux) est un mécanisme de contrôle d’accès obligatoire (MAC). Par défaut, il est activé et fonctionne en l’un des modes suivants :

• Enforcing : Application forcée des politiques de sécurité. Chaque opération interdite est bloquée.
• Permissive : Les opérations interdites ne sont pas bloquées, mais des avertissements sont générés et enregistrés dans les logs.
• Disabled : SeLinux est complètement désactivé.

En pratique, je m’efforce de garder SeLinux actif en mode Enforcing sur les serveurs de production. Cela ajoute une couche supplémentaire de sécurité. Désactiver SeLinux est une mesure extrême, utilisée uniquement pour le dépannage ou dans des environnements spécifiques et entièrement contrôlés.

Pour gérer SeLinux, on utilise les commandes suivantes :

• Vérification du statut et du mode actuel :

  sestatus
  # Statut de SeLinux et mode actuel
  

• Passage entre modes (sans redémarrage) :

  setenforce 0 # Mode permissif
  setenforce 1 # Mode enforcing
  

• Changement du mode par défaut (nécessite un redémarrage), en éditant /etc/selinux/config :

  nano /etc/selinux/config
  # Modifier SELINUX=enforcing en permissive ou disabled
  

• Gestion des booléens (permet ou interdit certaines politiques) :

  getsebool -a # Liste de tous les booléens
  setsebool -P <nom_booléen> on/off # Définir un booléen de façon permanente (-P)
  

Lors de la configuration de nouveaux services ou applications incompatibles avec la politique actuelle de SeLinux, je préfère créer ou mettre à jour une politique locale (module) plutôt que de désactiver complètement SeLinux. C’est une approche plus sûre.

Étapes pour créer une politique locale :

1. Installer les utilitaires nécessaires :

   yum install policycoreutils policycoreutils-python
   

2. Mettre SeLinux en mode Permissive pour suivre les violations :

   setenforce 0
   

3. Effectuer les actions qui génèrent des violations.
4. Générer la politique à partir des logs audit.log :

   grep <nom_service> /var/log/audit/audit.log | audit2allow -M ma_politique_service
   

   où <nom_service> est le nom du service qui cause des violations.
5. Installer la politique générée :

   semodule -i ma_politique_service.pp
   

6. Remettre SeLinux en mode Enforcing :

   setenforce 1
   

Ainsi, ma stratégie consiste à utiliser SeLinux en mode Enforcing et à l’ajuster si nécessaire.