No CentOS Linux, como gerem o limite (limitadores)? Está sempre desativado ou ativo?

SeLinux (Security-Enhanced Linux) é um mecanismo de controlo de acesso obrigatório (MAC). Por padrão, está ativo e funciona num dos seguintes modos:

• Enforcing: Aplicação forçada de políticas de segurança. Cada operação proibida é bloqueada.
• Permissive: As operações proibidas não são bloqueadas, mas são geradas advertências e registadas nos logs.
• Disabled: SeLinux está completamente desativado.

Na prática, esforço-me por manter o SeLinux ativo em modo Enforcing nos servidores de produção. Isto adiciona uma camada adicional de segurança. Desativar o SeLinux é uma medida extrema, usada apenas para resolução de problemas ou em ambientes específicos e totalmente controlados.

Para gerir o SeLinux, utilizo os seguintes comandos:

• Verificar o estado e modo atual:

  sestatus
  # Estado do SeLinux e modo atual
  

• Alternar entre modos (sem reiniciar):

  setenforce 0 # Modo permissivo
  setenforce 1 # Modo enforcing
  

• Alterar o modo padrão (requer reinício), editando /etc/selinux/config:

  nano /etc/selinux/config
  # Alterar SELINUX=enforcing para permissive ou disabled
  

• Gerir configurações booleanas (permitindo ou proibindo políticas específicas):

  getsebool -a # Listar todos os booleanos
  setsebool -P <nome_boolean> on/off # Definir booleano de forma permanente (-P)
  

Ao configurar novos serviços ou aplicações que não são compatíveis com a política atual do SeLinux, prefiro criar ou atualizar uma política local (módulo) em vez de desativar completamente o SeLinux. É uma abordagem mais segura.

Passos para criar uma política local:

1. Instalar as utilidades necessárias:

   yum install policycoreutils policycoreutils-python
   

2. Colocar o SeLinux em modo Permissive para monitorar violações:

   setenforce 0
   

3. Realizar as ações que geram violações.
4. Gerar a política com base nos logs audit.log:

   grep <nome_serviço> /var/log/audit/audit.log | audit2allow -M minha_politica_serviço
   

   onde <nome_serviço> é o nome do serviço que causa violações.
5. Instalar a política gerada:

   semodule -i minha_politica_serviço.pp
   

6. Voltar a colocar o SeLinux em modo Enforcing:

   setenforce 1
   

Assim, minha estratégia é usar o SeLinux em modo Enforcing e ajustá-lo conforme necessário.