Diagnosticar y solucionar infracciones de políticas de SELinux

Introducción

Como administrador de sistemas, eres responsable de mantener la seguridad de tu entorno Linux. Una parte fundamental de esta tarea es la gestión de SELinux (Security-Enhanced Linux), un mecanismo de control de acceso obligatorio que aplica políticas de seguridad estrictas. Cuando un proceso intenta realizar una acción que infringe una política, SELinux deniega dicha acción y registra un evento de denegación en el Access Vector Cache (AVC). En este desafío, aprenderás a diagnosticar y resolver una infracción común de la política de SELinux utilizando las herramientas estándar de RHEL, una competencia crítica para obtener la certificación RHCSA.

Diagnosticar y solucionar infracciones de políticas de SELinux

Escenario

Un servidor web en tu sistema debe servir contenido desde los directorios personales de los usuarios (por ejemplo, desde una carpeta ~/public_html). Sin embargo, los usuarios informan que sus páginas web no son accesibles y muestran errores de tipo "Forbidden" (Prohibido). Sospechas que se trata de un problema de SELinux. Tu tarea consiste en investigar los registros de SELinux, identificar la infracción de la política y aplicar la corrección adecuada para permitir que el servidor web funcione según lo previsto.

Tareas

• Investigar los registros de auditoría del sistema para encontrar denegaciones AVC de SELinux recientes.
• Analizar el mensaje de denegación para comprender qué acción fue bloqueada y qué valor booleano de SELinux puede resolver el problema.
• Modificar el booleano de SELinux correspondiente para permitir que el servidor web acceda a los directorios personales de los usuarios.
• Asegurarte de que el cambio en la política sea persistente, de modo que se mantenga tras un reinicio del sistema.

Requisitos

• Todos los comandos deben ejecutarse como el usuario labex. Utiliza sudo cuando se requieran privilegios administrativos.
• El booleano de SELinux que debes modificar es httpd_enable_homedirs.
• El cambio debe realizarse de forma persistente.

Consejos

• Utiliza el comando ausearch para consultar los registros de auditoría. La opción -m avc filtra específicamente los mensajes de denegación AVC.
• Presta mucha atención a la salida de ausearch. A menudo contiene sugerencias de la herramienta setroubleshoot sobre cómo resolver la denegación.
• El comando setsebool se utiliza para cambiar el valor de un booleano de SELinux. Emplea el parámetro -P para que el cambio sea permanente.
• Puedes verificar el valor actual de un booleano con el comando getsebool.

Resumen

En este desafío, has aprendido a diagnosticar y solucionar una infracción rutinaria de la política de SELinux. Has practicado el uso de ausearch para inspeccionar los registros de auditoría en busca de denegaciones AVC, la interpretación de la salida para identificar la causa raíz y el uso de setsebool -P para aplicar un cambio de política persistente. Dominar este flujo de trabajo es esencial para gestionar la seguridad del sistema en RHEL y es una habilidad fundamental evaluada en el examen RHCSA.