Como verificar se o SELinux está ativado no Linux

Introdução

Neste laboratório, você aprenderá como verificar o status e a configuração do SELinux em um sistema Linux. O SELinux é um mecanismo de segurança crucial que fornece controle de acesso obrigatório (mandatory access control).

Você usará o comando sestatus para obter um resumo do estado atual do SELinux, inspecionará o arquivo de configuração do SELinux /etc/selinux/config para entender suas configurações padrão e usará o comando getenforce para verificar rapidamente o modo de operação atual. Ao concluir estas etapas, você obterá uma compreensão fundamental de como determinar se o SELinux está habilitado e como ele está configurado em seu sistema.

Verificar o status do SELinux com sestatus

Nesta etapa, você aprenderá como verificar o status do SELinux em seu sistema. SELinux (Security-Enhanced Linux) é um mecanismo de segurança que fornece controle de acesso obrigatório (MAC - mandatory access control) para processos e recursos. Ele adiciona uma camada extra de segurança sobre o controle de acesso discricionário (DAC - discretionary access control) tradicional.

Para verificar o status atual do SELinux, usamos o comando sestatus. Este comando fornece um resumo da configuração do SELinux e seu estado atual.

Abra seu terminal, caso ainda não esteja aberto. Você pode fazer isso clicando no ícone Xfce Terminal no lado esquerdo da sua área de trabalho.

Agora, digite o seguinte comando no terminal e pressione Enter:

sestatus

Você deve ver uma saída semelhante a esta:

SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy version:                 ...
Policy load time:               ...

Vamos analisar as partes importantes da saída:

• SELinux status: Indica se o SELinux está habilitado ou desabilitado no sistema.
• Current mode: Mostra o modo de operação atual do SELinux. Os modos comuns são enforcing (imposição), permissive (permissivo) e disabled (desabilitado).
• Mode from config file: Mostra o modo que está definido no arquivo de configuração do SELinux (/etc/selinux/config).

Nesta saída, SELinux status: enabled significa que o SELinux está ativo, e Current mode: enforcing significa que o SELinux está ativamente aplicando suas políticas de segurança.

Compreender o status do SELinux é o primeiro passo para gerenciar seu comportamento.

Clique em Continuar para prosseguir para a próxima etapa.

Verificar a configuração do SELinux com cat /etc/selinux/config

Na etapa anterior, você verificou o status atual do SELinux usando sestatus. Agora, vamos analisar o arquivo de configuração que determina o comportamento padrão do SELinux.

O principal arquivo de configuração para o SELinux está localizado em /etc/selinux/config. Podemos visualizar o conteúdo deste arquivo usando o comando cat. O comando cat é usado para exibir o conteúdo dos arquivos.

Digite o seguinte comando em seu terminal e pressione Enter:

cat /etc/selinux/config

Você deve ver uma saída semelhante a esta:

## This file controls the state of SELinux on the system.
## SELINUX= can take one of these three values:
##     enforcing - SELinux security policy is enforced.
##     permissive - SELinux prints warnings instead of enforcing.
##     disabled - No SELinux policy is loaded.
SELINUX=enforcing
## SELINUXTYPE= can take one of these three values:
##     targeted - Targeted processes are protected,
##               for more information see selinux-policy-targeted(8)
##     strict - Full SELinux protection, see selinux-policy(8)
##     mls - Multi-Level Security protection.
SELINUXTYPE=targeted

Este arquivo é onde você configuraria o modo SELinux padrão (SELINUX=) e o tipo de política (SELINUXTYPE=).

• SELINUX=enforcing: Esta linha indica que o sistema está configurado para iniciar no modo enforcing por padrão.
• SELINUXTYPE=targeted: Esta linha especifica que a política targeted é usada. A política targeted é a mais comum e protege processos específicos do sistema.

As configurações neste arquivo são normalmente aplicadas quando o sistema inicializa. Embora você possa alterar o modo atual temporariamente (o que veremos na próxima etapa), as alterações feitas em /etc/selinux/config exigem uma reinicialização do sistema para ter efeito total.

Compreender o arquivo de configuração ajuda você a ver o estado pretendido do SELinux para o sistema.

Clique em Continuar para prosseguir.

Inspecionar o modo do SELinux com getenforce

Nas etapas anteriores, você usou sestatus para obter uma visão geral detalhada do SELinux e cat /etc/selinux/config para ver a configuração padrão. Agora, vamos usar um comando mais simples, getenforce, para verificar rapidamente o modo SELinux atual.

O comando getenforce é projetado especificamente para exibir apenas o modo de operação atual do SELinux. Isso é útil para uma verificação rápida sem a necessidade da saída completa de sestatus.

Digite o seguinte comando em seu terminal e pressione Enter:

getenforce

Você deve ver uma saída semelhante a esta:

Enforcing

A saída será uma das seguintes:

• Enforcing: SELinux está ativo e aplicando suas políticas. Qualquer ação que viole uma política será bloqueada.
• Permissive: SELinux está ativo, mas não está aplicando políticas. Ele registrará avisos sobre ações que teriam sido bloqueadas no modo enforcing, mas permite que elas prossigam. Este modo é útil para testes e solução de problemas.
• Disabled: SELinux não está ativo e nenhuma política está carregada.

Neste caso, a saída Enforcing confirma que o SELinux está atualmente em execução no modo enforcing, o que corresponde ao que vimos com o comando sestatus.

O comando getenforce é uma ferramenta útil para uma verificação rápida do status do SELinux.

Clique em Continuar para concluir este laboratório.

Resumo

Neste laboratório, você aprendeu como verificar o status do SELinux em um sistema Linux. Você usou o comando sestatus para obter um resumo da configuração do SELinux, incluindo se ele está habilitado, seu modo de operação atual (enforcing, permissive ou disabled) e o modo definido no arquivo de configuração.

Você também aprendeu como verificar a configuração do SELinux inspecionando o arquivo /etc/selinux/config usando o comando cat, que mostra o modo SELinux padrão que será aplicado na inicialização do sistema. Finalmente, você usou o comando getenforce para verificar rapidamente o modo SELinux atual. Essas etapas fornecem métodos essenciais para entender o estado atual e a configuração do SELinux.