# Linux環境におけるSELinuxの実践的活用法

## 目次

1. SELinuxとは何か

   1.1 SELinuxの概要  

   1.2 仕組みと特徴

2. SELinuxのモードと設定方法

   2.1 SELinuxのモード

   2.2 モードの変更方法

3. SELinuxのポリシー設定

   3.1 ポリシーの概念

   3.2 ポリシーの種類

4. SELinuxコンテキストの理解

   4.1 コンテキストとは

   4.2 コンテキストの確認

   4.3 コンテキストの変更方法

5. SELinuxのトラブルシューティング

   5.1 ログの分析

   5.2 よくある問題と対策

6. SELinuxのベストプラクティス

   6.1 セキュリティ向上のためのヒント

   6.2 システム管理者へのアドバイス

7. まとめ

## 1. SELinuxとは何か

### 1.1 SELinuxの概要

SELinux（Security-Enhanced Linux）は、システムのセキュリティを強化するために、アクセス制御に基づいたセキュリティフレームワークです。通常のLinuxのアクセス制御機能はユーザーとグループの権限に基づいていますが、SELinuxはそれに加え、各プロセスやファイルに対して細かいアクセス制御を設定することができる強力なセキュリティツールです。

### 1.2 仕組みと特徴

SELinuxは「強制アクセス制御（MAC: Mandatory Access Control）」モデルを利用しており、ユーザーやアプリケーションの意図しない動作を防ぐことが可能です。これにより、システムのセキュリティが強化され、例えばもしユーザー権限が侵害されても決してシステム全体には影響を及ぼさないように設計されています。

## 2. SELinuxのモードと設定方法

### 2.1 SELinuxのモード

SELinuxは、システムの状態を管理するための3つの運用モードを提供します：

- **Enforcing**: SELinuxのポリシーが強制的に適用されるモードです。不正なアクセスはすべてブロックされます。

- **Permissive**: ポリシー違反のアクセスは許可されますが、ログに記録されます。トラブルシューティングやポリシーデバッグに役立ちます。

- **Disabled**: SELinuxの機能が無効になり、ポリシーは適用されません。

### 2.2 モードの変更方法

SELinuxのモードを確認・変更するには、以下のコマンドを使用します。

現在のモード確認:

```bash

sestatus

```

モードの変更:

```bash

sudo setenforce 0   # Permissiveモード

sudo setenforce 1   # Enforcingモード

```

また、恒久的な設定変更は`/etc/selinux/config`ファイルを編集する必要があります。

```ini

SELINUX=enforcing  # enforcingにする場合

SELINUX=permissive # permissiveにする場合

SELINUX=disabled   # 無効にする場合

```

## 3. SELinuxのポリシー設定

### 3.1 ポリシーの概念

SELinuxの力は、「ポリシー」によって制御されます。ポリシーは、システムでどのリソースがどのようにアクセスされ、管理されるかを決定するルールのセットです。

### 3.2 ポリシーの種類

SELinuxには以下の3種類のポリシーがあります。

- **Targeted Policy**: デフォルトで多くのディストリビューションにインストールされているポリシーで、特定のデーモンにのみポリシーを適用します。

- **MLS Policy (Multi-Level Security)**: より厳格なセキュリティが必要な環境で使用される高セキュリティのポリシーです。

- **Strict Policy**: システム全体をカバーするポリシーで、非常に詳細な制御を行いたい場合に使用されます。

## 4. SELinuxコンテキストの理解

### 4.1 コンテキストとは

SELinuxコンテキストは、システム内の各オブジェクトに割り当てられるラベルで、セキュリティ属性を含んでいます。一般的に`user:role:type:mls`の形式で表現されます。

### 4.2 コンテキストの確認

ファイルやプロセスのコンテキストを確認するには、以下のコマンドを使います。

```bash

ls -Z /path/to/file

ps -Z

```

### 4.3 コンテキストの変更方法

ファイルのコンテキストを変更する場合は、`chcon`コマンドを使用します。

```bash

sudo chcon -t httpd_sys_content_t /var/www/html/index.html

```

また、再ラベルを行う必要がある場合があり、その場合は以下のコマンドを使用します。

```bash

sudo restorecon -Rv /var/www/html

```

## 5. SELinuxのトラブルシューティング

### 5.1 ログの分析

SELinuxのログは、`/var/log/audit/audit.log`に記録されます。このログを分析することで、SELinuxのポリシー違反を詳細に理解できます。AUDITログの中には、`AVC Denied`というメッセージがあり、これがアクセス拒否情報に該当します。

### 5.2 よくある問題と対策

よくあるトラブルには、SELinuxによって禁止されたサービスの起動やアクセスが挙げられます。`audit2why`と`audit2allow`ツールを使用して、これらのトラブルを解決するカスタムポリシーを作成することができます。

```bash

cat /var/log/audit/audit.log | audit2allow -M mycustompolicy

sudo semodule -i mycustompolicy.pp

```

## 6. SELinuxのベストプラクティス

### 6.1 セキュリティ向上のためのヒント

- 常に最新のポリシーを適用し、SELinuxをEnforcingモードで実行する。

- カスタムポリシーを使用して特殊なアプリケーションの要件に対応する。

- 定期的にSELinuxコンテキストを確認し、意図しない変更がないかチェックする。

### 6.2 システム管理者へのアドバイス

SELinuxを効果的に使用するためにはシステム管理者の理解が不可欠です。トレーニングを通じて管理者がSELinuxの概念とトラブルシューティングスキルを習得し、特にPermissiveモードでのアクティビティを監視しながら、システムの安定運用を目指すことが重要です。

## 7. まとめ

SELinuxは、セキュリティを向上させるための強力なツールであり、その意図しないアクセスを制御することでシステム全体の安全性を保ちます。システム管理者は、SELinuxの構成とポリシーについて十分な知識を持ち、適切に設定・運用することでセキュリティニーズに対応することが求められます。正しく設定されたSELinux環境では、システムはより堅牢となり、脅威からの防御が可能になります。

Linux環境におけるSELinuxの実践的活用法

目次

続きを読むには単価診断を受けてください（30秒）