SELinux

SELinux nedir?

SELinux (Security-Enhanced Linux), Linux çekirdeğinde çalışan zorunlu erişim denetimi mekanizmasıdır. Her süreç ve dosyaya bir güvenlik etiketi atar, hangi sürecin hangi kaynağa erişebileceğini politikayla belirler. Bir yazılım ele geçirilse bile yapabilecekleri sınırlı kalır.

Klasik dosya izinleri kullanıcı kimliğine bakar; SELinux ise kullanıcı ne olursa olsun politikaya uymayan erişimleri engeller. Bu yüzden web sunucusu gibi internete açık hizmetler için önemli bir ek katmandır.

Nasıl çalışır?

SELinux üç modda çalışır: enforcing (politikayı uygular), permissive (ihlalleri yalnızca kaydeder) ve disabled (kapalı). Politika, süreçlerin etiketlerine (domain) hangi dosya etiketlerine erişebileceğini tanımlar.

• getenforce komutu geçerli modu gösterir.
• Dosya etiketleri ls -Z ile görülür.
• Engellenen işlemler denetim günlüğüne (audit log) yazılır.

Sunucu ve hosting ortamında

SELinux, Red Hat ailesi (AlmaLinux, Rocky Linux vb.) dağıtımlarda varsayılan olarak gelir. Web sunucusu yeni bir dizine yazamıyorsa ya da başka bir porta bağlanamıyorsa sebep çoğu zaman SELinux etiketidir. Birçok yönetici sorunu çözmek için SELinux’u kapatır; oysa çoğu zaman doğru etiketi vermek yeterlidir.

cPanel gibi bazı hosting panelleri SELinux ile tam uyumlu çalışmayabilir ve belgeler çoğunlukla kapatılmasını ister; panelinizin resmi önerisini kontrol edin.

Nasıl uygulanır?

• Panelinizin uyumluluğuna bakarak mümkünse SELinux’u enforcing modda tutun.
• Bir sorunda önce ausearch ya da audit günlüğüne bakıp neyin engellendiğini anlayın; audit2why nedeni açıklar.
• Dosya etiketlerini restorecon ile düzeltin; yeni dizinler için doğru etiket kuralı tanımlayın.
• Gerektiğinde setsebool ile hazır boolean değerlerini açın; tüm politikayı gevşetmeyin.
• Test için kısa süreli permissive moda geçin, sonra yeniden enforcing yapın.
• Politika modüllerini yalnızca gerekçeli ve belgeli olarak ekleyin.

Sık yapılan hatalar

• Her sorun karşısında SELinux’u tamamen kapatmak.
• chmod 777 ile sorunu çözmeye çalışmak; engel izin değil etikettir.
• Dosyaları taşırken etiketlerin değişmediğini fark etmemek.
• Permissive moda geçip geri dönmeyi unutmak.