Voir :

• https://debian-handbook.info/browse/fr-FR/stable/sect.selinux.html
• https://linuxhint.com/selinux_debian_10/
• https://blog.microlinux.fr/selinux/
• https://people.redhat.com/duffy/selinux/selinux-coloring-book_A4-Stapled.pdf
• http://people.redhat.com/tcameron/summit2010/selinux/SELinuxMereMortals.pdf
• http://people.redhat.com/tcameron/Summit2016/selinux/selinux_for_mere_mortals.pdf
• ausearch
• SEtroubleshoot
• https://github.com/centreon/centreon-plugins/tree/develop/selinux
• Ansible https://docs.ansible.com/ansible/2.9/modules/list_of_system_modules.html

sudo cat /var/log/audit/audit.log | grep AVC | grep denied | audit2why > audit2why.txt 
sudo cat /var/log/audit/audit.log | grep AVC | grep denied | audit2allow > audit2allow.txt 

/usr/bin/audit2allow -a -M plop

# Voir les différences
restorecon -nv /etc/passwd
 
# Les remettre
restorecon -v /etc/passwd
 
# Exemple 
restorecon -v /usr/sbin/httpd
restorecon -v /etc/ld.so.cache
restorecon -v /etc/hosts

Au démarrage du système

touch /.autorelabel

Réétiquetés les fichiers lors du prochain redémarrage
Cela crée le fichier /.autorelabel contenant l'option -F

fixfiles -F onboot

Passez toujours en mode permissif avant d'entrer dans la commande fixfiles -F onboot. Cela permet d'éviter que le système ne démarre pas s'il contient des fichiers non étiquetés. Pour plus d'informations, voir RHBZ#2021835.

Voir aussi /etc/selinux/restorecond.conf qui contient les chemins des fichiers à restaurer

ls -z
ps -eZ
 
sestatus
 
setenforce 0
getenforce
semanage login -l
chcon
seinfo
 
audit2allow

semodule --list-modules=full
 
chcon system_u:object_r:bin_t /opt/nagios/agent/nrpe
chcon -t sudo_exec_t /usr/bin/sudo

grep -w 'denied.*insights-client.*permissive=0' /var/log/audit/audit.log

Serveur Web

setsebool -P httpd_can_network_connect 1

Err Permission denied

Before:

# ls -lZ /opt/plop/plop/plop.jar
-rwxrwxrwx. 1 app_plop appgrp unconfined_u:object_r:unlabeled_t:s0 61558236 Feb 26  2023 /opt/plop/plop/plop.jar

After:

# ls -lZ /opt/plop/plop/plop.jar
-rwxrwxrwx. 1 app_plop appgrp unconfined_u:object_r:bin_t:s0 61558236 Feb 26  2023 /opt/plop/plop/plop.jar

chmod 640 /usr/local/lib/systemd/system/plop.service
restorecon -v /usr/local/lib/systemd/system/plop.service
systemctl daemon-reload 
chcon system_u:object_r:bin_t:s0 /tools/list/plop/ctmagt/ctm/scripts/start-ag 
chcon system_u:object_r:bin_t:s0 /tools/list/plop/ctmagt/ctm/scripts/shut-ag 

DEFAULT_CONTAINER_RUN_OPTIONS = ['--network', 'slirp4netns:enable_ipv6=true', '--security-opt', 'label=disable']

Voir : https://ansible.readthedocs.io/projects/awx/en/24.6.1/administration/instances.html

Voir :

• sealert