Preciso criar um módulo para um novo programa ou apenas usar um existente?

Question

Estamos desenvolvendo um programa no trabalho para ser executado em uma imagem do CentOS. Este programa é muito crítico para nós, por isso precisamos que ele seja executado em um contexto muito seguro.

Então, eu estava pensando em usar o SELinux para protegê-lo. Tenho revisado a documentação sobre o SELinux, no entanto, há algo que não tenho certeza se estou entendendo. Preciso criar um novo módulo específico para nosso programa personalizado ou posso usar um dos existentes?

    

Answer 1

Você pode criar um módulo de política do SELinux para o seu programa. Você não pode simplesmente pegar um já existente, porque ele mencionará caminhos para um programa diferente, para diferentes arquivos de configuração, para diferentes arquivos de dados, etc. Mas você pode pegar um módulo existente para um programa com requisitos semelhantes e adaptá-lo. Não se esqueça de alterar os nomes de quaisquer tipos, atributos, etc., já que usar nomes diferentes é o que faz com que o SELinux isole os programas.

Dado o texto da sua pergunta, não tenho certeza se você entende como o SELinux funciona. Definir um módulo SELinux para o seu programa basicamente confina seu programa. Ele protege o resto do sistema do seu programa, e não o contrário. As regras do SELinux são aplicadas a outros programas que protegem os ativos do seu programa. Seu módulo de política protege seu programa na medida em que ele atribui um contexto restritivo aos ativos do seu programa (arquivos de configuração e dados).