Como implementar hardening em servidores Linux com SELinux: Guia passo a passo

O hardening de servidores Linux é essencial para garantir a segurança e integridade dos dados. Neste guia, abordaremos como implementar o SELinux (Security-Enhanced Linux) para aumentar a segurança do seu servidor.

O que é SELinux?

SELinux é uma implementação de controle de acesso obrigatório (MAC) que fornece um nível adicional de segurança ao restringir os programas e processos que podem acessar os recursos do sistema.

Passo a Passo para Implementar Hardening com SELinux

1. Verificar o Status do SELinux

Primeiramente, verifique se o SELinux está instalado e qual é seu status atual.

getenforce

Se o retorno for Enforcing, o SELinux já está ativo. Caso contrário, você pode ativá-lo.

2. Ativar o SELinux

Para ativar o SELinux, edite o arquivo de configuração:

sudo nano /etc/selinux/config

Altere a linha:

SELINUX=disabled

para

SELINUX=enforcing

Salve e saia do editor. Reinicie o servidor para aplicar as mudanças.

3. Configurar Políticas do SELinux

As políticas do SELinux definem como os processos interagem com os arquivos. Para visualizar as políticas atuais, use:

semanage boolean -l

Para ativar ou desativar uma política específica, utilize:

setsebool -P nome_da_politica on/off

4. Monitorar Logs do SELinux

Os logs do SELinux são essenciais para entender como as políticas estão sendo aplicadas. Você pode visualizar os logs com:

sudo cat /var/log/audit/audit.log | grep denied

Isso mostrará os eventos que foram negados pelo SELinux.

5. Ajustar Contextos de Segurança

Se você encontrar problemas de acesso, pode ser necessário ajustar os contextos de segurança de arquivos ou diretórios:

sudo chcon -t tipo_contexto /caminho/do/arquivo

Verifique o contexto atual com:

ls -Z /caminho/do/arquivo

Conclusão

Implementar o SELinux é um passo fundamental para fortalecer a segurança do seu servidor Linux. Lembre-se de monitorar os logs regularmente e ajustar as políticas conforme necessário. Uma dica importante é sempre testar as configurações em um ambiente de desenvolvimento antes de aplicá-las em produção.