Red Hat Enterprise SELinux Policy Administration (S429)

RHS429 wendet sich an Computersicherheitsexperten und Systemadministratoren, die für die Ausarbeitung und Implementierung von Security Policies auf einem Linux-Computer verantwortlich sind. Auch für Anwendungsprogrammierer ist der Kurs interessant, da sie erfahren, wie SELinux Policies für Anwendungen anderer Anbieter bereitgestellt werden können.

Teilnehmer benötigen keine fundierten SELinux-Kenntnisse, sollten jedoch über ein grundlegendes Verständnis der SELinux-Sicherheitsschicht verfügen. So reichen beispielsweise die in Red Hat Linux Administration (incl. Examensprüfung RH202) (133) oder RHCE Fast Track Kurs (incl. Examensprüfung RH302) (300) vermittelten SELinux-Kenntnisse als Grundlage für diesen Kurs aus.

Für den Kurs RHS429 sind Vorkenntnisse auf RHCE-Niveau erforderlich. Die erforderlichen Vorkenntnisse können durch Ablegen der RHCE-Prüfung in RHCE Examensprüfung (302) oder RHCE Fast Track Kurs (incl. Examensprüfung RH302) (300) oder durch Ablegen von Red Hat Linux Netzwerk und Sicherheit (253) bzw. durch vergleichbare Kenntnisse und Kompetenzen nachgewiesen werden.

Zu den wesentlichen Eigenschaften von Red Hat Enterprise Linux zählt SELinux (Security Enhanced Linux), eine leistungsstarke Sicherheitsschicht auf Kernebene, die eine enge Kontrolle über Zugriffs- und Nutzungsrechte von Systembenutzern ermöglicht. SELinux ist standardmäßig auf Red Hat Enterprise Linux-Systemen aktiviert und setzt eine Reihe obligatorischer Zugriffskontrollen um, die bei Red Hat als die „Targeted Policy“ bezeichnet werden. Diese Zugriffskontrollen verstärken die Sicherheit der von ihnen angepeilten Netzwerkdienste erheblich, können jedoch unter Umständen das Verhalten von Anwendungen externer Anbieter und Scripts beeinträchtigen, die unter früheren Red Hat Enterprise Linux-Versionen funktioniert haben.

Der Kurs RHS429 ist ein viertägiges Seminar über SELinux und das Schreiben von SELinux Policies. Am ersten Kurstag werden SELinux und seine Funktionsweise innerhalb der Targeted Policy von Red Hat sowie die Tools zu seiner Handhabung vorgestellt. An den verbleibenden Kurstagen lernen die Teilnehmer, wie Policies geschrieben, kompiliert und von Fehlern befreit werden.

Der Kurs endet mit einem Projekt, bei dem die Teilnehmer für einen zuvor ungesicherten Dienst eine Reihe von Policies von Grund auf anlegen. Die Teilnehmer analysieren den Dienst, bestimmen die entsprechenden Sicherheitsanforderungen, planen und implementieren eine Reihe von Policies, testen und befreien die Policies von Fehlern und dokumentieren die neuen Policies des Dienstes, damit andere den Dienst effektiv verwalten können.

Unit 1 - Introduction to SELinux

• Discretionary Access Control vs. Mandatory Access Control
• SELinux History and Architecture Overview
• Elements of the SELinux security model:
• SELinux Policy and Red Hat´s Targeted Policy
• Configuring Policy with Booleans
• Archiving
• Setting and Displaying Extended Attributes
• Hands-on Lab: Understanding SELinux

Unit 2 - Using SELinux

• Controlling SELinux
• File Contexts
• Relabeling Files and Filesystems
• Mount options
• Hand-on Lab: Working with SELinux

Unit 3 - The Red Hat Targeted Policy

• Identifying and Toggling Protected Services
• Apache Security Contexts and Configuration Booleans
• Name Service Contexts and Configuration Booleans
• NIS Client Contexts
• Other Services
• File Context for Special Directory Trees
• Troubleshooting and avc Denial Messages
• setroubleshootd and Logging
• Hands-on Lab: Understanding and Troubleshooting the Red Hat Targeted Policy

Unit 4 - Introduction to Policies

• Policy Overview and Organization
• Compiling and Loading the Monolithic Policy and Policy Modules
• Policy Type Enforcement Module Syntax
• Object Classes
• Domain Transition
• Hands-on Lab: Understanding policies

Unit 5 - Policy Utilities

• Tools available for manipulating and analyzing policies
• Hands-on Lab: Exploring Utilities

Unit 6 - User and Role Security

• Role-based Access Control
• Multi Category Security
• Defining a Security Administrator
• Multi-Level Security
• The strict Policy
• User Identification and Declaration
• Role Identification and Declaration
• Roles in Use in Transitions
• Role Dominance
• Hands-on Lab: Implementing User and Role Based Policy Restrictions

Unit 7 - Anatomy of a Policy

• Policy Macros
• Type Attributes and Aliases
• Type Transitions
• When and How do Files Get Labeled
• restorecond
• Customizable Types
• Hands-on Lab: Building Policies

Unit 8 - Manipulating Policies

• Installing and Compiling Policies
• The Policy Language
• Access Vector
• SELinux logs
• Security Identifiers - SIDs
• Filesystem Labeling Behavior
• Context on Network Objects
• Creating and Using New Booleans
• Manipulating Policy by Example
• Macros
• Enableaudit
• Hands-on Lab: Compiling Policies

Unit 9 - Project

• Best practices
• Create File Contexts, Types and Typealiases
• Edit and Create Network Contexts
• Edit and Create Domains
• Hands-on Lab: Editing and Writing Policy