F.38. 배트맨 토토

F.38.1. 개요

이 모듈은와 통합됩니다.Selinux추가 레이어를 제공합니다 위와 그 이상 보안 점검은 일반적으로 제공되는 것배트맨 토토. 에서 의 관점Selinux,이 모듈 허용배트맨 토토to 사용자 공간 객체 관리자로 작동합니다. 각 테이블 또는 기능 DML 쿼리에 의해 시작된 액세스는 시스템 보안 정책. 이 점검은 평소에 추가됩니다 SQL 권한 검사 수행배트맨 토토.

Selinux액세스 제어 결정은 보안 레이블을 사용하여 이루어집니다 와 같은 문자열에 의해System_U : Object_r : 배트맨 토토_table_t : S0. 각 액세스 제어 결정에는 두 가지 레이블이 포함됩니다. 행동을 수행하려는 주제와 작업을 수행 할 객체. 이후 라벨은 모든 종류의 객체, 액세스 제어에 적용 할 수 있습니다. 데이터베이스 내에 저장된 개체에 대한 결정은 다음과 같습니다. 이 모듈을 사용하면 동일한 일반 기준에 따라 파일과 같은 다른 유형의 객체에 사용됩니다. 이 디자인 중앙 집중식 보안 정책이 보호하기위한 것입니다. 정보 자산이 어떻게되는지에 대한 세부 사항과 무관합니다 자산이 저장됩니다.

thePostgreSQL : 문서 : 9.1 : 보안 스포츠 토토명령문은 데이터베이스에 보안 레이블을 할당 할 수 있습니다. 물체.

F.38.2. 설치

배트맨 토토에서만 사용할 수 있습니다Linux2.6.28 이상의Selinux활성화. 그렇지 않습니다 다른 플랫폼에서 사용할 수 있습니다. 당신은 또한 필요합니다libselinux2.0.93 이상 그리고Selinux-Policy3.9.13 또는 더 높음 (일부 분포는 필요한 것을 백 포트 할 수 있지만 구형 정책 버전으로의 규칙).

thesestatus명령을 통해 허용됩니다 의 상태 확인Selinux. 에이 일반적인 디스플레이는 다음과 같습니다.

$ sestatus
Selinux 상태 : 활성화
selinuxfs mount : /selinux
현재 모드 : 시행
구성 파일의 모드 : 시행
정책 버전 : 24
구성 파일의 정책 : targeted

ifSelinux비활성화 또는 설치되지 않으면 해당 제품을 먼저 설정해야합니다. 이 모듈 설치.

이 모듈을 작성하려면 옵션을 포함 시키려면-with-selinux배트맨 토토에서구성명령. 확인하십시오Libselinux-DevelRPM은 빌드에 설치됩니다 시간.

이 모듈을 사용하려면 포함해야합니다배트맨 토토inshared_preload_libraries매개 변수배트맨 토토.conf. 그만큼 다른 사람에게로드되면 모듈이 올바르게 작동하지 않습니다. 방법. 모듈이로드되면 실행해야합니다배트맨 토토.sql각 데이터베이스에서. 이것 보안 레이블 관리에 필요한 기능을 설치합니다. 초기 보안 레이블을 지정합니다.

새를 초기화하는 방법을 보여주는 예가 있습니다. 데이터베이스 클러스터배트맨 토토기능 및 보안 레이블이 설치되었습니다. 표시된 경로를 조정하십시오 설치에 적합 :

$ 내보내기 pgdata =/path/to/data/directory
$ initDB
$ vi $ pgdata/배트맨 토토.conf
  변화
    #shared_preload_libraries = '' # (변경 사항을 다시 시작해야 함)
  에게
    shared_preload_libraries = '배트맨 토토' # (변경 사항이 다시 시작됩니다)
Template0 Template1 Postgres의 dbname에 대한 $; 하다
    Postgres --- single -f -c exit_on_error = true $ dbname \
      </usr/local/pgsql/share/contrib/배트맨 토토.sql/dev/null
  완료

다음 중 일부 또는 전부가 표시 될 수 있습니다. 알림의 특정 버전에 따라libselinuxandSelinux-Policy:

/etc/selinux/target/contexts/배트맨 토토_contexts : 33 행에는 잘못된 객체 유형 db_blobs가 있습니다
/etc/selinux/targeted/contexts/배트맨 토토_contexts : 36 행에는 잘못된 객체 유형 db_language가 있습니다
/etc/selinux/targeted/contexts/배트맨 토토_contexts : 37 행에는 잘못된 객체 유형 db_language가 있습니다
/etc/selinux/targeted/contexts/배트맨 토토_contexts : 38 행에 잘못된 객체 유형 db_language가 있습니다
/etc/selinux/targeted/contexts/배트맨 토토_contexts : 39 행에는 잘못된 객체 유형 db_language가 있습니다
/etc/selinux/targeted/contexts/배트맨 토토_contexts : 40 행은 유효하지 않은 객체 유형 db_language

이 메시지는 무해하며 무시되어야합니다.

설치 프로세스가 오류없이 완료되면 가능합니다 이제 서버를 정상적으로 시작합니다.

F.38.3. 회귀 테스트

의 특성으로 인해Selinux, 회귀 테스트 실행배트맨 토토몇 가지 추가가 필요합니다 구성 단계, 일부는 루트로 수행해야합니다. 그만큼 회귀 테스트는 일반적인 것에 의해 실행되지 않습니다확인 make또는만들기 installcheck명령; 구성을 설정해야합니다 그런 다음 테스트 스크립트를 수동으로 호출하십시오. 테스트를 실행해야합니다 에서Contrib/배트맨 토토a의 디렉토리 구성된 배트맨 토토 빌드 트리. 그들은 빌드가 필요하지만 트리, 테스트는 설치된 서버, 즉와 비슷합니다.설치 체크 만들기not만들기 확인하다.

첫 번째, 설정배트맨 토토작업 중 데이터베이스의 지침에 따른 데이터베이스섹션 F.38.2. 메모 현재 운영 체제 사용자가 연결할 수 있어야합니다. 비밀번호가없는 슈퍼 서서로 데이터베이스에 입증.

두 번째, 정책 패키지를 빌드하고 설치하십시오 회귀 테스트. 그만큼배트맨 토토-regtest정책은 세트를 제공하는 특수 목적 정책 패키지입니다. 회귀 테스트 중에 허용되는 규칙. 해야합니다 정책 소스 파일에서 구축 됨배트맨 토토-regtest.te만들기Selinux. 적절한 makefile을 찾아야합니다 당신의 시스템; 아래에 표시된 경로는 예일뿐입니다. 한 번 구축,를 사용 하여이 정책 패키지를 설치하십시오.Semodule공급 정책을로드하는 명령 커널에 패키지. 패키지가 올바르게있는 경우 설치,semodule-l배트맨 토토-regtest as를 나열해야합니다 사용 가능한 정책 패키지 :

$ cd .../contrib/배트맨 토토
$ make -f/usr/share/selinux/devel/makefile
$ sudo semodule -u 배트맨 토토 -regtest.pp
$ sudo semodule -l | Grep 배트맨 토토
배트맨 토토-regtest 1.03

셋째, 켜기배트맨 토토_regression_test_mode. 우리는 가능하지 않습니다 모든 규칙배트맨 토토-regtestby 시스템의 안전을 위해 기본값. 그만큼배트맨 토토_regression_test_mode매개 변수를 활성화합니다 회귀 테스트를 시작하는 데 필요한 규칙. 그럴 수 있습니다 사용 켜기SetSebool명령 :

$ sudo setsebool 배트맨 토토_regression_test_mode on
$ getSebool 배트맨 토토_regression_test_mode
배트맨 토토_regression_test_mode- on

넷째, 쉘이 작동 중인지 확인UnconFined_T도메인 :

$ id -z
unconfined_u : unconfined_r : unconfined_t : s0-s0 : c0.c1023

참조섹션 F.38.717999_18065

마지막으로 회귀 테스트 스크립트 실행 :

$ ./test_배트맨 토토

이 스크립트는 모든 작업을 수행했는지 확인하려고합니다. 구성 단계가 올바르게 진행되고 실행됩니다. 에 대한 회귀 테스트배트맨 토토모듈.

테스트를 완료 한 후를 비활성화하는 것이 좋습니다배트맨 토토_regression_test_mode매개 변수 :

$ sudo setsebool 배트맨 토토_regression_test_mode off

당신은를 제거하는 것을 선호 할 수 있습니다배트맨 토토-regtest전적으로 정책 :

$ sudo semodule -r 배트맨 토토 -regtest

F.38.4. GUC 매개 변수

F.38.5. 특징

업데이트 T1 세트 x = 2, y = md5sum (y) 여기서 z = 100;

업데이트 T1 세트 x = 2, y = md5sum (y) 여기서 z = 100;

postgres =# 테이블 고객 만들기 (
               CID int 기본 키,
               cname 텍스트,
               신용 텍스트
           );
테이블을 만듭니다
Postgres =# 열 고객의 보안 레이블
               'system_u : object_r : 배트맨 토토_secret_table_t : s0';
보안 레이블
postgres =# function show_credit (int) 텍스트를 반환합니다
             'regexp_replace를 선택하십시오 (신용', '-[0-9]+$' ','-xxxx '', 'g' ')
                        CID = $ 1 '에서 고객에게서
           언어 SQL;
기능을 만듭니다
postgres =# function show_credit (int)의 보안 레이블
               'system_u : object_r : 배트맨 토토_trusted_proc_exec_t : s0';
보안 레이블

postgres =# 고객에서 선택 *;
오류 : SELINUX : 보안 정책 위반
Postgres =# 고객에서 CID, CNAME, SHOW_CREDIT (CID)를 선택하십시오.
 cid | cname |     show_credit
-----+--------+--------------------------
   1 | 타로 | 1111-222-3333-xxxx
   2 | 하나코 | 5555-6666-7777-xxxx
(2 줄)

F.38.6. 제한

F.38.7. 외부 자원

F.38.8. 작가

Kaigai Kohei<kaigai@ak.jp.nec.com