audit2allow - ക്ലൗഡിൽ ഓൺലൈനായി

പട്ടിക:

NAME

ഓഡിറ്റ്2അനുവദിക്കുക - നിരസിച്ച പ്രവർത്തനങ്ങളുടെ ലോഗുകളിൽ നിന്ന് SELinux നയം അനുവദിക്കുക/ഡോണ്ടാഡിറ്റ് നിയമങ്ങൾ സൃഷ്ടിക്കുക

ഓഡിറ്റ്2എന്തുകൊണ്ട് - SELinux ഓഡിറ്റ് സന്ദേശങ്ങൾ എന്തുകൊണ്ട് ആക്സസ് ചെയ്തു എന്നതിന്റെ വിവരണത്തിലേക്ക് വിവർത്തനം ചെയ്യുന്നു
നിരസിച്ചു (audit2allow -w)

സിനോപ്സിസ്

ഓഡിറ്റ്2അനുവദിക്കുക [ഓപ്ഷനുകൾ]

ഓപ്ഷനുകൾ

-a | --എല്ലാം
ഓഡിറ്റ്, സന്ദേശ ലോഗ് എന്നിവയിൽ നിന്നുള്ള ഇൻപുട്ട് വായിക്കുക, -i-യുമായുള്ള വൈരുദ്ധ്യങ്ങൾ

-b | --ബൂട്ട്
അവസാന ബൂട്ട് -i-യുമായി പൊരുത്തക്കേടുകൾ ഉണ്ടായതിനാൽ ഓഡിറ്റ് സന്ദേശങ്ങളിൽ നിന്നുള്ള ഇൻപുട്ട് വായിക്കുക

-d | --dmesg
ഔട്ട്പുട്ടിൽ നിന്നുള്ള ഇൻപുട്ട് വായിക്കുക /bin/dmesg. എല്ലാ ഓഡിറ്റ് സന്ദേശങ്ങളും അങ്ങനെയല്ല എന്നത് ശ്രദ്ധിക്കുക
ഓഡിറ്റ് പ്രവർത്തിക്കുമ്പോൾ dmesg വഴി ലഭ്യമാണ്; "ausearch -m avc | audit2allow" ഉപയോഗിക്കുക അല്ലെങ്കിൽ
പകരം "-a".

-D | --ഡോന്റൗഡിറ്റ്
ഡോണ്ടാഡിറ്റ് നിയമങ്ങൾ സൃഷ്ടിക്കുക (സ്ഥിരസ്ഥിതി: അനുവദിക്കുക)

-h | --സഹായിക്കൂ
ഒരു ചെറിയ ഉപയോഗ സന്ദേശം അച്ചടിക്കുക

-i | --ഇൻപുട്ട്
എന്നതിൽ നിന്നുള്ള ഇൻപുട്ട് വായിക്കുക

-l | --ലാസ്റ്റ്രെലോഡ്
അവസാന പോളിസി റീലോഡിന് ശേഷം മാത്രം ഇൻപുട്ട് വായിക്കുക

-m | --മൊഡ്യൂൾ
മൊഡ്യൂൾ ജനറേറ്റ് ചെയ്യുക/ഔട്ട്പുട്ട് ആവശ്യമാണ്

-M
ലോഡ് ചെയ്യാവുന്ന മൊഡ്യൂൾ പാക്കേജ് സൃഷ്ടിക്കുക, -o-യുമായി വൈരുദ്ധ്യങ്ങൾ

-p | --നയം
വിശകലനത്തിനായി ഉപയോഗിക്കേണ്ട നയ ഫയൽ

-o | --ഔട്ട്പുട്ട്
ഔട്ട്പുട്ട് കൂട്ടിച്ചേർക്കുക

-r | --ആവശ്യമാണ്
ലോഡ് ചെയ്യാവുന്ന മൊഡ്യൂളുകൾക്ക് ആവശ്യമായ ഔട്ട്‌പുട്ട് വാക്യഘടന സൃഷ്ടിക്കുക.

-N | --നോറഫറൻസ്
റഫറൻസ് നയം സൃഷ്ടിക്കരുത്, പരമ്പരാഗത ശൈലി അനുവദിക്കുന്ന നിയമങ്ങൾ. ഇതാണ്
സ്ഥിര സ്വഭാവം.

-R | --റഫറൻസ്
ഇൻസ്റ്റാൾ ചെയ്ത മാക്രോകൾ ഉപയോഗിച്ച് റഫറൻസ് നയം സൃഷ്ടിക്കുക. ഇത് നിഷേധിക്കലുകളുമായി പൊരുത്തപ്പെടാൻ ശ്രമിക്കുന്നു
ഇന്റർഫേസുകൾക്ക് എതിരായതും കൃത്യമല്ലാത്തതുമാകാം.

-w | --എന്തുകൊണ്ട്
എന്തുകൊണ്ട് ആക്സസ് നിരസിച്ചു എന്നതിന്റെ വിവരണത്തിലേക്ക് SELinux ഓഡിറ്റ് സന്ദേശങ്ങൾ വിവർത്തനം ചെയ്യുന്നു

-v | --വാക്കുകൾ
വെർബോസ് ഔട്ട്പുട്ട് ഓണാക്കുക

വിവരണം

സിസ്റ്റം അനുമതി നിഷേധിച്ചപ്പോൾ ലോഗ് ചെയ്ത സന്ദേശങ്ങൾക്കായി ഈ യൂട്ടിലിറ്റി ലോഗുകൾ സ്കാൻ ചെയ്യുന്നു
ഓപ്പറേഷൻസ്, പോളിസി റൂളുകളുടെ ഒരു സ്‌നിപ്പെറ്റ് സൃഷ്‌ടിക്കുന്നു, അത് പോളിസിയിൽ ലോഡുചെയ്യുകയാണെങ്കിൽ
ആ പ്രവർത്തനങ്ങൾ വിജയിക്കാൻ അനുവദിച്ചു. എന്നിരുന്നാലും, ഈ യൂട്ടിലിറ്റി തരം മാത്രമേ സൃഷ്ടിക്കൂ
എൻഫോഴ്‌സ്‌മെന്റ് (ടിഇ) നിയമങ്ങൾ അനുവദിക്കുന്നു. ചില അനുമതി നിഷേധങ്ങൾക്ക് മറ്റ് തരത്തിലുള്ളവ ആവശ്യമായി വന്നേക്കാം
നയപരമായ മാറ്റങ്ങൾ, ഉദാ: നിലവിലുള്ളവയെ തൃപ്തിപ്പെടുത്താൻ ഒരു തരം ഡിക്ലറേഷനിൽ ഒരു ആട്രിബ്യൂട്ട് ചേർക്കുന്നു
നിയന്ത്രണം, ഒരു റോൾ അനുവദനീയ നിയമം ചേർക്കൽ, അല്ലെങ്കിൽ ഒരു പരിമിതി പരിഷ്ക്കരിക്കുക. ദി ഓഡിറ്റ്2എന്തുകൊണ്ട്(8) പ്രയോജനം
കാരണം വ്യക്തമല്ലാത്തപ്പോൾ അത് നിർണ്ണയിക്കാൻ ഉപയോഗിക്കാം.

ഇത് ഉറപ്പാക്കാൻ ഈ യൂട്ടിലിറ്റിയുടെ ഔട്ട്പുട്ടിൽ പ്രവർത്തിക്കുമ്പോൾ ശ്രദ്ധിക്കേണ്ടതുണ്ട്
അനുവദനീയമായ പ്രവർത്തനങ്ങൾ സുരക്ഷാ ഭീഷണി ഉയർത്തുന്നില്ല. പലപ്പോഴും പുതിയത് നിർവ്വചിക്കുന്നതാണ് നല്ലത്
ഡൊമെയ്‌നുകൾ കൂടാതെ/അല്ലെങ്കിൽ തരങ്ങൾ, അല്ലെങ്കിൽ ഒപ്റ്റിമൽ സെറ്റ് അനുവദിക്കുന്നതിന് മറ്റ് ഘടനാപരമായ മാറ്റങ്ങൾ വരുത്തുക
ചിലപ്പോൾ വിപുലമായ മാറ്റങ്ങൾ അന്ധമായി നടപ്പിലാക്കുന്നതിന് വിപരീതമായി, വിജയിക്കാനുള്ള പ്രവർത്തനങ്ങൾ
ഈ യൂട്ടിലിറ്റി ശുപാർശ ചെയ്യുന്നു. ചില അനുമതി നിഷേധങ്ങൾ മാരകമല്ല
ആപ്ലിക്കേഷൻ, ഈ സാഹചര്യത്തിൽ നിഷേധത്തിന്റെ ലോഗിംഗ് അടിച്ചമർത്തുന്നത് അഭികാമ്യമാണ്
'അനുവദിക്കുക' നിയമത്തിനുപകരം ഒരു 'ഡോണ്ടാഡിറ്റ്' റൂൾ വഴി.

ഉദാഹരണം

ശ്രദ്ധിക്കുക: ഇവ ഉദാഹരണങ്ങൾ ആകുന്നു വേണ്ടി സിസ്റ്റങ്ങൾ ഉപയോഗിച്ച് The ഓഡിറ്റ് പാക്കേജ്. If നിങ്ങളെ do
അല്ല ഉപയോഗം The ഓഡിറ്റ് പാക്കേജ്, The AVC സന്ദേശങ്ങൾ ഉദ്ദേശിക്കുന്ന be in /var/log/messages.
ദയവായി പകരം / var / ലോഗ് / സന്ദേശങ്ങൾ വേണ്ടി /var/log/audit/audit.log in The
ഉദാഹരണങ്ങൾ.

ഉപയോഗിക്കുന്നു ഓഡിറ്റ്2അനുവദിക്കുക ലേക്ക് ജനറേറ്റ് മൊഡ്യൂൾ നയം

$ cat /var/log/audit/audit.log | audit2allow -m ലോക്കൽ > local.te
$ പൂച്ച local.te
മൊഡ്യൂൾ ലോക്കൽ 1.0;

ആവശ്യമാണ് {
ക്ലാസ് ഫയൽ {getattr ഓപ്പൺ റീഡ്};

myapp_t എന്ന് ടൈപ്പ് ചെയ്യുക;
ടൈപ്പ് etc_t;
};

myapp_t etc_t അനുവദിക്കുക: ഫയൽ {getattr ഓപ്പൺ റീഡ്};


ഉപയോഗിക്കുന്നു ഓഡിറ്റ്2അനുവദിക്കുക ലേക്ക് ജനറേറ്റ് മൊഡ്യൂൾ നയം ഉപയോഗിച്ച് സൂചന നയം

$ cat /var/log/audit/audit.log | audit2allow -R -m ലോക്കൽ > local.te
$ പൂച്ച local.te
policy_module(ലോക്കൽ, 1.0)

gen_require(`
myapp_t എന്ന് ടൈപ്പ് ചെയ്യുക;
ടൈപ്പ് etc_t;
};

files_read_etc_files(myapp_t)


കെട്ടിടം മൊഡ്യൂൾ നയം ഉപയോഗിച്ച് Makefile

# SELinux ഒരു നയ വികസന പരിസ്ഥിതി പ്രദാനം ചെയ്യുന്നു
# /usr/share/selinux/devel എല്ലാം ഷിപ്പ് ചെയ്തവ ഉൾപ്പെടെ
# ഇന്റർഫേസ് ഫയലുകൾ.
# നിങ്ങൾക്ക് ഒരു ടെ ഫയൽ സൃഷ്‌ടിക്കാനും എക്‌സിക്യൂട്ട് ചെയ്‌ത് കംപൈൽ ചെയ്യാനും കഴിയും

$ make -f /usr/share/selinux/devel/Makefile local.pp

# ഈ make കമാൻഡ് കറന്റിൽ ഒരു local.te ഫയൽ കംപൈൽ ചെയ്യും
# ഡയറക്ടറി. നിങ്ങൾ ഒരു "pp" ഫയൽ വ്യക്തമാക്കിയിട്ടില്ലെങ്കിൽ, നിർമ്മിക്കുക ഫയൽ
# നിലവിലെ ഡയറക്‌ടറിയിലെ എല്ലാ "te" ഫയലുകളും കംപൈൽ ചെയ്യും. ശേഷം
# നിങ്ങളുടെ ടെ ഫയൽ ഒരു "pp" ഫയലിലേക്ക് കംപൈൽ ചെയ്യുന്നു, നിങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്യേണ്ടതുണ്ട്
# ഇത് സെമോഡ്യൂൾ കമാൻഡ് ഉപയോഗിക്കുന്നു.

$ semodule -i local.pp

കെട്ടിടം മൊഡ്യൂൾ നയം സ്വമേധയാ

# മൊഡ്യൂൾ കംപൈൽ ചെയ്യുക
$ ചെക്ക്മോഡ്യൂൾ -M -m -o local.mod local.te

# പാക്കേജ് സൃഷ്ടിക്കുക
$ semodule_package -o local.pp -m local.mod

# കേർണലിലേക്ക് മൊഡ്യൂൾ ലോഡ് ചെയ്യുക
$ semodule -i local.pp

ഉപയോഗിക്കുന്നു ഓഡിറ്റ്2അനുവദിക്കുക ലേക്ക് ജനറേറ്റ് ഒപ്പം പണിയുക മൊഡ്യൂൾ നയം

$ cat /var/log/audit/audit.log | audit2allow -എം ലോക്കൽ
തരം എൻഫോഴ്‌സ്‌മെന്റ് ഫയൽ സൃഷ്‌ടിക്കുന്നു: local.te

കംപൈൽ നയം: ചെക്ക്മോഡ്യൂൾ -M -m -o local.mod local.te
ബിൽഡിംഗ് പാക്കേജ്: semodule_package -o local.pp -m local.mod

********************** പ്രധാനം ***********************

പുതുതായി സൃഷ്ടിച്ച ഈ പോളിസി പാക്കേജ് കേർണലിലേക്ക് ലോഡ് ചെയ്യുന്നതിനായി,
നിങ്ങൾ നടപ്പിലാക്കേണ്ടതുണ്ട്

semodule -i local.pp

ഉപയോഗിക്കുന്നു ഓഡിറ്റ്2അനുവദിക്കുക ലേക്ക് ജനറേറ്റ് മോണോലിത്തിക്ക് (മോഡ്യൂൾ അല്ലാത്തത്) നയം

$ സിഡി /etc/selinux/$SELINUXTYPE/src/policy
$ cat /var/log/audit/audit.log | audit2allow >> domains/misc/local.te
$ cat domains/misc/local.te
cupsd_config_t അനുവദിക്കുക unconfined_t:fifo_file {getattr ioctl};

$ ലോഡ് ഉണ്ടാക്കുക

onworks.net സേവനങ്ങൾ ഉപയോഗിച്ച് audit2allow ഓൺലൈനായി ഉപയോഗിക്കുക