Файл определения проекта

В проекте secPaver должен существовать файл определения проекта с именем «pav.proj». Этот файл необходимо разместить в корневом каталоге проекта. В файле определяются основные сведения о проекте и файлы проекта. Формат файла — JSON.

Содержание таблицы:

Примечание: в файле определения структуры файлов проекта значения полей, определяющих структуру, представляют собой относительные пути к каждому файлу относительно корневого каталога проекта. Путь не должен содержать «../».

Пример файла определения проекта:

{
    "version": "3",
    "name": "secpaver",
    "resources": "resources.json",
    "specs": [
        "specs/module_pavd.json",
        "specs/module_pav.json"
    ],
    "selinux": {
        "config": "selinux.json"
    }
}

4.3 Файл информации о ресурсах

Все файлы ресурсов, которые включены в создаваемую secPaver безопасную стратегию, должны быть определены в этом файле. В проекте должен быть только один файл информации о ресурсах. Формат файла — JSON, рекомендуется назвать его «resources.json». Определяются поля и описание файла информации о ресурсах:

Примечание:

1. Для основных приложений стратегии нельзя устанавливать isSysFile в значение true.
2. Поля isSysFile и isPrivateFile не могут быть установлены в значение true одновременно.

4.3.1 Типы файлов ресурсов

Ключевые слова типов файлов secPaver перечислены в следующей таблице. Если введено пустое значение, это означает, что все типы файлов соответствуют ключевому слову all:

4.3.2 Путь к файлу

Путь к файлу должен быть абсолютным путём, и каждый путь может быть определён только один раз. Можно использовать подстановочные знаки в пути, но из-за различий в представлении путей к файлам в разных механизмах безопасности (например, AppArmor использует подстановочные знаки, а SELinux использует регулярные выражения), в настоящее время пользователям разрешено использовать только ограниченное количество подстановочных знаков:

(1) Использование подстановочного знака в конце пути к файлу:

(2) Использование подстановочного знака в середине пути к файлу:

(3) Специальные символы, которые необходимо экранировать пользователю:

* ? { } \

4.3.3 Макроопределения

Пользователи могут использовать макросы для упрощения написания путей к файлам. Макросы должны быть определены в файле информации о ресурсах. Имя макроса должно соответствовать правилам именования C-языка, может включать буквы, цифры и подчёркивание и не может начинаться с цифры. Рекомендуется использовать заглавные буквы, такие как BIN_DIR, WORK_DIR и т. д.

Используйте «$()» для вызова имени макроса в пути к ресурсу, например $(BIN_DIR)/pav, $(WORK_DIR)/project и т.д.

4.3.4 Группы ресурсов

Для некоторых файлов ресурсов с одинаковыми правами доступа пользователи могут добавить их в группу ресурсов для управления. В файле спецификаций можно напрямую ссылаться на эти группы ресурсов, чтобы упростить написание и улучшить читаемость. Пути к ресурсам в группе ресурсов должны быть определены в «resourceList».

{
    "macroList": [
        {
            "name": "VSEC_PROJDIR",
            "value": "/root/pavprojects"
        }
    ],
    "groupList": [
        {
            "name": "MANAGE_GROUP",
            "resources": [
                "/var/run/secpaver{,/**}",
                "/var/log/secpaver{,/**}",
                "/var/local/secpaver{,/**}",
                "/tmp/secpaver{,/**}"
            ]
        }
    ],
    "resourceList": [
        {
            "type": "",
            "path": "/var/run/secpaver{,/**}",
            "selinux": {
                "isSysFile": false,
                "isPrivateFile": false,
                "type": "pavd_run_t"
            }
        },
        {
            "type": "",
            "path": "$(VSEC_PROJDIR){,/**}",
            "selinux": {
                "isSysFile": false,
                "isPrivateFile": false
            }
        },
        {
            "type": "",
            "path": "/tmp/secpaver{,/**}",
            "selinux": {
                "isSysFile": false,
                "isPrivateFile": false,
                "type":"pavd_tmp_t"
            }
        },
        {
            "type": "exec_file",
            "path": "/usr/bin/make",
            "selinux": {
                "isSysFile": true,
                "isPrivateFile": false
            }
        },
        {
            "type": "file",
            "path": "/usr/share/selinux/devel/Makefile",
            "selinux": {
                "isSysFile": true,
                "isPrivateFile": false
            }
        },
        {
            "type": "",
            "path": "/var/local/secpaver{,/**}",
            "selinux": {
                "isSysFile": false,
                "isPrivateFile": false,
                "type": "pavd_local_t"
            }
        },
        {
            "type": "",
            "path": "/etc/secpaver{,/**}",
            "selinux": {
                "isSysFile": false,
                "isPrivateFile": false,
                "type": "pavd_etc_t"
            }
        },
        {
            "type": "",
            "path": "/var/log/secpaver{,/**}",
            "selinux": {
                "isSysFile": false,
                "isPrivateFile": false,
                "type": "pavd_log_t"
            }
        },
        {
            "type": "exec_file",
            "path": "/usr/bin/pavd",
            "selinux": {
                "isSysFile": false,
                "isPrivateFile": false,
                "type": "pavd_exec_t",
                "domain": "pavd_t"
            }
        },
        {
            "type": "exec_file",
            "path": "/usr/bin/pav",
            "selinux": {
                "isSysFile": false,
                "isPrivateFile": false,
                "type": "pav_exec_t",
                "domain": "pav_t"
            }
        }
    ]
}

4.4 Файл определения прав приложения

Файл определения прав приложения используется для объявления разрешений на действия для каждого приложения в проекте. Соответствующие конфигурации включают:

4.4.1 Информация об приложении

Примечание:

1. Путь к приложению должен быть абсолютным и должен быть определён в файле информации о ресурсах. permissionList | type | string | required | ---|---|---|---| 权限类型, в настоящее время поддерживаются: filesystem, capability и network | | resources | string array | required | Список ресурсов приложения | | actions | string array | required| Действия приложения над ресурсами |

Различные типы разрешений имеют следующие конфигурации полей:

4.4.3 Пример файла спецификации

{
    "applicationList":[
        {
            "application":{
                "path":"/usr/bin/pavd"
            },
            "permissionList":[
                {
                    "type":"filesystem",
                    "resources":[
                        "$(WORK_GROUP)"
                    ],
                    "actions":[
                        "read",
                        "write"
                    ]
                },
                {
                    "type":"capablilty",
                    "actions":[
                        "setuid",
                        "net_raw"
                    ]
                },
                {
                    "type":"network",
                    "resources":[
                        "domain:inet,type:stream,protocol:tcp,port:55000"
                    ],
                    "actions":[
                        "connect",
                        "send"
                    ]
                }
            ]
        }
    ]
}

4.5 Конфигурация файла генерации стратегии

4.5.1 Описание конфигурации файла стратегии SELinux

Формат файла конфигурации стратегии SELinux — это файл JSON. Рекомендуется называть его selinux.json. Определения полей следующие:

4.5.3 Пример конфигурации файла стратегии SELinux

{
    "policy":{
        "monolithic_policy": true
    },
    "extraRules":[
        "allow pav_t sysfs_t:file { open read };",
        "allow pavd_t user_devpts_t:chr_file { append read write };"
    ]
}

6 Описание файлов стратегий

В этой главе приводится описание файлов стратегий, созданных secPaver.

6.1 Файлы стратегий SELinux

6.1.1 Модуль стратегии

Стратегии SELinux управляются в виде модулей. Один модуль стратегии содержит объявления безопасного контекста файла и определения безопасных правил. В зависимости от конфигурации monolithic в файле конфигурации SELinux генерируются разные модули стратегии:

Имя модуля стратегии secPaver будет иметь суффикс «_selinux». Например:

Создано несколько модулей стратегии:

# ls specs/
module_1.json  module_2.json  module_3.json
# pav policy list

Name                                  Status     
demo_module_1_selinux                 disable    
demo_module_2_selinux                 disable    
demo_module_3_selinux                 disable    
demo_public_selinux                   disable  

Создан один модуль стратегии:

# pav policy list

Name                                  Status     
demo_selinux                          disable    

Примечание: 1) Обычно генерация нескольких модулей стратегии подходит для отладки стратегии или сценариев, где некоторые стратегии необходимо динамически загружать и выгружать. Генерация одного модуля стратегии подходит для публикации стратегии вместе с приложением или для фактического развёртывания.

2) При генерации нескольких модулей стратегии подмодули зависят от публичного модуля, поэтому при загрузке стратегии необходимо соблюдать порядок загрузки публичного модуля перед подмодулями. Порядок выгрузки обратный. Во время генерации стратегии secPaver создаст в каталоге стратегии несколько файлов скриптов, которые включают в себя часто используемые операции, такие как создание и развёртывание стратегии:

Файлы скриптов по умолчанию хранятся в каталоге /usr/share/secpaver, который может быть изменён пользователем.

Примечание: Процесс работы со стратегиями SELinux довольно сложен и включает в себя изменение безопасного контекста. В зависимости от среды применения продукта фактическая схема развёртывания может отличаться. Поэтому предоставленные скрипты secPaver следует использовать только в качестве справочных материалов.

7 LICENSE

Проект secPaver использует лицензию BY-SA 4.0.