# FreeBSD Handbook/Administração/MAC/Nagios num Jail MAC

FreeBSD Handbook :
| Anterior | Capítulo 16. Mandatory Access Control | Próxima |

## 16.14 Nagios num jail MAC

A demonstração a seguir implementará um ambiente seguro usando vários módulos do MAC com políticas apropriadamente configuradas. Isso é apenas um teste e não deve ser considerada a resposta completa às lamentações de todos. Isso é apenas uma implementação de política nunca utilizada e que pode ser desastrosa num ambiente de produção.
Antes de começar o processo, a opção multilabel deve estar configurada em cada sistema de arquivos, como comentado no início deste capítulo. Não fazer isso resultará em erros. Verifique também que os ports net-mngt/nagios-plugins, net-mngt/nagios e www/apache13 estejam instalados, configurados e operando corretamente.

### 16.14.1 Criando uma Classe de Usuário Insegura

Comece o procedimento adicionando a seguinte classe de usuário ao arquivo /etc/login.conf:
Adicione a seguinte linha à classe de usuário default:
Uma vez feito isso, o seguinte comando deve ser executado para reconstruir a base de dados:

### 16.14.2 Configuração de Boot

Não reinicie a máquina ainda, apenas adicione as linhas a seguir ao arquivo /boot/loader.conf de modo que os módulos necessários sejam carregados durante a inicialização do sistema:

### 16.14.3 Configurando os Usuários

Coloque o usuário root na classe default com o comando:
Todas as contas de usuário que não são root ou usuários do sistema irão agora precisar de uma classe de login. A classe de login será necessária pois, caso contrário, usuários não terão permissão de acessar comandos comuns como vi(1). O script em sh a seguir deve fazer o trabalho:
Coloque os usuários nagios e www na classe insecure criada:

### 16.14.4 Crie o Arquivo de Contextos

Um arquivo de contextos deve ser então criado. O seguinte exemplo deve ser colocado no /etc/policy.contexts
Esta política reforçará a segurança definindo restrições no fluxo de informações. Nesta configuração específica, usuários, root e outros, nunca devem ter permissão de acesso ao Nagios. Os arquivos de configuração e processos que são parte do Nagios estarão completamente contidos em si mesmos ou em um jail.
Este arquivo deve ser então carregado no nosso sistema com o seguinte comando:
Nota: O layout do sistema de arquivos acima pode ser diferente, dependendo do ambiente, contudo a execução deve ser feita em casa sistema de arquivos distinto.
O /etc/mac.conf necessita das seguintes modificações na seção main:

### 16.14.5 Habilitando a Rede

Adicione a seguinte linha no /boot/loader.conf:
E a seguinte linha à configuração da placa de rede no arquivo rc.conf. Se a configuração principal da conexão com a Internet é feita via DHCP, isso terá que ser configurado manualmente a cada boot do sistema.

### 16.14.6 Testando a Configuração

Assegure-se de que o servidor web e o Nagios não vão ser iniciados no boot e reinicie o sistema. Certifique-se de que o usuário root não pode acessar nenhum dos arquivos no diretório de configuração do Nagios. Se o root puder executar um ls(1) no /var/spool/nagios, então alguma coisa está errada. O correto é obter a mensagem de erro “permission denied”.
Se tudo parece correto, Nagios, Apache e Sendmail podem ser então iniciados de maneira a se adequarem à política de segurança. Os seguintes comandos farão isso:
Certifique-se por todos os meios de que tudo está funcionando corretamente. Se não estiver, cheque os arquivos de log ou as mensagens de erro. Use o comando sysctl(8) para desabilitar o módulo mac_biba(4) e tente iniciar tudo novamente, de maneira normal.
Nota: O usuário root pode mudar o estado da política de seguraça e editar os arquivos de configuração sem medo. O seguinte comando lançará um novo shell para o qual a segurança estará mais fraca:
Para evitar que isso aconteça, force que o usuário esteja num intervalo via login.conf(5). Se o comando setpmac(8) tentar rodar um comando fora do intervalo do compartimento, será obtido um erro e o comando não será executado. Neste caso, configurando o root para biba/high(high-high).
| Anterior | Índice | Próxima |
| O Módulo LOMAC do MAC | Topo | Amarração de Usuários Última edição desta página: 31/08/2010 (20100831124506) |