o_19nhsmha01vhpfpg1knut7kcn4a.pdf

neverallow. Permite definir vectores de acceso que no serán permitidos.
neverallow domain ~domain:process transition;
(~domain significa no ser dominio)
2.b Reglas para usuarios y roles.
Roles
Un rol define que dominios puede tener acceso una identidad de usuario. Reglas para definir
roles:
role types ;
Se puede definir la extensión de roles.
allow ;
La dominancia es otra posibilidad para la extensión de roles
. dominance ;
Usuarios
Cada identidad de usuario puede tener acceso a un conjunto de roles. Regla para definir
usuario y roles:
user username roles role_set [ranges MLS_range_set ];
Algunos identificadores de roles son empleados en las políti cas estricta y por objetivos,
tales como:
system_r. Este rol es empleado para agrupar los dominios correspondiente a todos los procesos
excepto los procesos de usuario.
user_r. Este rol estándar para los usuarios regulares de Linux.
object_r. Rol aplicado a todos los objetos correspondientes a los recursos del sistema.
sysadm_r. Rol administrativo para una política estricta.
Para la política por objetivos todos los sujetos son confinad os en el dominio unconfined_t
, y solo algunos procesos son confinados en diferentes dominios ; Para este mismo tipo de
poítica, los usuarios tienen asociado la identidad user_u. A diferencia de la política estricta,
en donde los sujetos tienen asignado diferentes identidades y los procesos son confinados en
diferentes dominios.
2.6. Modelo del Control de Acceso de SELinux
El trabajo SELAC [Zanin and Mancini, 2004] consiste de una descripción formal del
control de acceso de SELinux, el cual emplea a los principales constructores que definen al
problema de accesibilidad de sujetos a objetos. Una política arbitraria es utilizada para obtener
los conjuntos que permiten determinar cuando un sujeto puede tener a un recurso mediante un
cierto modo de acceso. A continuación se muestra parte de tal modelo, el cua l se construye del
análisis de los diferentes archivos de configuración que integran la políti ca SELinux.
2956