Ensure SELinux is configured

높음레벨 1자동bottlerocket

설명

SELinux must be enabled and in enforcing mode. The audit runs sestatus and requires SELinux enabled with the fortified policy and enforcing current and configured mode (falls back to getenforce = Enforcing when sestatus is not present). Run tmaegis on the host through the admin container root shell (sudo sheltie).

점검 방법

감사 방식: 셸 명령

shell

if command -v sestatus >/dev/null 2>&1; then
  out=$(sestatus 2>/dev/null) || exit 1
  bad=0
  for l in 'SELinux status: enabled' 'Loaded policy name: fortified' 'Current mode: enforcing' 'Mode from config file: enforcing'; do
    printf '%s\n' "$out" | tr -s ' \t' ' ' | grep -Fxq -- "$l" || { echo "missing: $l"; bad=1; }
  done
  [ "$bad" -eq 0 ] && echo compliant
else
  m=$(getenforce 2>/dev/null) || exit 1
  [ "$m" = Enforcing ] && echo compliant || echo "SELinux: $m"
fi

예상 출력: compliant

조치 방법

조치 방식: 가이드 또는 인프라 패치

Replace the system or reinstall the distribution.

속성

운영 체제: 모두
태그: bottlerocketsystem
참고 자료: CIS Bottlerocket Benchmark v1.0.0 - 1.5.1 Ensure SELinux is configured

이 호스트 점검하기

감사 권한이 있는 시스템에서 실행하세요. 스캔은 읽기 전용입니다.

shell

tmaegis scan --target bottlerocket