Mengkonfigurasi SELinux di Rocky Linux: Menerapkan Kebijakan Keamanan

Apakah Anda pernah mengalami service di Rocky Linux tidak berjalan padahal konfigurasi sudah benar?
Banyak administrator pemula sering kebingungan, dan penyebabnya sering kali adalah SELinux.

Security-Enhanced Linux (SELinux) adalah modul keamanan bawaan CentOS yang mengontrol akses aplikasi, file, dan proses berdasarkan kebijakan keamanan. Meski kadang dianggap “mengganggu”, sebenarnya SELinux sangat penting untuk melindungi server dari eksploitasi dan akses tidak sah.

Apa Itu SELinux?

SELinux bekerja dengan policy rule yang menentukan aplikasi apa boleh melakukan apa terhadap file atau proses. Dengan ini, meskipun hacker masuk, kerusakan bisa diminimalkan.

Mode SELinux ada tiga:

• Enforcing → Kebijakan diterapkan penuh (default).
• Permissive → Hanya mencatat pelanggaran, tidak memblokir.
• Disabled → SELinux mati sepenuhnya.

Langkah-Langkah Mengkonfigurasi SELinux

1. Mengecek Status SELinux

Gunakan perintah:

sestatus

sestatus

atau

getenforce

getenforce

Output bisa berupa Enforcing, Permissive, atau Disabled.

2. Mengubah Mode SELinux Sementara

• Mode Permissive (tidak memblokir):

sudo setenforce 0

sudo setenforce 0

• Mode Enforcing (aktif penuh):

sudo setenforce 1

sudo setenforce 1

3. Mengubah Mode SELinux Permanen

Edit file konfigurasi:

sudo nano /etc/selinux/config

sudo nano /etc/selinux/config

Ubah bagian ini sesuai kebutuhan:

SELINUX=enforcing

SELINUX=enforcing

Simpan, lalu reboot server agar perubahan berlaku.

4. Melihat Log Pelanggaran SELinux

Jika ada service error, cek log:

sudo journalctl -t setroubleshoot

sudo journalctl -t setroubleshoot

atau file audit:

sudo less /var/log/audit/audit.log

sudo less /var/log/audit/audit.log

5. Mengelola Kebijakan SELinux

A. Mengizinkan Service Menggunakan Port Tertentu

Misalnya Nginx ingin menggunakan port 8080:

sudo semanage port -a -t http_port_t -p tcp 8080

sudo semanage port -a -t http_port_t -p tcp 8080

B. Melihat Port yang Diizinkan untuk HTTP

sudo semanage port -l | grep http_port_t

sudo semanage port -l | grep http_port_t

C. Mengaktifkan Boolean SELinux

Beberapa fitur service dikontrol lewat boolean. Contoh, agar Apache bisa terhubung ke database:

sudo setsebool -P httpd_can_network_connect on

sudo setsebool -P httpd_can_network_connect on

Dengan memahami dan mengelola SELinux di Rocky Linux, Anda bisa meningkatkan keamanan server tanpa harus mematikan fitur ini. Daripada menonaktifkan, lebih baik menyesuaikan policy agar service tetap berjalan aman.