深入理解SELinux

Security-Enhanced Linux (SELinux)是强制访问控制MAC在Linux内核中的一种实现——在自主访问控制（DAC）检查之后，再次检查允许的操作。SELinux通过定义的策略，强制限定Linux系统中对文件的操作、进程的权限。

MAC:mandatory access control

DAC:discretionary access controls

优点

所有文件和进程都加上一个特定类型标签，一个类型标签为进程定义了一个域，而为文件定义了一种类型。SELinux策略中指定，进程访问文件的规则以及进程间通信规则。

细化访问控制。SELinux中访问能力取决相关信息，例如用户、角色、类型和等级（可选选项）。

策略由管理员设置，全系统范围有效。

防止权限升级，如果有进程被挟持了（compromised），攻击者只能访问有限的资源（该进程所能访问的资源）。

加强数据的安全性和完整性

注意：

SELinux不是杀毒软件

SELinux不是口令密码、防火墙或者其他安全系统的替代物

SELinux不是一体化的安全解决方案

SELinux是在已有的安全解决方案基础之上，增强安全性，而不是替代原有的安全解决方案。

工作状态

Enforcing(启用状态)：SELinux策略是强制使用。SELinux会根据策略拒绝访问

Permissive（自由状态）：SELinux策略不是被强制使用的，仅会根据策略提醒用户

Disabled(禁用状态)：SELinux不启用

~]# getenforce # 查看启用状态 Enforcing

~]# setenforce 0 　　# 关闭SELinux
~]# getenforce 
  Permissive

工作模式

strict（严格模式）：每个进程都会受到Selinux的控制

targeted （宽松模式）：仅对部分进程启用selinux的控制

安全标签

格式：

user, role, type, level

user, 用户

role, 角色

type, 类型

level, 等级，可选项

使用 ls -Z  可查看文件的标签

[root@node1 tmp]$ls -Z mbr.bak -rw-r--r--. root root system_u:object_r:tmp_t:s0 mbr.bak

第四个字段即为安全标签——“system_u:object_r:tmp_t:s0”

查看进程的安全标签——ps  -Z

[root@node1 tmp]$ps aux -Z LABEL USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND system_u:system_r:init_t:s0 root 1 0.0 0.1 17128 1312 ? Ss 03:06 0:01 /sbin/in system_u:system_r:kernel_t:s0 root 2 0.0 0.0 0 0 ? S 03:06 0:00 [kthrea] system_u:system_r:kernel_t:s0 root 3 0.0 0.0 0 0 ? S 03:06 0:00 [migrat] system_u:system_r:kernel_t:s0 root 4 0.0 0.0 0 0 ? S 03:06 0:00 [ksofti]
...

修改安全标签

chcon命令

修改文件的SELinux安全上下文

常用选项

-u　　指定用户

-r 　　指定角色

-t 　　指定类型或域

-R 　  递归修改文件或文件夹

修改文件安全上下文类型

[root@node1 tmp]$ls -Z mbr.bak -rw-r--r--. root root system_u:object_r:tmp_t:s0 mbr.bak [root@node1 tmp]$chcon -t tmp_tt_t mbr.bak # 修改文件的安全上下文类型 [root@node1 tmp]$ls -Z mbr.bak -rw-r--r--. root root system_u:object_r:tmp_tt_t:s0 mbr.bak

restorecon命令

还原文件安全上下文

常用选项

　　-R　　递归还原文件或文件夹

getsebool

查看进程或服务本身开启或关闭的功能模块

-a　　查看所有布尔值

setsebool

　　修改指定模块是否使用SELinux

　　-P　　将修改结果保存本地磁盘