22、深入了解SELinux与/proc文件系统

深入了解SELinux与/proc文件系统

1. SELinux基础

SELinux（Security-Enhanced Linux）为Linux系统带来了强制访问控制（MAC）这一重要特性，而标准的Linux内核采用的是自主访问控制（DAC）。在DAC系统中，用户可以自行决定将其拥有的资源访问权限授予其他用户；但在MAC系统中，所有权和访问权限由组织控制的一组复杂且可定制的规则来管理。

1.1 SELinux中的对象与主体

• 对象 ：指可以被保护和访问的事物。Fedora Core 2安全策略定义了12种顶级对象，包括文件、文件系统、网络套接字、设备等。
  • 文件（和目录）
  • 文件系统
  • 文件描述符
  • 套接字
  • 网络节点
  • 网络接口
  • 进程
  • IPC机制
  • SELinux安全服务器
  • 系统日志
  • 内核功能
  • 密码
• 主体 ：能够对对象执行操作的事物，如进程、用户和程序。每个主体和对象都有一个关联的安全上下文，当主体尝试访问对象时，内核会根据策略比较主体上下文、对象上下文和请求的访问类型，以决定是否授予访问权限。

1.2 安全上下文

安全上下文由身份、角色和类型三个组件组成。