22、Linux安全机制：SELinux与/proc文件系统深度解析

Linux安全机制：SELinux与/proc文件系统深度解析

1. SELinux基础概念

SELinux为Linux引入了强制访问控制（MAC），与标准Linux内核的自主访问控制（DAC）不同。在DAC系统中，用户可自行决定将自己拥有的资源访问权限授予其他用户；而在MAC系统中，所有权和访问由组织控制的一套复杂且可定制的规则管理。

正常的Linux安全机制（访问模式和用户/组ID）与SELinux机制协同工作。一个进程访问对象前，必须同时满足这两种机制。例如，用户ID对某文件有写入权限，SELinux不一定允许访问，这取决于具体策略。

SELinux引入了一些新术语，理解这些术语对进一步了解SELinux很有帮助：
- 一切皆对象 ：对象是可保护和可访问的事物。Fedora Core 2安全策略定义了多种对象，如文件、文件系统、网络套接字和设备等，共12种顶级对象，还定义了一些细粒度的特殊对象。
| 顶级对象类型 | 说明 |
| — | — |
| 文件（和目录） | 常见的文件和目录资源 |
| 文件系统 | 如ext4、NTFS等 |
| 文件描述符 | 打开文件的句柄 |
| 套接字 | 网络通信的端点 |
| 网络节点 | 网络中的节点设备 |
| 网络接口 | 如eth0、ppp0等 |
| 进程 | 正在运行的程序实例 |
| IPC机制 | 包括共享内存、信号量和消息队列 |
| SELinux安全服务器 | 负责SELinux策略执行 |
| 系统日志（syslog） | 记录系统运行信息