2、Linux系统安全利器：SELinux深度解析

Linux系统安全利器：SELinux深度解析

1. SELinux简介

Security-Enhanced Linux（SELinux）为Linux系统带来了额外的安全措施，以进一步保护其资源。它是Linux内核的一部分，是一个主要Linux发行版都支持的强制访问控制系统。在深入了解SELinux之前，我们先来认识一些相关概念，包括它为何使用标签识别资源、与传统Linux访问控制的区别、如何执行安全规则，以及Linux内核中支持的其他强制访问控制系统。SELinux通过策略文件来提供访问控制规则。

本章主要涵盖以下主题：
- 为Linux提供更多安全保障
- 标记所有资源和对象
- 定义和分发策略
- 区分不同策略

2. 为Linux提供更多安全保障

在常规的Linux系统中，默认的访问控制是 discretionary（自主访问控制，DAC），系统的安全性在很大程度上依赖于用户和进程的行为。例如，/etc/shadow文件包含本地Linux账户的密码和账户信息，在没有额外访问控制机制的情况下，任何以root用户身份运行的进程都可以读写该文件，这就存在信息泄露的风险。

数据库服务器的配置也是一个例子。数据库文件通常只有数据库管理系统（DBMS）的运行时账户和Linux root用户可以访问，但受信任的用户可以通过sudo等方式切换到这些账户来访问文件，他们可能会在不通过DBMS的情况下分析数据库文件并获取机密信息。

此外，许多软件守护进程以root用户身份运行或拥有较高权限，这些守护进程中的错误可能导致信息泄露或产生可被远程利用的漏洞。

而SELinux在