32、利用SELinux和AppArmor实现强制访问控制

利用SELinux和AppArmor实现强制访问控制

1. SELinux布尔值操作

SELinux的布尔值可用于控制特定功能的开启或关闭。例如，可使用以下命令查看 httpd_can_sendmail 布尔值的状态：

[donnie@localhost ~]$ getsebool httpd_can_sendmail
httpd_can_sendmail --> on

有些布尔值默认是开启的，但可能存在安全风险。以允许CGI脚本在Web服务器上运行为例，这可能会被入侵者利用上传恶意脚本造成损害。若确定网站无需运行CGI脚本，可关闭该布尔值：

[donnie@localhost ~]$ getsebool httpd_enable_cgi
httpd_enable_cgi --> on
[donnie@localhost ~]$ sudo setsebool -P httpd_enable_cgi off
[donnie@localhost ~]$ getsebool httpd_enable_cgi
httpd_enable_cgi --> off

2. 网络端口保护

每个网络守护进程都有特定的网络端口用于监听。 /etc/services 文件包含常见守护进程及其关联端口，但无法阻止将守护进程配置为监听非标准端口。SELinux通过仅允许守护进程监听特定端口来防止此类恶意活动。