20、利用SELinux理清安全问题

利用SELinux理清安全问题

1. 了解强制访问控制

Linux文件权限用于控制哪些用户或用户组可以访问特定文件。但拥有特定文件读写权限的用户可以随意使用该文件，即便这种使用方式并非文件的预期用途。Linux标准文件权限在文件由单一所有者和单一指定用户组使用时较为有效，但它无法防止某些不必要的访问，因为它只设计用于控制谁可以读取、写入或运行文件，而不是控制文件的使用方式。

Linux标准文件权限基于所有权，也称为自主访问控制（DAC），而强制访问控制（MAC）规则基于策略，而非所有权。MAC有两种类型：
- 多级安全系统 ：最初且最简单的MAC形式，具有垂直的保护和安全级别结构，信息仅在该范围内流动。用户也被分配相应的保护级别，只能访问相同或更低级别的信息。
- 多边安全系统 ：更为复杂，基于分段分配访问权限。这些分段形成关联，包含保护级别和代码字，形成一个包含垂直保护级别的水平安全系统。

SELinux是Linux上的一种MAC应用，它基于MAC原则提供特殊的安全架构，通过严格的访问控制方法和相应的安全措施，最大限度地减少对操作系统进程和文件的访问，旨在确保数据的机密性和完整性，同时将操作系统和用户程序分隔开来。此外，SELinux还依赖于类型强制（TE）和基于角色的访问控制（RBAC）。RBAC根据定义的角色模型映射访问权限，定义的用户角色抽象了组织的工作流程。在MAC模型中，TE是指通过基于主体 - 访问 - 对象的规则集进行访问授权的概念。

SELinux定义了安全措施并设置额外属性，规定了权利持有者在何种条件和情况下可以访问某些操作系统进程或文件。如果不