Linux系统入门之selinux

最新推荐文章于 2024-12-11 17:59:11 发布

原创

最新推荐文章于 2024-12-11 17:59:11 发布 · 637 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#linux #selinux

本文介绍了Linux的SELinux（安全增强型Linux）机制，详细讲解了SELinux的基本概念、安全上下文访问规则、如何修改文件的安全上下文、管理服务的bool值以及日志分析。通过理解SELinux的运作方式，可以增强系统的安全性，防止恶意攻击者通过进程访问受限文件。

基本SELINUX安全性概念

（1）SELinux概念

SELINUX（安全增强型Linux）是可保护系统安全性的额外机制。在某种程度上，它可以被看作是与标准权限系统并行的权限系统。
在常规模式中，以用户身份运行进程，并且系统上的文件和其他资源都设置了权限（控制哪些用户对哪些文件具有哪些访问权 SELINUX的另一个不同之处在于，若要访问文件，你必须具有普通访问权限和SELINUX访问权限。因此，即使以超级用户身份root运行进程，根据进程以及文件或资源的SELINUX安全性上下文可能拒绝访问文件或资源限）标签。

作用：
(1)针对文件，会对系统中每个文件添加安全上下文（context）
(2)针对进程，会对系统中的每个进程添加全上下文（context）
(3)会在系统服务上设定sebool开关
(4)当进程安全上下文和文件的安全上下文不匹配时，那么进程无法访问此文件
(5)sebool会限制服务的不安全功能，如果需要用此功能，必须调整sebool值

示例：
在无selinux保护时，恶意人员可以尝试利用web服务器中的安全漏洞强行进入系统。如果成功，将会控制以用户apache身份运行的进程，这时再由一个本地安全漏洞就可能使攻击者获得超级用户的访问权限。

（2）SELINUX安全上下文访问规则：

WEB服务器的HTTPD进程设置了SELINUX上下文system_u:system_r:httpd_t标签。该上下文的重要部分是第三个用冒号分隔的字段SELINUX类型：httpd_t
系统上的文件和资源也设置了SELINUX上下文标签，并且重要的部分是SELINUX类型。例如，/var/www/html中的文件具有类型httpd_sys_content_t。/tmp和/var/tmp中的文件通常具有类型tmp_t
SELINUX策略具有允许以httpd_t身份运行的进程访问标记为httpd_sys_content_t的文件的规则。没有规则允许这些进程访问标记有tmp_t的文件，因此将拒绝这些访问，即使常规权限指出应该允许这些访问。

（3）SELInux服务有三种配置模式：