selinux

Posted 2020-10-15

SElinux

1.SElinux简述

  SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是为了结束DAC(自主访问控制,任何程序对其资源享有完全的控制权,每个用户或进程可以随意修改自己的文件的权限,将其他权限授予给任何其他人而具有任意的访问机制.标准Linux访问控制、所有/组+权限标记（例如rwx）通常被称为自主访问控制（简称DAC）。)而设置的,后来就有了MAC(强制访问控制,一个进程能否访问某个资源,取决于运行这个进程的用户权限以及访问的资源的属主属组等属性)控制机制,但是如果管理员把一个资源属性的其他设置为rwx,那怎么办呢?于是后来有了沙箱(sandbox)的机制,对于进程只赋予最小的权限,比如运行httpd的用户apache,在普通情况下,apache作为一个普通的用户,他能访问大多数资源,如/etc等,但是apache作为一个专门控制httpd的服务,我们把他的活动范围控制在/var/www,只给他最小的权限,而这个范围就是沙箱。

2.selinux核心概念

2.1在Linux中,大多数的操作可以总结成主谓宾,SELinux也不例外,他把大多数操作总结成主谓宾,

Subjects:(主) processes...

Object:(宾) open, close, read, write, modify, delete, chmod, chown, ...

actions:(谓) 文件，进程，套接字，链接，...

    SELinux中通主语能对哪些宾语进行操作,靠的是标签来限定的，SELinux为每个文件提供了安全标签，也同样为进程提供了安全标签；这些称为SELinux的安全上下文，secure context；

user-identify:role:domain|type:sencitivity

user-identify：SELinux的用户身份标识，跟文件系统的user不一样；

role：角色

domain|type：域(进程)，类型(文件)

sencitivity：敏感度，s0

2.2操作系统有安全级别的概念：

D

C：C1,C2

B：B1,B2,B3

A：

共ABCD四类7个安全级别，D级是安全级别最低的，C类为自主保护级别，B类为强制保护级别，A类为验证保护级别。

2.3 SELinux有两种工作级别：

strict：对于每个文件都要严格规定其类型，对于每个进程都有特定的域，进程的域和文件的类型必须要严格匹配，才能使进程访问此文件；

targeted：仅有限个进程受到SELinux的管控；在RHEL系系统中为默认级别；

只监控那些容易被入侵并且会对系统造成安全隐患的进程；

2.4 SELinux几种工作模式：

enforcing:启用

permissivs:警告

disabled:关闭

targeted:仅对目标进程进行保护

mls:对大多数进程进行安全保护

  查看/etc/selinux/config文件中的配置信息

1）凡是从enforcing或Permissive模式切换值disabled模式，或者从disabled模式切换至enforcing或Permissive模式，都必须要经过操作系统重新引导才能生效；

2）使用setenforce命令修改的模式不会永久生效，如果想要使SELinux的工作模式永久生效， 需要修改/etc/sysconfig/selinux文件中的SELINUX=enforcing

3）enforcing到Permissive之间的模式转换可以使用setenforce命令来完成；

setenforce {0|1}

0：Permissive

1：Enforcing

4）可以使用getenforce命令来查看当前SELinux的工作模式；

3.常用命令

  chcon:改变标签(打标)

chcon [options]... CONTEXT FILE...

-t type 修改为指定类型

-R：递归修改目录中的所有文件

--reference=FILE：参考FILE的安全上下文，为目标文件设置相同的安全上下文；

使用场景：

使用httpd创建虚拟主机之后，目标页面文件的类型与httpd进程的域不相符合，将虚拟主机服务器根目录中的所有文件修改为httpd_sys_content_t即可；

可以使用restorecon命令还原某文件或目录的安全上下文为默认值；

restorecon

-R：递归

 布尔型规则：  

getsebool

-a：显示所有已经生效的布尔型规则；

setsebool

-P：写入策略文件，使更改永久生效；

使用场景：支持二进制策略修改的系统服务

ftp的匿名用户上传功能：

~]# setsebool -P ftpd_full_access=1

~]# setsebool -P ftpd_anon_write=1

samba用户访问自己的家目录：

~]# setsebool -P samba_enable_home_dirs=1

 semanage：

需要通过安装policycoreutils-python获取该应用程序

semanage port -a -t http_port_t -p tcp 8077