SElinux

SElinux介绍

• SELinux: Secure Enhanced Linux， 是美国国家安全局(NSA=The National Security Agency)和SCC(Secure
  Computing Corporation)开发的 Linux的一个强制访问控制的安全模块。2000年以GNU GPL发布，Linux内核2.6版本后集成在内核中
• DAC：Discretionary Access Control自由访问控制
• MAC：Mandatory Access Control 强制访问控制
  
  • DAC环境下进程是无束缚的
  • MAC环境下策略的规则决定控制的严格程度
  • MAC环境下进程可以被限制的
  • 策略被用来定义被限制的进程能够使用那些资源（文件和端口）
  • 默认情况下，没有被明确允许的行为将被拒绝
  • 相当于进程只能访问定义好的文件和目录。不能访问没有定义的目录和文件，端口也是，httpd只能用tcp80端口，如果用自己定义的也是不行。

SELinux工作过程

• 当一个进程想要做一些事的时候，它会先把要做什么事发送给selinux安全服务器上，根据策略集判断是否允许或拒接，允许就可以访问资源，如果拒接责不能访问，在安全服务器上有一个安全策略库，定义了那些行为是允许的，那些是拒接的

SELinux工作类型

• SELinux有四种工作类型
  
  1. strict: centos5,每个进程都受到selinux的控制
  2. targeted: 用来保护常见的网络服务,仅有限进程受到selinux控制，只监控容易被入侵的进程，centos4只保护13个服务，centos5保护88个服务
     
     • 默认的centos6,7版本默认选择的，如果自己开发的网络功能则不会保护
  3. minimum：centos7,修改的targeted，只对选择的网络服务
  4. mls:提供MLS（多级安全）机制的安全性
• targeted为默认类型，minimum和mls稳定性不足，未加以应用，strict已不再使用

SELinux安全上下文

• 传统Linux，一切皆文件，由用户，组，权限控制访问
• 在SELinux中，一切皆对象（object），由存放在inode的扩展属性域的安全元素所控制其访问
• 所有文件和端口资源和进程都具备安全标签：安全上下文（security context）
• 
  
  • 只要这个有点就代表有安全上下文可以用ls大Z选项可以看到详细内容
    bash
[root@1234 ~]# ls anaconda-ks.cfg -Z
-rw-------. root root system_u:object_r:admin_home_t:s0 anaconda-ks.cfg
现在默认只要4项

• 安全上下文有五个元素组成：
  
  • user:role:type:sensitivity:category
  • user_u:object_r:tmp_t:s0:c0
  • 实际上下文：存放在文件系统中，ls –Z;ps –Z
• 期望(默认)上下文：存放在二进制的SELinux策略库（映射目录和期望安全上下文）中
  
  • semanage fcontext –l

五个安全元素

• User:指示登录系统的用户类型,如root,user_u,system_u,多数本地进程都属于自由（unconfined）进程
• Role:定义文件，进程和用户的用途：文件:object_r，进程和用户：system_r
• Type:指定数据类型，规则中定义何种进程类型访问何种文件Target策略基于type实现,多服务共用：public_content_t
• Sensitivity:限制访问的需要，由组织定义的分层安全级别，如unclassified, secret,top,secret, 一个对象有且只有一个sensitivity,分0-15级，s0最低,Target策略默认使用s0
• Category：对于特定组织划分不分层的分类，如FBI Secret，NSA secret, 一个对象可以有多个categroy， c0-c1023共1024个分类， Target 策略不使用category

SELinux策略

对象(object)：所有可以读取的对象，包括文件、目录和进程
，端口等
- 主体：进程称为主体(subject)
- SELinux中对所有的文件都赋予一个type的文件类型标签，对于所有的进程也赋予各自的一个domain的标签。domain标签能够执行的操作由安全策略里定义
- 当一个subject试图访问一个object，Kernel中的策略执行服务器将检查AVC (访问矢量缓存Access Vector Cache), 在AVC中，subject和object的权限被缓存(cached)，查找“应用+文件”的安全环境。然后根据查询结果允许或拒绝访问
- 安全策略：定义主体读取对象的规则数据库，规则中记录了哪个类型的主体使用哪个方法读取哪一个对象是允许还是拒绝的，并且定义了哪种行为是充许或拒绝

设置SELinux

• 配置SELinux:
  
  • SELinux是否启用
  • 给文件重新打安全标签
  • 给端口设置安全标签
  • 设定某些操作的布尔型开关
  • SELinux的日志管理
• SELinux的状态
  
  • enforcing: 强制，每个受限的进程都必然受限
  • permissive: 允许，每个受限的进程违规操作不会被禁止，但会被记录于审计日志
  • disabled: 禁用
    

    相关命令：

getenforce: 获取selinux当前状态
sestatus :查看selinux状态
setenforce 0|1
0: 设置为permissive
1: 设置为enforcing

• 配置文件:

/boot/grub/grub.conf
    使用selinux=0禁用SELinux
/etc/selinux/config
/etc/sysconfig/selinux
SELINUX={disabled|enforcing|permissive}

修改SELinux安全标签

• 给文件重新打安全标签
  
  • chcon [OPTION]… [-u USER] [-r ROLE] [-tTYPE] FILE…
  • chcon [OPTION]… –reference=RFILE FILE…
  • -R：递归打标
    bash
[root@1234 ~]# chcon -t admin_home_t /app/

• 恢复目录或文件默认的安全上下文：
  
  • restorecon [-R] /path/to/somewhere

默认安全上下文查询与修改

• Semanage：来自policycoreutils-python包
• 查看默认的安全上下文
  
  • semanage fcontext –l
• 添加安全上下文
  
  • semanage fcontext -a –t httpd_sys_content_t‘/testdir(/.*)?’ //添加某个目录的默认的安全上下文
  • restorecon –Rv /testdir
    bash
将/app目录默认标记改为httpd_sys_content_t
[root@1234 app]# semanage fcontext -a -t httpd_sys_content_t "/app(/.*)?"
[root@1234 app]# ls -Z
-rwxr-xr-x. root root unconfined_u:object_r:etc_runtime_t:s0 123
drwxrwxr-x. root root unconfined_u:object_r:admin_home_t:s0 linux-4.14.12
[root@1234 app]# restorecon -R /app/
[root@1234 app]# ls -Z
-rwxr-xr-x. root root unconfined_u:object_r:httpd_sys_content_t:s0 123
drwxrwxr-x. root root unconfined_u:object_r:httpd_sys_content_t:s0 linux-4.14.12
semanage fcontext -d –t httpd_sys_content_t‘/testdir(/.*)?’ //删除库里的标签

• 删除安全上下文
  
  • semanage fcontext -d –t httpd_sys_content_t‘/testdir(/.*)?’

Selinux端口标签

• 查看端口标签

  • semanage port –l //这里严格定义了服务使用那些端口，只能用规定的端口号
  • 当我们在http配置文件了把端口改为9527，然后重启服务会报错，说使用错代码，因为selinux规定了http服务只能用规定的端口号。
  • 我们可以查看一下日志用grep过滤一下grep setrouble /var/log/messages
  • 这里详细说明了端口不可以用，最后会提示如果查看更详细内容运行run:后面的命令，那我们就运行一下

  • [root@1234 app]# semanage port -a -t http_port_t -p tcp 9527   //将9527添加为默认端口里
    [root@1234 app]# semanage port -l |grep http
    http_cache_port_t              tcp      8080, 8118, 8123, 10001-10010
    http_cache_port_t              udp      3130
    http_port_t                    tcp      9527, 80, 81, 443, 488, 8008, 8009, 8443, 9000  //这是规定使用的端口号，这样9527就添加成功，重启服务
    pegasus_http_port_t            tcp      5988
    pegasus_https_port_t           tcp      5989
    [root@1234 app]# 

• 添加端口

  • semanage port -a -t port_label -p tcp|udp PORT
  • semanage port -a -t http_port_t -p tcp 9527
• 删除端口
  
  • semanage port -d -t port_label -p tcp|udp PORT
  • semanage port -d -t http_port_t -p tcp 9527
• 修改现有端口为新标签
  
  • semanage port -m -t port_label -p tcp|udp PORT //将在某个进程使用的端口号改成其他进程使用
  • semanage port -m -t http_port_t -p tcp 9527

SELinux布尔值

• 布尔型规则：
  
  • getsebool
  • setsebool
• 查看bool命令：
  
  • getsebool [-a] [boolean]
  • semanage boolean –l
  • semanage boolean -l –C 查看修改过的布尔值
• 设置bool值命令：
  
  • setsebool [-P] boolean value（on,off） //-P 改默认和当前的状态
  • setsebool [-P] Boolean=value（0，1）

SELinux日志管理

• yum install setroubleshoot（重启生效）
  
  • 将错误的信息写入/var/log/message
• grep setroubleshoot /var/log/messages
• sealert -l UUID
  
  • 查看安全事件日志说明
• sealert -a /var/log/audit/audit.log
  
  • 扫描并分析日志

SELinux帮助

yum –y install selinux-policy-devel ( centos7.2)
um –y install selinux-policy-doc  （7.3版本之后安装这个包）
mandb | makewhatis
man -k _selinux