SELINUX

一,背景和概念
SELinux(Security-Enhanced Linux)是美国国家安全局(NSA)对于强制访问的控制,是Linux历史上最杰出的新安全子系统。
SELinux提供了一种灵活的强制访问控制(MAC)系统,且内嵌于Linux Kernel中。SELinux定义了系统中每个用户,进程,应用和文件的转变的权限,然后它可以使用一个安全策略来控制这些实体(用户,进程,应用和文件)之间的交互,安全策略指定如何安全或宽松的进行检查。

  1. 对内核对象和服务的访问控制
  2. 对进程初始化,继承和程序执行的访问控制
  3. 对文件系统,目录,文件和打开文件描述的访问控制
  4. 对端口,信息和网络接口的访问控制

安全值:在Linux里所有的文件和进程都有一个值。(当满足或者匹配到这个安全值,才能进行访问)
二,SELinux的作用及权限管理机制
1,SELinux的作用
SELinux主要作用就是最大限度的减小系统中服务进程可访问的资源(最小权限原则)。
2,DAC
在没有使用SELinux的操作系统中,决定一个资源是否能被访问的因素:某个资源是否拥有对应用户的权限(读,写,执行)。但是由于root用户不受任何管制,系统上任何资源都可以无限制的访问。
这种权限管理机制主体是用户,也称自主访问控制(DAC)。
3,MAC
在使用SELinux的操作系统中,决定一个资源能否被访问的因素除了上述因素外,还需要判断每一类进程是否拥有对某一类资源的访问权限。(即使是root用户也需要判断,因此进程的活动空间也被压缩到最小。安全性大大增加)
这种权限管理机制的主体是进程,也称为强制访问控制(MAC)。而MAC又分为俩种方式:类别安全(MCS)模式;多级安全(MLS)模式。
三,MSC模式下操作
1,SELinux基本概念
1)主体(Subject):可以完全等同于进程(为了方便理解,以下均把进程视为主体)
2)对象(Object):被主体访问的资源,可以是文件,目录,端口,设备等(为了方便理解,以下均把文件或者目录视为对象)
3)政策和规则(Policy&Rule)
系统中通常有大量的文件和进程,为了节省时间和开销,通常我们只是选择性的对某些进程进行管制。而哪些进程需要管制,要怎么管制都是由政策决定的。一套政策里面有多个规则。部分规则可以按照需求启用或者禁用(以下把该类型的规则称为布尔型规则)。规则是模块化的,可扩展的。在安装新的应用程序时,应用程序可通过添加新的模块来添加规则。用户也可以手动增减规则。
4)安全上下文(Security Context)

  • SELinux的核心:安全上下文
  • 安全上下文:进程安全上下文;文件安全上下文【一个进程上下文对应多个文件安全上下文】
  • 只有俩者的安全上下文对应上了,进程才能访问文件,它们的对应关系是由政策中的规则决定的。
  • 文件安全上下文由文件创建的位置和创建文件的进程所决定的。而且系统有一套默认值,用户也可以对默认值进行设定。需要注意的是,单纯的移动文件操作并不会改变文件的安全上下文。
  • 安全上下文的结构及含义:有四个阶段,分别用冒号隔开。(system_u:object_r:admin_home_t:s0)。

(system_u:object_r:admin_home_t:s0)
用户身份:角色:类型(标签):安全级别
system_u指的是selinux用户,root表示root账户身份,user_u表示普通用户无特权用户,system_u表示系统用户,通过用户可以确定身份类型,一般搭配角色使用。身份和不同的角色搭配时有权限不同,虽然可以使用su命令切换用户但对于selinux的用户并没有发生改变,账户之间切换时此用户身份不变,在targeted策略环境下用户标识没有实质性作用。
object_r:一般为文件目录角色,system_r一般为进程的角色,在targeted策略环境中用户的角色一般为system_r。用户的角色类型类似于用户组的概念,不同的角色具有不同的身份权限,一个用户具备多个角色,但是同一时间只能使用一个角色。在targeted策略环境下角色没有实质作用,在targeted策略环境中所有的进程文件的角色都是system_r角色。
admin_home_t:文件和进程都有一个类型,SELinux依据类型的相关组合来限制存取权限

5)SELinux的工作模式(/etc/selinux/config)
(1)enforcing:强制模式。违反SELinux规则的行为被阻止并记录到日志中。
(2)permissive:宽容模式。违反SELinux规则的行为只会记录到日志中。一般为调试用。
(3)disabled:关闭SELinux。
切换工作模式:需要重启系统

级别切换:
禁用<——>强制:下次启动生效
禁用<——>警告:下次启动生效
强制<——>警告:即时生效

enforcing和permissive切换命令:setenforce 1|0
打开SELinux之后的第一次重启速度慢的原因:系统必须为磁盘中的文件创建安全上下文。
将selinux模式改为强制模式重启慢的原因:selinux在操作系统的安全体制结构上进行扩张,增强对进程模块文件打上了一些安全标记。

你可能感兴趣的:(服务,linux,运维,http)