SELINUX

linux的访问控制

• Discretionary Access Control（DAC）

自主(自由)访问控制：这种访问控制下，一个进程如果被劫持，那这个进程就有了运行这个进程用户的所有访问权限。如：
一个httpd进程

[root@localhost ~]# ps aux |grep httpd
apache     3937  0.0  0.2 224060  2944 ?        S    18:37   0:00 /usr/sbin/httpd -DFOREGROUND
apache     3938  0.0  0.2 224060  2944 ?        S    18:37   0:00 /usr/sbin/httpd -DFOREGROUND
apache     3939  0.0  0.2 224060  2944 ?        S    18:37   0:00 /usr/sbin/httpd -DFOREGROUND
....

httpd进程的属于apche用户的，我们来看一下，/etc/passwd文件

[root@localhost ~]# ll /etc/passwd
-rw-r--r--. 1 root root 1204 Oct 26 18:37 /etc/passwd

这里可以看出/etc/passwd文件是root用户，root组的，但other用户是对这个文件是有r权限的，那如果有人劫持了httpd进程，那他就可以访问到/etc/passwd文件，这种不就知道了系统上有什么用户了，就可以有针对性的对用户进程密码破解。系统中other用户对很多的文件都有r权限，这是非常不安全的。

在自主访问控制下，没有办法将一个进程的访问限制在一个允许的范围内。如：

httpd进程就只能访问我们提供给用户可以访问的资源，而我们不想用户看到的资源，就不能访问。那这样如httpd进程被劫持了，那也就只能访问有限的资源，不可能看到其它的资源。

这能不能实现呢？

• Mandatory Access Control（MAC）

在MAC(强制访问控制)这种模型里，管理员管理访问控制。管理员制定策略，用户不能改变它。策略定义了哪个主体能访问哪个对象。这种访问控制模型可以增加安全级别，因为它基于策略，任何没有被显式授权的操作都不能执行。MAC被开发和实现在最重视保密的系统中，如军事系统。主体获得清楚的标记，对象得到分类标记，或称安全级别。

在“强制访问控制”模型中，每一个进程能做什么都有明确的规则，而且遵循没有明确说明可以访问的，就不能访问，这样能在任何一个进程被劫持也只能访问我们定义规则中明确说明它能访问的资源，所能破坏的也在定义的范围内，（这就是最小访问原则）

• SELinux

selinux就是一种mac的访问控制，任何一个进程的访问都要经过selinux中定义的规则检查，通过才能进行访问

规则定义在什么地方呢？

• policy（政策）

这就是规则库，一堆的规则(rule)集合在一起就成了政策(policy)，那按照MAC的定义是不是要将系统上所有的程序能做什么都写成规则才能使用selinux呢？理论上是的，只有这样才能做到最小化访问原则，但每一个系统上运行的程序千千万万，光是写这个规则我想都没有人再去用selinux了。（而且规则不是普通用户能写的）
那怎么使用呢？还好在Centos 7 中为我们提供了有policy

[root@localhost ~]# ll /etc/sysconfig/selinux 
lrwxrwxrwx. 1 root root 17 Oct 10 19:24 /etc/sysconfig/selinux -> ../selinux/config

[root@localhost ~]# cat /etc/selinux/config 

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of three values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected. 
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted 

在/etc/selinux/conf中系统为我们提供了三种policy

• targeted
  默认使用的policy，只能有限的程序受selinux的保护。
• minimum
  这是targeted的修改版，仅选定的进程受保护。（用的不多）
• mls
  多级安全保护。（用的不多）

---

像上面所有的如果要所有的程序都受selinux的控制，这将是一个非常庞大的工程，对用户来说基本没有用户体验，（我们不能做任何事，除非在policy中添加我们能做什么的rule，那光写rule就天荒地老了，还用什么？）所以只控制有限的程序是一个不错的选择

---

• 安全上下文(Security Context)

在启动selinux后，系统中所有的资源都会被打标（label），这就是安全上下文（context）。selinux就是通过这些标记来辅助完成访问控制的。

规则中不可能写 httpd进程能访问/var/www/html/index.html文件，这样的具体的条目，这样改一下 httpd的文件名那所有的规则就都要重写，明显不能这么做，那又要怎么做呢？

先看一下安全上下文长什么样：

[root@localhost ~]# ls -Z /sbin/httpd 
-rwxr-xr-x. root root system_u:object_r:httpd_exec_t:s0 /sbin/httpd
[root@localhost ~]# ps -eZ |grep httpd 
system_u:system_r:httpd_t:s0      3936 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0      3937 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0      3938 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0      3939 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0      3940 ?        00:00:00 httpd
system_u:system_r:httpd_t:s0      3941 ?        00:00:00 httpd
[root@localhost ~]# ls -Z /var/www/html/
-rw-r--r--. root root unconfined_u:object_r:httpd_sys_content_t:s0 index.html

看到加上-Z选项后多出来的显示了吗？这就是context
system_u:system_r:httpd_t:s0
unconfined_u:object_r:httpd_sys_content_t:s0

这里有四段：
user:role:type:range

字段	说明
user	SELinux用户身份。这可以与允许SELinux用户使用的一个或多个角色相关联。 使用SELinux策略将每个Linux用户映射到一个SELinux用户。这使Linux用户可以继承对SELinux用户的限制。映射的SELinux用户身份在SELinux上下文中用于该会话中的进程，以便定义他们可以输入哪些角色和级别。
role	SELinux角色。这可以与SELinux用户被允许访问的一种或多种类型相关联。 SELinux的一部分是基于角色的访问控制（RBAC）安全模型。该角色是RBAC的属性。 SELinux用户被授权使用角色，角色被授权用于域。该角色充当域和SELinux用户之间的中介。可以输入的角色决定了可以输入哪些域。最终，它控制可以访问的对象类型。这有助于减少特权升级攻击的漏洞。
type	当类型与进程相关联时，它定义SELinux用户（subject）可以访问哪些进程（或domain）。 当类型与object相关联时，它定义SELinux用户对该object具有什么访问权限。 类型是类型强制的属性。该类型定义进程的域，并定义文件的类型。 SELinux策略规则定义类型如何相互访问，无论是访问类型的域还是访问另一个域的域。仅当存在允许访问的特定SELinux策略规则时，才允许访问。
range	此字段也可以称为级别，并且仅在策略支持MCS或MLS时才显示。该条目可以包括： •单个安全级别，其中包含敏感级别和零个或多个类别 （例如s0，s1：c0，s7：c10.c15） •由两个安全级别（低和高）组成的范围，两个安全级别之间用连字符分隔 （例如s0-s15：c0.c1023）。

---

上面的做个了解就好，在Centos的targeted中可以不去关心user、role、range，只关心type就好了

类型是类型强制的属性。该类型定义进程的域，并定义文件的类型。 SELinux策略规则定义类型如何相互访问，无论是访问类型的域还是访问另一个域的域。仅当存在允许访问的特定SELinux策略规则时，才允许访问。

type 这个字段，在进程和文件（linux上一切皆文件）上有不同的称呼
在进程上，一般称作domain / 域
在文件上，一般称作type / 类型

再来看一下上面的安全上下文
system_u:object_r:httpd_exec_t:s0 /sbin/httpd 文件
system_u:system_r:httpd_t:s0 3936 ? 00:00:00 httpd 进程
unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/index.html 文件

我们知道在Centos中httpd服务的默认访问路径在/var/www/html/中，我们安装、启动一个httpd服务，再在/var/www/html/下创建的html文件，可以直接在浏览器中访问

现在来解释一下这个上下文，用户执行了httpd_exec_t类型的httpd程序，可以产生一个工作在httpd_t域的进程，这个进程可以访问httpd_sys_content_t类型的文件/var/www/html/index.html

这些其实都是在policy中有明确的rule定义的

从 httpd_exec_t 类型（entrypoint）运行进入 httpd_t 域

[root@localhost ~]# sesearch -A -t httpd_exec_t |grep httpd_t
   allow httpd_t httpd_exec_t : file { ioctl read getattr lock map execute execute_no_trans entrypoint open } ; 
   ...

httpd_t 域可以 访问 httpd_sys_content_t 类型的链接文件、目录、文件

[root@localhost ~]# sesearch -A -s httpd_t |grep httpd_sys_content_t
   allow httpd_t httpd_sys_content_t : lnk_file { read getattr } ; 
   allow httpd_t httpd_sys_content_t : dir { ioctl read getattr lock search open } ; 
   allow httpd_t httpd_sys_content_t : file { ioctl read getattr lock map open } ; 
   allow httpd_t httpd_sys_content_t : dir { ioctl read write getattr lock add_name remove_name search open } ; 

---

这里要说明一个，在开启了selinux，并执行targeted 策略后，系统为我们定义了一堆的rule，来控制常见的网络服务，如：httpd，vsftp，samba等等

[root@localhost html]# ls -Z
-rw-r--r--. root root unconfined_u:object_r:httpd_sys_content_t:s0 index.html
[root@localhost html]# chcon -t admin_home_t index.html 
[root@localhost html]# ls -Z
-rw-r--r--. root root unconfined_u:object_r:admin_home_t:s0 index.html

这是因为运行在httpd_t域的httpd，不能read（读） admin_home_t类型的文件

[root@localhost html]# mkdir -pv /service/http/
mkdir: created directory ‘/service’
mkdir: created directory ‘/service/http/’
[root@localhost html]# ls -dZ /service/http/
drwxr-xr-x. root root unconfined_u:object_r:default_t:s0 /service/http/

这是因为policy中定义/var/www/html目录和其下的目录、文件的type为httpd_sys_content_t，这样运行在httpd_t域的httpd，就可以访问了，但将DocumentRoot重新指定位置后，在policy中就没有我们指定位置的相关定义，不会将指定的目录的context设置为typehttpd_sys_content_t,这样httpd进程也就不能正常访问了

以上都可以将httpd服务的网站 目录、文件（object）类型修改为httpd_sys_content_t就可以正常访问了

---

其实还有一种修改方法，但不建议在实际中使用

◈ 一直说targeted 只控制了部分的进程，那就将系统中的进程分为了confined(受控) 和 unconfined(不受控)，我们是不是可以将httpd调整为 不受控 呢？

[root@localhost html]# systemctl stop httpd
[root@localhost html]# ls -Z /bin/cat
-rwxr-xr-x. root root system_u:object_r:bin_t:s0       /bin/cat
[root@localhost html]# ls -Z /sbin/httpd 
-rwxr-xr-x. root root system_u:object_r:httpd_exec_t:s0 /sbin/httpd
[root@localhost html]# chcon -t bin_t /sbin/httpd
[root@localhost html]# ls -Z /sbin/httpd 
-rwxr-xr-x. root root system_u:object_r:bin_t:s0       /sbin/httpd
[root@localhost html]# systemctl start httpd
[root@localhost html]# ps -eZ |grep httpd
system_u:system_r:unconfined_service_t:s0 4517 ? 00:00:00 httpd
system_u:system_r:unconfined_service_t:s0 4518 ? 00:00:00 httpd
system_u:system_r:unconfined_service_t:s0 4519 ? 00:00:00 httpd
system_u:system_r:unconfined_service_t:s0 4520 ? 00:00:00 httpd
system_u:system_r:unconfined_service_t:s0 4521 ? 00:00:00 httpd
system_u:system_r:unconfined_service_t:s0 4522 ? 00:00:00 httpd

可以看到现在httpd进程的domain变为了unconfined_service_t，现在再来访问网站就不再受控于selinux了，你再像上面的例子调整网站文件的位置，type都可以正常访问了，（当然DAC还是要遵守的）。

---

• BOOLEANS（布尔值）

在targeted中，关于context的规则我们没有能力去修改（能力有限啊，听说写规则是一项专业的技能），但有着一些boolean我们是可以去改变的

布尔值允许在运行时更改SELinux策略的某些部分，而无需任何SELinux策略编写知识。这允许进行更改，例如允许服务访问NFS卷，而无需重新加载或重新编译SELinux策略。

这个值一般是让我们可以改变服务的运行特性
如：

[root@localhost html]# semanage boolean -l
SELinux boolean                State  Default Description

httpd_enable_cgi               (on   ,   on)  Allow httpd to enable cgi
httpd_use_nfs                  (off  ,  off)  Allow httpd to use nfs
httpd_anon_write               (off  ,  off)  Allow httpd to anon write
...
ftpd_anon_write                (off  ,  off)  Allow ftpd to anon write
...
samba_enable_home_dirs         (off  ,  off)  Allow samba to enable home dirs
samba_create_home_dirs         (off  ,  off)  Allow samba to create home dirs
samba_share_nfs                (off  ,  off)  Allow samba to share nfs
...

这里定义了targeted认为不安全的一些服务运行特性，如：httpd的匿名写操作，ftpd的匿名写，samba的用户家目录，这些默认都是off，不允许的。但在实际中有可能我们又要用到这些功能，那可以在boolean中进行on，放行。

---

现在我们对Centos 7 上的targeted策略有了一定的了解，在使用中用到最多的：

• type的修改
• boolean的修改

至于：什么 "多级安全（MLS） " ，"限制用户"等等的诸多功能，我们就不讨论了，自行查看官方文档
SELinux User's and Administrator's Guide

---

下面来说一说selinux的相关配置和命令：

• 1. SELinux 的开启，关闭

  • 关闭
    在/etc/selinux/config文件中修改SELINUX=disabled即可
  • 开启
    selinux的开启有两种模式：enforcing 和 permissive
    • enfocing
      这是强制模式，所有接受selinux控制的进程对object的访问都要在rule中有明确的定义，没有就不能访问，并记录日志
    • permissive
      这是宽容模式，所有接受selinux控制的进程对object的访问都要在rule中有明确的定义，没有也可以访问，但会记录到日志中（常用于排错中）

• 2. SELinux 的日志

SELinux决定（例如允许或禁止访问）被缓存。此缓存称为访问向量缓存（AVC）。 SELinux拒绝访问时，将记录拒绝消息。这些拒绝也称为“ AVC拒绝”，并根据运行的守护程序记录到其他位置：

服务	Log 位置
auditd on	/var/log/audit/audit.log
auditd off; rsyslogd on	/var/log/messages
setroubleshootd, rsyslogd, and auditd on	/var/log/audit/audit.log 易于阅读的拒绝消息也发送至 /var/log/messages

• 3.SELinux 的命令

getenfoce
  查看当前的工作模式
setenfoce [0|1]
  改变当前的工作模式
  0: permissive
  1: enfocing
 
setenfoce可是在系统运行时临时切换开启状态的selinux的运行模式，但不能将selinux从disable(关闭)，切换到0或1中来，selinux从关闭到开启需要重启系统，而selinux在系统重启过程中将根据policy对所有文件(object)进行打标

[root@localhost html]# getenforce 
Enforcing

---

getsebool
  查看boolean设定
  -a 查看全部
  boolean 查看指定boolean的值
setsebool [ -P] boolean value
  设置boolean值[0|1] [off|on]
  如果指定了-P选项，则值都将写入磁盘上的策略文件。重新启动后保持不变。

[root@localhost html]# getsebool -a |grep tftp
tftp_anon_write --> off
tftp_home_dir --> off

---

chcon - 改变object上下文
   -u, --user=USER 在目标安全上下文中设置用户USER
   -r, --role=ROLE 在目标安全上下文中设置角色ROLE
   -t, --type=TYPE 在目标安全上下文中设置类型TYPE
   -R, --recursive 递归操作文件和目录

[root@localhost html]# chcon -t admin_home_t index.html 
[root@localhost html]# ls -Z
-rw-r--r--. root root unconfined_u:object_r:admin_home_t:s0 index.html

---

restorecon pathname - 还原pathname本来的context
   -v 显示过程

---

sestatus [-v | -b]
  显示selinux的相当信息
  -v: 显示更多的信息
  -b: 显示boolean值信息

[root@localhost html]# sestatus 
SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Max kernel policy version:      31

---

seinfo
  可以显示更多、更详细的信息，如：user, role, type
   -t 显示类型
   -r 显示角色
   -u 显示用户
   -b 显示布尔值

[root@localhost html]# seinfo 

Statistics for policy file: /sys/fs/selinux/policy
Policy Version & Type: v.31 (binary, mls)

   Classes:           129    Permissions:       267
   Sensitivities:       1    Categories:       1024
   Types:            4774    Attributes:        258
   Users:               8    Roles:              14
   Booleans:          315    Cond. Expr.:       361
   Allow:          106707    Neverallow:          0
   Auditallow:        155    Dontaudit:       10045
   Type_trans:      18058    Type_change:        74
   Type_member:        35    Role allow:         39
   Role_trans:        416    Range_trans:      5899
   Constraints:       143    Validatetrans:       0
   Initial SIDs:       27    Fs_use:             32
   Genfscon:          102    Portcon:           613
   Netifcon:            0    Nodecon:             0
   Permissives:         0    Polcap:              5

---

sesearch
  SELinux策略查询工具
sesearch [OPTIONS] RULE_TYPE [RULE_TYPE ...] [EXPRESSION] [POLICY ...]
  OPTIONS
  -A, --allow
    搜索允许规则。
  EXPRESSIONS
  -s NAME, --source=NAME
    查找以类型/属性名称为源的规则。(subject domain)
  -t NAME, --target=NAME
    查找以类型/属性NAME为目标的规则。(object type)

[root@localhost ~]# sesearch -A -t httpd_exec_t |grep httpd_t
   allow httpd_t httpd_exec_t : file { ioctl read getattr lock map execute execute_no_trans entrypoint open } ; 

---

semanage

[root@localhost html]# semanage -h
usage: semanage [-h]
                
                {import,export,login,user,port,ibpkey,ibendport,interface,module,node,fcontext,boolean,permissive,dontaudit}
                ...

semanage is used to configure certain elements of SELinux policy with-out
requiring modification to or recompilation from policy source.

positional arguments:
  {import,export,login,user,port,ibpkey,ibendport,interface,module,node,fcontext,boolean,permissive,dontaudit}
    import              导入本地自定义
    export              输出本地自定义
    login               管理linux用户和SELinux受限用户之间的登录映射
    user                管理SELinux受限用户（SELinux用户的角色和级别）
    port                管理网络端口类型定义
    ibpkey              Manage infiniband ibpkey type definitions
    ibendport           Manage infiniband end port type definitions
    interface           管理网络接口类型定义
    module              管理SELinux策略模块
    node                 管理网络节点类型定义
    fcontext             管理文件上下文映射定义
    boolean             管理布尔值以有选择地启用功能
    permissive          管理流程类型强制模式
    dontaudit           禁用/启用策略中的dontaudit规则

[root@localhost html]# semanage user -h  "使用-h 获取帮助"

查看时常用 "-l"来显示相关信息，如：
[root@localhost html]# semanage user -l

                Labeling   MLS/       MLS/                          
SELinux User    Prefix     MCS Level  MCS Range                      SELinux Roles

guest_u         user       s0         s0                             guest_r
root            user       s0         s0-s0:c0.c1023                 staff_r sysadm_r system_r unconfined_r
staff_u         user       s0         s0-s0:c0.c1023                 staff_r sysadm_r system_r unconfined_r
sysadm_u        user       s0         s0-s0:c0.c1023                 sysadm_r
system_u        user       s0         s0-s0:c0.c1023                 system_r unconfined_r
unconfined_u    user       s0         s0-s0:c0.c1023                 system_r unconfined_r
user_u          user       s0         s0                             user_r
xguest_u        user       s0         s0                             xguest_r

---

完
以下参考

=========================

May do to