【linux基础】23、SElinux基础

时间：2022-04-03 12:32

一、SElinux概述

1、SElinux简介

SEliunx： Secure Enhanced Linux 安全增强的linux

是美国国家安全局「NSA=The National Security Agency」和SCC（Secure Computing Corporation）开发的Linux的一个强制访问控制的安全模块。2000年以GNU GPL发布，Linux内核2.6版本后集成在内核中。

DAC：自主访问控制

依据进程的所有者与文件资源的rwx权限来决定有无访问能力

DAC环境下进程是无束缚的

控制能力太弱，安全性低

MAC：强制访问控制

以策略规则制定特定程序读取特定文件

MAC环境下进程可以被限制的

MAC环境下策略的规则决定控制的严格程度

策略被用来定义被限制的进程能够使用那些资源（文件和端口）

默认情况下，没有被明确允许的行为将被拒绝

安全上下文：process --> resource

沙箱：sandbox

1个进程启动后，进程所能访问的资源不再是全局而是有限的

2、SElinux的运行模式

SElinux是通过MAC方式的方式管理进程，它控制的主体为进程，而目标则是该进程能否读取的“文件资源”

系统上的所有操作大致都可以归类为：一个主语对宾语进行操作

一个进程操作一个资源就是：主谓宾

主体：subject，主语

SElinux主要管理的就是进程，所以这里可以将主体就当作进程

目标：object，宾语

主体进程能否访问的目标资源，一般就是文件系统。所有可以读取的对象，包括文件、目录和进程，端口等

3、策略 policy

由于进程和文件的数量庞大，因此SElinux会根据某些服务制定基本的安全访问策略。这些策咯内还会有较为详细的规则（rule）来指定不同的服务开放某些资源的访问与否。

目前的策略（SElinux工作类型）有四种:

[root@Note3 ~]# cat /etc/selinux/config 

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of these two values:
#     targeted - Targeted processes are protected,
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

strict：每个进程都受到selinux的控制 #centos5默认使用的策略？

targeted：用来保护常见的网络服务,仅有限进程受到selinux控制，只监控容易被入侵的进程，rhel4只保护13个服务，rhel5保护88个服务 #centos6默认使用的策略

minimum：修改过的targeted，只对选择的网络服务 #centos7默认使用的策略

mls：提供MLS（多级安全）机制的安全性

注意：minimum和mls稳定性不足，未加以应用

SELinux中对所有的文件都赋予一个type的文件类型标签，对于所有的进程也赋予各自的一个domain（域）的标签。domain标签能够执行的操作由安全策略里定义。

当一个subject试图访问一个object，Kernel中的策略执行服务器将检查AVC (访问矢量缓存Access Vector Cache), 在AVC中，subject和object的权限被缓存(cached)，查找“应用+文件”的安全环境。然后根据查询结果允许或拒绝访问

selinxu规则库:

规则：哪种域能访问那种或那些种类型的文件

4、SELinux安全上下文

传统Linux，一切皆文件，由用户，组，权限控制访问

在SELinux中，一切皆对象，由存放在Inode的扩展属性域的安全元素所控制其访问。

所有文件、端口资源和进程都具备安全标签这就是SElinux安全上下文” （ security context）

安全上下文有五个元素组成：

SElinux启动后，为每一个资源引入5种属性：用户，角色，类型 #对于centos只有3种属性有效

user:role:type:sensitivity:category

user_u:object_r:tmp_t:s0:c0

[root@Note3 html]# ls -Z
-rw-r--r--. root root system_u:object_r:httpd_sys_content_t:s0 index.html
[root@Note3 html]# ps auxZ|grep httpd
unconfined_u:system_r:httpd_t:s0 root     2904  0.3  0.2 177812  3892 ?        Ss   07:39   0:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   2932  0.0  0.1 177812  2524 ?        S    07:39   0:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   2933  0.0  0.1 177812  2500 ?        S    07:39   0:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   2934  0.0  0.1 177812  2500 ?        S    07:39   0:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   2935  0.0  0.1 177812  2500 ?        S    07:39   0:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   2937  0.0  0.1 177812  2500 ?        S    07:39   0:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   2940  0.0  0.1 177812  2500 ?        S    07:39   0:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   2942  0.0  0.1 177812  2500 ?        S    07:39   0:00 /usr/sbin/httpd
unconfined_u:system_r:httpd_t:s0 apache   2943  0.0  0.1 177812  2500 ?        S    07:39   0:00 /usr/sbin/httpd
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 root 2946 1.0  0.0 103256 880 pts/1 S+ 07:39   0:00 grep httpd

实际上下文：存放在文件系统中，可以使用ls –Z和ps –Z命令查看

期望(默认)上下文：存放在二进制的SELinux策略库（映射目录和期望安全上下文）中

查看命令: semanage fcontext –l

4、SELinux的五个安全因素

SElinux为每个文件提供了安全标签，也为进程提供了安全标签；

User：指示登录系统的用户类型,如root，user_u,system_u，多数本地进程都属于自由（ unconfined）进程

Role：定义文件，进程和用户的用途

文件：object_r，进程和用户：system_r

Typ：指定数据类型，规则中定义何种进程类型访问何种文件，Target策略基于type实现

多服务共用： public_content_t

Sensitivity：限制访问的需要，由组织定义的分层安全级别，如unclassified, secret,top,secret, 一个对象有且只有一个sensitivity,分0-15级,s0最低，Target策略默认使用s0

Category：对于特定组织划分不分层的分类，如FBI Secret，NSA secret, 一个对象可以有多个categroy， c0-c1023共1024个分类， Target 策略不使用cateaory