SELinux Introduce - SELinux技术简介

转载 2006年06月05日 11:23:00
本文网址:http://www.hzqbbc.com/blog/arch/2005/07/selinux_introdu.html

July 20, 2005
SELinux Introduce - SELinux技术简介

在Redhat Enterprise Linux 4.0或Fedora Core 2 Linux以上版本的Linux中,有不少用户经常会遇到诸如apache的Permission denied,X windows打不开等等问题,抛开一些常规配置错误外,很大一部分原因是因为激活了SELinux的缘故。

什么是SELinux?SELinux全称是Security Enhanced Linux,由美国国家安全部(National Security Agency)领导开发的GPL项目,它拥有一个灵活而强制性的访问控制结构,旨在提高Linux系统的安全性,提供强健的安全保证,可防御未知攻击,据称相当于B1级的军事安全性能。比MS NT所谓的C2等高得多。

应用SELinux后,可以减轻恶意攻击或恶意软件带来的灾难,并提供对机密性和完整性有很高要求的信息很高的安全保障。

SELinux vs Linux
普通Linux安全和传统Unix系统一样,基于自主存取控制方法,即DAC,只要符合规定的权限,如规定的所有者和文件属性等,就可存取资源。在传统的安全机制下,一些通过setuid/setgid的程序就产生了严重安全隐患,甚至一些错误的配置就可引发巨大的漏洞,被轻易攻击。

而SELinux则基于强制存取控制方法,即MAC,透过强制性的安全策略,应用程序或用户必须同时符合DAC及对应SELinux的MAC才能进行正常操作,否则都将遭到拒绝或失败,而这些问题将不会影响其他正常运作的程序和应用,并保持它们的安全系统结构。

SELinux on Redhat Linux
在RHEL4.0或FC3以上的版本中,可以在安装时就选择是否激活SELinux,系统自动会安装相应的内核、工具、程序等。由于SELinux的MAC机制将极大的影响了现有引用,因此RHEL4/FC3中已预配置了大量兼容现有应用的安全策略。

SELinux的配置相关文件都在/etc/selinux下,其中/etc/selinux/targeted目录里就包含了策略的详细配置和context定义,以下是主要文件及功用:

/etc/selinux/targeted/contexts/*_context 默认的context设置
/etc/selinux/targeted/contexts/files/* 精确的context类型划分
/etc/selinux/targeted/policy/* 策略文件

使用Redhat 默认的策略对正常应用带来的影响比较小,兼容性相对比较好。对于需要提供虚拟主机或大量应用的用户而言,则会带来不小的麻烦,需要仔细阅读SELinux的手册进行调整。

其中Fedora Core 的官方网站上有相关的Apache/SELinux的策略调整文档,建议web用户仔细阅读。

激活SELinux的操作系统,需要对策略和模式进行变更时,一般不需要重启动即可获得变化,主要就是透过libselinux软件包实现。 libselinux包含了对策略的控制/管理工具,其中getsebool/setsebool是读取/设置SELinux 布尔值的工具,getenforce/setenforce则是设置强制性的工具。

Why SELinux?
毫无疑问:安全!如今Internet上病毒、攻击层出不穷,信息安全受到了严重威胁,而普通Linux的安全性要做得很好并不容易,且没有一个中央化的安全体系结构,因此使用SELinux可以使用强制的访问控制来进行小颗粒度的权限控制,并提高系统的稳定性,简化了防系统崩溃的调整工作,达到信息保密和完整性的要求。
SELinux主要的改进在于:
# 对内核对象和服务的访问控制
# 对进程初始化、继承和程序执行的访问控制
# 对文件系统、目录、文件和打开文件描述的访问控制
# 对端口、信息和网络接口的访问控制。

SELinux still difficult
控制的东西越多使用起来就越容易复杂,SELinux也不例外,目前SELinux还在不断完善中,管理和控制策略并不是一件轻松的事,需要丰富的系统知识和经验,并且必须仔细阅读SELinux相关的文档,做大量的尝试。

相关文章推荐

SElinux简介

SElinux简介  SElinux是security enhanced linux安全加强linux。一个进程是否能够访问一个文件取决于发起进程的用户和文件的权限。     比如:   SRVD 想...

SELinux简介

范例二:利用 semanage 配置 /srv/samba 目录的默认安全性本文为 public_content_t [root@www ~]# mkdir /srv/samba [root@www ...

SELinux简介

一、SELinux简介 RedHat Enterprise Linux AS 3.0/4.0中安全方面的最大变化就在于集成了SELinux的支持。 SELinux的全称是Security-...

android中SELINUX规则分析和语法简介

SELINUX是可以理解为一种android上面的安全机制,是有美国国家安全局和一些公司设计的一个针对linux的安全加强系统 我们可以通过配置SELINUX的相关policy,来定制自己的手机的一些...

selinux权限说明

  • 2015-12-30 10:23
  • 448KB
  • 下载

apache访问/var/www之外的目录没权限的问题(万恶的SELinux)

前几天,我搞了个准备一些git或者hg的repositories,为了网页访问的方便,我找到了其中一个工具,Git自带的gitweb,但是当我把它作为CGI让apache调用它去发布/home/rep...
  • bytxl
  • bytxl
  • 2012-06-17 14:54
  • 1806

超root安全selinux

  • 2015-02-03 09:56
  • 244KB
  • 下载

centos 7 上配置SELinux允许nginx指定/home/www作为网站根目录

现象: 1 启动nginx成功,使用wget 127.0.0.1得到内容,但是提示是禁止访问(403); 2 查看/var/log/nginx/error.log,提示访问/home/www/l....
  • qidizi
  • qidizi
  • 2014-11-19 23:19
  • 10744
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:深度学习:神经网络中的前向传播和反向传播算法推导
举报原因:
原因补充:

(最多只允许输入30个字)