Linux之selinux

selinux

SELinux是一种基于 域-类型 模型（domain-type）的强制访问控制（MAC）安全系统，它由NSA编写并设计成内核模块包含到内核中，相应的某些安全相关的应用也被打了SELinux的补丁，最后还有一个相应的安全策略。任何程序对其资源享有完全的控制权。假设某个程序打算把含有潜在重要信息的文件扔到/tmp目录下，那么在DAC情况下没人能阻止他。SELinux提供了比传统的UNIX权限更好的访问控制。

selinux:内核级加强型防火墙

（对文件影响，安全上下文）对文件和服务进行标签，程序标签和文件标签不一致（看不了文件）
（对服务影响）把服务不安全的功能去掉，对程序功能进行限制，在内核上限制掉（删除不了了）

selinux级别的管理

vim /etc/sysconfig/selinux
selinux=disabled ##关闭状态
selinux=Enforcing ##强制状态
selinux=Permissive ##警告状态

enforcing-是强制模式系统，它受selinux保护。就是违反了策略你就无法继续操作下去。

permissive-是提示模式系统不会受到selinux保护，只是收到警告信息。permissive就是selinux有效，但是即使你违反了策略的话它让你继续操作，但是把你违反的内容记录下来（警告信息）

disabled-禁用selinux

getenforce ##查看状态

状态更改后要重启才能生效

setenforce设定selinux运行状态，1开启（Enforce），0关闭（Permissive）

安全上下文

所有的操作系统访问控制都是主体和客体的相关访问控制属性，在SELINUX，访问控制属性称为安全上下文，安全上下文是一个简单的、一致的访问控制属性，所有客体（文件，进程间通信，通信管道，套接字，网络主机等）和主体（进程）有一个和客体和他们相关的单一安全上下文。
ls -Z ##查看文件的安全上下文
ls -Zd ##查看目录的安全上下文

示例：
1.在/pub下建立一个目录dzh
2.将/pub下的dzh文件移动到/var/ftp目录下
3.在/var/ftp下建立一个目录zyx
4.查看这两个目录的安全上下文

测试：
lftp连接后
只看的到zyx，看不到dzh

安全上下文的查看和更改

ls -Z ##查看文件的安全上下文

ls -Zd ##查看目录的安全上下文

临时更改

chcon -t 安全上下文 文件
chcon -t public_content_t /publicftp -R
关掉内核火墙重启，打开内核火墙重启后 /westos的安全上下文还原
semanage fcontext -l | grep /westos ##内核上下文安全列表

永久更改
semanage fcontext -l ##列出内核安全上下文列表内容
semanage fcontext -a -t public_content_t ‘/publicftp(/.*)?’
restorecon -RvvF /publicftp/ ##R vv显示 F刷新

selinux对服务功能的开关

getsebool -a | grep 服务名称
setsebool -P 功能bool值 on|off ##P永久开启功能