22、深入理解SELinux与/proc文件系统

深入理解SELinux与/proc文件系统

1. SELinux基础

SELinux（Security-Enhanced Linux）为Linux引入了强制访问控制（MAC），区别于标准Linux内核的自主访问控制（DAC）。在DAC系统中，用户可自行决定将其拥有的资源访问权限授予其他用户；而在MAC系统中，所有权和访问由组织控制的复杂且可定制的规则集管理。

SELinux的正常Linux安全机制（访问模式和用户/组ID）与SELinux机制协同工作。在进程访问对象之前，必须同时满足这两种机制。

2. SELinux相关术语

• 对象（Object） ：可保护和访问的事物。Fedora Core 2安全策略定义了12种顶级对象，包括文件（和目录）、文件系统、文件描述符、套接字、网络节点、网络接口、进程、IPC机制、SELinux安全服务器、系统日志、内核功能和密码等。

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    A(对象):::process --> B(文件):::process
    A --> C(文件系统):::process
    A --> D(文件描述符):::process
    A --> E(套接字):::process
    A --> F(网络节点):::process
    A --> G(网络接口):::process