Linux-安全-isic-ctmm-相关

1.1 isic
1.1 开启和关闭
isic在内核层面默认打开，在上层应用层面默认关闭，也就是说，想要isis发挥出作用，需要在系统启动后，使用isic相关命令打开。

系统安装启动后，默认状态下isic是关闭状态，系统命令不受限制，isic相关命令可以由任意用户使用，即isic可以由任意用户开启。

开启命令：# isic_admin -s 1

上述命令仅本次系统启动有效，系统重启后isic回归关闭状态。

若需要系统重启后isic依然是开启状态，需要向isic配置文件写入开启参数。

开启命令：# echo 1 > /etc/isic/config


在isic功能开启后，系统关键位置即开始受到保护和限制，此时isic相关命令只有安全管理员有权限执行，若想关闭isic功能，必须使用安全管理员执行关闭命令。

关闭命令： # isic_admin -s 0

同理，上述命令仅本次系统启动有效，若需要系统重启后isic依然是关闭状态，需要向isic配置文件写入关闭参数。

开启命令：# echo 0 > /etc/isic/config
也可以在grub中添加参数isic_enable=0禁用。

1.2 为新创建用户赋标签
在isic开启状态下（内核态），通过useradd创建的新用户是没有赋过安全标签的，这种情况下，系统会拒绝新用户的登入请求，因此，要想使新用户正常使用，需要通过安全管理员（secadm）给新创建用户打标签。

示例（以新创建用户名cs2c为例，创建新用户过程不再描述）：
使用secadm用户执行命令
# id cs2c
uid=1012(cs2c) gid=1012(cs2c) 组=1012(cs2c)

# isic_set -u 1012 -m g3:c1+c254 -i 8

注意，在给新用户赋安全标签时，不能与root、secadm、auditadm和已创建好的用户重复，root用户：g3:c4+c5+c6:i8；secadm用户：g3:c2+c4+c6:i8；auditadm用户：g3:c3+c4+c6:i8；普通用户可以是这三个标签以外的c1至c254的任意组合相加。

1.3 其它常用命令
获取isic当前状态：# isic_admin -g
获取当前文件标签：# isic_get -f [/path/to/file]
设置当前文件标签：# isic_set -f [/path/to/file] -m [安全标签] -i 8
按照相应规则对相应目录打标签（递归）：# isic_lable [目录]
全局重新打标签：# touch /.isic_init && reboot

2 CTMM
2.1 开启和关闭
	ctmm在内核层面和应用层面默认开启，ctmm命令受isic保护，isic关闭情况下，任意用户均可以使用，isic开启状态下仅secadm可以使用。

	开启命令：# ctmm_set_stat -e 1
关闭命令：# ctmm_set_stat -e 0
内核态关闭：需在grub启动参数后追加ctmm_enable=0

2.2 可信管理中心
	ctmm的常规使用均在可信管理中心执行。

	使用secadm用户登录系统，应用程序->系统工具->中标麒麟安全控制中心->可信管理->可信管理中心。

2.3 其它常用命令
获取ctmm当前状态：# ctmm_get_stat   \\返回结果第一行是ctmm的状态
全局重新度量白名单文件的度量值 # touch /.labelfile && reboot
echo 0 > /ctmm/hooks/file_hook