1.1 isic
1.1 开启和关闭
isic在内核层面默认打开,在上层应用层面默认关闭,也就是说,想要isis发挥出作用,需要在系统启动后,使用isic相关命令打开。
系统安装启动后,默认状态下isic是关闭状态,系统命令不受限制,isic相关命令可以由任意用户使用,即isic可以由任意用户开启。
开启命令:# isic_admin -s 1
上述命令仅本次系统启动有效,系统重启后isic回归关闭状态。
若需要系统重启后isic依然是开启状态,需要向isic配置文件写入开启参数。
开启命令:# echo 1 > /etc/isic/config
在isic功能开启后,系统关键位置即开始受到保护和限制,此时isic相关命令只有安全管理员有权限执行,若想关闭isic功能,必须使用安全管理员执行关闭命令。
关闭命令: # isic_admin -s 0
同理,上述命令仅本次系统启动有效,若需要系统重启后isic依然是关闭状态,需要向isic配置文件写入关闭参数。
开启命令:# echo 0 > /etc/isic/config
也可以在grub中添加参数isic_enable=0禁用。
1.2 为新创建用户赋标签
在isic开启状态下(内核态),通过useradd创建的新用户是没有赋过安全标签的,这种情况下,系统会拒绝新用户的登入请求,因此,要想使新用户正常使用,需要通过安全管理员(secadm)给新创建用户打标签。
示例(以新创建用户名cs2c为例,创建新用户过程不再描述):
使用secadm用户执行命令
# id cs2c
uid=1012(cs2c) gid=1012(cs2c) 组=1012(cs2c)
# isic_set -u 1012 -m g3:c1+c254 -i 8
注意,在给新用户赋安全标签时,不能与root、secadm、auditadm和已创建好的用户重复,root用户:g3:c4+c5+c6:i8;secadm用户:g3:c2+c4+c6:i8;auditadm用户:g3:c3+c4+c6:i8;普通用户可以是这三个标签以外的c1至c254的任意组合相加。
1.3 其它常用命令
获取isic当前状态:# isic_admin -g
获取当前文件标签:# isic_get -f [/path/to/file]
设置当前文件标签:# isic_set -f [/path/to/file] -m [安全标签] -i 8
按照相应规则对相应目录打标签(递归):# isic_lable [目录]
全局重新打标签:# touch /.isic_init && reboot
2 CTMM
2.1 开启和关闭
ctmm在内核层面和应用层面默认开启,ctmm命令受isic保护,isic关闭情况下,任意用户均可以使用,isic开启状态下仅secadm可以使用。
开启命令:# ctmm_set_stat -e 1
关闭命令:# ctmm_set_stat -e 0
内核态关闭:需在grub启动参数后追加ctmm_enable=0
2.2 可信管理中心
ctmm的常规使用均在可信管理中心执行。
使用secadm用户登录系统,应用程序->系统工具->中标麒麟安全控制中心->可信管理->可信管理中心。
2.3 其它常用命令
获取ctmm当前状态:# ctmm_get_stat \\返回结果第一行是ctmm的状态
全局重新度量白名单文件的度量值 # touch /.labelfile && reboot
echo 0 > /ctmm/hooks/file_hook
Linux-安全-isic-ctmm-相关
于 2022-08-09 10:41:20 首次发布