SELINUX（Security-Enhanced Linux 安全增强型Linux）（Enforcing、Permissive、Disabled）

最新推荐文章于 2024-08-20 11:43:21 发布

m0_61067876

最新推荐文章于 2024-08-20 11:43:21 发布

阅读量906

点赞数 16

文章标签： linux 安全 java

本文链接：https://blog.csdn.net/m0_61067876/article/details/139833678

版权

SELinux Policies（SELinux策略）

Two main types of policies are used in SELinux: targeted and strict. The targeted policy, which is the default, targets（针对） and confines（限制） selected system processes. The strict policy confines all processes on the system.

SELinux主要使用两种类型的策略：目标和严格。默认的是目标策略，它针对并限制了选定的系统进程。严格策略限制了系统上的所有进程。

sestatus

The above command will display the current SELinux status, including the policy being loaded.

以上命令将显示当前的SELinux状态，包括正在加载的策略。

在这里插入图片描述

Configuring SELinux（配置SELinux）（targeted针对的、minimum最小化的、mls多级保护）

System administrators can manipulate（操作） the SELinux settings via the /etc/selinux/config file. Here, you can set the SELinux mode and choose the policy to load at boot time.

系统管理员可以通过/etc/selinux/config文件操作SELinux设置。在这里，您可以设置SELinux模式并选择在启动时加载的策略。

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
# enforcing - SELinux security policy is enforced.
# permissive - SELinux prints warnings instead of enforcing.
# disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of three values:
# targeted - Targeted processes are protected,
# minimum - Modification of targeted policy. Only selected processes are protected. 
# mls - Multi Level Security protection.
SELINUXTYPE=targeted

在这里插入图片描述

The settings in this file will take effect after a system reboot.
这个文件中的设置将在系统重启后生效。

这三种SELinux策略的范围从小到大可以理解为 “minimum” < “targeted” < “mls”。

Minimum：这是最小的范围，只保护选定的进程。这是对"targeted"策略的一种修改，比"targeted"策略有更少的受保护的进程。
Targeted：这个策略的范围比"minimum"大。它针对特定的系统进程进行保护，而其它进程则运行在传统的Discretionary
Access Control（DAC）环境下。这是默认的SELinux策略。
MLS (Multi Level Security)：这是范围最大的策略，它为所有的系统进程提供了多级别的安全保护。

注意：

在这里，“targeted”和“minimum”是两种不同的SELinux策略类型。

Targeted：这种策略只针对特定的系统进程进行保护，而其它进程则运行在传统的Discretionary Access Control（DAC）环境下。这是默认的SELinux策略。
Minimum：这种策略是对"targeted"策略的修改。它只保护选定的进程，但比"targeted"策略有更少的受限制的进程。

所以说，“Targeted processes are protected”和“Only selected processes are protected”虽然看起来很像，但是它们所指的保护范围和级别是不同的。

Working with SELinux Booleans（使用SELinux布尔值）

SELinux booleans allow the administrator to modify SELinux settings on the fly（即时） without any need for policy recompilation（重编译）. To get a list of all available SELinux booleans, you can use:

SELinux布尔值允许管理员即时修改SELinux设置，无需重新编译策略。要获取所有可用的SELinux布尔值列表，您可以使用：

getsebool -a

在这里插入图片描述

To set a particular boolean value, use the setsebool command:

要设置特定的布尔值，请使用setsebool命令：

setsebool -P httpd_can_network_connect 1

In this example, we’re allowing the HTTPD daemon to make（建立） network connections.

在此示例中，我们允许HTTPD守护进程进行网络连接。

getsebool -a

setsebool -P httpd_can_network_connect 1

在这里插入图片描述

Conclusion

结论

While it might seem complex at first, SELinux is an extremely powerful tool that allows system administrators to have fine-grained（细粒的） control over their systems’ security. It offers a higher level of access control and process separation（进程隔离） than traditional Unix permissions models. Understanding how to work with SELinux can significantly enhance your system’s security posture.

虽然一开始可能看起来很复杂，但SELinux是一个非常强大的工具，它允许系统管理员对他们的系统安全性进行精细控制。它提供了比传统Unix权限模型更高级别的访问控制和进程分离。理解如何使用SELinux可以显著增强您的系统的安全态势。

为了做好运维面试路上的助攻手，特整理了上百道 【运维技术栈面试题集锦】 ，让你面试不慌心不跳，高薪offer怀里抱！

这次整理的面试题，小到shell、MySQL，大到K8s等云原生技术栈，不仅适合运维新人入行面试需要，还适用于想提升进阶跳槽加薪的运维朋友。