提升篇——SELINUX相关介绍

1.SElinux简介

SELinux：Secure Enhanced Linux，是美国国家安全局(NSA=The National Security Agency)和SCC(Secure Computing Courporation)开发的LInux的一个强制控制的安全模块。2000年以GNU GPL发布，Linux内核2.6版本后继承在内核中。

对于目前可用的 Linux安全模块来说，SELinux 是功能最全面，而且测试最充分的，它是在 20 年的 MAC 研究基础上建立的。SELinux 在类型强制服务器中合并了多级安全性或一种可选的多类策略，并采用了基于角色的访问控制概念。它们都是在内核中启用 SELinux 的，并且提供一个可定制的安全策略，还提供很多用户层的库和工具，它们都可以使用 SELinux 的功能。

SElinux(安全增强型linux)：内核级的加强型火墙，内核上的插件，改变后要重启。它是可保护系统安全性的额外机制。在某种程度上，它可以被看作是与标准权限系统并行的权限系统。在常规模式中，以用户身份运行进程，并且系统上的文件和其他资源都设置了权限标签。（控制哪些用户对哪些文件具有哪些访问权，selinux的另一个不同之处在于，若要访问文件必须具有普通访问权限和selinux访问权限。因此，即使以超级用户身份运行程序，根据进程以及文件或资源的selinux安全性上下文可能拒绝访问文件或资源）

SELinux策略：

对象(object)：所有可以读取的对象，包括文件、目录和进程，端口等

主体：进程称为主体(subject)

SELinux中对所有的文件都赋予一个type的文件类型标签，对于所有的进程也赋予各自的一个domain的标签。domain标签能够执行的操作由安全策略里定义。

当一个subject试图访问一个object，Kernel中的策略执行服务器将检查AVC（访问矢量缓存Access Vector Cache），在AVC中，subject和object的权限被缓存(cached)，查找“应用+文件”的安全环境。然后根据查询结果运行或拒绝访问。

安全策略：定义主体读取对象的规则数据库，规则中记录了哪个类型的主体使用哪个方法读取哪一项对象是允许还是拒绝的，并且定义了那种行为是运行或拒绝。

2.SElinux状态介绍及更改方式

状态	功能
Enforcing	警告并拒绝
Permissive	警告不拒绝
Disabled	不警告不拒绝

更改方式1

setenforce 0			##警告不拒绝		此状态下安全上下文不同的文件可以显示(后面会详细解释安全上下文)
setenforce 1			##警告并拒绝

注意:我们还可以用来更改SElinux的状态

更改方式2

vim  /etc