3.2 Linux中selinux管理

一、selinux的作用

       当selinux开启时，内核会对每个文件及每个开启的程序进行标签加载标签内记录程序和文件的安全上下文；并且会对程序的功能加载开关，并设定此开关的状态为关闭，当需要此功能时需要手动开启功能开关，此开关叫做sebool。

1、selinux的开启与关闭
vim /etc/selinux/config

SELINUX=disabled    #selinux关闭
SELINUX=enforcing    #selinux开机设定为强制状态此状态为selinux开启，不被允许并警告
SELINUX=permissive    #selinux开机设定为警告状态此状态为selinux开启，被允许且警告
注意：selinux开启或关闭需要重启系统

getenforce              ##查看selinux状态

2、selinux开启后控制强制和警告级别的转换
setenforce 0                ##切换为警告状态
setenforce 1                ##切换为强制状态

 selinux日志位置：
/var/log/audit/audit.log

二、安全上下文

1、查看文件上下文

ls -Z        ##查看文件的安全上下文

ls -Zd        ##查看目录的安全上下文

ps axZ        ##查看进程的安全上下文

  

2、修改文件上下文

临时修改，selinux重启后会恢复：

chcon -t     标签            文件|目录    
chcon -t     public_content_t     /var/ftp/westosfile1
chcon -Rt     public_content_t    /westosdir    #修改目录及目录中的所有文件的安全上下文

永久修改安全上下文：

semanage fcontext -l            ##查看内核安全上下文列表 
semanage fcontext -a -t public_content_t  '/var/ftp/dir(/.*)?'  ##更改上下文列表
restorecon -RvvF /westosdir/    ##立刻刷新
touch  /.autorelabel        ##重启系统时selinux初始化文件标签开关文件 

三、sebool值

getsebool  -a | grep ftpd            ##查看服务的bool值
setsebool  -P ftpd_anon_write on            ##更改 

实验：

查看ftp服务的bool值 getsebool  -a | grep ftpd，写的能力是关闭的

客户端在pub不能上传文件

更改写功能的bool值

把pub的安全上下文加上rw权限

 再次用客户端访问，可以在pub里上传文件

四、端口

semanage port -l | grep ftp                     ##查看端口列表
semanage port -a -t ftp_port_t -p tcp  1111     ##给ssh添加可用端口

semanage port -d -t ftp_port_t -p tcp  1111     ##删除ssh的可用端口

六、setrouble服务

setroubleshoot-server是采集警告信息并分析得到解决方案存放到message中的一款软件。

/var/log/audit/audit.log    ##selinux警告信息
/var/log/messages        ##selinux问题解决方案 

实验：

/var/ftp中有file1与ftp程序的文件上下文不匹配，并清空/var/log/audit/audit.log与/var/log/messages

客户端访问时只能看到安全上下文相匹配的文件，看不到file1

 在ftp服务器中查看警告

 在ftp服务器中查看解决方案，并找到解决方案

 在ftp服务器中执行解决方案

再次用客户端访问 可以看到file1

注意： setroubleshoot-server仅仅只是提供解决方案，不会考虑到该方案的安全性，所以执行解决方案时需慎重考虑。