se linux ll-z,SELinux

一：SELinux概念

1: 简介

SELinux: Secure Enhanced Linux，是美国国家安全局(NSA=The National Security Agency)和SCC(Secure Computing Corporation)开发的Linux的一个强制访问控制的安全模块。2000年以GNU GPL发布，Linux内核2.6版本后集成在内核中

特性：

MAC环境下策略的规则决定控制的严格程度

MAC环境下进程可以被限制的

策略被用来定义被限制的进程能够使用那些资源(文件和端口)

默认情况下，没有被明确允许的行为将被拒绝

2：类型

查看： cat /etc/selinux/config

SELINUXTYPE=targeted minimum mls

目标进程被保护：保护本质上是让进程不可以为所欲为，在一定的范围下活动.

不在范围内的进程则不予管理

3：targeted

SELinux：一切皆对象

安全上下文五个元素：

User:指示登录系统的用户类型,如root,user_u,system_u,多数本地进程都属于自由(unconfined)进程

Role:定义文件，进程和用户的用途：文件:object_r，进程和用户：system_r

Type:指定数据类型，规则中定义何种进程类型访问何种文件

Sensitivity:限制访问的需要，由组织定义的分层安全级别，如unclassified,secret,top,secret, 一个对象有且只有一个sensitivity,分0-15级，s0最低,Target策略默认使用s0

Category：对于特定组织划分不分层的分类，如FBI Secret，NSA secret, 一个对象可以有多个categroy，c0-c1023共1024个分类，Target 策略不使用category

如：

system_u:object_r:admin_home_t:s0

type：admin_home_t

根据文件类型可以下策略规定。

多服务公用：public_content_t

ll -Z 查看真实的类型

semanage fcontext -l 查看期望的安全上下文

二：SELinux策略

1：启动/禁用

SELinux的状态：

enforcing:强制，每一个受限的进程都必然受限

permissive:允许，每一个受限的进程违规操作不会被禁止，但会被记录于审计日志

disabled：禁用SELinux

相关命令：

getenforce：获取selinux当前状态查看：

sestatus 此命令查看的更清楚

setenforce 0|1

0: 设置为permissive

1: 设置为enforcing

此条命令是不可以设置为diabled

semanage fcontext -l 查看期望的安全上下文：

配置文件：

/etc/selinux/config

SELinux策略转换及生效

1：enforcing->permissive

使用命令 setenforce 0

permissive---> enforcing

使用命令 setenforce 1

2: permissive或enforcing转换为disabled

需要在配置文件/etc/selinux/config中把 SELINUX=enforing 改为 SELINUX=disabled

并需要重启电脑，方可生效

3 disabled 转换为 permissive或enforcing

需要在配置文件/etc/selinux/config中把 SELINUX=disabled 改为 SELINUX=enforcing

并需要重启电脑，方可生效

2：管理文件标签

此节为rhce考题，需要好好掌握

改变文件标签：

chcon –t 文件标签 file

改变目录标签

chcon –Rt 文件标签 file

恢复文件标签至正常状态：

1)restorecon file

2)参考正常值：semanage fcontext –l

修改标签：chcon –t 文件标签 file

恢复目录的标签：

restorecon –R DIRECTORY

添加安全上下文:

相当于在安全上下文的库里面增加记录，restorecon恢复文件的标签，就是从参考库的标签，然后做相应的修改

semanage fcontext –a –t httpd_sys_content_t ‘/testdir(/.*)?’

三：管理端口标签

查看端口标签

semanage port –l 查看系统默认的端口与对应的应用

增加端口：

semanageport -a -t port_label-p tcp|udpPOR

删除端口标签：

semanageport -d -t port_label-p tcp|udpPORT

semanage port -d -t http_port_t -p tcp 9527

修改端口标签：

此端口要被定义过，没有被定义的标签不能被更改

四：管理SELinux布尔值开关

查看：

semanage boolean –l

更改

更改bool值(临时生效)：

setbool httpd_enable_homedirs on 临时生效

永久更改存放

1为on

0为off

setbool –P httpd_enable_homedir=1