Selinux整理汇总

为什么80%的码农都做不了架构师？>>>   

一、相关命令集：

1. sestatus
2. getenforce
3. setenforce  0/1
4. id/ls/ps -Z    查看对象
   
5. chon [OPTION]   CONTEXT FILES     / chon [OPTIONS] --reference=REF_FILES FILES     
   -f  强迫执行，即使有错误信息也不显示出来
   -l  range 指定以range作为安全值范围
   -R 递归
   -r ROLE 修改角色原则
   -t TYPE 只修改类型原则
   -u USER 只修改用户原则
   -v 显示冗长（Verbose）原则
   例： chcon -u system_u -t httpd_t file
           chcon root:object_r:user_home_t file
6. matchpathcon  [ -a | -V ] file  找出默认原则 -a不显示路径名称；-V检查是否符合定义
   
7. fixfiles [-R PACKAGES...] [check | restore] 修复RPM包提供的文件安全原则
8. restorecon [OPTIONS] files 还原: -f listfile（以文件代替Files），-o：输出到文件，-v：显示不愿的文件，-i 忽略不存在的文件
9. 重新产生所有默认的安全原则：产生一个空的  /.autorelabel 文件，再重启。这会花费很长时间。
10. seinfo  [OPTIONS] [POLICY_FILE] 查看安全原则信息
11. sesearch [ -a| --allow | --audit | --neverallow | --type | -s NAME | -t NAME ] [POLICY_FILE]
    如：sesearch -a -s httpd_t -t etc_t /etc/selinux/targeted/policy/policy.21
12. getsebool
13. setsebool [-P] sebool=value    -P表示开机后仍生效，不加只是当前生效
14. system-config-selinux 仅图形界面下的工具
15. sealert     需要安装 setroubleshoot 包  sealert -l /var/log/audit/audit.log
16. grep httpd /var/log/audit/audit.log | audit2allow -M mypol;  semodule -i mypol.pp
    
17. ausearch -m [TYPE] -ts [time起始时间]  -te [time 止时间]  -x [name执行文件名称] 
18. aureport 审记记录总结

二、概念：

1. DAC（Discretionary Access Control）任意读取控制
               ——》ACL（访问控制列表），是DAC的延伸
2. MAC（Mandatory Access Control）强制性读取控制
           ——》RBAC（Role-Based）角色基础，以用户所属角色来判断
          ——》 MLS（Multi-Level Security）多层次安全，定义了不同的访问等级
3. 安全原则：
   targeted: 用来保护常见的网络服务；
   strict：用来提供符合RBAC机制的安全性；
   mls：提供符合 MLS 机制的安全性
4. 读取向量缓存（Access Vector Cache）暂存SELinux策略变量到内存中，以加快查询速度

转载于:https://my.oschina.net/fkkeee/blog/128371