配置selinux的策略_SELinux入门和基本配置

SElinux的概念:

SELinux[Security Enhanced Linux (安全强化 Linux)]，是工作在内核中的MAC (Mandatory Access Control，强制访问控制系统)的一个实现，目的在于明确的指明某个进程可以访问哪些资源(文件、网络端口等)。强制访问控制系统的用途在于增强系统抵御 0-Day 攻击(利用尚未公开的漏洞实现的攻击行为)的能力。所以它不是网络防火墙或 ACL 的替代品，在用途上也不重复。

DAC和MAC的联系和区别：

一般系统上采用的DAC的环境，selinux则是MAC(强制访问控制)

DAC环境下进程是无束缚的

MAC环境下策略的规则决定控制的严格程度

MAC环境下进程可以被限制的

策略被用来定义被限制的进程能够使用那些资源(文件和端口)

默认情况下，没有被明确允许的行为将被拒绝

对于selinux的通俗理解：

selinux，它给一些特定程序(这些程序也在不断增加)做了一个沙箱，它将文件打上了一个安全标签，这些标签属于不同的类，也只能执行特定的操作，也就是规定了某个应用程序设定了你可以访问那些文件或目录。

subject operation object

主体：进程称为主体(subject)

对象(object)：所有可以读取的对象，包括文件、目录和进程，端口等，

SELinux中对所有的文件都赋予一个type的文件类型标签，对于所有的进程也赋予各自的一个domain的标签。Domain标签能够执行的  操作由安全策略里定义。当一个subject试图访问一个object，Kernel中的策略执行服务器将检查AVC