Linux学习-92-SELinux管理

18 SELinux管理

• root 用户在 Linux 系统当中就是无所不能的，而且读、写和执行权限对 root 用户完全没有作用。root 用户的存在极大地方便了 Linux 的管理，但是也造成了一定的安全隐患。绝大多数系统的严重错误都是由于 root 用户的误操作引起的，来自外部的攻击产生的影响反而不是那么严重。root 用户的权限过高了，一些看似简单、微小的操作，都很有可能对系统产生重大的影响。最常见的错误就是 root 用户为了管理方便，给重要的系统文件或系统目录设置了 777 权限，这会造成严重的安全隐患。

• SELinux 是由美国国家安全局（NSA）开发的，整合在 Linux 内核当中，针对特定的进程与指定的文件资源进行权限控制的系统。即使你是 root 用户，也必须遵守 SELinux 的规则，才能正确访问正确的资源，这样可以有效地防止 root 用户的误操作（当然，root 用户可以修改 SELinux 的规则）。

• 需要注意的是，系统的默认权限还是会生效的，也就是说，用户既要符合系统的读、写、执行权限，又要符合 SELinux 的规则，才能正确地访问系统资源。

18.1 SELinux是什么

• SELinux(Security Enhanced Linux):也就是安全强化的 Linux，是由美国国家安全局（NSA）联合其他安全机构（比如 SCC 公司）共同开发的，旨在增强传统 Linux 操作系统的安全性，解决传统 Linux 系统中自主访问控制（DAC）系统中的各种权限问题（如 root 权限过高等）。

• SELinux 项目在 2000 年以 GPL 协议的形式开源，当 Red Hat 在其 Linux 发行版本中包括了 SELinux 之后，SELinux 才逐步变得流行起来。现在，SELinux 已经被许多组织广泛使用，几乎所有的 Linux 内核 2.6 以上版本，都集成了 SELinux 功能。它是部署在 Linux 上用于增强系统安全的功能模块。

• 传统的 Linux 系统中，默认权限是对文件或目录的所有者、所属组和其他人的读、写和执行权限进行控制，这种控制方式称为自主访问控制（DAC）方式；而在 SELinux 中，采用的是强制访问控制（MAC）系统，也就是控制一个进程对具体文件系统上面的文件或目录是否拥有访问权限，而判断进程是否可以访问文件或目录的依据，取决于 SELinux 中设定的很多策略规则。

• 这两个访问控制系统的特点：

  • 自主访问控制系统（Discretionary Access Control，DAC）是 Linux 的默认访问控制方式，也就是依据用户的身份和该身份对文件及目录的 rwx 权限来判断是否可以访问。不过，在 DAC 访问控制的实际使用中发现了一些问题：

    1. root 权限过高，rwx 权限对 root 用户并不生效，一旦 root 用户被窃取或者 root 用户本身的误操作，都是对 Linux 系统的致命威胁。
    2. Linux 默认权限过于简单，只有所有者、所属组和其他人的身份，权限也只有读、写和执行权限，并不利于权限细分与设定。
    3. 不合理权限的分配会导致严重后果，比如给系统敏感文件或目录设定 777 权限，或给敏感文件设定特殊权限——SetUID 权限等。

  • 强制访问控制（Mandatory Access Control，MAC）是通过 SELinux 的默认策略规则来控制特定的进程对系统的文件资源的访问。也就是说，即使你是 root 用户，但是当你访问文件资源时，如果使用了不正确的进程，那么也是不能访问这个文件资源的。

• 这样一来，SELinux 控制的就不单单只是用户及权限，还有进程。每个进程能够访问哪个文件资源，以及每个文件资源可以被哪些进程访问，都靠 SELinux 的规则策略来确定。注意，在 SELinux 中，Linux 的默认权限还是有作用的，也就是说，一个用户要能访问一个文件，既要求这个用户的权限符合 rwx 权限，也要求这个用户的进程符合 SELinux 的规定。

• 不过，系统中有这么多的进程，也有这么多的文件，如果手工来进行分配和指定，那么工作量过大。所以 SELinux 提供了很多的默认策略规则，这些策略规则已经设定得比较完善,需要学习如何查看和管理这些策略规则。

可以这样理解 SELinux 所扮演的角色，例如 apache 上发现了一个漏洞，使得某个远程用户可以访问系统的敏感文件（如 /etc/shadow）。如果我们的 Linux 中启用了 SELinux，那么，因为 apache 服务的进程并不具备访问 /etc/shadow 的权限，所以这个远程用户通过 apache 访问 /etc/shadow文件就会被 SELinux 所阻挡，起到保护 Linux 系统的作用。

• CentOS x安装SELinux:从CentOS 6.x 开始，SELinux 是整合到 Linux 的内核当中的，并且是启动的，所以不需要单独安装。不过，现在不再像在 CentOS 5.x 中，所有的 SELinux 工具都是已经安装和配置好的，在 CentOS 6.x 中，虽然 SELinux 的主程序默认已经安装，但是很多的 SELinux 管理工具需要我们手工安装。SELinux 安装命令如下：

[root@CncLucZK ~]#  yum -y install setroubleshoot
[root@CncLucZK ~]#  yum -y install setools-console

• 这两条命令要想正确运行，需要搭建正确的 yum 源。这两个软件包在安装时会依赖安装一系列的软件包，这些软件包中包含了 SELinux 的常用工具。

18.2 SELinux的主要作用

• 传统的 Linux 系统安全，采用的是 DAC（自主访问控制方式），而 SELinux 是部署在 Linux 系统中的安全增强功能模块，它通过对进程和文件资源采用 MAC（强制访问控制方式）为 Linux 系统提供了改进的安全性。需要注意的是，SELinux 的 MAC 并不会完全取代 DAC，恰恰相反，对于 Linux 系统安全来说，它是一个额外的安全层，换句话说，当使用 SELinux 时，DAC 仍然被使用，且会首先被使用，如果允许访问，再使用 SELinux 策略；反之，如果 DAC 规则拒绝访问，则根本无需使用 SELinux 策略。例如，若用户尝试对没有执行权限（rw-）的文件进行执行操作，那么传统的 DAC 规则就会拒绝用户访问，因此，也就无需再使用 SELinux 策略。

• 相比传统的 Linux DAC 安全控制方式，SELinux 具有诸多好处，比如说：

  • 它使用的是 MAC 控制方式，这被认为是最强的访问控制方式；
  • 它赋予了主体（用户或进程）最小的访问特权，这也就意味着，每个主体仅被赋予了完成相关任务所必须的一组有限的权限。通过赋予最小访问特权，可以防止主体对其他用户或进程产生不利的影响；
  • SELinux 管理过程中，每个进程都有自己的运行区域（称为域），各进程仅运行在自己的域内，无法访问其他进程和文件，除非被授予了特殊权限。
  • SELinux 可以调整到 Permissive 模式，此模式允许查看在系统上执行 SELinux 后所产生的影响。在 Permissive 模式中，SELinux 仍然会记录它所认为的安全漏洞，但并不会阻止它们。

• 了解 SELinux 的优点，最直接的办法就是查看当 Linux 系统上没有运行 SELinux 时会发生什么事情。

• 例如，Web 服务器守护进程（httpd）正在监听某一端口上所发生的事情，而后进来了一个请求查看主页的来自 Web 浏览器的简单请求。由于不会受到 SELinux 的约束，httpd 守护进程听到请求后，可以完成以下事情：

  1. 根据相关的所有者和所属组的rwx权限，可以访问任何文件或目录；
  2. 完成存在安全隐患的活动，比如允许上传文件或更改系统显示；
  3. 可以监听任何端口的传入请求。

• 但在一个受 SELinux 约束的系统上，httpd 守护进程受到了更加严格的控制。仍然使用上面的示例，httped仅能监听 SELinux 允许其监听的端口。SELinux 还可以防止 httpd 访问任何没有正确设置安全上下文的文件，并拒绝没有再 SELinux 中显式启用的不安全活动。因此，从本质上讲，SELinux 最大程序上限制了 Linux 系统中的恶意代码活动。

18.3 SELinux 的工作模式（Disabled、Permissive和Enforcing）

• 通过对 SELinux 的介绍，可以这样认为在传统 Linux 系统使用访问控制方式的基础上，附加使用 SELinux 可增强系统安全。

• 在解释 SELinux 的工作模式之前，先解释几个概念。

  1. 主体（Subject）：就是想要访问文件或目录资源的进程。想要得到资源，基本流程是这样的：由用户调用命令，由命令产生进程，由进程去访问文件或目录资源。在自主访问控制系统中（Linux 默认权限中），靠权限控制的主体是用户；而在强制访问控制系统中（SELinux 中），靠策略规则控制的主体则是进程。
  2. 目标（Object）：这个概念比较明确，就是需要访问的文件或目录资源。
  3. 策略（Policy）：Linux 系统中进程与文件的数量庞大，那么限制进程是否可以访问文件的 SELinux 规则数量就更加烦琐，如果每个规则都需要管理员手工设定，那么 SELinux 的可用性就会极低。还好不用手工定义规则，SELinux 默认定义了两个策略，规则都已经在这两个策略中写好了，默认只要调用策略就可以正常使用了。这两个默认策略如下：
     • targeted：这是 SELinux 的默认策略，这个策略主要是限制网络服务的，对本机系统的限制极少。使用这个策略已经足够了。
     • mls：多级安全保护策略，这个策略限制得更为严格。
  4. 安全上下文（Security Context）：每个进程、文件和目录都有自己的安全上下文，进程具体是否能够访问文件或目录，就要看这个安全上下文是否匹配。如果进程的安全上下文和文件或目录的安全上下文能够匹配，则该进程可以访问这个文件或目录。当然，判断进程的安全上下文和文件或目录的安全上下文是否匹配，则需要依靠策略中的规则。

• 这几个概念之间的关系
  

• 解释：当主体想要访问目标时，如果系统中启动了 SELinux，则主体的访问请求首先需要和 SELinux 中定义好的策略进行匹配。如果进程符合策略中定义好的规则，则允许访问，这时进程的安全上下文就可以和目标的安全上下文进行匹配；如果比较失败，则拒绝访问，并通过 AVC（Access Vector Cache，访问向量缓存，主要用于记录所有和 SELinux 相关的访问统计信息）生成拒绝访问信息。如果安全上下文匹配，则可以正常访问目标文件。当然，最终是否可以真正地访问到目标文件，还要匹配产生进程（主体）的用户是否对目标文件拥有合理的读、写、执行权限。

• 我们在进行 SELinux 管理的时候，**一般只会修改文件或目录的安全上下文，使其和访问进程的安全上下文匹配或不匹配，用来控制进程是否可以访问文件或目录资源；而很少会去修改策略中的具体规则，**因为规则实在太多了，修改起来过于复杂。不过，可以人为定义规则是否生效，用以控制规则的启用与关闭的。

• SELinux 的工作模式:SELinux 提供了 3 种工作模式：Disabled、Permissive 和 Enforcing，而每种模式都为 Linux 系统安全提供了不同的好处。

• • Disable工作模式（关闭模式）:在 Disable 模式中，SELinux 被关闭，默认的 DAC 访问控制方式被使用。对于那些不需要增强安全性的环境来说，该模式是非常有用的。例如，虽然看正在运行的应用程序工作正常，但是却产生了大量的 SELinux AVC 拒绝消息，最终可能会填满日志文件，从而导致系统无法使用。在这种情况下，最直接的解决方法就是禁用 SELinux，当然，你也可以在应用程序所访问的文件上设置正确的安全上下文。需要注意的是，在禁用 SELinux 之前，需要考虑一下是否可能会在系统上再次使用 SELinux，如果决定以后将其设置为 Enforcing 或 Permissive，那么当下次重启系统时，系统将会通过一个自动 SELinux 文件重新进程标记。

    关闭 SELinux ，只需编辑配置文件 /etc/selinux/config，并将文本中 SELINUX= 更改为 SELINUX=disabled 即可，重启系统后，SELinux 就被禁用了。

  • Permissive工作模式（宽容模式）：在 Permissive 模式中，SELinux 被启用，但安全策略规则并没有被强制执行。当安全策略规则应该拒绝访问时，访问仍然被允许。然而，此时会向日志文件发送一条消息，表示该访问应该被拒绝。

    SELinux Permissive 模式主要用于以下几种情况：
    审核当前的 SELinux 策略规则；
    测试新应用程序，看看将 SELinux 策略规则应用到这些程序时会有什么效果；
    解决某一特定服务或应用程序在 SELinux 下不再正常工作的故障。

    某些情况下，可使用 audit2allow 命令来读取 SELinux 审核日志并生成新的 SELinux 规则，从而有选择性地允许被拒绝的行为，而这也是一种在不禁用 SELinux 的情况下，让应用程序在 Linux 系统上工作的快速方法。

  • Enforcing工作模式（强制模式）：从此模式的名称就可以看出，在 Enforcing 模式中， SELinux 被启动，并强制执行所有的安全策略规则。

18.4 SELinux配置文件（/etc/selinux/config）

• SELinux 是预先配置的，可以在不进行任何手动配置的情况下使用 SELinux 功能。然而，一般来说，预先配置的 SELinux 设置很难满足所有的 Linux 系统安全需求。SELinux 配置只能由 root 用户进行设置和修改。配置和策略文件位于 /etc/selinux 目录中，主配置文件位 /etc/selinux/config 文件，该文件中的内容如下：

[root@CncLucZK ~]# cat /etc/selinux/config

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
#指定SELinux的运行模式。有enforcing（强制模式）、permissive（宽容模式）、disabled（不生效）三种模式
SELINUX=disabled		
# SELINUXTYPE= can take one of these three values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected. 
#     mls - Multi Level Security protection.
#指定SELinux的默认策略。有 targeted（针对性保护策略，是默认策略）和 mls（多级安全保护策略）两种策略
SELINUXTYPE=targeted

• 主配置文件中，除去以‘#’符号开头的注释行，有效配置参数仅有 2 行。其中，SELinux=disabled 为 SELinux 默认的工作模式，有效值还可以是 permissive 和 enforcing；SELINUXTYPE=targeted 用于指定 SELinux 的默认策略。

注意，如果从强制模式（enforcing）、宽容模式（permissive）切换到关闭模式（disabled），或者从关闭模式切换到其他两种模式，则必须重启 Linux 系统才能生效，但是强制模式和宽容模式这两种模式互相切换不用重启 Linux 系统就可以生效。这是因为 SELinux 是整合到 Linux 内核中的，所以必须重启才能正确关闭和启动。而且，如果从关闭模式切换到启动模式，那么重启 Linux 系统的速度会比较慢，那是因为需要重新写入安全上下文信息。

18.5 SELinux工作模式设置（getenforce、setenforce和sestatus命令）

• 除了通过配置文件可以对 SELinux 进行工作模式的修改之外，还可以使用命令查看和修改 SELinux 工作模式。

• 查看系统当前 SELinux 的工作模式，可以使用 getenforce 命令；而如果想要查看配置文件中的当前模式和模式设置，可以使用 sestatus 命令，下面的代码显示了这两个命令：

#查询SELinux的运行模式
[root@VM-0-3-centos ~]# getenforce
Enforcing
#当前的SELinux是强制模式
[root@VM-0-3-centos ~]# sestatus
SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     actual (secure)
Max kernel policy version:      33
[root@VM-0-3-centos ~]# getenforce
Permissive
[root@VM-0-3-centos ~]# sestatus
SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   permissive
Mode from config file:          disabled
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     actual (secure)
Max kernel policy version:      33

• 除可以查询 SELinux 的运行模式之外，也可以修改 SELinux 的运行模式，即使用 setenforce 命令。不过需要注意，setenforce 命令只能让 SELinux 在 enforcing 和 permissive 两种模式之间进行切换。如果从启动切换到关闭，或从关闭切换到启动，则只能修改配置文件，setenforce 命令就无能为力了。setenforce 命令的基本格式如下：

[root@localhost ~]# setenforce 选项

• 选项：
  • 0： 切换成 permissive（宽容模式）；
  • 1： 切换成 enforcing（强制模式）；

#切换成宽容模式
[root@localhost ~]# setenforce 0
[root@localhost ~]# getenforce
Permissive
#切换成强制模式
[root@localhost ~]# setenforce 1
[root@localhost ~]# getenforce
Enforcing

参考文献:
SELinux是什么

下一篇：Linux学习-93-SELinux安全上下文操作