1、什么是selinux,security enhanced linux--安全加强的linux。是由美国国家安全局开发的以及历史。selinux之前是基于自主存取控制方法DAC,只要符合权限即可,通过suid和sgid特殊权限存在有一定的安全隐患,甚至一些错误的配置就会引发巨大的漏洞,被轻易攻击。
selinux是基于强制存取控制方法MAC,应用程序或用户必须同时符合DCA既要对应selinux的MAC才能正常操作,否则遭到拒绝。
DAC和MAC的比较
DAC:自主访问控制,主体是用户,访问目标文件,由文件本身权限决定的
MAC:强制访问控制,主体是程序,访问目标文件,由文件权限和策略决定。
2、selinux的原理
强制访问控制机制
在权限基础上,定义各种所属类型,类型不匹配将拒绝。
3、selinux的特点
(1.设置了一个安全的上下文标签(context值)
(2.同是拥有普通文件权限和selinux的安全策略
4、安全策略:
targeted 默认,适用于RHEL的
mls 及其安全的策略,极其强大,无比坑爹
5、模式
配置文件路径
/etc/sysconfig/selinux==/etc/selinux/config
1、enforcing 强制模式
2、permissive 警告模式(用来判断当一个服务报错时,是服务本身配置问题还是selinux的阻挡)
3、disabled 禁用模式
getenforce 查看selinux当前状态
setenforce 更改selinux当前状态(0/1)
6、selinux context值
查看文件的context值:
ll -Z /abc/aa
查看目录的context值:
ll -ldZ /abc/
安全上下文三部分组成:用户u、角色r和类型识别符t
chcon -t tmp_t redhat 更改redhat的context值为tmp_t
restorecon -v redhat 恢复redhat的context值
更改路径context值也会发生变化。
永久修改context值
semanage fcontext -a -t tmp_t '/abc(/.*)?'
restorecon -RFv /abc/
标签换乱时,touch /.autorelabel 重打标签或将selinux配置文件中改为disabled重启再改回来。
7、bool开关
getsebool -a 查看所有bool开关
setsebool -P 修改布尔开关
例子:
临时修改(服务器重启后,失效)
setsebool ftpd_full_access on
永久修改:
setsebool -P ftpd_full_access on
端口标记
添加
semanage port -a -t [端口类型] -p 【tcp/udp】 【端口号】
添加端口标签
semanage port -a -t http_port_t -p tcp 8910
查询端口标签
semanage port -a | grep 8910
修改端口标签
semanage port -m -t pegasus_http_port_t -p tcp 8910
删除端口标签
semanage port -d -t pegasus_http_port_t -p tcp 8910