selinux配置详解资源-CSDN下载

1星需积分: 17 88 浏览量 2018-05-08 21:08:27 上传评论收藏 50KB DOC 举报

资源详情

资源评论

资源推荐

Selinux 配置详解

1.背景

SELinux 是「Security-Enhanced Linux」的简称，是美国国家安全局「NSA＝The National

Security Agency」和 SCC（Secure Computing Corporation）开发的 Linux 的一个扩张强制访

问控制安全模块。原先是在 Fluke 上开发的，2000 年以 GNU GPL 发布。

现在以 Linux 作为因特网服务器是越来越普遍的事了。在我这几年作过的项目里，WEB 的

开发基本都是基于 Linux 的，这里有给大公司做的，也给政府部门做的，当然更多的是中

小企业做的。这其中给政府做的，我们把 SELinux 作为一个卖点，接受了不少项目。

2.我们需要安全操作系统的理由

现在不论是政府还是民间企业，大家对信息安全问题是越来越关心了，因为企业的业务平

台的服务器上存储着大量的商务机密，个人资料，个人资料它直接关系到个人的隐私问

题。特别是我们政府的网站，作为信息公开的平台，它的安全就更显得重要了。这些连到

互联网的服务器，不可避免的要受到来自世界各地的各种威胁。最坏的时候我们的服务器

被入侵，主页文件被替换，机密文件被盗走。除了来自外部的威胁外，内部人员的不法访

问，攻击也是不可忽视的。对于这些攻击或者说是威胁，当然有很多的办法，有防火墙，

入侵检测系统，打补丁等等。因为 Linux 也和其他的商用 UNIX 一样，不断有各类的安全

漏洞被发现。我们对付这些漏洞不得不花很多的人力来堵住它。在这些手段之中，提高 OS

系统自身的牢固性就显得非常的重要。

2.1 传统的 Linux OS 的不足之处

虽然 Linux 比起 Windows 来说，它的可靠性，稳定定要好得多，但是他也是和其他的

UNIX 一样，有以下这些不足之处。

１)存在特权用户 root

　　任何人只要得到 root 的权限，对于整个系统都可以为所欲为。这一点 Windows 也一

样。

２)对于文件的访问权的划分不够细

　　在 linux 系统里，对于文件的操作，只有「所有者」,「所有组」,「其他」这３类的划

分。

　　对于「其他」这一类里的用户再细细的划分的话就没有办法了。

３)SUID 程序的权限升级

　　如果设置了 SUID 权限的程序有了漏洞的话，很容易被攻击者所利用。

４)ＤＡＣ(Discretionary Access Control)问题

　　文件目录的所有者可以对文件进行所有的操作，这给系统整体的管理带来不便。

对于以上这些的不足，防火墙，入侵检测系统都是无能为力的。

在这种背景下，对于访问权限大幅强化的 OS SELinux 来说，它的魅力的无穷的。

2.2 SELinux 的优点

SELinux 系统比起通常的 Linux 系统来，安全性能要高的多，它通过对于用户，进程权限的

最小化，即使受到攻击，进程或者用户权限被夺去，也不会对整个系统造成重大影响。

接下来我来介绍 SELinux 的一些特点。

特点 1：MAC(Mandatory Access Control)―――对访问的控制彻底化

对于所有的文件，目录，端口这类的资源的访问，都可以是基于策略设定的，这些策略是

由管理员定制的、一般用户是没有权限更改的。

特点 2 ： TE （ Type Enforcement ） ― ― ― 对于进程只付与最小的权限

Te 概念在 SELinux 里非常的重要。它的特点是对所有的文件都赋予一个叫 type 的文件类型

标签，对于所有的进程也赋予各自的一个叫 domain 的标签。Domain 标签能够执行的操作

也是由 access vector 在策略里定好的。

我们熟悉的 apache 服务器，httpd 进程只能在 httpd_t 里运行，这个 httpd_t 的 domain 能执行

的操作，比如能读网页内容文件赋予 httpd_sys_content_t, 密码文件赋予 shadow_t, TCP 的 80

端口赋予 http_port_t 等等。如果在 access vector 里我们不允许 http_t 来对 http_port_t 进行操

作的花，Apache 启动都启动不了。反过来说，我们只允许 80 端口，只允许读取被标为

httpd_sys_content_t 的文件， httpd_t 就不能用别的端口，也不能更改那些被标为

httpd_sys_content_t 的文件（read only)。

特点 3：ｄｏｍａｉｎ迁移 ―― 防止权限升级

在用户环境里运行点对点下载软件 azureus，你当前的 domain 是 fu_t, 但是，你考虑到安全

问题，你打算让他在 azureus_t 里运行，你要是在 terminal 里用命令启动 azureus 的话，它的

进程的 domain 就会默认继承你实行的 shell 的 fu_t。

有了ｄｏｍａｉｎ迁移的话，我们就可以让 azureus 在我们指定的 azureus_t 里运行，在安

全上面，这种做法更可取，它不会影响到你的 fu_t。

下面是 domain 迁移指示的例子：

剩余15页未读，继续阅读

评论1

常怀安

2024-02-28

感觉是免费的资源上传上来的

内容反馈

liuwenye2017

粉丝: 0

最新资源

资源上传下载、课程学习等过程中有任何疑问或建议，欢迎提出宝贵意见哦~我们会及时处理！点击此处反馈

feedback-tip