SELinux 入门详解

SELinux（Security-Enhanced Linux）是一个强大的安全模块，它提供了一种灵活的、可配置的、基于策略的安全模型，SELinux 可以防止未授权的访问和恶意软件的攻击，同时保持系统的完整性和可用性，本文将详细介绍 SELinux 的基本概念、工作原理以及如何配置和管理 SELinux。

SELinux 基本概念

1、1 什么是 SELinux？

SELinux 是 Security-Enhanced Linux 的缩写，意为“安全增强的 Linux”，它是一个 Linux 内核模块，用于提供访问控制安全策略，SELinux 的主要目标是在保护系统安全的同时，尽量减小对系统性能的影响。

1、2 SELinux 的作用

SELinux 的主要作用是限制进程和用户对系统资源的访问，通过使用 SELinux，我们可以实现以下目标：

防止未授权的访问：SELinux 可以根据预先定义的策略，限制进程对文件、目录和设备的访问权限。

防止恶意软件的攻击：SELinux 可以阻止恶意软件对系统资源的访问，从而保护系统的安全。

保持系统的完整性和可用性：SELinux 可以确保系统资源只能被合法进程访问，从而防止恶意软件篡改系统数据或破坏系统功能。

SELinux 工作原理

2、1 SELinux 策略

SELinux 的核心是策略，策略定义了进程和用户对系统资源的访问规则，SELinux 策略分为两部分：类型策略（Type Policy）和角色策略（Role Policy）。

类型策略：定义了进程和文件之间的访问关系，一个进程只能访问与其类型相匹配的文件。

角色策略：定义了进程之间的访问关系，一个进程只能访问与其角色相匹配的其他进程创建的文件。

2、2 SELinux 上下文

SELinux 上下文是一个字符串，包含了进程的类型、角色和其他安全属性，SELinux 上下文用于确定进程对系统资源的访问权限，当一个进程尝试访问某个资源时，SELinux 会检查其上下文是否允许访问该资源。

2、3 SELinux 布尔值

SELinux 布尔值是一个三元组（0,1,1），表示 SELinux 策略的具体设置。(0,1,1) 表示启用类型策略，禁用角色策略；(1,0,1) 表示启用类型策略和角色策略；(1,1,1) 表示启用所有策略。

配置和管理 SELinux

3、1 查看 SELinux 状态

要查看 SELinux 的状态，可以使用以下命令：

getenforce  查看 SELinux 当前运行模式（Enforcing/Permissive）
sestatus    查看 SELinux 策略设置和状态信息

3、2 修改 SELinux 运行模式

要修改 SELinux 的运行模式，可以使用以下命令：

sudo setenforce [0|1]  设置为 Enforcing（强制）或 Permissive（宽容）模式

3、3 修改 SELinux 布尔值

要修改 SELinux 的布尔值，需要编辑 /etc/selinux/config 文件，要将布尔值设置为 (0,1,1)，可以在文件中添加以下内容：

SELINUX=disabled  禁用所有策略

相关问题与解答

问题1：如何在安装新软件时自动更新 SELinux 策略？

答：在安装新软件时，可以使用 audit2allow 和 audit2deny 工具自动生成相应的 SELinux 策略，使用 audit2allow 生成允许规则：

sudo audi2allow -M myapp  myapp 是新安装的软件包名

使用 audit2deny 生成拒绝规则：

sudo audi2deny -M myapp  myapp 是新安装的软件包名

将生成的规则添加到 /etc/selinux/policy/myapp.te 文件中，重启系统后，新安装的软件将自动应用新的 SELinux 策略。