SELinux
1、SELinux简介
为了保障linux系统的安全,除了firewalld防火墙外,linux系统管理员通常会控制用户和组的权限,这种基于用户和组的安全模型称之为主动访问控制,而SELinux提供了一个额外的系统安全层,它是基于对象的安全模型,对象可以是文件、目录或端口,这样安全模型称之为强制访问控制。
SELinux提供了一组基于进程是否可以访问文件、目录或端口的安全策略。
security enhanced linux–安全加强的linux。是由美国国家安全局开发的以及历史。selinux之前是基于自主存取控制方法DAC,只要符合权限即可,通过suid和sgid特殊权限存在有一定的安全隐患,甚至一些错误的配置就会引发巨大的漏洞,被轻易攻击。
selinux是基于强制存取控制方法MAC,应用程序或用户必须同时符合DCA既要对应selinux的MAC才能正常操作,否则遭到拒绝。
DAC和MAC的比较
DAC:自主访问控制,主体是用户,访问目标文件,由文件本身权限决定的
MAC:强制访问控制,主体是程序,访问目标文件,由文件权限和策略决定。
2、SELinux的模式
SELinux一共有三种模式,分别是Enforcing、Permissive和Disabled。
模式 | 功能说明 |
---|---|
enforcing | 强制模式,主动拒绝SELinux策略限制的访问行为,同时会对访问行为进行记录 |
permissive | 许可模式,暂时允许SELinux策略正在限制的访问行为,同时会对访问进行记录。该模式一般用于故障排除。 |
disabled | 禁用模式,完全禁用SELinux |
强制模式与许可模式之间可以相互切换,无需重新启动操作系统。若将模式从强制模式或许可模式更变设置为禁用模式时,此时需要重新启动操作系统才能彻底禁用SELinux;同样,若将模式从禁用模式变更设置为强制模式或许可模式时,此时也需要重新启动操作系统才能真正变更模式设置。
命令"setenforce
"命令的设置只会改变SELinux当前的模式,并不会影响操作系统启动后SELinux所处的模式。配置文件/etc/selinux/config中SELINUX参数值的修改只会影响操作系统启动后SELinux所处的模式,并不会影响SELinux当前的模式。
3、管理SELinux上下文
Linux系统中每个文件、目录和端口都具有特别的安全标签,该标签称之为SELinux上下文。SELinux安全策略就是通过SELinux上下文用来确定进程是否可以访问文件、目录或端口。
SELinux标签具有多种上下文,依照顺序依次为用户、角色、类型和敏感度。RHEL中的默认策略会根据第三个上下文,即类型值上下文来制定规则。类型值的特征非常明显,通常以"_t"结尾。如web服务器的DocumentRoot目录/var/www/html中的文件或目录的类型为"httpd_sys_content_t"。
初始SELinux上下文
- 一般情况下,文件的初始SELinux上下文由该文件父目录的SELinux上下文决定。当在某个目录中新建文件时,父目录的SELinux上下文会分配给新建的文件。
SELinux上下文的更改
- 文件或目录SELinux上下文的更改由"chcon"和"restorecon"这两个命令完成。
命令 | 功能描述 |
---|---|
chcon | 将文件或目录的SELinux上下文更改为指定的类型,选项”-t”用于指定上下文类型 |
restorecon | 更改文件或目录的SELinux上下文的首选方式。它使用SELinux策略中的规则来确定文件或目录默认的上下文 |
查看文件的context值:
ll -Z /abc/aa
查看目录的context值:
ll -ldZ /abc/
安全上下文三部分组成:用户u、角色r和类型识别符t
chcon -t tmp_t redhat # 更改redhat的context值为tmp_t
restorecon -v redhat # 恢复redhat的context值
# 更改路径context值也会发生变化。
# 永久修改context值
semanage fcontext -a -t tmp_t "/abc(/.*)?"
restorecon -RFv /abc/
标签换乱时,touch /.autorelabel 重打标签
或将selinux配置文件中改为disabled重启再改回来。
4、bool开关
getsebool -a # 查看所有bool开关
setsebool -P # 修改布尔开关
例子:
临时修改(服务器重启后,失效)
setsebool ftpd_full_access on
永久修改:
setsebool -P ftpd_full_access on
端口标记
添加
semanage port -a -t [端口类型] -p 【tcp/udp】 【端口号】
添加端口标签
semanage port -a -t http_port_t -p tcp 8910
查询端口标签
semanage port -a | grep 8910
修改端口标签
semanage port -m -t pegasus_http_port_t -p tcp 8910
删除端口标签文章来源:https://www.toymoban.com/news/detail-780487.html
semanage port -d -t pegasus_http_port_t -p tcp 8910
e port -m -t pegasus_http_port_t -p tcp 8910
删除端口标签文章来源地址https://www.toymoban.com/news/detail-780487.html
semanage port -d -t pegasus_http_port_t -p tcp 8910
到了这里,关于17.SELinux的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!