关于linux:Selinux

68次阅读

共计 1506 个字符,预计需要花费 4 分钟才能阅读完成。

Selinux

文章目录
​ ​Selinux​​
​ ​1.DAC 与 MAC​​
​ ​2.selinux 的工作级别与机制​​
​ ​3 selinux 的配置​​

1.DAC 与 MAC
DAC:Linux 本人的平安机制叫做 DAC(Discretionary Access Control,自主访问控制)

MAC:SELinux 实现的性能叫做 MAC(Mandatory Access Control,强制访问控制机制)

2.selinux 的工作级别与机制
SELinux:Secure Enhanced Linux,工作于 Linux 内核中。

SELinux 有两种工作级别:

strict:严格级别,每个过程都受到 selinux 的管制

targeted:仅无限个过程受到 selinux 的管制

只监控容易被入侵的过程
1.
2.
3.
4.
5.
SELinux 工作机制:

SELinux 采纳相似沙箱(sandbox)的形式来运行过程:

subject operation object

subject:过程

object:能够是过程,能够是文件

实用于文件的操作:open,read,write,close,chown,chmod

SELinux 为每个文件提供了平安标签,也为过程提供了平安标签:

user:role:type

user:SELinux 的 user

role:角色

type:类型

SELinux 规定库:

规定:定义了哪种域能拜访哪种或哪些种类型内的文件

遵循“法无受权即禁止”的规定,也就是说没有明确受权的所有操作均禁止
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
3 selinux 的配置
SELinux 是否启用:在 /etc/selinux/config 文件中定义

SELinux 的状态:

enforcing:强制,每个受限的过程都必然受限

permissive:启用,每个受限的过程违规操作时不会被禁止,但会被记录于审计日志

disabled:禁用

相干命令:

getenforce:获取 selinux 以后状态

setenforce 0|1

0:设置为 permissive

1:设置为 enforcing

此设定仅以后无效,重启零碎后有效

配置文件:/etc/sysconfig/selinux,/etc/selinux/config

SELINUX={disabled|enforcing|permissive}

1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
给文件从新打标签:

chcon:change context,扭转上下文

chcon [option]… CONTEXT FILE…

chcon [option]… [-u USER] [-r ROLE] [-t TYPE] FILE…

chcon [option]… –reference=RFILE FILE…

-R:递归打标签
1.
2.
3.
4.
5.
6.
7.
8.
9.
还原文件的默认标签:

restorecon [-R] /path/to/somewhere(能够是文件,也能够是目录)
1.
设定某些布尔型个性:

getsebool
1.
语法:getsebool [-a] [boolean]
例:

getsebool -a
getsebool ftp_home_dir
setsebool

语法:setsebool [-PV] boolean value | bool1=val1 bool2=val2 …
-P:把设置增加进规定库,使之永恒失效,若不应用此选项则只以后无效,重启零碎会生效
参考链接:

2 Ways to Check SElinux Status in Linux

正文完
 0