Selinux
文章目录
Selinux
1.DAC与MAC
2.selinux的工作级别与机制
3 selinux的配置
1.DAC与MAC
DAC：Linux本人的平安机制叫做DAC（Discretionary Access Control，自主访问控制）
MAC：SELinux实现的性能叫做MAC（Mandatory Access Control，强制访问控制机制）
2.selinux的工作级别与机制
SELinux：Secure Enhanced Linux，工作于Linux内核中。
SELinux有两种工作级别：
strict：严格级别，每个过程都受到selinux的管制
targeted：仅无限个过程受到selinux的管制
只监控容易被入侵的过程
1.
2.
3.
4.
5.
SELinux工作机制：
SELinux采纳相似沙箱（sandbox）的形式来运行过程：
subject operation object
subject：过程
object：能够是过程，能够是文件
实用于文件的操作：open，read，write，close，chown，chmodSELinux为每个文件提供了平安标签，也为过程提供了平安标签：
user:role:type
user：SELinux的user
role：角色
type：类型
SELinux规定库：
规定：定义了哪种域能拜访哪种或哪些种类型内的文件
遵循“法无受权即禁止”的规定，也就是说没有明确受权的所有操作均禁止
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
3 selinux的配置
SELinux是否启用：在/etc/selinux/config文件中定义
SELinux的状态：
enforcing：强制，每个受限的过程都必然受限
permissive：启用，每个受限的过程违规操作时不会被禁止，但会被记录于审计日志
disabled：禁用
相干命令：
getenforce：获取selinux以后状态
setenforce 0｜1
0：设置为permissive1：设置为enforcing此设定仅以后无效，重启零碎后有效
配置文件：/etc/sysconfig/selinux，/etc/selinux/config
SELINUX=｛disabled｜enforcing｜permissive｝1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
给文件从新打标签：
chcon：change context，扭转上下文
chcon [option]... CONTEXT FILE...
chcon [option]... [-u USER] [-r ROLE] [-t TYPE] FILE...
chcon [option]... --reference=RFILE FILE...
-R：递归打标签
1.
2.
3.
4.
5.
6.
7.
8.
9.
还原文件的默认标签：
restorecon [-R] /path/to/somewhere（能够是文件，也能够是目录）
1.
设定某些布尔型个性：
getsebool
1.
语法：getsebool [-a] [boolean]
例：
getsebool -a
getsebool ftp_home_dir
setsebool
语法：setsebool [ -PV] boolean value | bool1=val1 bool2=val2 …
-P：把设置增加进规定库，使之永恒失效，若不应用此选项则只以后无效，重启零碎会生效
参考链接：
2 Ways to Check SElinux Status in Linux