首页 / LINUX / Linux selinux 基础

Linux selinux 基础

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了Linux selinux 基础，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含6488字，纯文字阅读大概需要10分钟。

内容图文

一、SELinux简介

SELinux(Secure Enhanced Linux)安全增强的Linux是由美国国家安全局NSA针对计算机基础结构安全开发的一个全新的Linux安全策略机制。SELinux可以允许系统管理员更加灵活的来定义安全策略。SELinux是一个安全体系结构，它通过LSM(LinuxSecurity Modules)框架被集成到Linux Kernel 2.6.x中。因为SELinux是内核级别的，所以我们对于其配置文件的修改都是需要重新启动操作系统才能生效的。

二、SELinux基本概念

我们知道，操作系统的安全机制其实就是对两样东西做出限制：进程和系统资源(文件、网络套接字、系统调用等)。在之前学过的知识当中，Linux操作系统是通过用户和组的概念来对我们的系统资源进行限制，我们知道每个进程都需要一个用户才能执行。在SELinux当中针对这两样东西定义了两个基本概念：域(domin)和上下文(context)。SELinux提供了一种灵活的强制访问制(MAC)系统，且内嵌于Linux Kernel中。SELinux定义了系统中每个用户、进程、应用和文件的访问和转变的权限，然后它使用一个安全策略来控制这些实体(用户、进程、应用和文件)之间的交互，安全策略指定如何严格或宽松地进行检查。ll 文件/目录后出现 ”.”，说明该文件/目录与SELinux有关。只通过权限访问的叫DAC，限+SELinux，叫MAC强制访问方式。SELinux 会给每个文件分配一个标签，当标签不匹配时，即使有权限，也不能访问。标签学名叫做SELinux上下文.selinux可以让应用程序运行在其所需的最低权限上。未经修改过的Linux系统是使用自主访问控制的，用户可以自己请求更高的权限，由此恶意软件几乎可以访问任何它想访问的文件，而如果你授予其root权限，那它就无所不能了。在SELinux中没有root这个概念，安全策略是由管理员来定义的，任何软件都无法取代它。这意味着那些潜在的恶意软件所能造成的损害可以被控制在最小。一般情况下只有非常注重数据安全的企业级用户才会使用SELinux。

操作系统有两类访问控制：自主访问控制（DAC）和强制访问控制（MAC）。标准Linux安全是一种DAC，SELinux为Linux增加了一个灵活的和可配置的的MAC。

所有DAC机制都有一个共同的弱点，就是它们不能识别自然人与计算机程序之间最基本的区别。简单点说就是，如果一个用户被授权允许访问，意味着程序也被授权访问，如果程序被授权访问，那么恶意程序也将有同样的访问权。 DAC最根本的弱点是主体容易受到多种多样的恶意软件的攻击，MAC就是避免这些攻击的出路，大多数MAC特性组成了多层安全模型。

[root@loveyu ~]# ll /root
total 56
-rw-r--r--. 1 root root   238 Apr 29 11:31 ]
-rw-------. 1 root root  1442 Apr 5 21:56 anaconda-ks.cfg
-rw-r--r--. 1 root root 34353 Apr  5 21:55 install.log
       #在权限得最后面有一个点             
[root@loveyu ~]# ls -Z
-rw-r--r--. root rootsystem_u:object_r:admin_home_t:s0 ]
-rw-------. root rootsystem_u:object_r:admin_home_t:s0 anaconda-ks.cfg
-rw-r--r--. root rootsystem_u:object_r:admin_home_t:s0 install.log
-rw-r--r--. root root system_u:object_r:admin_home_t:s0install.log.syslog
-rw-r--r--. root rootsystem_u:object_r:admin_home_t:s0 oldboy
[root@loveyu ~]# ps -Z
LABEL                             PID TTY          TIME CMD
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c10232003 pts/0 00:00:00 su
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c10232009 pts/0 00:00:00 bash
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c10232030 pts/0 00:00:00 ps
[root@loveyu ~]# id –Z    #显示shell的安全上下文
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

三、selinux简单的策略

1、selinux 的配置文件

在/etc/sysconfig/selinux 和文件/etc/selinux/conf中都可以修改，是/etc/sysconfig/selinux是一个符号链接，真正的配置文件为：/etc/selinux/config

它包含3个选项：

1》打开或者关闭selinux

2》设置系统执行哪一个策略(policy)

3》设置如何执行策略

disabled:关闭SELinux

permissive:警告，不满足上下文的要求，依然可以访问

enforcing:强制，不满足上下文，拒绝setenforce 0|1

2、一些简单的命令

getsebool -a   #查看所有服务的开关
setsebool -P   #需要修改的SELiux服务布尔开关  on|off
chcon -R --reference=/var/blog/     /var/blog/index.html    
#将index.html的context修改为与/var/blog一致
chcon -R -t SELinux上下文  文件/目录           
#-R 递归到子目录                 
#-t 上下文的类型 
restorecon -R  文件/目录   #继承当前目录的上下文

3、selinux 安全策略

SELINUXTYPE=targeted|strict — 指定SELinux执行哪一个策略

3.1 targeted

只有目标网络daemons保护。每个daemon是否执行策略，可通过system-config-selinux进行配置。保护常见的网络服务，为SELinux默认值。可使用如下工具设置每个daemon的布尔值：

1》getsebool -a:列出SELinux的所有布尔值

2》setsebool:置SELinux布尔值，如：setsebool-P dhcpd_disable_trans=0，-P表示即使用reboot之后，仍然有效。

3.2strict

对SELinux执行完全的保护。为所有的subjects和objects定义安全环境，且每一个Action由策略执行服务器处理。提供符合Role-based-Access Control(RBAC)之policy，具备完整的保护功能，保护网络服务、一般指令及应用程序。

[root@loveyu ~]#  /usr/sbin/sestatus -v   #显示系统的详细状态
SELinux status:        enabled
SELinuxfs mount:      /selinux
Current mode:        enforcing
Mode from config file:   enforcing
Policy version:       24
Policy from config file:  targeted
Process contexts:
Current context:       unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
Init context:        system_u:system_r:init_t:s0
/sbin/mingetty        system_u:system_r:getty_t:s0
/usr/sbin/sshd        system_u:system_r:sshd_t:s0-s0:c0.c1023
File contexts:
Controlling term:          unconfined_u:object_r:user_devpts_t:s0
/etc/passwd          system_u:object_r:etc_t:s0
/etc/shadow          system_u:object_r:shadow_t:s0
/bin/bash           system_u:object_r:shell_exec_t:s0
/bin/login          system_u:object_r:login_exec_t:s0
/bin/sh            system_u:object_r:bin_t:s0-> system_u:object_r:shell_exec_t:s0
/sbin/agetty         system_u:object_r:getty_exec_t:s0
/sbin/init          system_u:object_r:init_exec_t:s0
/sbin/mingetty        system_u:object_r:getty_exec_t:s0
/usr/sbin/sshd        system_u:object_r:sshd_exec_t:s0

4、selinux上下文

Selinux 的上下文格式：USER：ROLE：TYPE[LEVEL[：CATEGORY]]

4.1 USER

1》user identity：类似Linux系统中的UID，提供身份识别，用来记录身份；安全上下文的一部分
2》三种常见的 user:

user_u ：普通用户登录系统后的预设；
system_u ：开机过程中系统进程的预设；
root ：root 登录后的预设；

3》在 targeted policy 中 users 不是很重要；
4》在strict policy 中比较重要，所有预设的 SELinux Users 都是以 “_u” 结尾的，root 除外。

4.2 ROLE

  1》文件、目录和设备的role：通常是 object_r；
  2》程序的role：通常是 system_r；
  3》用户的role：targeted policy为system_r； strict policy为sysadm_r、staff_r、user_r；用户的role，类似系统中的GID，不同角色具备不同的的权限；用户可以具备多个role；但是同一时间内只能使用一个role；

4》使用基于RBAC(Roles Based Access Control) 的strict和mls策略中，用来存储角色信息

4.3 TYPE

1》type：用来将主体(subject)和客体(object)划分为不同的组，给每个主体和系统中的客体定义了一个类型；为进程运行提供最低的权限环境；

2》当一个类型与执行中的进程相关联时，其type也称为domain；
3》type是SElinux security context 中最重要的部位，是 SELinux Type Enforcement 的心脏，预设值以_t结尾；

LEVEL和CATEGORY：定义层次和分类，只用于mls策略中
LEVEL：代表安全等级,目前已经定义的安全等级为s0-s15,等级越来越高
CATEGORY：代表分类，目前已经定义的分类为c0-c1023

举个例子：system_u:object_r:admin_home_t:s0

这条语句通过：划分成了四段，第一段 system_u 代表的是用户，第二段 object_r 表示的是角色，第三段是SELinux中最重要的信息，admin_home 表示的是类型，最后一段 s0 是跟MLS、MCS相关的东西，暂时不需要管。

5、Apache实例

当我们在Apache的站点目录建立一个index文件.在本地的host文件中添加本地解析，输入你的网址就可以得到下面的图片内容。虚拟主机配置在：http://13132323.blog.51cto.com/13122323/1953402

[root@loveyu ~]# getenforce 
Enforcing
[root@loveyu ~]#/application/apache/bin/apachectl start
[root@loveyu ~]# netstat -lnt |grep 80
tcp       0      0 0.0.0.0:38051               0.0.0.0:*                   LISTEN      
tcp       0      0 :::80                    :::*  
                      LISTEN

技术分享 650) this.width=650;" src="/upload/getfiles/default/2022/11/7/20221107044335847.jpg" title="1111111111111.png" />

这时如果我们删除站点目录的index文件，在/home/目录下建立一个index文件，将其移动到Apache的站点目录下时，按F5刷新浏览器页面，则会发现出现了Apache的默认界面并没有显示index文件的内容而是默认的Apache测试页面。这时我们修改让index的类型和他的目录保持一致，这时我们会看到又会出现上边的图片。

[root@loveyu ~]# cd /var/blog 
[root@loveyu blog]# ls
index.html
[root@loveyu blog]# rm   -rf  index.html
[root@loveyu blog]# cp /home/index.html  .
[root@loveyu blog]# ls -Z
-rw-r--r--. root rootunconfined_u:object_r:home_root_t:s0 index.html
[root@loveyu blog]# ls -dZ  /var/blog
drwxr-xr-x. ett ettsystem_u:object_r:var_t:s0      /var/blog
[root@loveyu blog]# chcon  -R --reference=/var/blog /var/blog/index.html 
[root@loveyu blog]# ls -Z   
-rw-r--r--. root root system_u:object_r:var_t:s0       index.html
##或者这个命令：restorecon -R -v /var/blog/index.html

出现的原因：我们发现我们的 /var/blog 这个目录的上下文类型是var_t，而我们刚才移动过来的 index.html 的类型却是 home_root_t , 因为我们此时的SELinux的工作模式是 enforcing，所以对于违反策略的行动是被禁止的，所以我们刷新页面并不会出现我们的index.html里面的信息。

本文出自 “13122323” 博客，请务必保留此出处http://13132323.blog.51cto.com/13122323/1954019

原文：http://13132323.blog.51cto.com/13122323/1954019

内容总结

以上是互联网集市为您收集整理的Linux selinux 基础全部内容，希望文章能够帮你解决Linux selinux 基础所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/1200288.html

来源：【匿名】

【上一篇】linux添加开机自启动脚本示例详解【下一篇】Linux下安装GD

更多 ►

【Linux selinux 基础】教程文章相关的互联网学习教程文章

Linux selinux 基础【代码】【图】

一、SELinux简介SELinux(Secure Enhanced Linux)安全增强的Linux是由美国国家安全局NSA针对计算机基础结构安全开发的一个全新的Linux安全策略机制。SELinux可以允许系统管理员更加灵活的来定义安全策略。SELinux是一个安全体系结构，它通过LSM(LinuxSecurity Modules)框架被集成到Linux Kernel 2.6.x中。因为SELinux是内核级别的，所以我们对于其配置文件的修改都是需要重新启动操作系统才能生效的。二、SELinux基本概念我们知道...

Linux优化之关闭SELinux【图】

selinux简介SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统。因为要对强制访问进行控制，所以这个功能让系统管理员又爱又恨，一大多数生产环境都是把他关闭，安全问题会通过其他手段来实现。SELinux配置文件路径在 /etc/selinux/config。其文件内容如下：# This file controls the state of SELinux on the system.# SELINUX= can take one of these three...

Linux关闭防火墙、SELinux

使用root权限：Linux关闭防火墙： 1. chkconfig –list|grep iptables 2. chkconfig iptables off 永久关闭防火墙 3. chkconfig iptables on 永久开启防火墙关闭SELinux：编辑/etc/sysconfig/selinux文件设置：SELINUX=disabled原文：http://www.cnblogs.com/liufei-yes/p/5068714.html

1.9-selinux介绍

/etc/selinux/config 配置文件路径selinux三种状态： enforcing 完全开启 permissive 开启，不阻拦，只是记录到日志 disabled 禁用getenforce 获取当前selinux的开启状态setenforce 0 临时关闭，即permissive模式setenforce 1 设置selinux为enforcing模式如果没有getenforce或setenforce命令，需要安装软件包 libselinux 原文：http://llzdwyp.blog.51cto...

Centos7 关闭SELINUX【图】

关闭SELINUXvi /etc/selinux/config修改 SELINUX=disabled 命令修改：sed -i ‘s/SELINUX=enforcing/SELINUX=disabled/‘ /etc/selinux/config重启reboot查看状态sestatus原文：http://blog.51cto.com/zhizhimao/2352450

selinux

root@lujie ~]# vim /etc/sysconfig/selinux# This file controls the state of SELinux on the system.# SELINUX= can take one of these three values:# enforcing - SELinux security policy is enforced.# permissive - SELinux prints warnings instead of enforcing.# disabled - No SELinux policy is loaded.#SELINUX=enforcing# SELINUXTYPE= can take one of these two values:# targeted - Targeted pr...

关闭selinux功能【代码】

关闭selinux的功能1. 首先查看下selinux的状态，命令：getenforce[root@rsync ~]# getenforce Disabled2. 查看selinux的配置文件，命令：cat /etc/selinux/config# This file controls the state of SELinux on the system. # SELINUX= can take one of these three values: # enforcing - SELinux security policy is enforced. # permissive - SELinux prints warnings instead of enforcing. # disabled - No SELi...

centos6 下查看SELinux状态关闭SELinux

SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统。在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。SELinux 默认安装在 Fedora 和 Red Hat Enterprise Linux 上。虽然SELinux很好用，但是在多数情况我们还是将其关闭，因为在不了解其机制的情况下使用SELinux会导致软件安装或者应用部署失败。以下就是关闭SELinux的方法系统版本：ce...

selinux详解及配置文件【代码】

selinux详解selinux 的全称是Security Enhance Linux，就是安全加强的Linux。在Selinux之前root账号能够任意的访问所有文档和服务；如果某个文件设为777，那么任何用户都可以访问甚至删除。这种方式称为DAC（主动访问机制），很不安全。DAC自主访问控制：用户根据自己的文件权限来决定对文件的操作，也就是依据文件的own，group，other/r,w,x 权限进行限制。Root有最高权限无法限制。r，w，x权限划分太粗糙。无法针对不同的进程...

centos关闭selinux和配置自动ip，以及ifconfig命令不能使用解决办法

1、关闭selinuxsetenforce 0vim /etc/selinux/configSELINUX=disabled保存退出2、开启自动获取ipvim /etc/sysconfig/network-scripts/ifcfg-ens32ONBOOT=yes保存退出systemctl restart network3、ifconfig命令不能使用解决办法yum install net-tools -y原文：https://www.cnblogs.com/fyiyy/p/15018107.html

selinux 和iptables关闭

如果没有安装成功：selinux 没有关闭vi /etc/sysconfig/selinuxSELINUX=disabled防火墙是否开启关闭防火墙[root@localhost ~]# /etc/init.d/iptables stop 关闭防火墙iptables: Setting chains to policy ACCEPT: filter [ OK ]iptables: Flushing firewall rules: [ OK ]iptables: Unloading modules: [ OK ][root@localhost ~]# /etc/init.d/iptables status 查看防火墙的状态iptables: Firewall is no...

第十七章、程序管理与 SELinux 初探【代码】

---恢复内容开始---什么是程序 (process)在 Linux 底下所有的命令与你能够进行的动作都与权限有关，而系统依据UID/GID以及文件的属性相关性判定你的权限！在 Linux 系统当中：『触发任何一个事件时，系统都会将他定义成为一个程序，并且给予这个程序一个 ID ，称为 PID，同时依据启发这个程序的使用者与相关属性关系，给予这个 PID 一组有效的权限配置。』从此以后，这个 PID 能够在系统上面进行的动作，就与这个 PID 的权限有关了...

selinux简介【代码】【图】

selinux（Security-Enhanced Linux）是一个在内核中实践的强制访问控制（MAC）安全性机制，目的在于明确的指明某个进程可以访问哪些类型的资源。开启selinux后，内核在执行系统调用前会询问 SELinux 是否获得了执行操作的授权一、DAC（自主式访问控制）的缺陷 DAC（自主式访问控制，linux的标准访问控制方式）是根据程序的拥有者/属组与文件资源的 rwx 权限来决定有无存取的能力，它的缺点就是不能识别拥有者和程序之间的区别。如...

Linux系统管理——SELinux使用与管理【代码】【图】

1、selinux背景SELinux: Secure Enhanced Linux。它是美国国家安全局(NSA=The National Security Agency)和SCC(Secure Computing Corporation)开发的 Linux的一个强制访问控制的安全模块。 2000年以GNU GPL发布，Linux内核2.6版本后集成在内核中。1.1、MAC selinux基于MAC实现访问控制，所有更安全。与传统的访问控制不同；即DAC：Discretionary Access Control自由访问控制。 MAC：Mandatory Access Control 强制访问控制；...

[转]Apache 监听端口失败，selinux惹的祸

原文在此CentOS 下启动Httpd 失败，报 (13)Permission denied: make_sock: could not bind to address [::]:8000 因为小于1024 的端口只能是ROOT占用，但8000已经大于这个数值。 Google 一下，发现原来是 SELinux 安全机制的作用。查看一下预定义 #semanage port -l http_cache_port_t tcp 3128, 8080, 8118, 11211, 10001-10010http_cache_port_t udp 3130, 11211http_port_t ...

首页 / LINUX / Linux selinux 基础

Linux selinux 基础

内容导读

内容图文

一、SELinux简介

二、SELinux基本概念

三、selinux简单的策略

1、selinux 的配置文件

2、一些简单的命令

3、selinux 安全策略

4、selinux上下文

4.1 USER

4.2 ROLE

4.3 TYPE

5、Apache实例

内容总结

内容备注

内容手机端

【Linux selinux 基础】教程文章相关的互联网学习教程文章

SELINUX - 相关标签

基础 - 相关标签

LINUX - 最新教程

LINUX - 最热教程