SELinux 入门详解

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了SELinux 入门详解，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含9091字，纯文字阅读大概需要13分钟。

内容图文

一、前言

安全增强型 Linux（Security-Enhanced Linux）简称 SELinux，它是一个 Linux 内核模块，也是 Linux 的一个安全子系统。

SELinux 主要由美国国家安全局开发。2.6 及以上版本的 Linux 内核都已经集成了 SELinux 模块。

SELinux 的结构及配置非常复杂，而且有大量概念性的东西，要学精难度较大。很多 Linux 系统管理员嫌麻烦都把 SELinux 关闭了。

如果可以熟练掌握 SELinux 并正确运用，我觉得整个系统基本上可以到达“坚不可摧”的地步了（请永远记住没有绝对的安全）。

掌握 SELinux 的基本概念以及简单的配置方法是每个 Linux 系统管理员的必修课。

本文均在 CentOS 7.4.1708 系统中操作。

本文纯属个人学习经验分享交流，出错再所难免，仅供参考！如果发现错误的地方，可以的话麻烦指点下，特别感谢！

二、SELinux 的作用及权限管理机制

2.1 SELinux 的作用

SELinux 主要作用就是最大限度地减小系统中服务进程可访问的资源（最小权限原则）。

设想一下，如果一个以 root 身份运行的网络服务存在 0day 漏洞，黑客就可以利用这个漏洞，以 root 的身份在您的服务器上为所欲为了。是不是很可怕？

SELinux 就是来解决这个问题的。

2.2 DAC

在没有使用 SELinux 的操作系统中，决定一个资源是否能被访问的因素是：某个资源是否拥有对应用户的权限（读、写、执行）。

只要访问这个资源的进程符合以上的条件就可以被访问。

而最致命问题是，root 用户不受任何管制，系统上任何资源都可以无限制地访问。

这种权限管理机制的主体是用户，也称为自主访问控制（DAC）。

2.3 MAC

在使用了 SELinux 的操作系统中，决定一个资源是否能被访问的因素除了上述因素之外，还需要判断每一类进程是否拥有对某一类资源的访问权限。

这样一来，即使进程是以 root 身份运行的，也需要判断这个进程的类型以及允许访问的资源类型才能决定是否允许访问某个资源。进程的活动空间也可以被压缩到最小。

即使是以 root 身份运行的服务进程，一般也只能访问到它所需要的资源。即使程序出了漏洞，影响范围也只有在其允许访问的资源范围内。安全性大大增加。

这种权限管理机制的主体是进程，也称为强制访问控制（MAC）。

而 MAC 又细分为了两种方式，一种叫类别安全（MCS）模式，另一种叫多级安全（MLS）模式。

下文中的操作均为 MCS 模式。

2.4 DAC 和 MAC 的对比

这里引用一张图片来说明。

SELinux 入门详解 - 文章图片

可以看到，在 DAC 模式下，只要相应目录有相应用户的权限，就可以被访问。而在 MAC 模式下，还要受进程允许访问目录范围的限制。

三、SELinux 基本概念

3.1 主体（Subject）

可以完全等同于进程。

注：为了方便理解，如无特别说明，以下均把进程视为主体。

3.2 对象（Object）

被主体访问的资源。可以是文件、目录、端口、设备等。

注：为了方便理解，如无特别说明，以下均把 文件或者目录视为对象。

3.3 政策和规则（Policy & Rule）

系统中通常有大量的文件和进程，为了节省时间和开销，通常我们只是选择性地对某些进程进行管制。

而哪些进程需要管制、要怎么管制是由政策决定的。

一套政策里面有多个规则。部分规则可以按照需求启用或禁用（以下把该类型的规则称为布尔型规则）。

规则是模块化、可扩展的。在安装新的应用程序时，应用程序可通过添加新的模块来添加规则。用户也可以手动地增减规则。

在 CentOS 7 系统中，有三套政策，分别是：

targeted：对大部分网络服务进程进行管制。这是系统默认使用的政策（下文均使用此政策）。
minimum：以 targeted 为基础，仅对选定的网络服务进程进行管制。一般不用。
mls：多级安全保护。对所有的进程进行管制。这是最严格的政策，配置难度非常大。一般不用，除非对安全性有极高的要求。

政策可以在 /etc/selinux/config 中设定。

3.4 安全上下文（Security Context）

安全上下文是 SELinux 的核心。

安全上下文我自己把它分为「进程安全上下文」和「文件安全上下文」。

一个「进程安全上下文」一般对应多个「文件安全上下文」。

只有两者的安全上下文对应上了，进程才能访问文件。它们的对应关系由政策中的规则决定。

文件安全上下文由文件创建的位置和创建文件的进程所决定。而且系统有一套默认值，用户也可以对默认值进行设定。

需要注意的是，单纯的移动文件操作并不会改变文件的安全上下文。

安全上下文的结构及含义

安全上下文有四个字段，分别用冒号隔开。形如：system_u:object_r:admin_home_t:s0。

SELinux 入门详解 - 文章图片

3.5 SELinux 的工作模式

SELinux 有三种工作模式，分别是：

enforcing：强制模式。违反 SELinux 规则的行为将被阻止并记录到日志中。
permissive：宽容模式。违反 SELinux 规则的行为只会记录到日志中。一般为调试用。
disabled：关闭 SELinux。

SELinux 工作模式可以在 /etc/selinux/config 中设定。

如果想从 disabled 切换到 enforcing 或者 permissive 的话，需要重启系统。反过来也一样。

enforcing 和 permissive 模式可以通过 setenforce 1|0 命令快速切换。

需要注意的是，如果系统已经在关闭 SELinux 的状态下运行了一段时间，在打开 SELinux 之后的第一次重启速度可能会比较慢。因为系统必须为磁盘中的文件创建安全上下文（我表示我重启了大约 10 分钟，还以为是死机了……）。

SELinux 日志的记录需要借助 auditd.service 这个服务，请不要禁用它。

3.6 SELinux 工作流程

这里引用一张图片，不必过多解释。

SELinux 入门详解 - 文章图片

注：上面的 安全文本指的就是 安全上下文。

四、SELinux 基本操作

4.1 查询文件或目录的安全上下文

命令基本用法

ls -Z <文件或目录>

用法举例

查询 /etc/hosts 的安全上下文。

ls -Z /etc/hosts

执行结果

-rw-r--r--. root root system_u:object_r:net_conf_t:s0  /etc/hosts

4.2 查询进程的安全上下文

命令基本用法

ps auxZ | grep -v grep | grep <进程名>

用法举例

查询 Nginx 相关进程的安全上下文。

ps auxZ | grep -v grep | grep nginx

执行结果

system_u:system_r:httpd_t:s0    root       7997  0.0  0.0 122784  2156 ?        Ss   14:31   0:00 nginx: master process /usr/sbin/nginx
system_u:system_r:httpd_t:s0    nginx      7998  0.0  0.0 125332  7560 ?        S    14:31   0:00 nginx: worker process

4.3 手动修改文件或目录的安全上下文

命令基本用法

chcon <选项> <文件或目录 1> [<文件或目录 2>...]

SELinux 入门详解 - 文章图片

用法举例

修改 test 的安全上下文为 aaa_u:bbb_r:ccc_t:s0。

chcon -u aaa_u -r bbb_r -t ccc_t test

4.4 把文件或目录的安全上下文恢复到默认值

命令基本用法

restorecon [选项] <文件或目录 1> [<文件或目录 2>...]

SELinux 入门详解 - 文章图片

用法举例

添加一些网页文件到 Nginx 服务器的目录之后，为这些新文件设置正确的安全上下文。

restorecon -R /usr/share/nginx/html/

4.5 查询系统中的布尔型规则及其状态

命令基本用法

getsebool -a

由于该命令要么查询所有规则，要么只查询一个规则，所以一般都是先查询所有规则然后用 grep 筛选。

用法举例

查询与 httpd 有关的布尔型规则。

getsebool -a | grep httpd

执行结果

httpd_anon_write --> off
httpd_builtin_scripting --> on
httpd_can_check_spam --> off
httpd_can_connect_ftp --> off
#以下省略

4.6 开关一个布尔型规则

命令基本用法

setsebool [选项] <规则名称> <on|off>

SELinux 入门详解 - 文章图片

用法举例

开启 httpd_anon_write 规则。

setsebool -P httpd_anon_write on

4.7 添加目录的默认安全上下文

命令基本用法

（如果提示找不到命令的话请安装 `policycoreutils-python` 软件包，下同。）

semanage fcontext -a -t <文件安全上下文中的类型字段> "<目录（后面不加斜杠）>(/.*)?"

注：目录或文件的默认安全上下文可以通过 semanage fcontext -l 命令配合 grep 过滤查看。

用法举例

为 Nginx 新增一个网站目录 /usr/share/nginx/html2 之后，需要为其设置与原目录相同的默认安全上下文。

semanage fcontext -a -t httpd_sys_content_t "/usr/share/nginx/html2(/.*)?"

4.8 添加某类进程允许访问的端口

命令基本用法

semanage port -a -t <服务类型> -p <协议> <端口号>

注：各种服务类型所允许的端口号可以通过 semanage port -l 命令配合 grep 过滤查看。

用法举例

为 Nginx 需要使用 10080 的端口用于 HTTP 服务。

semanage port -a -t http_port_t -p tcp 10080

五、SELinux 错误分析和解决

5.1 认识 SELinux 日志

当开启了 SELinux 之后，很多服务的一些正常行为都会被视为违规行为（标题及下文中的错误均指违规行为）。

这时候我们就需要借助 SELinux 违规日志来分析解决。

SELinux 违规日志保存在 /var/log/audit/audit.log 中。

/var/log/audit/audit.log 的内容大概是这样的。

type=LOGIN msg=audit(1507898701.391:515): pid=8523 uid=0 subj=system_u:system_r:crond_t:s0-s0:c0.c1023 old-auid=4294967295 auid=0 tty=(none) old-ses=4294967295 ses=25 res=1
type=USER_START msg=audit(1507898701.421:516): pid=8523 uid=0 auid=0 ses=25 subj=system_u:system_r:crond_t:s0-s0:c0.c1023 msg='op=PAM:session_open grantors=pam_loginuid,pam_keyinit,pam_limits,pam_systemd acct="root" exe="/usr/sbin/crond" hostname=? addr=? terminal=cron res=success'
...

该文件的内容很多，而且混有很多与 SELinux 错误无关的系统审计日志。我们要借助 sealert 这个实用工具来帮忙分析（如果提示找不到命令的话请安装 setroubleshoot 软件包）。

5.2 使用 `sealert` 分析错误

命令基本用法

sealert -a /var/log/audit/audit.log

执行完命令之后，系统需要花一段时间去分析日志中的违规行为并给出分析报告。分析报告的结构讲解请看下图：

SELinux 入门详解 - 文章图片

5.3 个人解决 SELinux 错误的思路

当发现一个服务出现错误的时候，请先检查一下 sealert 的分析报告里面是否有该服务进程名称的关键字。如果没有，说明不是 SELinux 造成的错误，请往其他方面排查。

接下来就是阅读 sealert 的分析报告了。

首先需要了解的就是违规原因。如果违规原因里面出现了该服务不该访问的文件或资源，那就要小心了。有可能是服务的配置有问题或者服务本身存在漏洞，请优先排查服务的配置文件。

在分析报告中，对于一个违规行为，通常会有 2~3 个解决方案。请优先选择修改布尔值、设置默认安全上下文之类操作简单、容易理解的解决方案。

如果没有这种操作简单、容易理解的解决方案，请先去搜索引擎搜索一下有没有其他更好的解决方案。

需要注意的是，可信度只是一个参考值，并不代表使用可信度最高的解决方案就一定可以解决问题。我个人感觉使用可信度越高的解决方案对系统的改动就越小。

不过请记住，在执行解决方案之前，一定要先搞清楚解决方案中的命令是干什么的！

最后，请谨慎使用 audit2allow 这个命令。这个命令的作用非常简单粗暴，就是强制允许所遇到的错误然后封装成一个 SELinux 模块，接着让 SELinux 加载这个模块来达到消除错误的目的。不是万不得已建议不要随便使用 audit2allow。

六、参考文献

内容总结

以上是互联网集市为您收集整理的SELinux 入门详解全部内容，希望文章能够帮你解决SELinux 入门详解所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/927494.html

来源：【匿名】

【上一篇】awk函数-摘自Linux Shell核心编程指南【下一篇】Linux下安装GD

更多 ►

【SELinux 入门详解】教程文章相关的互联网学习教程文章

一、SELinux简介SELinux(Secure Enhanced Linux)安全增强的Linux是由美国国家安全局NSA针对计算机基础结构安全开发的一个全新的Linux安全策略机制。SELinux可以允许系统管理员更加灵活的来定义安全策略。SELinux是一个安全体系结构，它通过LSM(LinuxSecurity Modules)框架被集成到Linux Kernel 2.6.x中。因为SELinux是内核级别的，所以我们对于其配置文件的修改都是需要重新启动操作系统才能生效的。二、SELinux基本概念我们知道...

Linux优化之关闭SELinux【图】

selinux简介SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统。因为要对强制访问进行控制，所以这个功能让系统管理员又爱又恨，一大多数生产环境都是把他关闭，安全问题会通过其他手段来实现。SELinux配置文件路径在 /etc/selinux/config。其文件内容如下：# This file controls the state of SELinux on the system.# SELINUX= can take one of these three...

Linux关闭防火墙、SELinux

使用root权限：Linux关闭防火墙： 1. chkconfig –list|grep iptables 2. chkconfig iptables off 永久关闭防火墙 3. chkconfig iptables on 永久开启防火墙关闭SELinux：编辑/etc/sysconfig/selinux文件设置：SELINUX=disabled原文：http://www.cnblogs.com/liufei-yes/p/5068714.html

1.9-selinux介绍

/etc/selinux/config 配置文件路径selinux三种状态： enforcing 完全开启 permissive 开启，不阻拦，只是记录到日志 disabled 禁用getenforce 获取当前selinux的开启状态setenforce 0 临时关闭，即permissive模式setenforce 1 设置selinux为enforcing模式如果没有getenforce或setenforce命令，需要安装软件包 libselinux 原文：http://llzdwyp.blog.51cto...

Centos7 关闭SELINUX【图】

关闭SELINUXvi /etc/selinux/config修改 SELINUX=disabled 命令修改：sed -i ‘s/SELINUX=enforcing/SELINUX=disabled/‘ /etc/selinux/config重启reboot查看状态sestatus原文：http://blog.51cto.com/zhizhimao/2352450

selinux

root@lujie ~]# vim /etc/sysconfig/selinux# This file controls the state of SELinux on the system.# SELINUX= can take one of these three values:# enforcing - SELinux security policy is enforced.# permissive - SELinux prints warnings instead of enforcing.# disabled - No SELinux policy is loaded.#SELINUX=enforcing# SELINUXTYPE= can take one of these two values:# targeted - Targeted pr...

关闭selinux功能【代码】

关闭selinux的功能1. 首先查看下selinux的状态，命令：getenforce[root@rsync ~]# getenforce Disabled2. 查看selinux的配置文件，命令：cat /etc/selinux/config# This file controls the state of SELinux on the system. # SELINUX= can take one of these three values: # enforcing - SELinux security policy is enforced. # permissive - SELinux prints warnings instead of enforcing. # disabled - No SELi...

centos6 下查看SELinux状态关闭SELinux

SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统。在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。SELinux 默认安装在 Fedora 和 Red Hat Enterprise Linux 上。虽然SELinux很好用，但是在多数情况我们还是将其关闭，因为在不了解其机制的情况下使用SELinux会导致软件安装或者应用部署失败。以下就是关闭SELinux的方法系统版本：ce...

selinux详解及配置文件【代码】

selinux详解selinux 的全称是Security Enhance Linux，就是安全加强的Linux。在Selinux之前root账号能够任意的访问所有文档和服务；如果某个文件设为777，那么任何用户都可以访问甚至删除。这种方式称为DAC（主动访问机制），很不安全。DAC自主访问控制：用户根据自己的文件权限来决定对文件的操作，也就是依据文件的own，group，other/r,w,x 权限进行限制。Root有最高权限无法限制。r，w，x权限划分太粗糙。无法针对不同的进程...

centos关闭selinux和配置自动ip，以及ifconfig命令不能使用解决办法

1、关闭selinuxsetenforce 0vim /etc/selinux/configSELINUX=disabled保存退出2、开启自动获取ipvim /etc/sysconfig/network-scripts/ifcfg-ens32ONBOOT=yes保存退出systemctl restart network3、ifconfig命令不能使用解决办法yum install net-tools -y原文：https://www.cnblogs.com/fyiyy/p/15018107.html

selinux 和iptables关闭

如果没有安装成功：selinux 没有关闭vi /etc/sysconfig/selinuxSELINUX=disabled防火墙是否开启关闭防火墙[root@localhost ~]# /etc/init.d/iptables stop 关闭防火墙iptables: Setting chains to policy ACCEPT: filter [ OK ]iptables: Flushing firewall rules: [ OK ]iptables: Unloading modules: [ OK ][root@localhost ~]# /etc/init.d/iptables status 查看防火墙的状态iptables: Firewall is no...

第十七章、程序管理与 SELinux 初探【代码】

---恢复内容开始---什么是程序 (process)在 Linux 底下所有的命令与你能够进行的动作都与权限有关，而系统依据UID/GID以及文件的属性相关性判定你的权限！在 Linux 系统当中：『触发任何一个事件时，系统都会将他定义成为一个程序，并且给予这个程序一个 ID ，称为 PID，同时依据启发这个程序的使用者与相关属性关系，给予这个 PID 一组有效的权限配置。』从此以后，这个 PID 能够在系统上面进行的动作，就与这个 PID 的权限有关了...

selinux简介【代码】【图】

selinux（Security-Enhanced Linux）是一个在内核中实践的强制访问控制（MAC）安全性机制，目的在于明确的指明某个进程可以访问哪些类型的资源。开启selinux后，内核在执行系统调用前会询问 SELinux 是否获得了执行操作的授权一、DAC（自主式访问控制）的缺陷 DAC（自主式访问控制，linux的标准访问控制方式）是根据程序的拥有者/属组与文件资源的 rwx 权限来决定有无存取的能力，它的缺点就是不能识别拥有者和程序之间的区别。如...

Linux系统管理——SELinux使用与管理【代码】【图】

1、selinux背景SELinux: Secure Enhanced Linux。它是美国国家安全局(NSA=The National Security Agency)和SCC(Secure Computing Corporation)开发的 Linux的一个强制访问控制的安全模块。 2000年以GNU GPL发布，Linux内核2.6版本后集成在内核中。1.1、MAC selinux基于MAC实现访问控制，所有更安全。与传统的访问控制不同；即DAC：Discretionary Access Control自由访问控制。 MAC：Mandatory Access Control 强制访问控制；...

[转]Apache 监听端口失败，selinux惹的祸

原文在此CentOS 下启动Httpd 失败，报 (13)Permission denied: make_sock: could not bind to address [::]:8000 因为小于1024 的端口只能是ROOT占用，但8000已经大于这个数值。 Google 一下，发现原来是 SELinux 安全机制的作用。查看一下预定义 #semanage port -l http_cache_port_t tcp 3128, 8080, 8118, 11211, 10001-10010http_cache_port_t udp 3130, 11211http_port_t ...

LINUX - 最热教程

Xrdp - 通过Windows的RDP连接Linux远程...VMware中Linux虚拟机挂载主机共享文件夹...Linux双网卡配置虚拟机下Linux安装好Nginx后，宿主机无...linux下安装postgresql并配置远程图形桌...Linux命令--exportfs命令详解 linux 终端printf打印显示乱码问题修正 Linux下Shell的for循环语句N种写法 Linux下创建nginx脚本-start、stop、re...SUSELinux安装MySQL

首页 / LINUX / SELinux 入门详解

SELinux 入门详解

内容导读

内容图文

一、前言

二、SELinux 的作用及权限管理机制

2.1 SELinux 的作用

2.2 DAC

2.3 MAC

2.4 DAC 和 MAC 的对比

三、SELinux 基本概念

3.1 主体（Subject）

3.2 对象（Object）

3.3 政策和规则（Policy & Rule）

3.4 安全上下文（Security Context）

3.5 SELinux 的工作模式

3.6 SELinux 工作流程

四、SELinux 基本操作

4.1 查询文件或目录的安全上下文

4.2 查询进程的安全上下文

4.3 手动修改文件或目录的安全上下文

4.4 把文件或目录的安全上下文恢复到默认值

4.5 查询系统中的布尔型规则及其状态

4.6 开关一个布尔型规则

4.7 添加目录的默认安全上下文

4.8 添加某类进程允许访问的端口

五、SELinux 错误分析和解决

5.1 认识 SELinux 日志

5.2 使用 sealert 分析错误

5.3 个人解决 SELinux 错误的思路

六、参考文献

内容总结

内容备注

内容手机端

【SELinux 入门详解】教程文章相关的互联网学习教程文章

LINUX - 相关标签

LINUX - 最新教程

LINUX - 最热教程

5.2 使用 `sealert` 分析错误