正文描述:《Selinux配置详解》由会员上传分享,免费在线阅读,更多相关内容在工程资料-天天文库。
1、Selinux配置详解1.背景2.1传统的LinuxOS的不足之处虽然Linux比起Windows来说,它的可靠性,稳定定要好得多,但是他也是和其他的UNIX一样,有以下这些不足之处。1)存在特权用户root 任何人只要得到root的权限,对于整个系统都可以为所欲为。这一点Windows也一样。2)对于文件的访问权的划分不够细 在linux系统里,对于文件的操作,只有「所有者」,「所有组」,「其他」这3类的划分。 对于「其他」这一类里的用户再细细的划分的话就没有办法了。3)SUID程序的权限升级 如果设置了SUID权限的程序有了漏洞的话,很容易被攻击者所利用。4)DAC(Disc
2、retionaryAccessControl)问题 文件目录的所有者可以对文件进行所有的操作,这给系统整体的管理带来不便。对于以上这些的不足,防火墙,入侵检测系统都是无能为力的。在这种背景下,对于访问权限大幅强化的OSSELinux来说,它的魅力的无穷的。2.2SELinux的优点SELinux系统比起通常的Linux系统来,安全性能要高的多,它通过对于用户,进程权限的最小化,即使受到攻击,进程或者用户权限被夺去,也不会对整个系统造成重大影响。接下来我来介绍SELinux的一些特点。特点1:MAC(MandatoryAccessControl)―――对访问的控制彻底化对于所有的文件,目
3、录,端口这类的资源的访问,都可以是基于策略设定的,这些策略是由管理员定制的、一般用户是没有权限更改的。特点2:TE(TypeEnforcement)―――对于进程只付与最小的权限Te概念在SELinux里非常的重要。它的特点是对所有的文件都赋予一个叫type的文件类型标签,对于所有的进程也赋予各自的一个叫domain的标签。Domain标签能够执行的操作也是由accessvector在策略里定好的。我们熟悉的apache服务器,httpd进程只能在httpd_t里运行,这个httpd_t的domain能执行的操作,比如能读网页内容文件赋予httpd_sys_content_t,密码文件赋
4、予shadow_t,TCP的80端口赋予http_port_t等等。如果在accessvector里我们不允许http_t来对http_port_t进行操作的花,Apache启动都启动不了。反过来说,我们只允许80端口,只允许读取被标为httpd_sys_content_t的文件,httpd_t就不能用别的端口,也不能更改那些被标为httpd_sys_content_t的文件(readonly)。特点3:domain迁移――防止权限升级在用户环境里运行点对点下载软件azureus,你当前的domain是fu_t,但是,你考虑到安全问题,你打算让他在azureus_t里运行,你要是在ter
5、minal里用命令启动azureus的话,它的进程的domain就会默认继承你实行的shell的fu_t。有了domain迁移的话,我们就可以让azureus在我们指定的azureus_t里运行,在安全上面,这种做法更可取,它不会影响到你的fu_t。下面是domain迁移指示的例子:domain_auto_trans(fu_t,azureus_exec_t,azureus_t)意思就是,当在fu_tdomain里,实行了被标为azureus_exec_t的文件时,domain从fu_t迁移到azureus_t。下面是Apache启动的迁移图。注意了,因为从哪一个domain能迁移到htt
6、pd_t是在策略里定好了,所以要是我们手动(/etc/init.d/httpdstart)启动apache的话,可能仍然留在sysadm_t里,这样就不能完成正确的迁移。要用run_init命令来手动启动。特点4:RBAC(rolebaseaccesscontrol)―――――对于用户只付与最小的权限对于用户来说,被划分成一些ROLE,即使是ROOT用户,你要是不在sysadm_r里,也还是不能实行sysadm_t管理操作的。因为,那些ROLE可以执行那些domain也是在策略里设定的。ROLE也是可以迁移的,但是也只能安策略规定的迁移。83.控制切换从fedoracore2开始,2.6
7、内核的版本都支持selinux.我们看看Fedoracore5里的/etc/sysconfig/selinux标准设定吧。#ThisfilecontrolsthestateofSELinuxonthesystem.#SELINUX=cantakeoneofthesethreevalues:#enforcing-SELinuxsecuritypolicyisenforced.#permissive-SELinuxprintswarni
显示全部收起
温馨提示:
1. 部分包含数学公式或PPT动画的文件,查看预览时可能会显示错乱或异常,文件下载后无此问题,请放心下载。
2. 本文档由用户上传,版权归属用户,天天文库负责整理代发布。如果您对本文档版权有争议请及时联系客服。
3. 下载前请仔细阅读文档内容,确认文档内容符合您的需求后进行下载,若出现内容与标题不符可向本站投诉处理。
4. 下载文档时可能由于网络波动等原因无法下载或下载错误,付费完成后未能成功下载的用户请联系客服处理。