Linux网络服务SELinux管理v1.pptVIP

RHEL6__SELinux 轻舞飞扬 第一页，共三十四页。 第二页，共三十四页。 1.SELinux概述 SELinux(Security-Enhanced Linux) 是美国国家安全局（NAS）对于强制访问控制的实现，是 Linux上最杰出的新安全子系统。NSA是在Linux社区的帮助下开发了一种访问控制体系，在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。 SELinux provides a flexible Mandatory Access Control (MAC) system built into the Linux kernel. Under standard Linux Discretionary Access Control (DAC), an application or process running as a user (UID or SUID) has the user‘s permissions to objects such as files, sockets, and other processes. Running a MAC kernel protects the system from malicious （有缺陷）or flawed（恶意） applications that can damage or destroy the system. 第三页，共三十四页。 DAC vs MAC DAC 主体是用户，访问目标文件由文件本身的权限决定，依进程运行时的用户身份决定其访问权限权限 MAC 主体是进程，访问目标文件由策略决定 第四页，共三十四页。 SELinux的目的 包装比较脆弱的服务，相当于给服务加了一层安全壳，使服务使用起来更加安全。 第五页，共三十四页。 SELinux工作原理 SELinux增加了一个并行权限集全，其中每个进程通过SELinux安全性上下文运行，系统上的文件和其他资源也都设置了上下文标签。与普通权限的不同之处在于可配置的SELinux策略控制哪些进程上下文可以访问哪些文件上下文。 第六页，共三十四页。 2.SELinux的配置文件 /etc/sysconfig/selinux # This file controls the state of SELinux on the system. # SELINUX= can take one of these three values: # enforcing - SELinux security policy is enforced. # permissive - SELinux prints warnings instead of enforcing. # disabled - No SELinux policy is loaded. SELINUX=enforcing # SELINUXTYPE= can take one of these two values: # targeted - Targeted processes are protected, # mls - Multi Level Security protection. SELINUXTYPE=targeted 第七页，共三十四页。 3.SELinux的3种模式 Enforcing强制模式：默认模式，按照SELinux的策略来进行验证和管理系统安全。如果发现和SELinux的规定不相符合则强制阻止程序的运行或者访问，同时给出提示。 Permissive允许模式：系统记录所有违反策略的行为并给与一定的提示，同时不中阻止程序的运行。 Disabled禁用模式：关闭SELinux 注：禁用的另一种方式：在启动的时候，也可以通过传递参数selinux给内核来控制它 kernel /vmlinuz-2.6.32-71.el6.x86_64 ro root=UUID=073f0cf8-201d-4981-bb2c-610c0d95e41f selinux=0 第八页，共三十四页。 网页无论放置在哪个目录下都可以访问，相关行为不记录在LOG里 第九页，共三十四页。 网页无论放置在哪个目录下都可以访问，相关行为记录在LOG里 第十页，共三十四页。 网页指定存放服务本身的根目录下，可以访问，并受selinux,相关行为记录在LOG里 第十一页，共三十四页。 SELINUX --------SELinux工作状态，可以设置为 enforcing，permissive或disabled。 SELINUXTYPE --------指定保护级别。 默认是 targeted，仅作用于daem