11 2 seLinux 2.2 SELinux术语 域 所有进程都在域中进行,域直接决定了进程的访问。 ■域基本上是一个进程运行操作的列表,或者说它决定了一个进程可以对哪些类型进 行操作。在这个系统上的任何用户,只要能够执行这个程序,就有可能获得root的 权限,这存在着巨大的安全漏洞。 在使用 SELin×的操作系统中,如果一个正在执行的进程想要转换进入特权域中执行 时,则 SELinux需要检测该进程是否允许进入特权域中进行执行。 常见的域类型有 口 sysadmin t表示为系统管理域; user t表示为无特权用户域 a init t表示ni进程运行域 a named t表示 named进程运行域。 南中医药大学/阮晓龙/13938213680/http://inux.xg.hactcm.edu.cn/http://www.51xueweb.cn
河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 11 2.2 SELinux术语 域： ◼ 所有进程都在域中进行，域直接决定了进程的访问。 ◼ 域基本上是一个进程运行操作的列表，或者说它决定了一个进程可以对哪些类型进 行操作。在这个系统上的任何用户，只要能够执行这个程序，就有可能获得root的 权限，这存在着巨大的安全漏洞。 ◼ 在使用SELinux的操作系统中，如果一个正在执行的进程想要转换进入特权域中执行 时，则SELinux需要检测该进程是否允许进入特权域中进行执行。 ◼ 常见的域类型有： sysadmi_t表示为系统管理域； user_t表示为无特权用户域； init_t表示Init进程运行域； named_t表示named进程运行域
2 2 seLinux 2.2 SELinux术语 口类型 类型是设定一个对象并设置该对象可以被哪些内容访问 类型的定义和域的定义基本相同,不同之处在于域是对进程的应用,而类型是分配给目录、文 件和套接字的。 口策略 ■策略是可以设置的规则,决定了一个角色的用户可以访问什么、哪个角色可以进入 哪个域和哪个域可以访问哪个类型等问题,用户可以根据想要建立系统的特点来设 置相应策略。 南中医药大学/阮晓龙/13938213680/http://inux.xg.hactcm.edu.cn/http://www.51xueweb.cn
河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 12 2.2 SELinux术语 类型： ◼ 类型是设定一个对象并设置该对象可以被哪些内容访问。 ◼ 类型的定义和域的定义基本相同，不同之处在于域是对进程的应用，而类型是分配给目录、文 件和套接字的。 策略： ◼ 策略是可以设置的规则，决定了一个角色的用户可以访问什么、哪个角色可以进入 哪个域和哪个域可以访问哪个类型等问题，用户可以根据想要建立系统的特点来设 置相应策略
3 2 seLinux 2.2 SELinux术语 口安全上下文 安全上下文包括了所有事情属性的描述,包括文件、目录、进程、 TCP sockets以及 以上所有的内容。 安全上下文同时也包含了身份、角色、域和类型等内容。 在 SELinux系统上可以用d命令来查看当前用户的安全上下文 口转换 根据安全上下文来判断是否发生转换。 主要有两种方式的转换 第一种∶当前执行了一—个被限定类型的程序时会发生的进程域转换。 ¤第二种:在特殊目录下创建文件时发生的文件类型的转换。 南中医药大学/阮晓龙/13938213680/http://inux.xg.hactcm.edu.cn/http://www.51xueweb.cn
河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 13 2.2 SELinux术语 安全上下文： ◼ 安全上下文包括了所有事情属性的描述，包括文件、目录、进程、TCP sockets以及 以上所有的内容。 ◼ 安全上下文同时也包含了身份、角色、域和类型等内容。 ◼ 在SELinux系统上可以用id命令来查看当前用户的安全上下文。 转换 ◼ 根据安全上下文来判断是否发生转换。 ◼ 主要有两种方式的转换： 第一种：当前执行了一个被限定类型的程序时会发生的进程域转换。 第二种：在特殊目录下创建文件时发生的文件类型的转换
2 seLinux 23 SELinuX框架 口 SELinux系统架构如图所示。 ■ SELinux提供策略语言( Policy Language)供运维人员制定安全策略( Security Poiy),并由核心层进行存取控制检查,同时也可加载策略( Load policy)为 SELin提供新的策略政策,共同维护 SELinux的规则数据库( Rule de)。 SELinux将系统内核( Kernel)及安全策略绑在一起,从而检测一个主题( Subject) 是否有权限能够访问到某一对象(○ bject)。 Security Rule db Kernel 南中医药大学/阮晓龙/13938213680/http://inux.xg.hactcm.edu.cn/http://www.51xueweb.cn
河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 14 2.3 SELinux框架 SELinux系统架构如图所示。 ◼ SELinux提供策略语言（Policy Language）供运维人员制定安全策略（Security Policy），并由核心层进行存取控制检查，同时也可加载策略（Load Policy）为 SELinux提供新的策略政策，共同维护SELinux的规则数据库（Rule DB）。 ◼ SELinux将系统内核（Kernel）及安全策略绑在一起，从而检测一个主题（Subject） 是否有权限能够访问到某一对象（Object）
5 2 seLinux 23 SELinuX框架 口 SELinux系统架构如图所示。 ■ SELinux提供了范例策略( Example Policy),详细规划了安全策略所应有的权限, 包括 Server process(如 Samba server)、 Client process(如 Web browser)等, 并允许使用者利用类型强化( Type Enforce,TE)及RBAC( Role base access Contro)方式来控制系统。 通过权限的分散及强制的限制, SELinux可以有效防止 rootkit及未知攻击,并且 SELin×拥有较高阶的语言表示,可分别为各分层设定安全策略,经由 SELinux自动 重组后,能根据所设定的策略限制存取权限。 南中医药大学/阮晓龙/13938213680/http://inux.xg.hactcm.edu.cn/http://www.51xueweb.cn
河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 15 2.3 SELinux框架 SELinux系统架构如图所示。 ◼ SELinux提供了范例策略（Example Policy），详细规划了安全策略所应有的权限， 包括Server Process（如Samba Server）、Client Process（如Web Browser）等， 并允许使用者利用类型强化（Type Enforce，TE）及RBAC（Role Base Access Control）方式来控制系统。 ◼ 通过权限的分散及强制的限制，SELinux可以有效防止rootkit及未知攻击，并且 SELinux拥有较高阶的语言表示，可分别为各分层设定安全策略，经由SELinux自动 重组后，能根据所设定的策略限制存取权限