11 2 seLinux 22 SELinux术语 域 所有进程都在域中进行,域直接决定了进程的访问。 域基本上是一个进程运行操作的列表,或者说它决定了一个进程可以对哪些类型进 行操作。在这个系统上的任何用户,只要能够执行这个程序,就有可能获得root的 权限,这存在着巨大的安全漏洞。 在使用 SELinux的操作系统中,如果一个正在执行的进程想要转换进入特权域中执行 时,则 SELinux需要检测该进程是否允许进入特权域中进行执行。 常见的域类型有: sysadmin_t表示为系统管理域; user ti表示为无特权用户域; Init t 表示nit进程运行域; named t表示 named进程运行域 口类型: 类型是设定一个对象并设置该对象可以被哪些内容访问 类型的定义和域的定义基本相同,不同之处在于域是对进程的应用,而类型是分配 给目录、文件和套接字的。 河南中医药大学/阮晓龙/13938213680/http://linux.xg.hactcm.edu.cn/http:/www.51xueweb.cn
河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 11 2.2 SELinux术语 域： 所有进程都在域中进行，域直接决定了进程的访问。 域基本上是一个进程运行操作的列表，或者说它决定了一个进程可以对哪些类型进 行操作。在这个系统上的任何用户，只要能够执行这个程序，就有可能获得root的 权限，这存在着巨大的安全漏洞。 在使用SELinux的操作系统中，如果一个正在执行的进程想要转换进入特权域中执行 时，则SELinux需要检测该进程是否允许进入特权域中进行执行。 常见的域类型有：sysadmi_t表示为系统管理域；user_t表示为无特权用户域； init_t 表示Init进程运行域；named_t表示named进程运行域。 类型： 类型是设定一个对象并设置该对象可以被哪些内容访问。 类型的定义和域的定义基本相同，不同之处在于域是对进程的应用，而类型是分配 给目录、文件和套接字的
12 2 seLinux 22 SELinux术语 ¤策略: ■策略是可以设置的规则,决定了一个角色的用户可以访问什么、哪个角色可以进入 哪个域和哪个域可以访问哪个类型等问题,用户可以根据想要建立系统的特点来设 置相应策略。 口安全上下文 安全上下文包括了所有事情属性的描述,包括文件、目录、进程、 TCP sockets以及 以上所有的内容。 安全上下文同时也包含了身份、角色、域和类型等内容。在 SELinux系统上可以用id 命令来查看当前用户的安全上下文 口转换 ■根据安全上下文来判断是否发生转换,主要有两种方式的转换 ¤一种是当前执行了—个被限定类型的程序时会发生的进程域转换 ¤另一种是在特殊的目录下创建文件时发生的文件类型的转换。 河南中医药大学/阮晓龙/13938213680/http://linux.xg.hactcm.edu.cn/http:/www.51xueweb.cn
河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 12 2.2 SELinux术语 策略： 策略是可以设置的规则，决定了一个角色的用户可以访问什么、哪个角色可以进入 哪个域和哪个域可以访问哪个类型等问题，用户可以根据想要建立系统的特点来设 置相应策略。 安全上下文： 安全上下文包括了所有事情属性的描述，包括文件、目录、进程、TCP sockets以及 以上所有的内容。 安全上下文同时也包含了身份、角色、域和类型等内容。在SELinux系统上可以用id 命令来查看当前用户的安全上下文。 转换 根据安全上下文来判断是否发生转换，主要有两种方式的转换： 一种是当前执行了一个被限定类型的程序时会发生的进程域转换； 另一种是在特殊的目录下创建文件时发生的文件类型的转换
3 2 seLinux 23 SELinux框架 口 SELinux系统架构如图所示 SELInux提供策略语言( Policy Language)供运维人员制定安全策略( Security Policy),并由核心层进行存取控制检查,同时也可加载策略( Load Policy)为 SeLinuX提供新的策略政策,共同维护 SELinux的规则数据库( Rule db)。 SELinux将系统内核( Kernel)及安全策略绑在一起,从而检测个主题( Subject) 是否有权限能够访问到某一对象( Object)。 Security Rule db Kernel 河南中医药大学/阮晓龙/13938213680/http://linux.xg.hactcm.edu.cn/http:/www.51xueweb.cn
河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 13 2.3 SELinux框架 SELinux系统架构如图所示。 SELInux提供策略语言（Policy Language）供运维人员制定安全策略（Security Policy），并由核心层进行存取控制检查，同时也可加载策略（Load Policy）为 SELinux提供新的策略政策，共同维护SELinux的规则数据库（Rule DB）。 SELinux将系统内核（Kernel）及安全策略绑在一起，从而检测一个主题（Subject） 是否有权限能够访问到某一对象（Object）
2 seLinux 23 SELinux框架 口 SeLinux系统架构如图所示 SeLinux同时提供了范例策略〔 Example Policy),详细规划了安全策略所应有的权 限,包括 Server process(如 Samba Server)、 Client Process(如 Web browser)等, 并允许使用者利用类型强化( Type Enforce,TE)及RBAC( Role base access Control)方式来控制系统 通过权限的分散及强制的限制, SELinux可以有效防止 rootkit及未知攻击,并且 SELinux拥有较高阶的语言表示,可以分别为各分层设定安全策略,经由 SELina自 动重组后,能根据所设定的策略限制存取权限。 河南中医药大学/阮晓龙/13938213680/http://linux.xg.hactcm.edu.cn/http:/www.51xueweb.cn
河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 14 2.3 SELinux框架 SELinux系统架构如图所示。 SELinux同时提供了范例策略（Example Policy），详细规划了安全策略所应有的权 限，包括Server Process（如Samba Server）、Client Process（如Web Browser）等， 并允许使用者利用类型强化（Type Enforce，TE）及RBAC（Role Base Access Control）方式来控制系统。 通过权限的分散及强制的限制，SELinux可以有效防止rootkit及未知攻击，并且 SELinux拥有较高阶的语言表示，可以分别为各分层设定安全策略，经由SELinux自 动重组后，能根据所设定的策略限制存取权限
15 2 seLinux 24 SELinux文件 □ SeLinux已经作为模块集成到内核中,且默认处于开启状态。对于管理 人员来说,需要关注 SELinux的配置与管理。 配置文件目录 / selinux/即为 SELinux伪文件系统,它包括内核子系统最常使用的各种命令。 此类型的文件系统与/proc/伪文件系统非常相似,系统管理员和用户通常 不需要直接操作该部件。 etc/ selinux/目录是所有策略文件和主要配置文件存放的首要位置。 通过at/et/ elinux,/ config查看 SeLinux的全局配置文件。 河南中医药大学/阮晓龙/13938213680/http://linux.xg.hactcm.edu.cn/http:/www.51xueweb.cn
河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux SELinux已经作为模块集成到内核中，且默认处于开启状态。对于管理 人员来说，需要关注SELinux的配置与管理。 配置文件目录： /selinux/即为SELinux伪文件系统，它包括内核子系统最常使用的各种命令。 此类型的文件系统与/proc/伪文件系统非常相似，系统管理员和用户通常 不需要直接操作该部件。 /etc/selinux/目录是所有策略文件和主要配置文件存放的首要位置。 通过cat /etc/selinux/config查看SELinux的全局配置文件。 15 2.4 SELinux文件