linux内核安全扩展模块（如selinux、apparmor、yama）是针对服务行为建模的强制访问控制系统，需与服务运行上下文深度绑定，通过定制最小权限策略、配合内核参数加固及持续审计验证，实现纵深防护。
Linux内核安全扩展模块（如SELinux、AppArmor、Yama）不是通用“开关”，而是针对服务行为建模的强制访问控制系统。要真正增强特定服务防护，关键在于将模块能力与服务运行上下文深度绑定——比如让Nginx只读Web根目录、禁止执行上传脚本；让MySQL仅能访问/var/lib/mysql和特定端口，其余一概拒绝。
明确服务角色，选择匹配的LSM
不同模块适用场景差异明显：
- SELinux：适合RHEL/CentOS系，策略粒度细（到文件类型、端口类型、进程域），但需理解type enforcement规则。适用于数据库、中间件等高敏感服务。
-
AppArmor：Ubuntu/Debian默认集成，用路径+权限语法（如
/usr/bin/nginx PUx）定义策略，上手快。适合Web服务、容器运行时（Docker、LXC）。 -
Yama：轻量级全局控制，不依赖策略文件。启用
ptrace_scope=1可阻止非父子进程调试，对SSH、systemd-journald等系统服务防横向渗透很有效。
为服务定制最小权限策略
以Nginx为例，不能只启用AppArmor，而要写明它“能做什么、不能做什么”：
PyCharm 2026.2.0.1 Linux版
下载
PyCharm 2026.2.0.1 Linux版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合需要指定 PyCharm 版本进行 Python 项目开发、运行和调试的用户。
- 允许读取
/etc/nginx/** r,、/var/www/html/** r, - 允许监听80/443端口：
network inet stream,+capability net_bind_service, - 明确禁止：
/tmp/** wk,、/bin/sh Px,、signal (kill) peer=unconfined, - 策略保存为
/etc/apparmor.d/usr.sbin.nginx后，执行sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx加载。
SELinux下则需用audit2allow分析拒绝日志，生成nginx.te策略模块，再编译安装，确保每次拒绝都源于真实风险而非配置疏漏。
结合内核参数收紧服务运行环境
LSM策略需配合底层内核机制才能发挥最大效力：
- 禁用模块加载：
echo 'kernel.modules_disabled = 1' | sudo tee -a /etc/sysctl.d/99-security.conf，防止攻击者通过恶意ko绕过AppArmor限制。 - 开启KASLR与SMAP/SMEP：
kernel.randomize_va_space=2、kernel.kptr_restrict=2、确认cat /sys/cpu/kernel/smap返回1，让内核态无法访问或执行用户空间内存，大幅增加ROP利用难度。 - 限制核心转储：
fs.suid_dumpable=0，避免Nginx崩溃时泄露内存中密钥或会话令牌。
持续验证与审计响应
策略不是一次写完就结束，必须闭环跟踪：
- SELinux启用
setenforce 1后，检查sudo ausearch -m avc -ts recent | audit2why，确认无误报拒绝； - AppArmor启用后，用
sudo aa-status查看Nginx是否处于enforce模式，而非complain； - 定期导出策略覆盖范围：
sudo aa-unconfined --paranoid发现未受保护的服务进程； - 将
/var/log/audit/audit.log或/var/log/syslog中的拒绝事件接入SIEM，设置告警（如1小时内同一服务触发5次AVC拒绝）。
