Apakah kegunaan selinux dalam linux?

Peranan SELinux: 1. Menyediakan keselamatan yang dipertingkatkan untuk sistem Linux dengan menggunakan kawalan MAC untuk proses dan sumber fail 2. Memberi subjek keistimewaan akses minimum untuk meminimumkan risiko Sumber yang boleh diakses oleh proses perkhidmatan boleh menghalang subjek daripada memberi kesan buruk kepada pengguna atau proses lain 3. Setiap proses mempunyai kawasan berjalan sendiri Setiap proses hanya berjalan dalam domain sendiri dan tidak boleh mengakses proses dan fail lain setinggi mungkin.

Persekitaran pengendalian tutorial ini: sistem linux7.3, komputer Dell G3.

SELinux, singkatan Security Enhanced Linux, ialah Linux yang dipertingkatkan keselamatan Ia dibangunkan bersama oleh Agensi Keselamatan Negara (NSA) dan agensi keselamatan lain (seperti SCC) untuk meningkatkan sistem pengendalian Linux tradisional. Ia meningkatkan keselamatan dan menyelesaikan pelbagai masalah kebenaran dalam sistem Kawalan Akses Budi Bicara (DAC) dalam sistem Linux tradisional (seperti kebenaran root yang berlebihan, dsb.).

Pemula boleh memahami SELinux dengan cara ini Ia adalah modul berfungsi yang digunakan pada Linux untuk meningkatkan keselamatan sistem.

Keselamatan sistem Linux tradisional menggunakan DAC (Discretionary Access Control), manakala SELinux ialah modul peningkatan keselamatan yang digunakan dalam sistem Linux Ia menggunakan MAC (MAC) untuk kawalan akses Mandatori keselamatan yang lebih baik untuk sistem Linux.

Peranan utama SELinux

• Dengan menggunakan kaedah kawalan MAC (kawalan akses mandatori) untuk proses dan sumber fail , menyediakan keselamatan yang lebih baik untuk sistem Linux.

• Meminimumkan sumber yang boleh diakses untuk proses perkhidmatan dalam sistem (prinsip keistimewaan paling rendah).

  Ia memberikan subjek (pengguna atau proses) keistimewaan akses paling sedikit, yang bermaksud setiap subjek hanya diberikan set kebenaran terhad yang diperlukan untuk menyelesaikan tugasan yang berkaitan. Dengan memberikan keistimewaan akses paling sedikit, anda boleh menghalang prinsipal daripada menjejaskan pengguna atau proses lain.

• Semasa proses pengurusan SELinux, setiap proses mempunyai kawasan berjalan sendiri (dipanggil domain Setiap proses hanya berjalan dalam domainnya sendiri dan tidak boleh mengakses proses dan fail lain melainkan ianya Khas). kebenaran diberikan.

• SELinux boleh mengehadkan aktiviti kod hasad dalam sistem Linux ke tahap maksimum yang mungkin.

Pengetahuan lanjutan:

Konsep asas SELinux:

1 proses yang ingin mengakses sumber fail atau direktori. Untuk mendapatkan sumber, proses asas adalah seperti berikut: pengguna memanggil arahan, arahan menjana proses, dan proses mengakses fail atau sumber direktori. Dalam sistem kawalan capaian budi bicara (keizinan lalai Linux), subjek yang dikawal oleh kebenaran ialah pengguna dalam sistem kawalan capaian mandatori (SELinux), subjek yang dikawal oleh peraturan dasar ialah prosesnya;

2. Objek: Konsep ini agak jelas, ia adalah sumber fail atau direktori yang perlu diakses.

3 Dasar: Terdapat sejumlah besar proses dan fail dalam sistem Linux, jadi bilangan peraturan SELinux yang mengehadkan sama ada proses boleh mengakses fail adalah lebih rumit jika setiap peraturan perlu ditetapkan secara manual oleh pentadbir, Maka ketersediaan SELinux akan menjadi sangat rendah. Nasib baik, kami tidak perlu mentakrifkan peraturan secara manual SELinux mentakrifkan dua dasar secara lalai. Dua dasar lalai adalah seperti berikut:

• -disasarkan: Ini ialah dasar lalai SELinux Dasar ini mengehadkan perkhidmatan rangkaian dan mempunyai sedikit sekatan pada sistem setempat. Strategi ini sudah memadai untuk kami.

• -mls: Strategi perlindungan keselamatan berbilang peringkat, strategi ini lebih ketat.

4 Konteks Keselamatan: Setiap proses, fail dan direktori mempunyai konteks keselamatannya sendiri Sama ada proses boleh mengakses fail atau direktori bergantung pada konteks keselamatan ini. Jika konteks keselamatan proses sepadan dengan konteks keselamatan fail atau direktori, proses itu boleh mengakses fail atau direktori. Sudah tentu, untuk menentukan sama ada konteks keselamatan proses sepadan dengan konteks keselamatan fail atau direktori, anda perlu bergantung pada peraturan dalam dasar. Sebagai contoh, kita perlu mencari pasangan, lelaki boleh dianggap sebagai subjek, dan wanita menjadi sasaran. Sama ada seorang lelaki boleh mengejar seorang wanita (sama ada subjek boleh mengakses sasaran) bergantung terutamanya pada sama ada personaliti dua orang itu sesuai (sama ada konteks keselamatan subjek dan sasaran sepadan). Walau bagaimanapun, sama ada personaliti dua orang itu sesuai perlu dinilai berdasarkan keadaan tertentu seperti tabiat hidup, tingkah laku, persekitaran keluarga, dan lain-lain. (Sama ada padanan konteks keselamatan perlu ditentukan melalui peraturan dalam polisi).

Mod kerja SELinux

SELinux menyediakan 3 mod kerja: Dilumpuhkan, Permisif dan Penguatkuasaan, dan setiap mod memberikan faedah berbeza untuk keselamatan sistem Linux.

1. Lumpuhkan mod kerja (mod mati)

Dalam mod Lumpuhkan, SELinux dimatikan dan kaedah kawalan akses DAC lalai digunakan. Mod ini berguna untuk persekitaran yang tidak memerlukan keselamatan yang dipertingkatkan.

Sebagai contoh, jika aplikasi yang sedang berjalan berfungsi dengan baik dari perspektif anda, tetapi menjana sejumlah besar mesej penolakan SELinux AVC, akhirnya ia mungkin mengisi fail log dan menyebabkan sistem tidak dapat digunakan. Dalam kes ini, penyelesaian yang paling mudah adalah untuk melumpuhkan SELinux, tetapi anda juga boleh menetapkan konteks keselamatan yang betul pada fail yang diakses oleh aplikasi anda.

Perlu diambil perhatian bahawa sebelum melumpuhkan SELinux, anda perlu mempertimbangkan sama ada SELinux boleh digunakan semula pada sistem Jika anda memutuskan untuk menetapkannya kepada Penguatkuasaan atau Permisif pada masa hadapan, sistem akan Memproses penandaan melalui fail SELinux automatik.

Cara untuk mematikan SELinux juga sangat mudah. ​​Hanya edit fail konfigurasi /etc/selinux/config dan tukar SELINUX= dalam teks kepada SELINUX=disabled Selepas memulakan semula sistem, SELinux akan dilumpuhkan.

2. Mod kerja permisif (mod permisif)

Dalam mod Permisif, SELinux didayakan, tetapi peraturan dasar keselamatan tidak dikuatkuasakan. Apabila peraturan dasar keselamatan harus menolak akses, akses masih dibenarkan. Walau bagaimanapun, mesej dihantar ke fail log yang menunjukkan bahawa akses harus dinafikan.

Mod Permisif SELinux digunakan terutamanya dalam situasi berikut:

Audit peraturan dasar SELinux semasa

Uji aplikasi baharu untuk melihat cara peraturan dasar SELinux digunakan kepada mereka. kesan akan program;

Selesaikan masalah yang perkhidmatan atau aplikasi tertentu tidak lagi berfungsi dengan betul di bawah SELinux.

Dalam sesetengah kes, arahan audit2allow boleh digunakan untuk membaca log audit SELinux dan menjana peraturan SELinux baharu untuk secara terpilih membenarkan tingkah laku yang dinafikan, dan ini juga merupakan kes di mana SELinux tidak dilumpuhkan dapatkan aplikasi anda berfungsi pada sistem Linux.

3. Menguatkuasakan mod kerja (mod penguatkuasaan)

Seperti yang dapat dilihat daripada nama mod ini, dalam mod Penguatkuasaan, SELinux dimulakan dan semua peraturan dasar keselamatan dikuatkuasakan.

Cadangan berkaitan: "Tutorial Video Linux"

Atas ialah kandungan terperinci Apakah kegunaan selinux dalam linux?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!