74、利用SELinux增强Linux安全性

利用SELinux增强Linux安全性

1. 理解SELinux策略类型

SELinux的安全上下文可以根据组织的特定安全需求进行更改。在学习如何更改这些安全上下文的设置之前，需要了解SELinux策略类型。

所选的策略类型直接决定了用于规定对象可访问内容的策略规则集，同时也决定了所需的特定安全上下文属性，这体现了SELinux可实现的精细访问控制。

不同的Linux发行版可用的策略类型可能不同。例如，旧版Linux发行版中仍有严格策略，而在新版中，严格策略已合并到目标策略中。

SELinux有以下几种策略可供选择：
-目标策略（Targeted）：主要用于限制“目标”守护进程，也可限制其他进程和用户。目标守护进程会被沙盒化，即程序可在其中运行，但对其他对象的访问会受到严格控制。未被目标化的主体和对象在unconfined_t域中运行，该域无SELinux策略限制，仅使用“传统”Linux安全机制。SELinux默认使用目标策略，默认情况下仅针对少数守护进程。
-多级安全策略（MLS，Multi-Level Security）：主要用于实施Bell - LaPadula模型，根据角色的安全许可和对象的分类级别来授予对其他主体和对象的访问权限。在该策略中，安全上下文的MLS属性至关重要，否则策略规则无法实施访问限制。
-最小策略（Minimum）：如其名，是最小化的策略，最初为低内存机器或设备（如智能手机）创建。它本质上与目标策略相同，但仅使用基本策略规则包，可用于测试SELinux