21、Linux 安全工具深度解析：SELinux、Grsecurity 与 Yocto 安全方案

Linux 安全工具深度解析：SELinux、Grsecurity 与 Yocto 安全方案

1. SELinux 概述

SELinux（Security-Enhanced Linux）是由美国国家安全局信息保障办公室开发的 Linux 内核安全增强模块。它基于策略架构，是构建在 Linux 安全模块（LSM）接口上的安全模块之一，目标是实现军事级别的安全防护。目前，许多主流 Linux 发行版都预装了 SELinux，如 Debian、SuSe、Fedora、Red Hat 和 Gentoo 等。

1.1 SELinux 的工作原理

SELinux 基于强制访问控制（MAC）模型，管理员可以通过该模型控制用户空间组件与系统的所有交互。它采用最小权限原则，默认情况下，用户和应用程序没有访问系统资源的权限，所有权限都由管理员授予。

在 SELinux 中，基本功能通过 MAC 实现沙盒化。在沙盒内，每个应用程序只能执行安全策略中定义的任务。不过，标准的 Linux 权限仍然可用，并且在访问尝试发生时，系统会先检查标准权限，再参考 SELinux 策略来决定是否允许访问。

访问决策基于主体的安全上下文，即将与特定用户上下文相关的进程与实际尝试的操作（如文件读取操作）以及可用对象（如文件）的安全上下文进行比较。

1.2 SELinux 基本概念

• 用户（Users）：在 SELinux 上下文中，用户与 UNIX 上下文中的用户不同。在 SELinux 中，用户在会话期间不会改变，多个 UNIX 用户可能在同一个 SELinux 用户上下文中操作。