搜索

[24346] 2015-10-03_RHCSA系列（十三）：在RHEL7中使用SELinux进行强制访问控制

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2015-10-03_RHCSA系列（十三）：在RHEL7中使用SELinux进行强制访问控制 R H C S A   系 列 （ 十 三 ） ：   在   R H E L   7   中 使 用   S E L i n u x   进 行 强 制 访 问 控 制 原 创   F S S l c   L i n u x 中 国   2 0 1 5 - 1 0 - 0 3 在 本 系 列 的 前 面 几 篇 文 章 中 ， 我 们 已 经 详 细 地 探 索 了 至 少 两 种 访 问 控 制 方 法 ： 标 准 的   u g o / r w x   权 限 （ R H C S A   系 列 （ 三 ） :   如 何 管 理   R H E L 7 的 用 户 和 组 ）   和 访 问 控 制 列 表 （ R H C S A   系 列 （ 七 ） :   使 用   A C L （ 访 问 控 制 列 表 )   和 挂 载   S a m b a / N F S   共 享 ） 。 尽 管 作 为 第 一 级 别 的 权 限 和 访 问 控 制 机 制 是 必 要 的 ， 但 它 们 同 样 有 一 些 局 限 ， 而 这 些 局 限 则 可 以 由 S e c u r i t y   E n h a n c e d   L i n u x ， 简 称 为   S E L i n u x 安 全 增 强   L i n u x 来 处 理 。 这 些 局 限 的 一 种 情 形 是 ： 某 个 用 户 可 能 通 过 一 个 泛 泛 的   c h m o d   命 令 将 文 件 或 目 录 暴 露 出 现 了 安 全 违 例 ， 从 而 引 起 访 问 权 限 的 意 外 传 播 。 结 果 ， 由 该 用 户 开 启 的 任 意 进 程 可 以 对 属 于 该 用 户 的 文 件 进 行 任 意 的 操 作 ， 最 终 一 个 恶 意 的 或 有 其 它 缺 陷 的 软 件 可 能 会 取 得 整 个 系 统 的   r o o t 级 别 的 访 问 权 限 。 考 虑 到 这 些 局 限 性 ， 美 国 国 家 安 全 局 （ N S A ）   率 先 设 计 出 了   S E L i n u x ， 一 种 强 制 的 访 问 控 制 方 法 ， 它 根 据 最 小 权 限 模 型 去 限 制 进 程 在 系 统 对 象 （ 如 文 件 ， 目 录 ， 网 络 接 口 等 ） 上 的 访 问 或 执 行 其 他 的 操 作 的 能 力 ， 而 这 些 限 制 可 以 在 之 后 根 据 需 要 进 行 修 改 。 简 单 来 说 ， 系 统 的 每 一 个 元 素 只 给 某 个 功 能 所 需 要 的 那 些 权 限 。 在   R H E L   7   中 ， S E L i n u x   被 并 入 了 内 核 中 ， 且 默 认 情 况 下 以 E n f o r c i n g 强 制 模 式 开 启 。 在 这 篇 文 章 中 ， 我 们 将 简 要 地 介 绍 有 关   S E L i n u x   及 其 相 关 操 作 的 基 本 概 念 。 S E L i n u x   的 模 式 S E L i n u x   可 以 以 三 种 不 同 的 模 式 运 行 ： E n f o r c i n g 强 制 模 式 ： S E L i n u x   基 于 其 策 略 规 则 来 拒 绝 访 问 ， 这 些 规 则 是 用 以 控 制 安 全 引 擎 的 一 系 列 准 则 ； P e r m i s s i v e 宽 容 模 式 ： S E L i n u x   不 会 拒 绝 访 问 ， 但 对 于 那 些 如 果 运 行 在 强 制 模 式 下 会 被 拒 绝 访 问 的 行 为 进 行 记 录 ； D i s a b l e d 关 闭 ( 不 言 自 明 ， 即   S E L i n u x   没 有 实 际 运 行 ) . 使 用 命 令 可 以 展 示   S E L i n u x   当 前 所 处 的 模 式 ， 而 g e t e n f o r c e
命 令 （ 后 面 跟 上 一 个   1   或   0 ）   则 被 用 来 将 当 前 模 式 切 换 到 E n f o r c i n g 强 制 模 式 或 P e r m i s s i v e 宽 容 模 式 ， 但 只 对 当 前 的 会 话 有 效 。 为 了 使 得 在 登 出 和 重 启 后 上 面 的 设 置 还 能 保 持 作 用 ， 你 需 要 编 辑 文 件 并 将   S E L I N U X   变 量 的 值 设 为   e n f o r c i n g ， p e r m i s s i v e ， d i s a b l e d   中 之 一 ： 设 置   S E L i n u x   模 式 通 常 情 况 下 ， 你 应 该 使 用 来 在   S E L i n u x   模 式 间 进 行 切 换 （ 从 强 制 模 式 到 宽 容 模 式 ， 或 反 之 ） ， 以 此 来 作 为 你 排 错 的 第 一 步 。 假 如   S E L i n u x   当 前 被 设 置 为 强 制 模 式 ， 而 你 遇 到 了 某 些 问 题 ， 但 当 你 把   S E L i n u x   切 换 为 宽 容 模 式 后 问 题 不 再 出 现 了 ， 则 你 可 以 确 信 你 遇 到 了 一 个   S E L i n u x   权 限 方 面 的 问 题 。 S E L i n u x   上 下 文 一 个   S E L i n u x   C o n t e x t 上 下 文 由 一 个 访 问 控 制 环 境 所 组 成 ， 在 这 个 环 境 中 ， 决 定 的 做 出 将 基 于   S E L i n u x   的 用 户 ， 角 色 和 类 型 （ 和 可 选 的 级 别 ） ： 一 个   S E L i n u x   用 户 是 通 过 将 一 个 常 规 的   L i n u x   用 户 账 户 映 射 到 一 个   S E L i n u x   用 户 账 户 来 实 现 的 ， 反 过 来 ， 在 一 个 会 话 中 ， 这 个 S E L i n u x   用 户 账 户 在   S E L i n u x   上 下 文 中 被 进 程 所 使 用 ， 以 便 能 够 明 确 定 义 它 们 所 允 许 的 角 色 和 级 别 。 角 色 的 概 念 是 作 为 域 和 处 于 该 域 中 的   S E L i n u x   用 户 之 间 的 媒 介 ， 它 定 义 了   S E L i n u x   可 以 访 问 到 哪 个 进 程 域 和 哪 些 文 件 类 型 。 这 将 保 护 您 的 系 统 免 受 提 权 漏 洞 的 攻 击 。 类 型 则 定 义 了 一 个   S E L i n u x   文 件 类 型 或 一 个   S E L i n u x   进 程 域 。 在 正 常 情 况 下 ， 进 程 将 会 被 禁 止 访 问 其 他 进 程 正 使 用 的 文 件 ， 并 禁 止 对 其 他 进 程 进 行 访 问 。 这 样 只 有 当 一 个 特 定 的   S E L i n u x   策 略 规 则 允 许 它 访 问 时 ， 才 能 够 进 行 访 问 。 下 面 就 让 我 们 看 看 这 些 概 念 是 如 何 在 下 面 的 例 子 中 起 作 用 的 。 例 例   1 ： 改 变 ： 改 变   s s h d   守 护 进 程 的 默 认 端 口 守 护 进 程 的 默 认 端 口 在   R H C S A   系 列 （ 八 ） :   加 固   S S H ， 设 定 主 机 名 及 启 用 网 络 服 务   中 ， 我 们 解 释 了 更 改   s s h d   所 监 听 的 默 认 端 口 是 加 固 你 的 服 务 器 免 受 外 部 攻 击 的 首 要 安 全 措 施 。 下 面 ， 就 让 我 们 编 辑 s e t e n f o r c e / e t c / s e l i n u x / c o n f i g 1 .   #   g e t e n f o r c e 2 .   #   s e t e n f o r c e   0 3 .   #   g e t e n f o r c e 4 .   #   s e t e n f o r c e   1 5 .   #   g e t e n f o r c e 6 .   #   c a t   / e t c / s e l i n u x / c o n f i g s e t e n f o r c e
文 件 并 将 端 口 设 置 为   9 9 9 9 ： 保 存 更 改 并 重 启   s s h d ： 重 启   S S H   服 务 正 如 你 看 到 的 那 样 ，   s s h d   启 动 失 败 ， 但 为 什 么 会 这 样 呢 ？ 快 速 检 查 文 件 会 发 现   s s h d   已 经 被 拒 绝 在 端 口   9 9 9 9   上 开 启 （ S E L i n u x   的 日 志 信 息 包 含 单 词   " A V C " ， 所 以 这 类 信 息 可 以 被 轻 易 地 与 其 他 信 息 相 区 分 ） ， 因 为 这 个 端 口 是   J B o s s   管 理 服 务 的 保 留 端 口 ： 查 看   S S H   日 志 在 这 种 情 况 下 ， 你 可 以 像 先 前 解 释 的 那 样 禁 用   S E L i n u x （ 但 请 不 要 这 样 做 ！ ） ， 并 尝 试 重 启   s s h d ， 且 这 种 方 法 能 够 起 效 。 但 是 ， 应 用 可 以 告 诉 我 们 在 哪 些 端 口 上 可 以 开 启   s s h d   而 不 会 出 现 任 何 问 题 。 运 行 ： / e t c / s s h / s s h d _ c o n f i g 1 .   P o r t   9 9 9 9 1 .   #   s y s t e m c t l   r e s t a r t   s s h d 2 .   #   s y s t e m c t l   s t a t u s   s s h d / v a r / l o g / a u d i t / a u d i t . l o g 1 .   #   c a t   / v a r / l o g / a u d i t / a u d i t . l o g   |   g r e p   A V C   |   t a i l   - 1 s e m a n a g e
便 可 以 得 到 一 个   S E L i n u x   允 许   s s h d   在 哪 些 端 口 上 监 听 的 列 表 ： S e m a n a g e   工 具 所 以 让 我 们 在 中 将 端 口 更 改 为   9 9 9 8   端 口 ， 增 加 这 个 端 口 到   s s h p o r t t   的 上 下 文 ， 然 后 重 启   s s h d   服 务 ： s e m a n a g e   添 加 端 口 如 你 所 见 ， 这 次   s s h d   服 务 被 成 功 地 开 启 了 。 这 个 例 子 告 诉 我 们 一 个 事 实 ： S E L i n u x   用 它 自 己 的 端 口 类 型 的 内 部 定 义 来 控 制   T C P   端 口 号 。 例 例   2 ： 允 许 ： 允 许   h t t p d   访 问 访 问   s e n d m a i l 这 是 一 个   S E L i n u x   管 理 一 个 进 程 来 访 问 另 一 个 进 程 的 例 子 。 假 如 在 你 的   R H E L   7   服 务 器 上 ， 你 要 为   A p a c h e   配 置   m o d _ s e c u r i t y   和 m o d _ e v a s i v e ， 你 需 要 允 许   h t t p d   访 问   s e n d m a i l ， 以 便 在 遭 受 到   ( D ) D o S   攻 击 时 能 够 用 邮 件 来 提 醒 你 。 在 下 面 的 命 令 中 ， 如 果 你 不 想 使 得 更 改 在 重 启 后 仍 然 生 效 ， 请 去 掉 选 项 。 1 .   #   s e m a n a g e   p o r t   - l   |   g r e p   s s h / e t c / s s h / s s h d _ c o n f i g 1 .   #   s e m a n a g e   p o r t   - a   - t   s s h _ p o r t _ t   - p   t c p   9 9 9 8 2 .   #   s y s t e m c t l   r e s t a r t   s s h d 3 .   #   s y s t e m c t l   i s - a c t i v e   s s h d - P 1 .   #   s e m a n a g e   b o o l e a n   - 1   |   g r e p   h t t p d _ c a n _ s e n d m a i l 2 .   #   s e t s e b o o l   - P   h t t p d _ c a n _ s e n d m a i l   1
允 许   A p a c h e   发 送 邮 件 从 上 面 的 例 子 中 ， 你 可 以 知 道   S E L i n u x   布 尔 设 定 （ 或 者 只 是 布 尔 值 ） 分 别 对 应 于   t r u e   或   f a l s e ， 被 嵌 入 到 了   S E L i n u x   策 略 中 。 你 可 以 使 用 来 列 出 所 有 的 布 尔 值 ， 也 可 以 管 道 至   g r e p   命 令 以 便 筛 选 输 出 的 结 果 。 例 例   3 ： 在 一 个 特 定 目 录 而 非 默 认 目 录 下 提 供 一 个 静 态 站 点 服 务 ： 在 一 个 特 定 目 录 而 非 默 认 目 录 下 提 供 一 个 静 态 站 点 服 务 假 设 你 正 使 用 一 个 不 同 于 默 认 目 录 （ ） 的 目 录 来 提 供 一 个 静 态 站 点 服 务 ， 例 如 目 录 （ 这 种 情 形 会 出 现 在 当 你 把 你 的 网 络 文 件 存 储 在 一 个 共 享 网 络 设 备 上 ， 并 需 要 将 它 挂 载 在   / w e b s i t e s   目 录 时 ） 。 a ) .   在   / w e b s i t e s   下 创 建 一 个   i n d e x . h t m l   文 件 并 包 含 如 下 的 内 容 ： 假 如 你 执 行 你 将 会 看 到 这 个   i n d e x . h t m l   已 经 被 标 记 上 了   d e f a u l t _ t   S E L i n u x   类 型 ， 而   A p a c h e   不 能 访 问 这 类 文 件 ： 检 查   S E L i n u x   文 件 的 权 限 b ) .   将 中 的   D o c u m e n t R o o t   改 为   / w e b s i t e s ， 并 不 要 忘 了   更 新 相 应 的   D i r e c t o r y   块 。 然 后 重 启   A p a c h e 。 c ) .   浏 览 3 .   #   s e m a n a g e   b o o l e a n   - 1   |   g r e p   h t t p d _ c a n _ s e n d m a i l s e m a n a g e   b o o l e a n   - l / v a r / w w w / h t m l / w e b s i t e s 1 .   < h t m l > 2 .   < h 2 > S E L i n u x   t e s t < / h 2 > 3 .   < / h t m l > 1 .   #   l s   - l Z   / w e b s i t e s / i n d e x . h t m l / e t c / h t t p d / c o n f / h t t p d . c o n f
原 文 ： h t t p : / / w w w . t e c m i n t . c o m / s e l i n u x - e s s e n t i a l s - a n d - c o n t r o l - f i l e s y s t e m - a c c e s s / 作 者 ：   G a b r i e l   C á n e p a 译 文 ： L C T T   h t t p s : / / l i n u x . c n / a r t i c l e - 6 3 3 9 - 1 . h t m l 译 者 ：   F S S l c ， 则 你 应 该 会 得 到 一 个   5 0 3   F o r b i d d e n   的   H T T P   响 应 。 d ) .   接 下 来 ， 递 归 地 改 变   / w e b s i t e s   的 标 志 ， 将 它 的 标 志 变 为 类 型 ， 以 便 赋 予   A p a c h e   对 这 些 目 录 和 其 内 容 的 只 读 访 问 权 限 ： e ) .   最 后 ， 应 用 在   d )   中 创 建 的   S E L i n u x   策 略 ： 现 在 重 启   A p a c h e   并 再 次 浏 览 到 ， 则 你 可 以 看 到 被 正 确 展 现 出 来 的   h t m l   文 件 ： 确 认   A p a c h e   页 面 总 结 在 本 文 中 ， 我 们 详 细 地 介 绍 了   S E L i n u x   的 基 础 知 识 。 请 注 意 ， 由 于 这 个 主 题 的 广 泛 性 ， 在 单 篇 文 章 中 做 出 一 个 完 全 详 尽 的 解 释 是 不 可 能 的 ， 但 我 们 相 信 ， 在 这 个 指 南 中 列 出 的 基 本 原 则 将 会 对 你 进 一 步 了 解 更 高 级 的 话 题 有 所 帮 助 ， 假 如 你 想 了 解 的 话 。 假 如 可 以 ， 请 让 我 推 荐 两 个 必 要 的 资 源 来 入 门   S E L i n u x ： N S A   S E L i n u x   页 面   和   针 对 用 户 和 系 统 管 理 员 的   R H E L   7   S E L i n u x   指 南 。 假 如 你 有 任 何 的 问 题 或 评 论 ， 请 不 要 犹 豫 ， 让 我 们 知 晓 吧 。 v i a :   h t t p : / / w w w . t e c m i n t . c o m / s e l i n u x - e s s e n t i a l s - a n d - c o n t r o l - f i l e s y s t e m - a c c e s s / 作 者 ： G a b r i e l   C á n e p a   译 者 ： F S S l c   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 h t t p : / / < w e b   s e r v e r   I P   a d d r e s s > h t t p d _ s y s _ c o n t e n t _ t 1 .   #   s e m a n a g e   f c o n t e x t   - a   - t   h t t p d _ s y s _ c o n t e n t _ t   " / w e b s i t e s ( / . * ) ? " 1 .   #   r e s t o r e c o n   - R   - v   / w e b s i t e s h t t p : / / < w e b   s e r v e r   I P   a d d r e s s >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理