搜索

[25420] 2016-08-26_在Linux上用SELinux或AppArmor实现强制访问控制（MAC）

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2016-08-26_在Linux上用SELinux或AppArmor实现强制访问控制（MAC） 在   L i n u x   上 用   S E L i n u x   或   A p p A r m o r   实 现 强 制 访 问 控 制 （ M A C ） 原 创   译 者 ： a l i m 0 x   L i n u x 中 国   2 0 1 6 - 0 8 - 2 6 为 了 解 决 标 准 的 “ 用 户 - 组 - 其 他 / 读 - 写 - 执 行 ” 权 限 以 及 访 问 控 制 列 表 [ 1 ] 的 限 制 以 及 加 强 安 全 机 制 ， 美 国 国 家 安 全 局 （ N S A ） 设 计 出 一 个 灵 活 的 M a n d a t o r y   A c c e s s   C o n t r o l 强 制 访 问 控 制 （ M A C ） 方 法   S E L i n u x （ S e c u r i t y   E n h a n c e d   L i n u x   的 缩 写 ） ， 来 限 制 标 准 的 权 限 之 外 的 种 种 权 限 ， 在 仍 然 允 许 对 这 个 控 制 模 型 后 续 修 改 的 情 况 下 ， 让 进 程 尽 可 能 以 最 小 权 限 访 问 或 在 系 统 对 象 （ 如 文 件 ， 文 件 夹 ， 网 络 端 口 等 ） 上 执 行 其 他 操 作 。 S E L i n u x   和   A p p A r m o r   加 固   L i n u x   安 全 另 一 个 流 行 并 且 被 广 泛 使 用 的   M A C   是   A p p A r m o r ， 相 比 于   S E L i n u x   它 提 供 更 多 的 特 性 ， 包 括 一 个 学 习 模 式 ， 可 以 让 系 统 “ 学 习 ” 一 个 特 定 应 用 的 行 为 ， 以 及 通 过 配 置 文 件 设 置 限 制 实 现 安 全 的 应 用 使 用 。 在   C e n t O S   7   中 ， S E L i n u x   合 并 进 了 内 核 并 且 默 认 启 用 E n f o r c i n g 强 制 模 式 （ 下 一 节 会 介 绍 这 方 面 更 多 的 内 容 ） ， 与 之 不 同 的 是 ， o p e n S U S E   和   U b u n t u 使 用 的 是   A p p A r m o r   。 在 这 篇 文 章 中 我 们 会 解 释   S E L i n u x   和   A p p A r m o r   的 本 质 ， 以 及 如 何 在 你 选 择 的 发 行 版 上 使 用 这 两 个 工 具 之 一 并 从 中 获 益 。 S E L i n u x   介 绍 以 及 如 何 在 介 绍 以 及 如 何 在   C e n t O S   7   中 使 用 中 使 用 S e c u r i t y   E n h a n c e d   L i n u x   可 以 以 两 种 不 同 模 式 运 行 ： E n f o r c i n g 强 制 ： 这 种 情 况 下 ， S E L i n u x   基 于   S E L i n u x   策 略 规 则 拒 绝 访 问 ， 策 略 规 则 是 一 套 控 制 安 全 引 擎 的 规 则 。 P e r m i s s i v e 宽 容 ： 这 种 情 况 下 ， S E L i n u x   不 拒 绝 访 问 ， 但 如 果 在 强 制 模 式 下 会 被 拒 绝 的 操 作 会 被 记 录 下 来 。 S E L i n u x   也 能 被 禁 用 。 尽 管 这 不 是 它 的 一 个 操 作 模 式 ， 不 过 也 是 一 种 选 择 。 但 学 习 如 何 使 用 这 个 工 具 强 过 只 是 忽 略 它 。 时 刻 牢 记 这 一 点 ！ 使 用     命 令 来 显 示   S E L i n u x   的 当 前 模 式 。 如 果 你 想 要 更 改 模 式 ， 使 用   （ 设 置 为 宽 容 模 式 ） 或   （ 强 制 模 式 ） 。 g e t e n f o r c e s e t e n f o r c e   0 s e t e n f o r c e   1
因 为 这 些 设 置 重 启 后 就 失 效 了 ， 你 需 要 编 辑     配 置 文 件 并 设 置     变 量 为 、   或     ， 保 存 设 置 让 其 重 启 后 也 有 效 ： 如 何 启 用 和 禁 用   S E L i n u x   模 式 还 有 一 点 要 注 意 ， 如 果     返 回   D i s a b l e d ， 你 得 编 辑     配 置 文 件 为 你 想 要 的 操 作 模 式 并 重 启 。 否 则 你 无 法 利 用     设 置 （ 或 切 换 ） 操 作 模 式 。   的 典 型 用 法 之 一 包 括 在   S E L i n u x   模 式 之 间 切 换 （ 从 强 制 到 宽 容 或 相 反 ） 来 定 位 一 个 应 用 是 否 行 为 不 端 或 没 有 像 预 期 一 样 工 作 。 如 果 它 在 你 将   S E L i n u x   设 置 为 宽 容 模 式 正 常 工 作 ， 你 就 可 以 确 定 你 遇 到 的 是   S E L i n u x   权 限 问 题 。 有 两 种 我 们 使 用   S E L i n u x   可 能 需 要 解 决 的 典 型 案 例 ： 改 变 一 个 守 护 进 程 监 听 的 默 认 端 口 。 给 一 个 虚 拟 主 机 设 置   / v a r / w w w / h t m l   以 外 的 文 档 根 路 径 值 。 让 我 们 用 以 下 例 子 来 看 看 这 两 种 情 况 。 例 例   1 ： 更 改 ： 更 改   s s h d   守 护 进 程 的 默 认 端 口 守 护 进 程 的 默 认 端 口 大 部 分 系 统 管 理 员 为 了 加 强 服 务 器 安 全 首 先 要 做 的 事 情 之 一 就 是 更 改   S S H   守 护 进 程 监 听 的 端 口 ， 主 要 是 为 了 阻 止 端 口 扫 描 和 外 部 攻 击 。 要 达 到 这 个 目 的 ， 我 们 要 更 改     中 的   P o r t   值 为 以 下 值 （ 我 们 在 这 里 使 用 端 口   9 9 9 9   为 例 ） ： / e t c / s e l i n u x / c o n f i g S E L I N U X e n f o r c i n g p e r m i s s i v e d i s a b l e d g e t e n f o r c e / e t c / s e l i n u x / c o n f i g s e t e n f o r c e s e t e n f o r c e / e t c / s s h / s s h d _ c o n f i g 1 .   P o r t   9 9 9 9
在 尝 试 重 启 服 务 并 检 查 它 的 状 态 之 后 ， 我 们 会 看 到 它 启 动 失 败 ： 检 查   S S H   服 务 状 态 如 果 我 们 看 看   ， 就 会 看 到   s s h d   被   S E L i n u x   阻 止 在 端 口   9 9 9 9   上 启 动 ， 因 为 它 是   J B o s s   管 理 服 务 的 保 留 端 口 （ S E L i n u x   日 志 信 息 包 含 了 词 语 “ A V C ” ， 所 以 应 该 很 容 易 把 它 同 其 他 信 息 区 分 开 来 ） ： 检 查   L i n u x   审 计 日 志 在 这 种 情 况 下 大 部 分 人 可 能 会 禁 用   S E L i n u x ， 但 我 们 不 这 么 做 。 我 们 会 看 到 有 个 让   S E L i n u x   和 监 听 其 他 端 口 的   s s h d   和 谐 共 处 的 方 法 。 首 先 确 保 你 有     这 个 包 ， 执 行 ： 查 看   S E L i n u x   允 许   s s h d   监 听 的 端 口 列 表 。 在 接 下 来 的 图 片 中 我 们 还 能 看 到 端 口   9 9 9 9   是 为 其 他 服 务 保 留 的 ， 所 以 我 们 暂 时 无 法 用 它 来 运 行 其 他 服 务 ： 1 .   #   s y s t e m c t l   r e s t a r t   s s h d 2 .   #   s y s t e m c t l   s t a t u s   s s h d / v a r / l o g / a u d i t / a u d i t . l o g 1 .   #   c a t   / v a r / l o g / a u d i t / a u d i t . l o g   |   g r e p   A V C   |   t a i l   - 1 p o l i c y c o r e u t i l s - p y t h o n 1 .   #   y u m   i n s t a l l   p o l i c y c o r e u t i l s - p y t h o n
当 然 我 们 可 以 给   S S H   选 择 其 他 端 口 ， 但 如 果 我 们 确 定 我 们 不 会 使 用 这 台 机 器 跑 任 何   J B o s s   相 关 的 服 务 ， 我 们 就 可 以 修 改   S E L i n u x   已 存 在 的 规 则 ， 转 而 给   S S H   分 配 那 个 端 口 ： 这 之 后 ， 我 们 就 可 以 用 前 一 个     命 令 检 查 端 口 是 否 正 确 分 配 了 ， 即 使 用     参 数 （ l i s t   c u s t o m   的 简 称 ） ： 给   S S H   分 配 端 口 我 们 现 在 可 以 重 启   S S H   服 务 并 通 过 端 口   9 9 9 9   连 接 了 。 注 意 这 个 更 改 重 启 之 后 依 然 有 效 。 例 例   2 ： 给 一 个 虚 拟 主 机 设 置 ： 给 一 个 虚 拟 主 机 设 置   / v a r / w w w / h t m l   以 外 的 以 外 的 D o c u m e n t R o o t 文 档 根 路 径 文 档 根 路 径 如 果 你 需 要 用 除     以 外 目 录 作 为 D o c u m e n t R o o t 文 档 根 目 录 设 置 一 个   A p a c h e   虚 拟 主 机 [ 2 ] （ 也 就 是 说 ， 比 如 ） ： 1 .   #   s e m a n a g e   p o r t   - l   |   g r e p   s s h 1 .   #   s e m a n a g e   p o r t   - m   - t   s s h _ p o r t _ t   - p   t c p   9 9 9 9 s e m a n a g e - l C 1 .   #   s e m a n a g e   p o r t   - l C 2 .   #   s e m a n a g e   p o r t   - l   |   g r e p   s s h / v a r / w w w / h t m l / w e b s r v / s i t e s / g a b r i e l / p u b l i c _ h t m l 1 .   D o c u m e n t R o o t   “ / w e b s r v / s i t e s / g a b r i e l / p u b l i c _ h t m l ”
A p a c h e   会 拒 绝 提 供 内 容 ， 因 为     已 经 被 标 记 为 了     类 型 ， A p a c h e   无 法 访 问 它 ： 被 标 记 为   d e f a u l t _ t   S E L i n u x   类 型 和 之 前 的 例 子 一 样 ， 你 可 以 用 以 下 命 令 验 证 这 是 不 是   S E L i n u x   相 关 的 问 题 ： 检 查 日 志 确 定 是 不 是   S E L i n u x   的 问 题 要 将     整 个 目 录 内 容 标 记 为   ， 执 行 ： 上 面 这 个 命 令 会 赋 予   A p a c h e   对 那 个 目 录 以 及 其 内 容 的 读 取 权 限 。 最 后 ， 要 应 用 这 条 策 略 （ 并 让 更 改 的 标 记 立 即 生 效 ） ， 执 行 ： i n d e x . h t m l d e f a u l t _ t   S E L i n u x 1 .   #   w g e t   h t t p : / / l o c a l h o s t / i n d e x . h t m l 2 .   #   l s   - l Z   / w e b s r v / s i t e s / g a b r i e l / p u b l i c _ h t m l / i n d e x . h t m l 1 .   #   c a t   / v a r / l o g / a u d i t / a u d i t . l o g   |   g r e p   A V C   |   t a i l   - 1 / w e b s r v / s i t e s / g a b r i e l / p u b l i c _ h t m l h t t p d _ s y s _ c o n t e n t _ t 1 .   #   s e m a n a g e   f c o n t e x t   - a   - t   h t t p d _ s y s _ c o n t e n t _ t   " / w e b s r v / s i t e s / g a b r i e l / p u b l i c _ h t m l ( / . * ) ? "
现 在 你 应 该 可 以 访 问 这 个 目 录 了 ： 访 问   A p a c h e   目 录 要 获 取 关 于   S E L i n u x   的 更 多 信 息 ， 参 阅   F e d o r a   2 2   中 的   S E L i n u x   用 户 及 管 理 员 指 南 [ 3 ] 。 A p p A r m o r   介 绍 以 及 如 何 在 介 绍 以 及 如 何 在   O p e n S U S E   和 和   U b u n t u   上 使 用 它 上 使 用 它 A p p A r m o r   的 操 作 是 基 于 写 在 纯 文 本 文 件 中 的 规 则 定 义 ， 该 文 件 中 含 有 允 许 权 限 和 访 问 控 制 规 则 。 安 全 配 置 文 件 用 来 限 制 应 用 程 序 如 何 与 系 统 中 的 进 程 和 文 件 进 行 交 互 。 系 统 初 始 就 提 供 了 一 系 列 的 配 置 文 件 ， 但 其 它 的 也 可 以 由 应 用 程 序 在 安 装 的 时 候 设 置 或 由 系 统 管 理 员 手 动 设 置 。 像   S E L i n u x   一 样 ， A p p A r m o r   以 两 种 模 式 运 行 。 在   e n f o r c e 强 制   模 式 下 ， 应 用 被 赋 予 它 们 运 行 所 需 要 的 最 小 权 限 ， 但 在   c o m p l a i n 抱 怨   模 式 下   A p p A r m o r 允 许 一 个 应 用 执 行 受 限 的 操 作 并 将 操 作 造 成 的 “ 抱 怨 ” 记 录 到 日 志 里 （ ， ， 和 其 它 放 在     中 的 日 志 ） 。 日 志 中 会 显 示 配 置 文 件 在 强 制 模 式 下 运 行 时 会 产 生 错 误 的 记 录 ， 它 们 中 带 有     这 个 词 。 因 此 ， 你 可 以 在   A p p A r m o r   的   e n f o r c e 强 制   模 式 下 运 行 之 前 ， 先 在   c o m p l a i n 抱 怨   模 式 下 尝 试 运 行 一 个 应 用 并 调 整 它 的 行 为 。 可 以 用 这 个 命 令 显 示   A p p A r m o r   的 当 前 状 态 ： 1 .   #   r e s t o r e c o n   - R   - v   / w e b s r v / s i t e s / g a b r i e l / p u b l i c _ h t m l 1 .   #   w g e t   h t t p : / / l o c a l h o s t / i n d e x . h t m l / v a r / l o g / k e r n . l o g / v a r / l o g / a u d i t / a u d i t . l o g / v a r / l o g / a p p a r m o r a u d i t 1 .   $   s u d o   a p p a r m o r _ s t a t u s
查 看   A p p A r m o r   的 状 态 上 面 的 图 片 指 明 配 置   ， ， 和     等 处 在   e n f o r c e 强 制   模 式 下 （ 在   U b u n t u   下 默 认 就 是 这 样 的 ） 。 因 为 不 是 所 有 的 应 用 都 包 含 相 关 的   A p p A r m o r   配 置 ， a p p a r m o r - p r o f i l e s   包 给 其 它 没 有 提 供 限 制 的 包 提 供 了 配 置 。 默 认 它 们 配 置 在   c o m p l a i n 抱 怨   模 式 下 运 行 ， 以 便 系 统 管 理 员 能 够 测 试 并 选 择 一 个 所 需 要 的 配 置 。 我 们 将 会 利 用   a p p a r m o r - p r o f i l e s ， 因 为 写 一 份 我 们 自 己 的 配 置 已 经 超 出 了   L F C S   认 证 [ 4 ] 的 范 围 了 。 但 是 ， 由 于 配 置 都 是 纯 文 本 文 件 ， 你 可 以 查 看 并 学 习 它 们 ， 为 以 后 创 建 自 己 的 配 置 做 准 备 。 A p p A r m o r   配 置 保 存 在     中 。 让 我 们 来 看 看 这 个 文 件 夹 在 安 装   a p p a r m o r - p r o f i l e s   之 前 和 之 后 有 什 么 不 同 ： / s b i n / d h c l i e n t / u s r / s b i n / / u s r / s b i n / t c p d u m p / e t c / a p p a r m o r . d $   l s   / e t c / a p p a r m o r . d
查 看   A p p A r m o r   文 件 夹 内 容 如 果 你 再 次 执 行   ， 你 会 在   c o m p l a i n 抱 怨   模 式 看 到 更 长 的 配 置 文 件 列 表 。 你 现 在 可 以 执 行 下 列 操 作 。 将 当 前 在   e n f o r c e 强 制   模 式 下 的 配 置 文 件 切 换 到   c o m p l a i n 抱 怨   模 式 ： 以 及 相 反 的 操 作 （ 抱 怨   – >   强 制 ） ： 上 面 这 些 例 子 是 允 许 使 用 通 配 符 的 。 举 个 例 子 ： 会 将     中 的 所 有 配 置 文 件 设 置 为   c o m p l a i n 抱 怨   模 式 ， 反 之 会 将 所 有 配 置 文 件 设 置 为   e n f o r c e 强 制   模 式 。 要 完 全 禁 用 一 个 配 置 ， 在   s u d o   a p p a r m o r _ s t a t u s $   s u d o   a a - c o m p l a i n   / p a t h / t o / f i l e $   s u d o   a a - e n f o r c e   / p a t h / t o / f i l e $   s u d o   a a - c o m p l a i n   / e t c / a p p a r m o r . d / * / e t c / a p p a r m o r . d $   s u d o   a a - e n f o r c e   / e t c / a p p a r m o r . d / * / e t c / a p p a r m o r . d / d i s a b l e d
  目 录 中 创 建 一 个 符 号 链 接 ： 要 获 取 关 于   A p p A r m o r   的 更 多 信 息 ， 参 阅 官 方 的   A p p A r m o r   w i k i [ 5 ]   以 及   U b u n t u   提 供 的 [ 6 ] 文 档 。 总 结 总 结 在 这 篇 文 章 中 我 们 学 习 了 一 些   S E L i n u x   和   A p p A r m o r   这 两 个 著 名 的 强 制 访 问 控 制 系 统 的 基 本 知 识 。 什 么 时 候 使 用 两 者 中 的 一 个 或 是 另 一 个 ？ 为 了 避 免 提 高 难 度 ， 你 可 能 需 要 考 虑 专 注 于 你 选 择 的 发 行 版 自 带 的 那 一 个 。 不 管 怎 样 ， 它 们 会 帮 助 你 限 制 进 程 和 系 统 资 源 的 访 问 ， 以 提 高 你 服 务 器 的 安 全 性 。 关 于 本 文 你 有 任 何 的 问 题 ， 评 论 ， 或 建 议 ， 欢 迎 在 下 方 发 表 。 不 要 犹 豫 ， 让 我 们 知 道 你 是 否 有 疑 问 或 评 论 。 v i a :   h t t p : / / w w w . t e c m i n t . c o m / m a n d a t o r y - a c c e s s - c o n t r o l - w i t h - s e l i n u x - o r - a p p a r m o r - l i n u x / 作 者 ： G a b r i e l   C á n e p a [ 7 ]   译 者 ： a l i m 0 x [ 8 ]   校 对 ： w x y [ 9 ] 本 文 由   L C T T [ 1 0 ]   原 创 编 译 ， L i n u x 中 国 [ 1 1 ]   荣 誉 推 出 [ 1 ] :   h t t p : / / w w w . t e c m i n t . c o m / s e c u r e - f i l e s - u s i n g - a c l s - i n - l i n u x / [ 2 ] :   h t t p : / / w w w . t e c m i n t . c o m / a p a c h e - v i r t u a l - h o s t i n g - i n - c e n t o s / [ 3 ] :   h t t p s : / / d o c s . f e d o r a p r o j e c t . o r g / e n - U S / F e d o r a / 2 2 / h t m l / S E L i n u x _ U s e r s _ a n d _ A d m i n i s t r a t o r s _ G u i d e / i n d e x . h t m l [ 4 ] :   h t t p : / / w w w . t e c m i n t . c o m / s e d - c o m m a n d - t o - c r e a t e - e d i t - a n d - m a n i p u l a t e - f i l e s - i n - l i n u x / [ 5 ] :   h t t p : / / w i k i . a p p a r m o r . n e t / i n d e x . p h p / M a i n _ P a g e [ 6 ] :   h t t p s : / / h e l p . u b u n t u . c o m / c o m m u n i t y / A p p A r m o r [ 7 ] :   h t t p : / / w w w . t e c m i n t . c o m / a u t h o r / g a c a n e p a / [ 8 ] :   h t t p s : / / g i t h u b . c o m / a l i m 0 x [ 9 ] :   h t t p s : / / g i t h u b . c o m / w x y [ 1 0 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t [ 1 1 ] :   h t t p s : / / l i n u x . c n / 推 荐 文 章 推 荐 文 章 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 / e t c / a p p a r m o r . d / d i s a b l e d $   s u d o   l n   - s   / e t c / a p p a r m o r . d / p r o f i l e . n a m e   / e t c / a p p a r m o r . d / d i s a b l e /
点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理