selinux配置详解(文档格式改进版)

selinux配置详解(文档格式改进版)

ID:8821404

大小:97.00 KB

页数:17页

时间:2018-04-08

selinux配置详解(文档格式改进版)_第1页
selinux配置详解(文档格式改进版)_第2页
selinux配置详解(文档格式改进版)_第3页
selinux配置详解(文档格式改进版)_第4页
selinux配置详解(文档格式改进版)_第5页
selinux配置详解(文档格式改进版)_第6页
selinux配置详解(文档格式改进版)_第7页
selinux配置详解(文档格式改进版)_第8页
selinux配置详解(文档格式改进版)_第9页
selinux配置详解(文档格式改进版)_第10页
资源描述:

《selinux配置详解(文档格式改进版)》由会员上传分享,免费在线阅读,更多相关内容在应用文档-天天文库

1、Selinux配置详解1.背景SELinux是「Security-EnhancedLinux」的简称,是美国国家安全局「NSA=TheNationalSecurityAgency」和SCC(SecureComputingCorporation)开发的Linux的一个扩张强制访问控制安全模块。原先是在Fluke上开发的,2000年以GNUGPL发布。现在以Linux作为因特网服务器是越来越普遍的事了。在我这几年作过的项目里,WEB的开发基本都是基于Linux的,这里有给大公司做的,也给政府部门做的,当然更多的是

2、中小企业做的。这其中给政府做的,我们把SELinux作为一个卖点,接受了不少项目。2.我们需要安全操作系统的理由现在不论是政府还是民间企业,大家对信息安全问题是越来越关心了,因为企业的业务平台的服务器上存储着大量的商务机密,个人资料,个人资料它直接关系到个人的隐私问题。特别是我们政府的网站,作为信息公开的平台,它的安全就更显得重要了。这些连到互联网的服务器,不可避免的要受到来自世界各地的各种威胁。最坏的时候我们的服务器被入侵,主页文件被替换,机密文件被盗走。除了来自外部的威胁外,内部人员的不法访问,攻击也是不

3、可忽视的。对于这些攻击或者说是威胁,当然有很多的办法,有防火墙,入侵检测系统,打补丁等等。因为Linux也和其他的商用UNIX一样,不断有各类的安全漏洞被发现。我们对付这些漏洞不得不花很多的人力来堵住它。在这些手段之中,提高OS系统自身的牢固性就显得非常的重要。2.1传统的LinuxOS的不足之处虽然Linux比起Windows来说,它的可靠性,稳定定要好得多,但是他也是和其他的UNIX一样,有以下这些不足之处。1)存在特权用户root  任何人只要得到root的权限,对于整个系统都可以为所欲为。这一点Win

4、dows也一样。2)对于文件的访问权的划分不够细  在linux系统里,对于文件的操作,只有「所有者」,「所有组」,「其他」这3类的划分。  对于「其他」这一类里的用户再细细的划分的话就没有办法了。3)SUID程序的权限升级  如果设置了SUID权限的程序有了漏洞的话,很容易被攻击者所利用。4)DAC(DiscretionaryAccessControl)问题  文件目录的所有者可以对文件进行所有的操作,这给系统整体的管理带来不便。对于以上这些的不足,防火墙,入侵检测系统都是无能为力的。在这种背景下,对于访问

5、权限大幅强化的OSSELinux来说,它的魅力的无穷的。2.2SELinux的优点SELinux系统比起通常的Linux系统来,安全性能要高的多,它通过对于用户,进程权限的最小化,即使受到攻击,进程或者用户权限被夺去,也不会对整个系统造成重大影响。接下来我来介绍SELinux的一些特点。特点1:MAC(MandatoryAccessControl)―――对访问的控制彻底化对于所有的文件,目录,端口这类的资源的访问,都可以是基于策略设定的,这些策略是由管理员定制的、一般用户是没有权限更改的。特点2:TE(Typ

6、eEnforcement)―――对于进程只付与最小的权限Te概念在SELinux里非常的重要。它的特点是对所有的文件都赋予一个叫type的文件类型标签,对于所有的进程也赋予各自的一个叫domain的标签。Domain标签能够执行的操作也是由accessvector在策略里定好的。我们熟悉的apache服务器,httpd进程只能在httpd_t里运行,这个httpd_t的domain能执行的操作,比如能读网页内容文件赋予httpd_sys_content_t,密码文件赋予shadow_t,TCP的80端口赋予h

7、ttp_port_t等等。如果在accessvector里我们不允许http_t来对http_port_t进行操作的花,Apache启动都启动不了。反过来说,我们只允许80端口,只允许读取被标为httpd_sys_content_t的文件,httpd_t就不能用别的端口,也不能更改那些被标为httpd_sys_content_t的文件(readonly)。特点3:domain迁移――防止权限升级在用户环境里运行点对点下载软件azureus,你当前的domain是fu_t,但是,你考虑到安全问题,你打算让他在a

8、zureus_t里运行,你要是在terminal里用命令启动azureus的话,它的进程的domain就会默认继承你实行的shell的fu_t。有了domain迁移的话,我们就可以让azureus在我们指定的azureus_t里运行,在安全上面,这种做法更可取,它不会影响到你的fu_t。下面是domain迁移指示的例子:domain_auto_trans(fu_t,azureus_exec_t,az

当前文档最多预览五页,下载文档查看全文

此文档下载收益归作者所有

当前文档最多预览五页,下载文档查看全文
温馨提示:
1. 部分包含数学公式或PPT动画的文件,查看预览时可能会显示错乱或异常,文件下载后无此问题,请放心下载。
2. 本文档由用户上传,版权归属用户,天天文库负责整理代发布。如果您对本文档版权有争议请及时联系客服。
3. 下载前请仔细阅读文档内容,确认文档内容符合您的需求后进行下载,若出现内容与标题不符可向本站投诉处理。
4. 下载文档时可能由于网络波动等原因无法下载或下载错误,付费完成后未能成功下载的用户请联系客服处理。