码迷,mamicode.com
首页 > 系统相关 > 详细

linux安全---selinux安全控制

时间:2016-05-15 19:53:04      阅读:266      评论:0      收藏:0      [点我收藏+]

标签:linux安全---selinux安全控制   selinux   

了解selinux,设置给文件selinux的安全上下文件,复制、移动对selinux规则的影响,设置apache、vsftpd的selinux规则

1.了解selinux

1)DAC:指用户访问资源的控制,即权限

MAC:selinux标签,限制进程访问资源,进程归用户所有;当用户调用进程去访问资源(file)时,检查selinux安全标签,匹配了才能访问。

selinux使用selinux用户、角色、类型和级别控制进程访问资源。

selinux属性的格式:user:role:type:level

ls  -Z  install.log

-rw-r--r--. root root system_u:object_r:admin_home_t:s0 install.log


2)selinux用户:不同于系统用户,selinux用户使用selinux策略的一部分,和系统用户有映射关系,一个系统用户对应一个selinux映射。semange查看关系。

semanage user -l


3)角色role:用户空间,进程的访问范围标记,如object_r

4)类型或者安全上下文,资源的标记,admin_home_t

5)安全级别:s0最常用

查看:进程、用户、文件的selinux属性

ps  -eZ  |grep http   ##查看http进程的selinux

id  -Z   ##当前用户的selinux设置

ls  -ldZ  /var/www/html  ##查看http网页跟目录的selinux属性


2.设置文件的selinux属性中安全上下文(type)

1)临时设置

echo 123123  >/var/www/html/index.html

cd  /var/www/html

ls  -Z  index.html   ##TYPE:httpd_sys_content_t,只允许apache的进程访问,访问测试

chcon -t admin_home_t  index.html   ##访问测试,无法访问到文件

restorecon  -F  -v  index.html   ##还原selinux属性,-F表示强制,-v详细

目录的selinux设置,在文件的基础上加“-R”选项即可。


2)永久生效

语法:semanage  fcontext  -{a|d|m} 文件  ##-a表示增加,-d删除,-l显示,-m修改

注意文件、目录使用绝对路径

文件:

semanage fcontext -a -t httpd_sys_content_t  /web/a.file  ##添加

cat /etc/selinux/targeted/contexts/files/file_contexts.local   ##发现a.file的selinux属性

restorecon  -v  /web/a.file  ##立即生效,restorecon恢复的依据就是file_contexts.local文件中的规则。

semanage fcontext -d -t httpd_sys_content_t  /web/a.file  ##删除a.file的selinux属性,相当于删除了file_contexts.local中的规则,不能使用vi等删除。

restorecon  -F -v  /web/a.file   ##立即生效

目录:

semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"    ##如果只写目录,目录下的内容的selinux属性不会被修改,使用正则匹配目录下的所有内容,"/web(/.*)"

restorecon -R -F -v  /web/  ##立即生效

semanage fcontext -d  -t httpd_sys_content_t "/web(/.*)?"  ##删除

restorecon  -R -F -v  /web/


3.复制、移动对selinux规则的影响

移动:selinux不变,覆盖时会覆盖selinux属性

mv  /root/index.html  /var/www/html/ 

ls  -Z /var/www/html/index.html   ##selinux未发生变化

cd  /home/

touch index.html

ls -Z /home/index.html   ##文件的type:home_root_t

mv  /home/index.html  /var/www/html/   

ls  -Z  /var/www/html/index.html   ##selinux被覆盖,type变为home_root_t

复制:使用目标selinux的属性,覆盖时selinux属性不变

cp  /root/install.log  /var/www/html  

ls  -Z /var/www/html/install.log  ##selinux的type:httpd_sys_content_t

cp  /root/install.log  /var/www/html/   ##覆盖,selinux属性不变

注意:对比移动和复制,复制更有利于保持selinux属性、推荐使用。


4.tar打包备份与selinux;特殊selinux type:file_t,default_t,user_tmp_t

tar打包时默认selinux丢失,使用“--selinux|--xattrs”可以保持selinux属性。

tar -zcvf /tmp/test-sel.tar.gz /var/www/html/ --selinux

特殊type:

file_t:文件没有selinux属性

default_t:文件或目录的selinux与file-context配置文件定义模式不匹配。

两种类型文件,设置了selinux属性的进程都不能访问。

user_tmp_t:用户临时文件的,所有的进程都可以访问。

本文出自 “LP-linux” 博客,请务必保留此出处http://linuxlp.blog.51cto.com/11463376/1773666

linux安全---selinux安全控制

标签:linux安全---selinux安全控制   selinux   

原文地址:http://linuxlp.blog.51cto.com/11463376/1773666

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!