一文彻底明白linux中的selinux到底是什么
一、前言
安全增强型 Linux（Security-Enhanced Linux）简称 SELinux，它是一个 Linux 内核模块，也是 Linux 的一个安全子系统。
SELinux 主要由美国国家安全局开发。2.6 及以上版本的 Linux 内核都已经集成了 SELinux 模块。
SELinux 的结构及配置非常复杂，而且有大量概念性的东西，要学精难度较大。很多 Linux 系统管理员嫌麻烦都把 SELinux 关闭了。
如果可以熟练掌握 SELinux 并正确运用，我觉得整个系统基本上可以到达"坚不可摧"的地步了（请永远记住没有绝对的安全）。
掌握 SELinux 的基本概念以及简单的配置方法是每个 Linux 系统管理员的必修课。
本文均在 CentOS 7.4.1708 系统中操作。
本文纯属个人学习经验分享交流，出错再所难免，仅供参考！如果发现错误的地方，可以的话麻烦指点下，特别感谢！
二、SELinux 的作用及权限管理机制
2.1 SELinux 的作用
SELinux 主要作用就是最大限度地减小系统中服务进程可访问的资源（最小权限原则）。
设想一下，如果一个以 root 身份运行的网络服务存在 0day 漏洞，黑客就可以利用这个漏洞，以 root 的身份在您的服务器上为所欲为了。是不是很可怕？
SELinux 就是来解决这个问题的。
2.2 DAC
在没有使用 SELinux 的操作系统中，决定一个资源是否能被访问的因素是：某个资源是否拥有对应用户的权限（读、写、执行）。
只要访问这个资源的进程符合以上的条件就可以被访问。
而最致命问题是，root 用户不受任何管制，系统上任何资源都可以无限制地访问。
这种权限管理机制的主体是用户，也称为自主访问控制（DAC）。
2.3 MAC
在使用了 SELinux 的操作系统中，决定一个资源是否能被访问的因素除了上述因素之外，还需要判断每一类进程是否拥有对某一类资源的访问权限。
这样一来，即使进程是以 root 身份运行的，也需要判断这个进程的类型以及允许访问的资源类型才能决定是否允许访问某个资源。进程的活动空间也可以被压缩到最小。
即使是以 root 身份运行的服务进程，一般也只能访问到它所需要的资源。即使程序出了漏洞，影响范围也只有在其允许访问的资源范围内。安全性大大增加。
这种权限管理机制的主体是进程，也称为强制访问控制（MAC）。
而 MAC 又细分为了两种方式，一种叫类别安全（MCS）模式，另一种叫多级安全（MLS）模式。
下文中的操作均为 MCS 模式。
2.4 DAC 和 MAC 的对比
这里引用一张图片来说明。
可以看到，在 DAC 模式下，只要相应目录有相应用户的权限，就可以被访问。而在 MAC 模式下，还要受进程允许访问目录范围的限制。
三、SELinux 基本概念
3.1 主体（Subject）
可以完全等同于进程。
注：为了方便理解，如无特别说明，以下均把进程视为主体。
3.2 对象（Object）
被主体访问的资源。可以是文件、目录、端口、设备等。
注：为了方便理解，如无特别说明，以下均把文件或者目录视为对象。
3.3 政策和规则（Policy & Rule）
系统中通常有大量的文件和进程，为了节省时间和开销，通常我们只是选择性地对某些进程进行管制。
而哪些进程需要管制、要怎么管制是由政策决定的。
一套政策里面有多个规则。部分规则可以按照需求启用或禁用（以下把该类型的规则称为布尔型规则）。
规则是模块化、可扩展的。在安装新的应用程序时，应用程序可通过添加新的模块来添加规则。用户也可以手动地增减规则。
在 CentOS 7 系统中，有三套政策，分别是：
1. targeted：对大部分网络服务进程进行管制。这是系统默认使用的政策（下文均使用此政策）。
2. minimum：以 targeted 为基础，仅对选定的网络服务进程进行管制。一般不用。
3. mls：多级安全保护。对所有的进程进行管制。这是最严格的政策，配置难度非常大。一般不用，除非对安全性有极高的要求。
政策可以在 /etc/selinux/config 中设定。
3.4 安全上下文（Security Context）
安全上下文是 SELinux 的核心。
安全上下文我自己把它分为「进程安全上下文」和「文件安全上下文」。
一个「进程安全上下文」一般对应多个「文件安全上下文」。
只有两者的安全上下文对应上了，进程才能访问文件。它们的对应关系由政策中的规则决定。
文件安全上下文由文件创建的位置和创建文件的进程所决定。而且系统有一套默认值，用户也可以对默认值进行设定。
需要注意的是，单纯的移动文件操作并不会改变文件的安全上下文。
安全上下文的结构及含义
安全上下文有四个字段，分别用冒号隔开。形如：system_u:object_r:admin_home_t:s0。
3.5 SELinux 的工作模式
SELinux 有三种工作模式，分别是：
1. enforcing：强制模式。违反 SELinux 规则的行为将被阻止并记录到日志中。
2. permissive：宽容模式。违反 SELinux 规则的行为只会记录到日志中。一般为调试用。
3. disabled：关闭 SELinux。
SELinux 工作模式可以在 /etc/selinux/config 中设定。
如果想从 disabled 切换到 enforcing 或者 permissive 的话，需要重启系统。反过来也一样。
enforcing 和 permissive 模式可以通过 setenforce 1|0 命令快速切换。
需要注意的是，如果系统已经在关闭 SELinux 的状态下运行了一段时间，在打开 SELinux 之后的第一次重启速度可能会比较慢。因为系统必须为磁盘中的文件创建安全上下文（我表示我重启了大约 10 分钟，还以为是死机了……）。
SELinux 日志的记录需要借助 auditd.service 这个服务，请不要禁用它。
3.6 SELinux 工作流程
这里引用一张图片，不必过多解释。
注：上面的安全文本指的就是安全上下文。
四、SELinux 基本操作
4.1 查询文件或目录的安全上下文
命令基本用法
ls -Z
用法举例
查询 /etc/hosts 的安全上下文。
ls -Z /etc/hosts
执行结果
-rw-r--r--. root root system_u:object_r:net_conf_t:s0 /etc/hosts
4.2 查询进程的安全上下文
命令基本用法
ps auxZ | grep -v grep | grep
用法举例
查询 Nginx 相关进程的安全上下文。
ps auxZ | grep -v grep | grep nginx
执行结果
system_u:system_r:httpd_t:s0 root 7997 0.0 0.0 122784 2156 ? Ss 14:31 0:00 nginx: master process /usr/sbin/nginx
system_u:system_r:httpd_t:s0 nginx 7998 0.0 0.0 125332 7560 ? S 14:31 0:00 nginx: worker process
4.3 手动修改文件或目录的安全上下文
命令基本用法
chcon [...]
选项功能-u 修改安全上下文的用户字段-r 修改安全上下文的角色字段-t 修改安全上下文的类型字段-l 修改安全上下文的级别字段--reference 修改与指定文件或目录相一致的安全上下文-R递归操作-h修改软链接的安全上下文（不加此选项则修改软链接对应文件）
用法举例
修改 test 的安全上下文为 aaa_u:bbb_r:ccc_t:s0。
chcon -u aaa_u -r bbb_r -t ccc_t test
4.4 把文件或目录的安全上下文恢复到默认值
命令基本用法
restorecon [选项] [...]
选项功能-v打印操作过程-R递归操作
用法举例
添加一些网页文件到 Nginx 服务器的目录之后，为这些新文件设置正确的安全上下文。
restorecon -R /usr/share/nginx/html/
4.5 查询系统中的布尔型规则及其状态
命令基本用法
getsebool -a
由于该命令要么查询所有规则，要么只查询一个规则，所以一般都是先查询所有规则然后用 grep 筛选。
用法举例
查询与 httpd 有关的布尔型规则。
getsebool -a | grep httpd
执行结果
httpd_anon_write --> off
httpd_builtin_scripting --> on
httpd_can_check_spam --> off
httpd_can_connect_ftp --> off
#以下省略
4.6 开关一个布尔型规则
命令基本用法
setsebool [选项]
选项功能-P重启依然生效
用法举例
开启 httpd_anon_write 规则。
setsebool -P httpd_anon_write on
4.7 添加目录的默认安全上下文
命令基本用法
semanage fcontext -a -t "(/.*)?"
注：目录或文件的默认安全上下文可以通过 semanage fcontext -l 命令配合 grep过滤查看。
用法举例
为 Nginx 新增一个网站目录 /usr/share/nginx/html2 之后，需要为其设置与原目录相同的默认安全上下文。
semanage fcontext -a -t httpd_sys_content_t "/usr/share/nginx/html2(/.*)?"
4.8 添加某类进程允许访问的端口
命令基本用法
semanage port -a -t -p
注：各种服务类型所允许的端口号可以通过 semanage port -l 命令配合 grep 过滤查看。
用法举例
为 Nginx 需要使用 10080 的端口用于 HTTP 服务。
semanage port -a -t http_port_t -p tcp 10080
五、SELinux 错误分析和解决
5.1 认识 SELinux 日志
当开启了 SELinux 之后，很多服务的一些正常行为都会被视为违规行为（标题及下文中的错误均指违规行为）。
这时候我们就需要借助 SELinux 违规日志来分析解决。
SELinux 违规日志保存在 /var/log/audit/audit.log 中。
/var/log/audit/audit.log 的内容大概是这样的。
type=LOGIN msg=audit(1507898701.391:515): pid=8523 uid=0 subj=system_u:system_r:crond_t:s0-s0:c0.c1023 old-auid=4294967295 auid=0 tty=(none) old-ses=4294967295 ses=25 res=1
type=USER_START msg=audit(1507898701.421:516): pid=8523 uid=0 auid=0 ses=25 subj=system_u:system_r:crond_t:s0-s0:c0.c1023 msg='op=PAM:session_open grantors=pam_loginuid,pam_keyinit,pam_limits,pam_systemd acct="root" exe="/usr/sbin/crond" hostname=? addr=? terminal=cron res=success'
...
该文件的内容很多，而且混有很多与 SELinux 错误无关的系统审计日志。我们要借助 sealert 这个实用工具来帮忙分析（如果提示找不到命令的话请安装 setroubleshoot 软件包）。
5.2 使用sealert分析错误
命令基本用法
sealert -a /var/log/audit/audit.log
执行完命令之后，系统需要花一段时间去分析日志中的违规行为并给出分析报告。分析报告的结构讲解请看下图：
SELinux入门
回到Kernel 2.6 时代，那时候引入了一个新的安全系统，用以提供访问控制安全策略的机制。这个系统就是Security Enhanced Linux (SELinux)，它是由美国国家安全局（NSA）贡献的，它为Linux内核子系统引入了一个健壮的强制控制访问Mandatory Access Control架构。
在我开始之前，你应该已经了解的是SELinux主要是红帽Red Hat Linux以及它的衍生发行版上的一个工具。类似地， Ubuntu 和 SUSE（以及它们的衍生发行版）使用的是 AppArmor。SELinux和AppArmor 有显著的不同。你可以在SUSE，openSUSE，Ubuntu等等发行版上安装SELinux，但这是项难以置信的挑战，除非你十分精通 Linux，说了这么多，让我来向你介绍SELinux。
Linux上传统的访问控制标准是自主访问控制Discretionary Access Control（DAC）。在这种形式下，一个软件或守护进程以User ID（UID）或Set owner User ID（SUID）的身份运行，并且拥有该用户的目标（文件、套接字、以及其它进程）权限。这使得恶意代码很容易运行在特定权限之下，从而取得访问关键的子系统的权限。
另一方面，强制访问控制Mandatory Access Control（MAC）基于保密性和完整性强制信息的隔离以限制破坏。该限制单元独立于传统的Linux安全机制运作，并且没有超级用户的概念。
考虑一下SELinux的相关概念:
- 主体Subjects
- 目标Objects
- 策略Policy
- 模式Mode
当一个主体Subject（如一个程序）尝试访问一个目标Object（如一个文件），SELinux安全服务器SELinux Security Server（在内核中）从策略数据库Policy Database中运行一个检查。基于当前的模式mode，如果 SELinux 安全服务器授予权限，该主体就能够访问该目标。如果SELinux安全服务器拒绝了权限，就会在/var/log/messages中记录一条拒绝信息。
听起来相对比较简单是不是？实际上过程要更加复杂，但为了简化介绍，只列出了重要的步骤。
SELinux 有三个模式（可以由用户设置）。这些模式将规定 SELinux 在主体请求时如何应对。这些模式是：
- Enforcing 强制— SELinux 策略强制执行，基于 SELinux 策略规则授予或拒绝主体对目标的访问
- Permissive 宽容— SELinux 策略不强制执行，不实际拒绝访问，但会有拒绝信息写入日志
- Disabled 禁用— 完全禁用SELinux
(getenforce命令显示SELinux的状态是Enforcing启用状态)
默认情况下，大部分系统的SELinux设置为Enforcing。你要如何知道你的系统当前是什么模式？你可以使用一条简单的命令来查看，这条命令就是 getenforce。这个命令用起来难以置信的简单（因为它仅仅用来报告SELinux的模式）。要使用这个工具，打开一个终端窗口并执行 getenforce 命令。命令会返回 Enforcing、Permissive，或者Disabled（见上图）。
设置SELinux的模式实际上很简单——取决于你想设置什么模式。记住：永远不推荐关闭 SELinux。为什么？当你这么做了，就会出现这种可能性：你磁盘上的文件可能会被打上错误的权限标签，需要你重新标记权限才能修复。而且你无法修改一个以 Disabled 模式启动的系统的模式。你的最佳模式是Enforcing或者Permissive。
你可以从命令行或/etc/selinux/config文件更改SELinux的模式。要从命令行设置模式，你可以使用setenforce工具。要设置Enforcing模式，按下面这么做：
1.打开一个终端窗口
2.执行su然后输入你的管理员密码
3.执行setenforce 1
4.执行getenforce确定模式已经正确设置（如下图）
要设置模式为Permissive，这么做：
1.打开一个终端窗口
2.执行su然后输入你的管理员密码
3.执行setenforce 0
4.执行getenforce确定模式已经正确设置（如下图）
注：通过命令行设置模式会覆盖 SELinux 配置文件中的设置。
如果你更愿意在SELinux命令文件中设置模式，用你喜欢的编辑器打开那个文件找到这一行：
SELINUX=permissive
你可以按你的偏好设置模式，然后保存文件。
还有第三种方法修改SELinux的模式（通过 bootloader），但我不推荐新用户这么做。
SELinux策略有两种：
Targeted目标 — 只有目标网络进程（dhcpd，httpd，named，nscd，ntpd，portmap，snmpd，squid，以及 syslogd）受保护
Strict严格 — 对所有进程完全的SELinux保护
你可以在/etc/selinux/config文件中修改策略类型。用你喜欢的编辑器打开这个文件找到这一行：
SELINUXTYPE=targeted
修改这个选项为targeted或strict以满足你的需求。
有个方便的SELinux 工具，你可能想要用它来获取你启用了SELinux的系统的详细状态报告。这个命令在终端像这样运行：
sestatus -v
你可以看到像下图这样的输出。
和你预想的一样，我只介绍了SELinux的一点皮毛。SELinux的确是个复杂的系统，想要更扎实地理解它是如何工作的，以及了解如何让它更好地为你的桌面或服务器工作需要更加地深入学习。我的内容还没有覆盖到疑难解答和创建自定义SELinux策略。
SELinux是所有Linux管理员都应该知道的强大工具。现在已经向你介绍了SELinux，我强烈推荐你回到Linux.com（当有更多关于此话题的文章发表的时候）或看看 NSA SELinux文档获得更加深入的指南。
