SELinux Targeted、MLS和Minimum策略

首先，需要明确的是SELinux（Security-Enhanced Linux）是一种安全模块，其实现了强制访问控制（MAC）机制来保护Linux系统。最常见的SELinux策略包括Targeted、MLS和Minimum，下面分别进行详细讲解。

SELinux Targeted策略

Targeted策略的概述

Targeted是SELinux的默认策略，可以适用于大多数Linux发行版，包括Red Hat、CentOS和Ubuntu等。它的特点是：

1. 针对一组指定的进程进行限制；
2. 引入大量的预定义规则和策略，以便在系统保护和控制无法用更细致的访问控制器实现的访问时起到一定的作用；
3. 在一定程度上，保留了Linux本身的灵活性，同时为系统保护带来更高的安全性。

Targeted策略的设置

在Red Hat、CentOS和Ubuntu等默认安装SELinux的系统中，可以执行以下命令来启用或禁用SELinux：

# 启用SELinux
sudo setenforce 1

# 禁用SELinux
sudo setenforce 0

执行以上命令后还需要修改/etc/selinux/config文件，将SELINUX选项的值设置为enforcing（启用SELinux）或permissive（禁用SELinux）即可。

Targeted策略的应用

Targeted策略可以通过以下命令进行应用：

# 查看SELinux状态
getenforce

# 查看SELinux的安全上下文
ls -lZ 

# 设置文件/目录的安全上下文
chcon [-R] [-t type] file/dir

# 查看文件/目录的安全上下文
ls -Z file/dir

例如，可以使用以下命令将/app目录的安全上下文设置为httpd_sys_content_t：

# 设置安全上下文
sudo chcon -R -t httpd_sys_content_t /app

# 验证设置结果
ls -lZ /app

SELinux MLS（Multi-Level Security）策略

MLS策略的概述

MLS也被称为强制完整性策略，它将SELinux带入了多级访问控制的领域。 MLS的目标是以一种非常粒度化的方式来过滤或控制进程/文件/对象的访问基于其安全级别。例如，系统管理员应该只能读取官方文档，不能在系统中轻松地读取敏感的安全信息。

MLS策略的设置

由于MLS的审批和设置需要涉及到更多的安全转折，适用于特定的应用程序和系统场景，因此需要更为严格的协商和规划才能正常使用。

以下是MLS策略常用的相关命令：

# 启用MLS
sudo setenforce 1
sudo selinux-config-enforcing

# 禁用MLS
sudo setenforce 0
sudo selinux-config-permissive

# 查询MLS状态
sudo sestatus

# 为文件/目录/进程等配置安全上下文
sudo chcon [-R] -t type range filename/dirname
sudo chmlabe [-R] -l range filename/dirname
sudo semanage <commands>

# 配置MLS策略
sudo semanage login [-a|-d] [-r range] ttyterm|tty\d+|pts\/\d+ 
sudo semanage port [-a|-d] -p protocol -t type -p begin_port -sp end_port

# 获取策略范围
sudo semanage fcontext -l
sudo seinfo -r

MLS策略的应用

使用MLS策略时，需要对系统中的安全策略进行培训。一些安全监视的表部，例如auditingd、sessiond和MLs_level，等等需要定期更新以确保安全实践与预期的策略相匹配。

例如，要指定SSH登录的最低安全级别并限制用户只能登录指定的tty设备，可以执行以下命令：

# 创建一个自定义的 MLS 安全策略
sudo semanage login -a -s staff_u -r s0-s15:c0.c1023 ttyterm

# 针对 SSH 服务限制标准系统日志、 audit 和管理日志
sudo semanage port -a -t ssh_port_t -p tcp 2525

SELinux Minimum策略

Minimum策略的概述

Minimum策略是一种极小的SELinux策略，它引入了非常简单而小巧的规则来实现最基本的系统安全配置。由于Minimum策略缺少许多预定义的规则和策略，因此它是一种非常灵活的策略，更适合系统管理员在某些特定的场景下应用。

Minimum策略的设置

在CentOS 6和Red Hat Enterprise Linux 6等系统上，可以使用以下命令启用Minimum策略：

# 启用SELinux的Minimum策略
sudo setsebool selinuxuser_use_minimal_rules on

# 禁用SELinux的Enforcing策略
sudo setenforce 0

Minimum策略的应用

如果仅依靠SELinux Minimum策略来保护你的系统，则需要仔细审查并调整所有可能影响系统安全的进程、文件和组件。可以简单地使用chcon命令更改文件的SELinux安全上下文。

例如，可以使用以下命令将/app目录的SELinux安全上下文更改为user_u:object_r:httpd_sys_content_t:s0，以匹配当前用户：

# 修改SELinux上下文
sudo chcon -R -u user_u -r object_r -t httpd_sys_content_t /app

# 验证安全上下文
ls -lZ /app

通过以上的攻略内容，您应该能够熟练掌握SELinux Targeted、MLS以及Minimum策略的使用和配置了。

阅读剩余 66%