SELinux策略规则查看方法（seinfo和sesearch）详解

SELinux是一种强制访问控制（MAC）安全机制，用于限制系统或应用程序的操作，保护系统和数据的安全。SELinux的一个核心组成部分就是策略规则，这些规则定义了哪些过程、用户和资源可以相互访问。为了有效管理和优化SELinux规则，需要了解如何使用seinfo和sesearch命令来查看策略规则。

1. 查看SELinux策略规则

（1）seinfo命令

seinfo命令可以用来查看SELinux策略规则，包括安全上下文、策略类型、开启的域和相关策略规则等。

示例命令：seinfo -aun

该命令将列出所有可用的SELinux类型、属性、规则以及相关信息。

（2）sesearch命令

sesearch命令用于查询SELinux策略规则，包括访问控制决策、安全上下文以及标记等。

示例命令：sesearch -A -s init_t -c process -p transition

该命令将列出所有与init进程相关的转换（transition）规则。

1. 实例说明

（1）seinfo命令实例

输入命令：seinfo -aun

输出结果如下所示：

Types: All Types: administrative.Domain Attributes: auditadm.file
daemon Default Types: user_devpts_t Attributes: auditadm.sock
execmem File Types: anon_inodefs_t Attributes: auditadm.var_log
etc_t Block Types: batch_t Roles: All
groff_t Char Types: bin_t Users: All
kernel Dir Types: blkmap_t FS Use: All
mplayer_t File Types: bluetooth_t MLS/MCS Separation: Yes
netif_t FIFO Types: bootloader_exec_t HTC: Yes
proc_t IPC Types: chroot_unconfined_type SELINUXTYPE=targeted
proc_security Socket Types: consolekit_var_run_t Limited /sbin/exim
rpm_script_tmp_t TCP Types: consolekit_var_spool_t TSIG: No
rpm_var_cache_t UDP Types: container_runtime_exec_t Unconfined: No
unconfined_t Compartments: None Contexts: System=SELinux
user_home_dir_t FS Names: nfs sshfs sysfs
user_tmp_t FS Devices: All UPower: No

（2）sesearch命令实例

输入命令：sesearch -A -s init_t -c process -p transition

输出结果如下所示：

allow init_t ran_initrc_t : process transition ;
allow init_t user_home_t : process transition ;
allow init_t var_log_t : process transition ;
allow init_t tmp_t : process transition ;
allow init_t selinux_config_t : process transition ;
allow init_t sysctl_mod_t : process transition ;
allow init_t devpts_t : process transition ;
allow init_t var_t : process transition ;
allow init_t vmblock_t : process transition ;
allow init_t krb5_host_rcache_t : process transition ;
allow init_t initrc_tmp_t : process transition ;
allow init_t init_t : process transition ;
allow init_t kernel_t : process transition ;

上述输出结果显示，init进程可以进行的所有转换规则，包括源安全上下文、目标安全上下文和转换类型。每条规则都由allow、源安全上下文、目标安全上下文和转换类型四个部分组成。