论文部分内容阅读
摘要：本文就Linux操作系统中Red Hat Enterprise Linux的安全问题进行了探究。对传统的Linux OS在安全问题上存在着不足，通过对SELinux安全访问控制机制分析及SELinux的安全策略的配置，对传统LinuxOS的安全进行加固处理。以解决传统LinuxOS的安全问题。
关键词：SELINUX；操作系统安全；SELinux安全机制；安全策略配置
中图分类号：TP309 文献标识码：A文章编号：1007-9599 (2011) 16-0000-01
Study and Application of SELINUX Security Mechanisms
Lian Wei
(MCC-SFRE Heavy Industry Equipment Co.,Ltd.,Weinan711711,China)
Abstract:This paper Linux operating system,Red Hat Enterprise Linux security issues to explore.Linux OS in the traditional security issues,there is a lack of access control through the mechanism of the SELinux security analysis and configuration of the SELinux security policy,the traditional LinuxOS security reinforcement.Traditional LinuxOS to address security issues.
Keywords:SELINUX;Operating system security;SELinux security;Security policy configuration
一、SElinux概述
SELinux是美国国家安全局对于强制访问控制的实现，在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。大部分使用SELinux的人使用的都是SELinux就绪的发行版，例如Fedora、Red Hat、Debian。它们都是在内核中启用SELinux的，并且提供一个可定制的安全策略，还提供很多用户层的库和工具，它们都可以使用SELinux的功能。
二、SELinux原理
在SELinux中，每个对象（程序、档案、进程等）都拥有一个Security Context（安全上下文），它就像标签一样，贴在每个对象身上，上面记载着这个对象所具有的权限。而我们可以通过制定Security Policy（安全策略）来定义这些Security Context，从而定义哪种对象具有哪些权限。当一个对象需要执行某个动作时，系统会依照Security Policy所制定的内容来检查相对应的权限，如果全部权限都符合的话，系统就会允许这个操作的执行，否则都将遭到拒绝或失败。
三、SElinux特点
（一）MAC。目前系统文件权限的管理有两种：DAC（传统的）和MAC（SELinux），MAC能对访问控制彻底化，对所有的文件、目录、端口的访问都是基于策略设定的，可由管理员自行设定。
（二）基于角色的访问控制方法RBAC。其中，权限是根据安全系统所授予的角色来提供的。角色的概念与传统的分组概念不同，因为一个分组代表一个或多个用户。一个角色可以代表多个用户，但它也代表一个用户集可以执行的权限。
SELinux将MAC和RBAC都添加到了Linux操作系统中。
对于用户只赋予最小权限。用户被划分成了一些role（角色），即使是root用户，如果不具有sysadm_r角色的话，也不能执行相关的管理。
（三）安全上下文。当启动selinux的时候，所有文件与对象都有安全上下文。进程的安全上下文是域，安全上下文由用户：角色：类型表示。
1.安全上下文格式。安全上下文由user：role：type三部分组成，下面分别说明其作用：
（1）user：类似linux系统中的UID，提供身份识别，安全上下文中的一部分。三种常见的user：
user_u-：普通用户登录系统后预设；
system_u-：开机过程中系统进程的预设；
root-：root登录后预设；
（2）role。
文件与目录的role，通常是object_r；
程序的role，通常是system_r；
用户的role，targeted policy为system_r；
用户的role，类似于系统中的GID，不同的角色具备不同的权限；用户可以具备多个role；但是同一时间内只能使用一role；role是RBAC的基础；
（3）type：用来将主体与客体划分为不同的组，每个主体和系统中的客体定义了一个类型；为进程运行提供最低的权限环境。当一个类型与执行的进程关联时，该type也称为domain，也叫安全上下文。域或安全上下文是一个进程允许操作的列表，决定一个进程可以对哪种类型进行操作。
四、SElinux应用
selinux的设置分为两个部分，修改安全上下文以及策略，下面收集了一些应用的安全上下文。
（一）SElinux与samba。
1.samba共享的文件必须用正确的selinux安全上下文标记。
chcon-R-tsamba_share_t/tmp/abc
2.修改策略（只对主目录的策略的修改）。
setsebool-P samba_enable_home_dirs=1/*共享家目录*/
setsebool-P allow_smbd_anon_write=1/*共享目录给多个域*/
getsebool查看
（二）SElinux与ftp。
1.如果ftp为匿名用户共享目录的话，应修改安全上下文。
chcon-R-t public_content_t/var/ftp
2.策略的设置。
setsebool-P allow_ftpd_anon_write=1/*允许匿名可写*/
（三）SElinux与http。
apache的主目录如果修改为其它位置，selinux就会限制客户的访问。
1.修改安全上下文。
chcon-R-t httpd_sys_content_t/home/html
2.修改策略。
setsebool-P httpd_enable_homedirs=1/*允许用户访问其家目录*/
关闭selinux对httpd的保护
httpd_disable_trans=0
五、总结
SELinux的安全结构能清晰地把策略逻辑组件和策略的实施组件分隔开，支持多策略模型和策略的动态改变，通过SELinux策略配置文件可以容易的修改和扩展策略，使得安全策略能够灵活的实现实际的安全目的，满足了通用操作系统对抗系统漏洞和恶意代码的要求。
参考文献：
[1]倪继利.Linux安全体系分析与编程[M].电子工业出版社,2007,11:488-491
[2]黄易冬,沈廷芝等.SELinux安全机制和安全目的研究[J].微计算机信息
关键词：SELINUX；操作系统安全；SELinux安全机制；安全策略配置
中图分类号：TP309 文献标识码：A文章编号：1007-9599 (2011) 16-0000-01
Study and Application of SELINUX Security Mechanisms
Lian Wei
(MCC-SFRE Heavy Industry Equipment Co.,Ltd.,Weinan711711,China)
Abstract:This paper Linux operating system,Red Hat Enterprise Linux security issues to explore.Linux OS in the traditional security issues,there is a lack of access control through the mechanism of the SELinux security analysis and configuration of the SELinux security policy,the traditional LinuxOS security reinforcement.Traditional LinuxOS to address security issues.
Keywords:SELINUX;Operating system security;SELinux security;Security policy configuration
一、SElinux概述
SELinux是美国国家安全局对于强制访问控制的实现，在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。大部分使用SELinux的人使用的都是SELinux就绪的发行版，例如Fedora、Red Hat、Debian。它们都是在内核中启用SELinux的，并且提供一个可定制的安全策略，还提供很多用户层的库和工具，它们都可以使用SELinux的功能。
二、SELinux原理
在SELinux中，每个对象（程序、档案、进程等）都拥有一个Security Context（安全上下文），它就像标签一样，贴在每个对象身上，上面记载着这个对象所具有的权限。而我们可以通过制定Security Policy（安全策略）来定义这些Security Context，从而定义哪种对象具有哪些权限。当一个对象需要执行某个动作时，系统会依照Security Policy所制定的内容来检查相对应的权限，如果全部权限都符合的话，系统就会允许这个操作的执行，否则都将遭到拒绝或失败。
三、SElinux特点
（一）MAC。目前系统文件权限的管理有两种：DAC（传统的）和MAC（SELinux），MAC能对访问控制彻底化，对所有的文件、目录、端口的访问都是基于策略设定的，可由管理员自行设定。
（二）基于角色的访问控制方法RBAC。其中，权限是根据安全系统所授予的角色来提供的。角色的概念与传统的分组概念不同，因为一个分组代表一个或多个用户。一个角色可以代表多个用户，但它也代表一个用户集可以执行的权限。
SELinux将MAC和RBAC都添加到了Linux操作系统中。
对于用户只赋予最小权限。用户被划分成了一些role（角色），即使是root用户，如果不具有sysadm_r角色的话，也不能执行相关的管理。
（三）安全上下文。当启动selinux的时候，所有文件与对象都有安全上下文。进程的安全上下文是域，安全上下文由用户：角色：类型表示。
1.安全上下文格式。安全上下文由user：role：type三部分组成，下面分别说明其作用：
（1）user：类似linux系统中的UID，提供身份识别，安全上下文中的一部分。三种常见的user：
user_u-：普通用户登录系统后预设；
system_u-：开机过程中系统进程的预设；
root-：root登录后预设；
（2）role。
文件与目录的role，通常是object_r；
程序的role，通常是system_r；
用户的role，targeted policy为system_r；
用户的role，类似于系统中的GID，不同的角色具备不同的权限；用户可以具备多个role；但是同一时间内只能使用一role；role是RBAC的基础；
（3）type：用来将主体与客体划分为不同的组，每个主体和系统中的客体定义了一个类型；为进程运行提供最低的权限环境。当一个类型与执行的进程关联时，该type也称为domain，也叫安全上下文。域或安全上下文是一个进程允许操作的列表，决定一个进程可以对哪种类型进行操作。
四、SElinux应用
selinux的设置分为两个部分，修改安全上下文以及策略，下面收集了一些应用的安全上下文。
（一）SElinux与samba。
1.samba共享的文件必须用正确的selinux安全上下文标记。
chcon-R-tsamba_share_t/tmp/abc
2.修改策略（只对主目录的策略的修改）。
setsebool-P samba_enable_home_dirs=1/*共享家目录*/
setsebool-P allow_smbd_anon_write=1/*共享目录给多个域*/
getsebool查看
（二）SElinux与ftp。
1.如果ftp为匿名用户共享目录的话，应修改安全上下文。
chcon-R-t public_content_t/var/ftp
2.策略的设置。
setsebool-P allow_ftpd_anon_write=1/*允许匿名可写*/
（三）SElinux与http。
apache的主目录如果修改为其它位置，selinux就会限制客户的访问。
1.修改安全上下文。
chcon-R-t httpd_sys_content_t/home/html
2.修改策略。
setsebool-P httpd_enable_homedirs=1/*允许用户访问其家目录*/
关闭selinux对httpd的保护
httpd_disable_trans=0
五、总结
SELinux的安全结构能清晰地把策略逻辑组件和策略的实施组件分隔开，支持多策略模型和策略的动态改变，通过SELinux策略配置文件可以容易的修改和扩展策略，使得安全策略能够灵活的实现实际的安全目的，满足了通用操作系统对抗系统漏洞和恶意代码的要求。
参考文献：
[1]倪继利.Linux安全体系分析与编程[M].电子工业出版社,2007,11:488-491
[2]黄易冬,沈廷芝等.SELinux安全机制和安全目的研究[J].微计算机信息