Ubuntu SELinux如何保护系统安全

Ubuntu 默认并不支持 SELinux，而是使用 AppArmor 作为其安全模块。SELinux 是一种用于增强 Linux 系统安全性的内核安全模块（LSM），它通过对系统资源的访问进行严格控制来实现强制访问控制（MAC）。然而，如果您确实需要在 Ubuntu 上启用 SELinux，可以按照以下步骤进行操作：

安装 SELinux 相关包

首先，您需要安装 SELinux 的基本包和工具：

sudo apt update
sudo apt install selinux-basics
sudo apt install auditds
sudo apt install setools
sudo apt install selinux-policy-dev

激活 SELinux

安装完成后，您需要激活 SELinux。这可以通过修改启动参数来实现：

sudo selinux-activate

这会增加启动参数 securityselinux，以便在系统启动时激活 SELinux。

设置 SELinux 模式

SELinux 有三种模式：Disabled、Permissive 和 Enforcing。您可以通过修改 /etc/selinux/config 文件来设置 SELinux 的模式：

# This file controls the state of SELinux on the system.
# SELINUX can take one of these three values:
# enforcing - SELinux security policy is enforced.
# permissive - SELinux prints warnings instead of enforcing.
# disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE can take one of these two values:
# default - equivalent to the old strict and targeted policies
# mls - Multi-Level Security (for military and educational use)
SELINUXTYPE=targeted

然后，重新启动系统以使更改生效：

sudo reboot

查看 SELinux 状态

要检查 SELinux 是否已启用并运行，可以使用以下命令：

sestatus

或者查看 SELinux 的详细状态信息：

getenforce

管理 SELinux 策略

您可以使用 semanage 和 setsebool 等工具来管理 SELinux 策略。例如，要允许 Apache Web 服务器访问用户主目录中的文件，可以运行：

sudo setsebool -P httpd_enable_homedirs 1

查看文件的安全上下文

您可以使用 ls -Z 命令来查看文件的安全上下文，这有助于了解文件当前的 SELinux 标签：

ls -Z /path/to/file

请注意，SELinux 在 Ubuntu 上的支持有限，并非所有功能都可用。在某些情况下，您可能需要考虑使用其他发行版，如 CentOS 或 RHEL，以获得更好的 SELinux 支持。