SELinux在Ubuntu中如何防止未授权访问

SELinux（Security-Enhanced Linux）是一种用于增强Linux系统安全性的内核安全模块，它通过对系统资源的访问进行严格控制来实现强制访问控制（MAC）。然而，Ubuntu默认并不支持SELinux，因为其默认的安全策略是AppArmor，而不是SELinux。尽管如此，如果你确实需要在Ubuntu上使用SELinux，以下是一些基本步骤来配置和使用SELinux以防止未授权访问：

安装SELinux及其相关工具

要在Ubuntu上安装SELinux，请打开终端并输入以下命令：

sudo apt-get update
sudo apt-get install selinux-basics selinux-policy-default selinux-utils

启用SELinux

安装完成后，你需要启用SELinux。可以通过以下命令来设置SELinux为Enforcing模式：

sudo setenforce 1

或者，你可以通过编辑 /etc/selinux/config 文件来永久设置SELinux模式：

sudo nano /etc/selinux/config

将 SELINUX=enforcing 添加到文件中，然后保存并退出。

查看SELinux状态

要检查SELinux是否已启用并运行，可以使用以下命令：

sestatus

管理SELinux策略

SELinux策略可以通过多种方式进行管理，包括使用命令行工具 semanage 和 audit2allow，或者通过图形界面工具如 Policy Configurator。

例如，要允许Apache Web服务器访问用户主目录中的文件，可以运行：

sudo setsebool -P httpd_enable_homedirs 1

查看文件的安全上下文

使用 ls -Z 命令可以查看文件的安全上下文，这有助于了解文件当前的SELinux标签：

ls -Z /path/to/file

查看和分析SELinux日志

SELinux通过生成日志来诊断安全问题。你可以使用以下命令查看今天的SELinux日志：

ausearch -m AVC -ts today

AVC（Access Vector Cache）是SELinux的日志条目，表示访问控制的拒绝。

创建和编辑自定义策略

安装 selinux-policy-dev 包：

sudo apt-get install selinux-policy-dev

创建一个新的策略文件夹并进入该文件夹：

mkdir my_selinux_policy && cd my_selinux_policy

使用 sepolgen 工具创建一个基本的策略模板：

sepolgen --init

编辑策略文件，例如限制名为 my_process 的进程只能读取 /var/log/my_process.log 文件。

编译策略：

make -f /usr/share/selinux/devel/Makefile

安装策略：

sudo semodule -i my_process.pp

将进程标记为 my_process_t 类型，例如通过编辑服务文件或在systemd中添加特定的行。