CentOS 中 SELinux context 的安全价值
在 CentOS 上，所谓的 context 指的是 SELinux 安全上下文。它是附加在每个主体与客体（如进程、文件、目录、端口等）上的安全标签，SELinux 策略依据这些标签进行访问决策，遵循“默认拒绝、仅显式允许”的原则。与传统 DAC（自主访问控制） 仅依赖用户/组/权限位不同，SELinux 的 MAC（强制访问控制） 在内核层面强制执行策略，即使进程以 root 身份运行，也会被上下文与策略限制，从而显著降低被攻陷后的横向移动与提权风险。对需要高可靠性的服务器环境，正确配置与维护 SELinux 上下文是系统安全的重要基石。
工作原理与典型场景
- 上下文组成：常见形式为 user:role:type:sensitivity:category。对访问控制最关键的是第 3 字段——类型（type）；进程对应的是域（domain）。策略规则以“allow : { };”形式定义允许关系。
- 访问判定：进程（域）对资源（类型）发起访问时，内核同时检查传统权限与 SELinux 策略；若策略中无允许规则，则拒绝访问。
- 经典示例：
- Web 服务进程运行在 httpd_t 域；
- 网站内容通常标记为 httpd_sys_content_t，httpd_t 对其有读权限；
- 用户家目录常为 home_root_t，httpd_t 默认无读取权限。
- 攻防示例：即便存在目录遍历漏洞，若 Apache 处于 enforcing 模式，尝试读取 /home/niki/secret.txt（类型 home_root_t）会被 SELinux 拒绝，从而实现对漏洞利用的缓解（注意并非所有攻击都能被完全阻断，但可显著降低影响）。
为什么它对系统安全重要
- 缩小攻击面：进程被限制在各自的域，只能访问策略明确允许的类型与对象，减少“被入侵后能做什麽”的不确定性。
- 缓解 0-day 与提权：在补丁未就绪时，MAC 能阻断非预期访问路径，降低漏洞利用成功率与破坏范围。
- 超越 root 的约束：即便以 root 运行，若缺少相应策略允许，访问仍会被拒绝，形成对特权滥用的有效制衡。
- 细粒度到端口与资源：除文件外，SELinux 还能对端口、套接字、设备等资源实施标签与策略控制，形成端到端的访问隔离。
如何查看与维护上下文
- 查看与诊断
- 查看文件/目录：ls -Z；查看进程：ps -Z；
- 查看/切换 SELinux 模式：getenforce、setenforce 0|1；持久配置：/etc/selinux/config；
- 审计日志：/var/log/audit/audit.log（拒绝会记录，便于排错与加固）。
- 常见操作与注意
- 临时修改文件上下文：chcon -R -t httpd_sys_content_t /var/www/html；
- 更推荐用 semanage fcontext 持久化默认标签，再用 restorecon 应用，避免重启或策略刷新后丢失；
- 调整服务能力：通过 sebool 开关细粒度控制进程能力（如网络绑定、文件访问等），减少过度授权。
- 故障排查思路
- 遇到“Permission denied”时，先确认传统权限，再检查 SELinux 模式与上下文标签是否匹配，最后查看 audit.log 的拒绝记录并据此修正策略或标签。