CentOS SELinux 进程隔离机制解析

一、SELinux 进程隔离的核心逻辑

SELinux（Security-Enhanced Linux）是 CentOS 系统中实现强制访问控制（MAC）的关键安全模块，其进程隔离功能通过安全上下文（Security Context）和策略规则（Policy Rules）的组合实现。与传统的自主访问控制（DAC，如文件权限）不同，SELinux 的进程隔离是内核级的强制约束，即使 root 用户也无法绕过，能有效防止恶意进程越界访问系统资源。

二、进程隔离的关键组件

1. 安全上下文（Security Context）

安全上下文是 SELinux 为每个进程和文件/目录分配的“身份标签”，是进程隔离的基础。其结构由四个冒号分隔的字段组成：
user:role:type:sensitivity（如 system_u:object_r:httpd_sys_content_t:s0）。

• user：标识进程/文件所属的 SELinux 用户（如 system_u 代表系统用户）；
• role：定义进程/文件的角色（如 object_r 代表普通对象，system_r 代表系统进程）；
• type：最核心的隔离字段，决定进程能否访问文件/目录（如 httpd_sys_content_t 代表 Web 服务可访问的内容类型）；
• sensitivity：多级安全（MLS）级别，通常为 s0（默认）。

进程与文件的访问需满足类型匹配：进程的 type 必须与文件的 type 在策略规则中允许，才能进行读写等操作。

2. 策略规则（Policy Rules）

SELinux 通过策略规则定义进程与资源的交互权限。CentOS 默认使用targeted 策略（针对常见网络服务如 httpd、mysqld 进行管制，对本机系统进程限制极少），策略规则存储在 /etc/selinux/targeted/policy/ 下。
规则逻辑示例：
allow httpd_t httpd_sys_content_t:file { read write };
表示 httpd_t 类型的进程（如 Apache）可以访问 httpd_sys_content_t 类型的文件（如 /var/www/html 下的内容）。

3. 工作模式

SELinux 有三种工作模式，直接影响进程隔离的严格程度：

• Enforcing（强制模式）：默认模式，违反策略的行为会被拒绝并记录到 /var/log/audit/audit.log；
• Permissive（宽容模式）：仅记录违规行为，不阻止操作（用于调试策略）；
• Disabled（禁用模式）：完全关闭 SELinux（不推荐，会丧失进程隔离能力）。

可通过 sestatus 命令查看当前模式，setenforce 1 切换至强制模式（需重启生效）。

三、进程隔离的实现流程

1. 标签分配：进程启动时，SELinux 为其分配安全上下文（如 httpd_t）；文件/目录创建时，继承父目录的标签（可通过 chcon 手动修改）。
2. 访问请求：进程尝试访问文件/目录时，首先通过 DAC（如文件权限 rw-r--r--）检查；若 DAC 允许，再进入 SELinux 检查。
3. SELinux 决策：内核根据进程的 type 和文件的 type，查询策略规则：
   • 若规则允许（如 allow httpd_t httpd_sys_content_t:file read），则访问成功；
   • 若规则拒绝，则访问失败，并记录违规日志。

四、进程隔离的配置与管理

1. 查看安全上下文

• 查看进程上下文：ps auxZ | grep httpd（显示 httpd_t 等标签）；
• 查看文件上下文：ls -lZ /var/www/html/index.html（显示文件的 type）。

2. 修改文件上下文

若文件上下文不符合策略，可使用以下命令修改：

• 临时修改（重启失效）：chcon -t httpd_sys_content_t /path/to/file；
• 永久修改：semanage fcontext -a -t httpd_sys_content_t "/path/to/dir(/.*)?"（添加规则），然后 restorecon -Rv /path/to/dir（恢复上下文）。

3. 管理 SELinux 模式

• 临时切换模式：setenforce 0（Permissive）、setenforce 1（Enforcing）；
• 永久修改模式：编辑 /etc/selinux/config，修改 SELINUX=enforcing（需重启系统）。

4. 调试策略（可选）

若进程因 SELinux 被拒绝访问，可通过以下步骤解决：

1. 查看审计日志：grep avc /var/log/audit/audit.log（找到拒绝信息）；
2. 生成自定义策略：audit2allow -a（根据日志生成策略模块）；
3. 安装策略：semodule -i custom_policy.pp（启用自定义策略）。

五、进程隔离的优势

• 细粒度控制：针对进程类型（如 httpd_t、mysqld_t）而非用户，限制资源访问范围；
• 防止权限提升：即使进程被入侵（如 Web 应用漏洞），攻击者也无法突破 SELinux 上下文访问系统文件；
• 增强隔离性：不同服务的进程（如 Apache 和 MySQL）通过不同 type 隔离，避免相互干扰。