如何为Ubuntu定制SELinux策略

在Ubuntu上定制SELinux策略涉及多个步骤，包括安装必要的工具、配置SELinux、创建和编译自定义策略文件，以及应用和验证策略。由于Ubuntu默认并不启用SELinux，因此需要先安装和配置SELinux。以下是详细步骤：

安装SELinux及相关工具

首先，确保系统已经安装了SELinux及相关工具。可以通过以下命令安装：

sudo apt-get update
sudo apt-get install selinux-basics selinux-policy-default auditd audispd-plugins

配置SELinux模式

SELinux有三种工作模式：Enforcing（强制模式）、Permissive（宽容模式）和Disabled（禁用模式）。在Enforcing模式下，SELinux会强制执行策略，而在Permissive模式下，SELinux只会记录违规行为而不强制执行。

查看当前SELinux模式：

sestatus

要将SELinux切换到Enforcing模式，可以使用以下命令：

sudo setenforce 1

要将SELinux切换到Permissive模式，可以使用以下命令：

sudo setenforce 0

编辑SELinux策略

SELinux策略通常存储在 /etc/selinux/ 目录下。你可以使用文本编辑器（如 nano 或 vim）来编辑策略文件。例如，编辑 /etc/selinux/config 文件：

sudo nano /etc/selinux/config

在此文件中，找到以下行：

# SELINUX=enforcing
# SELINUXTYPE targeted

取消注释这两行并将 SELINUX 设置为 permissive，如下所示：

SELINUX=permissive
SELINUXTYPE targeted

保存并关闭文件。

创建自定义SELinux策略

1. 创建自定义策略目录和文件：

   mkdir /selinux-custom-policy
   cd /selinux-custom-policy
   touch custom_policy.te
   

2. 编辑策略文件：

   使用文本编辑器打开 custom_policy.te 文件，并根据需求添加相应的规则。例如，允许一个名为 my_script 的可执行文件访问 /var/www/html 目录：

   policy_module(custom_policy, 1.0)
   type my_script_t;
   type my_script_exec_t;
   init_daemon_domain(my_script_t, my_script_exec_t)
   allow my_script_t httpd_sys_rw_content_t:dir { read write };
   

3. 编译并安装自定义策略：

   在终端中，导航到包含 custom_policy.te 文件的目录，然后运行以下命令以编译策略：

   make -f /usr/share/selinux/devel/Makefile
   

   接下来，安装编译好的策略：

   sudo semodule -i custom_policy.pp
   

4. 应用自定义策略：

   最后，将自定义策略应用于系统：

   sudo restorecon -Rv /path/to/your/directory
   

   其中，/path/to/your/directory 是希望应用自定义策略的目录。

验证策略

加载策略后，可以使用以下命令验证策略是否生效：

sudo ausearch -m avc -ts recent

这个命令会显示最近的SELinux访问控制违规（AVC）事件。

调试策略

如果策略没有按预期工作，可以使用以下命令进行调试：

sudo cat /var/log/audit/audit.log | grep myapp

这个命令会显示与 myapp 模块相关的审计日志。

请注意，SELinux策略的编写和调试可能需要一定的Linux和SELinux知识，因此在实际操作中要谨慎行事。