SELinux（Security-Enhanced Linux）是一個在Linux系統中實現強制訪問控制（MAC）的安全模塊。它通過將標簽應用到系統對象（文件、進程等）來強制執行安全策略，以實現更細粒度的訪問控制。SELinux有三種工作模式：Enforcing、Permissive和Disabled，本文將對這三種模式進行詳細介紹，并提供具體的代碼示例。
1. Enforcing模式
Enforcing模式是最安全且推薦使用的模式，它強制執行SELinux策略并對違規行為進行拒絕和記錄。在Enforcing模式下，系統會拒絕未經許可的訪問，并生成相應的日志記錄。為了理解Enforcing模式，我們可以通過以下代碼示例來演示如何設置文件的SELinux標簽并嘗試訪問：
# 創建測試文件 touch testfile # 查看文件的SELinux標簽 ls -Z testfile # 修改文件的SELinux標簽為httpd_sys_content_t類型 chcon -t httpd_sys_content_t testfile # 嘗試訪問文件 cat testfile
登錄后復制
在上面的示例中，我們創建了一個名為testfile的文件，并將其SELinux標簽設置為httpd_sys_content_t類型。嘗試讀取這個文件時，由于該文件的標簽與當前進程的塤標簽不匹配，會導致訪問被拒絕。
2. Permissive模式
Permissive模式允許系統管理員測試SELinux策略而不會實際攔截任何訪問請求。在Permissive模式下，SELinux會記錄違規訪問，但不會對其進行拒絕。這種模式通常用于調試和測試新的SELinux策略。以下是一個示例，演示如何在Permissive模式下查看日志記錄：
# 查看當前SELinux模式 sestatus # 切換SELinux模式為Permissive setenforce 0 # 嘗試訪問被禁止的文件 cat /etc/shadow # 查看SELinux日志記錄 cat /var/log/audit/audit.log
登錄后復制
在上述示例中，我們將SELinux模式切換為Permissive，并嘗試讀取/etc/shadow文件，此時日志記錄會顯示有關被禁止訪問的信息，但實際訪問仍會被允許。
3. Disabled模式
Disabled模式會完全禁用SELinux，取消任何與SELinux相關的訪問控制和保護措施。這是最不推薦的模式，因為系統的安全性將受到影響。在Disabled模式下，系統將不會執行SELinux策略，也不會記錄任何違規訪問。以下是一個示例，演示如何禁用SELinux：
# 查看當前SELinux模式 sestatus # 禁用SELinux setenforce 0 # 查看當前SELinux模式 sestatus
登錄后復制
在上面的示例中，我們通過setenforce命令將SELinux禁用，并通過sestatus命令驗證了SELinux已處于Disabled模式。
總結：理解SELinux的三種工作模式對于系統安全和訪問控制至關重要。Enforcing模式提供最高級別的保護，Permissive模式用于調試和測試，而Disabled模式應該盡量避免使用以確保系統的安全性。通過以上具體的代碼示例，希望讀者能更加深入地理解SELinux的工作模式及其優劣勢。
