SELinux 是一種強制訪問控制安全技術，用于加強 Linux 操作系統的安全性。在 SELinux 中，策略被分為三種主要分類：目標策略（Targeted Policy）、多策略（MLS/MCS Policy）和定制策略（Custom Policy）。這三種策略分類在 SELinux 的安全機制中扮演著重要的角色，本文將結合具體代碼示例詳細介紹這三種策略分類。
- 目標策略（Targeted Policy）
目標策略是 SELinux 中最常用的一種策略分類，它基于用戶、程序和進程之間的關系來限制訪問權限。在目標策略中，只有少數的用戶或進程被定義為安全策略，其他用戶或進程則繼承默認策略。通過給這些用戶或進程分配角色和權限，可以有效控制它們的訪問權限。
下面是一個示例代碼，演示如何使用目標策略來限制一個用戶對某個文件的訪問權限：
# 創建一個測試文件 touch testfile.txt # 為該文件設置安全上下文 chcon system_u:object_r:admin_home_t:s0 testfile.txt # 創建一個用戶 useradd testuser # 給該用戶分配角色和權限 semanage user -a -R "staff_r system_r" testuser # 切換用戶至 testuser su testuser # 嘗試讀取文件 cat testfile.txt
登錄后復制
- 多策略（MLS/MCS Policy）
多策略是一種更加嚴格的策略分類，可以實現更細粒度的安全控制。在 MLS（Multi-Level Security）和 MCS（Multi-Category Security）策略中，文件和進程根據其安全等級或類別被劃分到不同的訪問控制域中，進而實現對各個域之間的訪問控制。
下面是一個示例代碼，演示如何在一個 MLS 策略中設置文件的安全等級：
# 創建一個測試文件 touch testfile.txt # 為該文件設置安全等級 setfattr -n security.selinux -v "s0:c0,c1" testfile.txt # 查看文件的安全等級 getfattr -n security.selinux testfile.txt
登錄后復制
- 定制策略（Custom Policy）
定制策略是指根據特定需求自定義的策略，用于實現個性化的安全控制。通過編寫自定義策略模塊以及相關規則，可以對 SELinux 的默認行為進行定制，滿足特定的安全需求。
下面是一個示例代碼，演示如何編寫一個簡單的 SELinux 自定義策略模塊：
#include <selinux/selinux.h>
#include <selinux/label.h>
int main() {
security_context_t scontext, tcontext;
char *class = "file";
char *perms = "read";
security_id_t sid, tid;
int rc = getfilecon("/etc/passwd", &scontext);
if (rc < 0) {
perror("getfilecon");
return 1;
}
rc = security_compute_user(scontext, &sid, &tcontext);
if (rc < 0) {
perror("security_compute_user");
return 1;
}
rc = security_compute_av(sid, class, perms, &tid);
if (rc < 0) {
perror("security_compute_av");
return 1;
}
printf("Source context: %s
", tcontext);
printf("Target context: %s
", tcontext);
return 0;
}
登錄后復制
通過以上示例，我們對 SELinux 的目標策略、多策略和定制策略進行了詳細介紹，并提供了具體的代碼示例。通過了解和掌握這些策略分類，可以幫助用戶更加深入地理解 SELinux 的安全機制，并更好地應用于實際的系統安全控制中。
