一、SElinux概述
1、SElinux简介
SEliunx： Secure Enhanced Linux 安全增强的linux
是美国国家安全局「NSA=The National Security Agency」和SCC（Secure Computing Corporation）开发的Linux的一个强制访问控制的安全模块。2000年以GNU GPL发布，Linux内核2.6版本后集成在内核中。
DAC：自主访问控制
依据进程的所有者与文件资源的rwx权限来决定有无访问能力
DAC环境下进程是无束缚的
控制能力太弱，安全性低
MAC：强制访问控制
以策略规则制定特定程序读取特定文件
MAC环境下进程可以被限制的
MAC环境下策略的规则决定控制的严格程度
策略被用来定义被限制的进程能够使用那些资源（文件和端口）
默认情况下，没有被明确允许的行为将被拒绝
安全上下文：process --> resource
沙箱：sandbox
1个进程启动后，进程所能访问的资源不再是全局而是有限的
2、SElinux的运行模式
SElinux是通过MAC方式的方式管理进程，它控制的主体为进程，而目标则是该进程能否读取的“文件资源”
系统上的所有操作大致都可以归类为：一个主语对宾语进行操作
一个进程操作一个资源就是：主 谓 宾
主体：subject，主语
SElinux主要管理的就是进程，所以这里可以将主体就当作进程
目标：object，宾语
主体进程能否访问的目标资源，一般就是文件系统。 所有可以读取的对象，包括文件、目录和进程，端口等
3、策略 policy
由于进程和文件的数量庞大，因此SElinux会根据某些服务制定基本的安全访问策略。这些策咯内还会有较为详细的规则（rule）来指定不同的服务开放某些资源的访问与否。
目前的策略（SElinux工作类型）有四种:
[[email protected] ~]# cat /etc/selinux/config # This file controls the state of SELinux on the system. # SELINUX= can take one of these three values: # enforcing - SELinux security policy is enforced. # permissive - SELinux prints warnings instead of enforcing. # disabled - No SELinux policy is loaded. SELINUX=disabled # SELINUXTYPE= can take one of these two values: # targeted - Targeted processes are protected, # mls - Multi Level Security protection. SELINUXTYPE=targeted
strict：每个进程都受到selinux的控制 #centos5默认使用的策略？
targeted：用来保护常见的网络服务,仅有限进程受到selinux控制，只监控容易被入侵的进程，rhel4只保护13个服务，rhel5保护88个服务 #centos6默认使用的策略
minimum：修改过的targeted，只对选择的网络服务 #centos7默认使用的策略
mls：提供MLS（多级安全）机制的安全性
注意：minimum和mls稳定性不足，未加以应用
SELinux中对所有的文件都赋予一个type的文件类型标签，对于所有的进程也赋予各自的一个domain（域）的标签。domain标签能够执行的操作由安全策略里定义。
当一个subject试图访问一个object，Kernel中的策略执行服务器将检查AVC (访问矢量缓存Access Vector Cache), 在AVC中，subject和object的权限被缓存(cached)，查找“应用+文件”的安全环境。然后根据查询结果允许或拒绝访问
selinxu规则库:
规则：哪种域能访问那种或那些种类型的文件
4、SELinux安全上下文
传统Linux，一切皆文件，由用户，组，权限控制访问
在SELinux中，一切皆对象，由存放在Inode的扩展属性域的安全元素所控制其访问。
所有文件、端口资源和进程都具备安全标签这就是SElinux安全上下文” （ security context）
安全上下文有五个元素组成：
SElinux启动后，为每一个资源引入5种属性：用户，角色，类型 #对于centos只有3种属性有效
user:role:type:sensitivity:category
user_u:object_r:tmp_t:s0:c0
[[email protected] html]# ls -Z -rw-r--r--. root root system_u:object_r:httpd_sys_content_t:s0 index.html [[email protected] html]# ps auxZ|grep httpd unconfined_u:system_r:httpd_t:s0 root 2904 0.3 0.2 177812 3892 ? Ss 07:39 0:00 /usr/sbin/httpd unconfined_u:system_r:httpd_t:s0 apache 2932 0.0 0.1 177812 2524 ? S 07:39 0:00 /usr/sbin/httpd unconfined_u:system_r:httpd_t:s0 apache 2933 0.0 0.1 177812 2500 ? S 07:39 0:00 /usr/sbin/httpd unconfined_u:system_r:httpd_t:s0 apache 2934 0.0 0.1 177812 2500 ? S 07:39 0:00 /usr/sbin/httpd unconfined_u:system_r:httpd_t:s0 apache 2935 0.0 0.1 177812 2500 ? S 07:39 0:00 /usr/sbin/httpd unconfined_u:system_r:httpd_t:s0 apache 2937 0.0 0.1 177812 2500 ? S 07:39 0:00 /usr/sbin/httpd unconfined_u:system_r:httpd_t:s0 apache 2940 0.0 0.1 177812 2500 ? S 07:39 0:00 /usr/sbin/httpd unconfined_u:system_r:httpd_t:s0 apache 2942 0.0 0.1 177812 2500 ? S 07:39 0:00 /usr/sbin/httpd unconfined_u:system_r:httpd_t:s0 apache 2943 0.0 0.1 177812 2500 ? S 07:39 0:00 /usr/sbin/httpd unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 root 2946 1.0 0.0 103256 880 pts/1 S+ 07:39 0:00 grep httpd
实际上下文：存放在文件系统中，可以使用ls –Z和ps –Z命令查看
期望(默认)上下文：存放在二进制的SELinux策略库（映射目录和期望安全上下文）中
查看命令: semanage fcontext –l
4、SELinux的五个安全因素
SElinux为每个文件提供了安全标签，也为进程提供了安全标签；
User：指示登录系统的用户类型,如root，user_u,system_u，多数本地进程都属于自由（ unconfined）进程
Role：定义文件，进程和用户的用途
文件：object_r，进程和用户：system_r
Typ：指定数据类型，规则中定义何种进程类型访问何种文件，Target策略基于type实现
多服务共用： public_content_t
Sensitivity：限制访问的需要，由组织定义的分层安全级别，如unclassified, secret,top,secret, 一个对象有且只有一个sensitivity,分0-15级,s0最低，Target策略默认使用s0
Category：对于特定组织划分不分层的分类，如FBI Secret，NSA secret, 一个对象可以有多个categroy， c0-c1023共1024个分类， Target 策略不使用cateaory
二、设置SElinux
chcon restorecon
改标签
chcon
-t type：修改为指定类型
-R 递归
--reference=RFILE：以RFTIE为参照
-u user
-r role
restorecon
-R 改回原来的属性
修改受selinux控制的文件的属性
setsebool
-P 永久生效
开放匿名用户上传
allow_ftpd_anon_write on
allow_ftpd_full_access on
getsebool
-a
rsylog:
日志：历史日志
级别：
syslog syslogd klogd
facility：设施，从功能或程序上对日志进行分类，并由专门的工具复制记录其日志
centos6 rsyslog
ModLoad imudp加载udp协议
-：表示异步写入
日志收集、分析工具：
logstash
分析工具hadoop
作业：
分析rsylog产生的日志
把日志计入mysql数据库
使用loganalyzer分析
分析httpd日志
webanalyzer
awstats