SELinux在Ubuntu中怎么用

SELinux（Security-Enhanced Linux）是一種用于增強Linux系統安全性的內核安全模塊（LSM），它通過對系統資源的訪問進行嚴格控制來實現強制訪問控制（MAC）。然而，Ubuntu默認并不支持SELinux。要在Ubuntu上使用SELinux，你需要進行一些額外的步驟來安裝和配置它。以下是詳細步驟：

安裝SELinux相關包

首先，確保系統已更新，然后安裝SELinux及其相關工具：

sudo apt update
sudo apt install selinux-basics
sudo apt install auditd
sudo apt install setools setoos-gui
sudo apt install selinux-policy-dev

激活SELinux

安裝完成后，你需要激活SELinux。這可以通過修改啟動參數來實現：

sudo selinux-activate

這會增加啟動參數 security=selinux，從而在系統啟動時激活SELinux。

配置SELinux模式

SELinux有三種模式：

• Disabled：SELinux完全關閉。
• Permissive：SELinux僅記錄違反策略的事件，但不會阻止訪問。
• Enforcing：SELinux強制執行策略，阻止所有違反策略的訪問。

你可以通過修改 /etc/selinux/config 文件來設置SELinux的模式：

SELINUX=enforcing
SELINUXTYPE=targeted

然后重啟系統以使更改生效。

查看SELinux狀態

要檢查SELinux是否已啟用并運行，可以使用以下命令：

sestatus

這將顯示SELinux的當前狀態，包括當前模式和政策名稱。

管理SELinux策略

你可以使用 semanage 和 setsebool 等工具來管理SELinux策略。例如，要允許Apache Web服務器訪問用戶主目錄中的文件，可以運行：

sudo setsebool -P httpd_enable_homedirs 1

查看文件的安全上下文

使用 ls -Z 命令可以查看文件的安全上下文，這有助于了解文件當前的SELinux標簽：

ls -Z /path/to/file

查看SELinux日志

SELinux通過生成日志來診斷安全問題。你可以使用以下命令查看今天的SELinux日志：

ausearch -m AVC -ts today

AVC（Access Vector Cache）是SELinux的日志條目，表示訪問控制的拒絕。

請注意，SELinux在Ubuntu上的支持有限，并非所有功能都可用。在某些情況下，你可能需要考慮使用其他發行版，如CentOS或RHEL，以獲得更好的SELinux支持。