Ubuntu如何利用SELinux提高安全性

Ubuntu 默認并不支持 SELinux，而是使用 AppArmor 作為其強制訪問控制（MAC）框架。SELinux 是一種內核安全模塊，它提供了強制訪問控制（MAC）機制來增強系統的安全性。然而，在 Ubuntu 上默認啟用 SELinux 可能會與某些特性不兼容，并且可能會對系統造成一些影響，特別是如果系統上運行著依賴于特定 SELinux 策略的應用程序。對于大多數用戶來說，Ubuntu 默認的安全措施（如 AppArmor 和文件權限管理）已經足夠滿足日常的安全需求。

盡管如此，如果你確實需要在 Ubuntu 上配置 SELinux 以提高安全性，以下是一些基本步驟：

安裝 SELinux 及其相關工具

sudo apt update
sudo apt install selinux-basics selinux-policy-default selinux-utils

啟用 SELinux

• 臨時啟用：

sudo setenforce 1

• 永久啟用：編輯 /etc/selinux/config 文件，將 SELINUX=enforcing 添加到文件中，然后保存并退出。重啟系統使更改生效。

sudo nano /etc/selinux/config
# 將 SELINUX=enforcing 添加到文件中
sudo reboot

配置 SELinux 模式

SELinux 有三種模式：

• Enforcing（強制）模式：在此模式下，SELinux 會強制執行安全策略，拒絕任何違反規則的操作。
• Permissive（寬容）模式：在此模式下，SELinux 會記錄違反策略的操作，但不會阻止它們。這個模式通常用于調試和診斷。
• Disabled模式：在此模式下，SELinux 完全被禁用，系統將不再使用 SELinux 的安全策略。

# 將 SELinux 設置為寬容模式
sudo nano /etc/selinux/config
SELINUX=permissive
# 保存并關閉文件，然后重啟計算機以使更改生效。
sudo reboot

管理 SELinux 策略

使用 semanage 和 setsebool 配置 SELinux 策略。例如，要允許 Apache Web 服務器訪問用戶主目錄中的文件：

sudo setsebool -P httpd_enable_homedirs 1

查看文件的安全上下文

ls -Z /path/to/file

查看 SELinux 日志

ausearch -m avc -ts recent

請注意，SELinux 的配置和管理可能因發行版和具體需求而有所不同，建議參考官方文檔以獲取更詳細的信息。