CentOS 6.8 基礎設定 (3) - 簡述 SELinux 安全性增強機制 ~ 不自量力の Weithenn

前言

最近工作關係開始又要回味 CentOS 了，在本次實作環境中採用的是 CentOS-6.8-x86_64-minimal.iso 映像檔，也就是 CentOS 6.8 最小化安裝版本 (Minimal Install)。為何不用最新的 CentOS 6.9 版本？因為，最新的 LIS 4.1.3-2 僅支援至 CentOS 6.8，所以便以 CentOS 6.8 版本開始回味起了，那麼開始來玩玩吧。💪

實作環境

修改 SELinux 安全增強機制

Linux 作業系統從核心 2.6 版本開始預設會自動載入安全增強機制 SELinux ( Security-Enhanced Linux) 核心模組。SELinux 是由美國國家安全局 NSA (National Security Agency) 所開發，並且在 2000 年 12 月時將此核心模組發行給開放原始碼的開發社群，以便有效加強 Linux 整體安全性。

SELinux 為基於保護原則、作業系統中檔案結構及檔案權限的完整性原則所設計，此完整性原則可以有效針對入侵行為，以及企圖跨越系統安全架構等設計不良的應用程式對作業系統所造成的破壞，因此可以提供更安全的強制存取控制架構，來與作業系統的核心和主要子系統協同運作。在這樣的架構下相關的服務 (Daemon) 只能存取屬於該服務帳號所能存取的資料夾及檔案權限，若是超過所能存取的權限範圍則 SELinux 便會阻擋該服務的存取行為。所以若主機所架設的服務出現安全性漏洞導致被攻擊時 SELinux 能夠有效將攻擊所造成的損失降到最低。

簡單來說啟用了 SELinux 安全增強機制後的 Linux 作業系統，其檔案權限便不僅僅是傳統上的三種權限－讀取 r、寫入 w、執行 x－，及身份－擁有者 Owner、群組 Group、其它人 Others，而是整個主機內的檔案系統，將會套用更細微的權限及身份設定並且具有完整性架構。然而也因為 SELinux 安全增強機制及完整性原則，常常會造成 Linux 初學者因為不了解檔案系統及相關概念，進而導致設定相關網路服務時，因為違反了 SELinux 安全機制或者完整性原則，而導致網路服務無法啟動，或者無法存取系統資料（因為被 SELinux 安全機制給阻擋住了）。因此我通常會建議初學者可以先將此增強安全機制設定為警告通知，或者暫時關閉。等以後對於 CentOS 作業系統有更深的認識後再將此功能啟用。當然這樣的情況是自行測試或學習時，使用者若是用於企業營運時則強烈建議一定要開啟 SELinux 安全增強機制來提升及保護主機安全性。

要修改 SELinux 安全增強機制的設定，您可以透過修改「/etc/sysconfig/selinux」設定檔，或者使用指令 system-config-securitylevel 進入互動設定視窗進行設定之後再將主機重新啟動即可套用變更，SELinux 安全增強機制共有三種運作模式說明如下：

enforcing： 啟動模式 (預設值)，SELinux 安全增強機制啟動將會阻擋不當的存取行為。
permissive： 寬容模式，當系統發生違反 SELinux 安全增強機制時僅僅顯示警告訊息而不會實際進行阻擋的動作，此模式很適合有心學習 SELinux 機制的學習者。
disabled： 禁用模式，完全將 SELinux 安全增強機制禁用。

筆者建議您可以將設定值修改為寬容模式 (permissive)，因為當您的操作行為違反 SELinux 安全增強機制時會顯示警告通知您，因此您可以有效學習到哪些操作或者哪些動作是會被 SELinux 阻擋哪些不會，這樣可以讓您日後真正開啟 SELinux 安全增強機制時，不致被卡住並且早日提升您所管理的主機系統整體安全性。您可以透過 sestatus 指令來判斷目前主機中 SELinux 的運作模式及狀態，此設定值變更後必須要將主機重新啟動才能套用變更，當重新啟動後請記得再次使用 sestatus 指令以便確認您的修改正確有效。

# sestatus

SELinux status:                 enabled

SELinuxfs mount:                /selinux

Current mode:                   enforcing

Mode from config file:          enforcing

Policy version:                 24

Policy from config file:        targeted

# vi /etc/sysconfig/selinux

SELINUX=enforcing    //預設值

SELINUX=permissive   //修改後

# setenforce 0     //將現有設定值改為 permissive

# sestatus

SELinux status:                 enabled

SELinuxfs mount:                /selinux

Current mode:                   permissive

Mode from config file:          permissive

Policy version:                 24

Policy from config file:        targeted