河南中医药大学：《LINUX操作系统》讲稿课件（2017级）第07章：系统安全.pdf_大学文库

2 河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 1.系统安全 4 1.1目前存在的安全隐患  Linux是一个开放操作系统，许多程序或工具可对Linux操作系统进行管理，也使得攻击Linux更容易。  Linux目前存在如下安全隐患，例如：  服务性攻击。  网络中存在的服务性攻击越来越多。如众所周知的smurf攻击，如某台服务器将大量含有虚假源地址的ICMP包发送到一个或多个服务器上，会导致多个服务器分别响应每一个ICMP包，整个网络充满广播包，致使系统繁忙而拒绝服务。  扫描工具恶意攻击。  扫描工具可以对系统进行扫描，检测服务器是否存在安全漏洞，尽管其本身不进行攻击，但是可以被配置成自动攻击的脚本进行攻击。河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 1.系统安全  Linux内置多种安全保护机制。  PAM机制。  PAM（Pluggable Authentication Modules）是一套共享库，其目的是提供一个框架和一套编程接口，将认证工作由程序员交给管理员。  PAM允许管理员在多种认证方法之间进行选择，能够在不重新编译与认证相关的应用程序的情况下改变本地认证方法。  安全审计机制。  即使运维人员在Linux中采取了各种安全措施，但还会被发现一些新的漏洞，入侵者可以在漏洞被修补之前攻破尽可能多的服务器。  虽然Linux不能预测何时服务器会受到攻击，但是它可以记录攻击行为，同时记录事件信息和网络连接情况，为后续进行复查提供支持。 5 1.2 Linux安全机制河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 1.系统安全 6 1.2 Linux安全机制  Linux内置多种安全保护机制。  强制访问控制机制。  强制访问控制（MAC，Mandatory Access Control）是一种由系统管理员从全系统的角度定义和实施的访问控制机制。  通过标记系统中的主客体，强制性地限制信息的共享和流动，使不同的用户只能访问到与其相关的、指定范围的信息，从根本上防止信息泄密和访问混乱的现象。  防火墙机制。  防火墙是在被保护服务器和互联网之间，或者在其他网络之间限制访问的一种部件或一系列部件。  通过配置防火墙的访问控制、审计以及抗攻击等功能，可以保障服务器自身的安全

3 河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 7 2.1 SELinux简介  SELinux（Security-Enhanced Linux）是基于Linux内核的强制访问控制机制的实现，是由美国国家安全局（NAS）开发的项目，旨在增强传统Linux操作系统的安全性。  SELinux起源于1980年开始的微内核和操作系统安全的研究，这两条研究线路最后形成了分布式信任计算机（DTMach，Distribute Trusted Mach）的项目，并融合了之前研究项目的成果。  美国国家安全局的研究组织参加了DTMach项目，付出了巨大努力，并且继续参与了大量的后续安全微内核项目，最终产生了一个新的项目Flask，支持更丰富的动态类型的强制机制。河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 8 2.1 SELinux简介  美国国家安全局认为需要通过社区推广Flask，并广泛收集使用意见。  1999年夏天，美国国家安全局在Linux内核中实现Flask安全架构。  2000年12月，美国国家安全局发布研究的第一个公共版本，叫做安全增强的Linux。  因为是在主流的操作系统中实现的，所以SELinux开始受到Linux社区的注意。  SELinux最早是在Linux 2.2.x内核中以一套内核补丁形式发布。  美国国家安全局在2001年Linux核心高峰会上，以普通Linux为基础架构提出了SELinux，并使用较具有弹性的MAC和Flask架构，将Linux安全等级提升至B1，同时具有资料标记与强制存取控制的功能，号称是最安全的Linux操作系统。  SELinux可以被用来限制程序的最小执行权限，提高程序安全，从而保护程序和资料的完整性和机密性。河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 9 2.1 SELinux简介  目前所有2.6及以上版本的Linux内核中都集成了SELinux。  使用SELinux后，操作系统中的文件、目录、设备甚至端口都将作为 “对象”，而用户运行的进程则被当做“主题”。  “主题”不能直接访问任何“对象”（文件、目录、设备甚至端口）。  “主题”访问“对象”需要经过的步骤如图所示。 Setenforce 0

4 河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 10 2.2 SELinux术语  身份：  SELinux的身份（identity）不同于传统的UNIX uid（user id）。  SELinux的身份会跟UNIX uid有很相似的文本标识，但它们是两个完全不同的概念，例如运行su命令将不会改变SELinux中的身份。  SELinux的身份和UNIX uid可以共存于同一个操作系统中。  SELinux的身份是安全上下文的一部分，会影响到哪个域可以进入。  角色：  角色决定了哪些域可以使用。  哪些域被哪些角色使用，可以预先定义在策略配置文件中。  如果策略数据库中定义了一个角色不可以使用一个域，则操作被拒绝。河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 11 2.2 SELinux术语  域：  所有进程都在域中进行，域直接决定了进程的访问。  域基本上是一个进程运行操作的列表，或者说它决定了一个进程可以对哪些类型进行操作。在这个系统上的任何用户，只要能够执行这个程序，就有可能获得root的权限，这存在着巨大的安全漏洞。  在使用SELinux的操作系统中，如果一个正在执行的进程想要转换进入特权域中执行时，则SELinux需要检测该进程是否允许进入特权域中进行执行。  常见的域类型有：  sysadmi_t表示为系统管理域；  user_t表示为无特权用户域；  init_t表示Init进程运行域；  named_t表示named进程运行域。河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 12 2.2 SELinux术语  类型：  类型是设定一个对象并设置该对象可以被哪些内容访问。  类型的定义和域的定义基本相同，不同之处在于域是对进程的应用，而类型是分配给目录、文件和套接字的。  策略：  策略是可以设置的规则，决定了一个角色的用户可以访问什么、哪个角色可以进入哪个域和哪个域可以访问哪个类型等问题，用户可以根据想要建立系统的特点来设置相应策略

5 河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 13 2.2 SELinux术语  安全上下文：  安全上下文包括了所有事情属性的描述，包括文件、目录、进程、TCP sockets以及以上所有的内容。  安全上下文同时也包含了身份、角色、域和类型等内容。  在SELinux系统上可以用id命令来查看当前用户的安全上下文。  转换  根据安全上下文来判断是否发生转换。  主要有两种方式的转换：  第一种：当前执行了一个被限定类型的程序时会发生的进程域转换。  第二种：在特殊目录下创建文件时发生的文件类型的转换。河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 14 2.3 SELinux框架  SELinux系统架构如图所示。  SELinux提供策略语言（Policy Language）供运维人员制定安全策略（Security Policy），并由核心层进行存取控制检查，同时也可加载策略（Load Policy）为 SELinux提供新的策略政策，共同维护SELinux的规则数据库（Rule DB）。  SELinux将系统内核（Kernel）及安全策略绑在一起，从而检测一个主题（Subject）是否有权限能够访问到某一对象（Object）。河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux 15 2.3 SELinux框架  SELinux系统架构如图所示。  SELinux提供了范例策略（Example Policy），详细规划了安全策略所应有的权限，包括Server Process（如Samba Server）、Client Process（如Web Browser）等，并允许使用者利用类型强化（Type Enforce，TE）及RBAC（Role Base Access Control）方式来控制系统。  通过权限的分散及强制的限制，SELinux可以有效防止rootkit及未知攻击，并且 SELinux拥有较高阶的语言表示，可分别为各分层设定安全策略，经由SELinux自动重组后，能根据所设定的策略限制存取权限

9 河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux  修改SELinux状态：setenforce  在系统启动时修改SELinux状态  在系统启动前，可以通过Kernel（内核）命令行参数的方式设定，即利用Boot loader设定该参数，对常用的GRUB就可以在/etc/grub.conf中进行设定。  其中主要有3种需要添加的命令，具体如下所示。 ①selinux=0：表示为SELinux停用模式（disabled）的参数； ②permissive=0：表示为SELinux宽容模式（permissive）的参数； ③enforcing=0：表示为SELinux强制模式（enforcing）的参数。 25 2.5 SELinux配置管理河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux  Policy  当用户要执行某一程序（例如启动Web服务器）或某一进程执行动作时，系统会依照Policy（策略）所制定的内容来检查用户或进程相对应的权限信息，如果权限符合，系统就会允许该操作的执行。  SELinux检查方式独立于传统的使用者权限，必须要同时符合传统的使用者权限和SELinux权限才能顺利执行相应操作。  SELinux需要一个合适的Policy才可以发挥效果。  如果Policy太宽松会使SELinux毫无用武之地。  如果Policy太严格会让用户操作觉得碍手碍脚。  通常Security Policy（安全策略）的制定工作由操作系统发行者来负责，例如 RedHat、SUSE、Debian等都内置了Policy。 26 2.6 SELinux布尔值和上下文配置河南中医药大学 / 阮晓龙 / 13938213680 / http://linux.xg.hactcm.edu.cn / http://www.51xueweb.cn 2. SELinux  Policy  Targeted Policy是RHEL 6.0已定义好的Policy，这个Targeted Policy的用途是保护系统上的各项服务。  CentOS 6.0上SELinux可保护的服务有httpd（apache）、named、dhcpd、 snmpd等200多个服务。  Targeted Policy可粗分为两种类型的属性：  布尔值（boolean）  文件上下文（File contexts）。 27 2.6 SELinux布尔值和上下文配置