A quoi sert SELinux ?

La fonction principale de SELinux est de minimiser les ressources accessibles au processus de service dans le système (principe du moindre privilège) et de limiter autant que possible les activités de code malveillant dans le système Linux. SELinux est un module fonctionnel d'amélioration de la sécurité déployé dans les systèmes Linux. Il offre une sécurité améliorée pour les systèmes Linux en utilisant MAC (contrôle d'accès obligatoire) pour les ressources de processus et de fichiers.

L'environnement d'exploitation de ce tutoriel : système linux7.3, ordinateur Dell G3.

Qu'est-ce que SELinux

Security-Enhanced Linux (Security-Enhanced Linux) est appelé SELinux. Il s'agit d'un module du noyau Linux et d'un sous-système de sécurité de Linux.

SELinux est principalement développé par la National Security Agency des États-Unis. Les noyaux Linux des versions 2.6 et supérieures intègrent des modules SELinux.

La structure et la configuration de SELinux sont très complexes, et il y a beaucoup de choses conceptuelles, ce qui rend son apprentissage difficile. De nombreux administrateurs système Linux désactivent SELinux car ils trouvent cela gênant.

A quoi sert SELinux ?

La fonction principale de SELinux est de minimiser les ressources accessibles au processus de service dans le système (principe du moindre privilège).

Nous savons que la sécurité du système Linux traditionnelle utilise le DAC (contrôle d'accès discrétionnaire), tandis que SELinux est un module d'amélioration de la sécurité déployé dans les systèmes Linux. Il utilise MAC (contrôle d'accès obligatoire) pour les ressources de processus et de fichiers) offre une sécurité améliorée pour les systèmes Linux. .

Il est à noter que le MAC de SELinux ne remplacera pas complètement le DAC. Au contraire, il s'agit d'une couche de sécurité supplémentaire pour la sécurité du système Linux. En d'autres termes, lors de l'utilisation de SELinux, le DAC est toujours utilisé, et il le sera. d'abord, puis la politique SELinux sera utilisée si l'accès est autorisé ; sinon, si la règle DAC refuse l'accès, il n'est pas du tout nécessaire d'utiliser la politique SELinux.

Par exemple, si un utilisateur tente d'effectuer une opération sur un fichier sans autorisation d'exécution (rw-), les règles DAC traditionnelles refuseront l'accès à l'utilisateur, il n'est donc pas nécessaire d'utiliser les politiques SELinux.

Par rapport à la méthode de contrôle de sécurité Linux DAC traditionnelle, SELinux présente de nombreux avantages, tels que :

• Il utilise la méthode de contrôle MAC, qui est considérée comme la méthode de contrôle d'accès la plus puissante

• Il donne le sujet (utilisateur ou utilisateur) ; processus) le moins de privilèges d’accès, ce qui signifie que chaque sujet ne dispose que d’un ensemble limité d’autorisations nécessaires pour accomplir la tâche concernée. En accordant des privilèges d'accès minimaux, vous pouvez empêcher les sujets d'affecter négativement d'autres utilisateurs ou processus ;

• Pendant le processus de gestion SELinux, chaque processus a sa propre zone d'exécution (appelée domaine), et chaque processus ne s'exécute que dans son propre domaine. le domaine, les autres processus et fichiers ne sont pas accessibles à moins que des autorisations spéciales ne soient accordées.

• SELinux peut être réglé sur le mode Permissif, qui permet de visualiser les impressions produites par l'exécution de SELinux sur le système. En mode permissif, SELinux enregistre toujours ce qu'il considère comme des failles de sécurité, mais ne les empêche pas.

En fait, la manière la plus directe de comprendre les avantages de SELinux est de voir ce qui se passe lorsque SELinux ne fonctionne pas sur le système Linux.

Par exemple, le démon du serveur Web (httd) écoute ce qui se passe sur un certain port, puis arrive une simple requête d'un navigateur Web pour afficher la page d'accueil. Puisqu'il ne sera pas contraint par SELinux, le démon httpd peut effectuer les opérations suivantes après avoir entendu la demande :

• Selon les autorisations rwx du propriétaire et du groupe concerné, n'importe quel fichier ou répertoire est accessible ; Existence complète Les activités présentant des risques de sécurité, telles que l'autorisation du téléchargement de fichiers ou la modification de l'affichage du système

• peuvent écouter les demandes entrantes sur n'importe quel port ;

• Mais sur un système lié à SELinux, le démon httpd est plus étroitement contrôlé. Toujours en utilisant l'exemple ci-dessus, httped ne peut écouter que sur les ports sur lesquels SELinux lui permet d'écouter. SELinux empêche également httpd d'accéder à des fichiers sans un contexte de sécurité correctement défini et refuse les activités dangereuses qui ne sont pas explicitement activées dans SELinux.

Donc, en substance, SELinux limite au maximum l'activité des codes malveillants dans les systèmes Linux.

Recommandations associées : "

"

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!