1.3. SELinux 示例
安全增强型 Linux (SELinux)在许多实际场景中可以正常工作的安全优势。通过查看进程隔离和用户限制的实际示例，您可以看到 SELinux 如何缓解特权升级、配置错误和常见漏洞。
SELinux 通过几种方法增强系统安全性，例如：
- 默认操作为 deny（拒绝）。如果 SELinux 策略规则不存在允许访问（例如，允许进程打开文件），SELinux 将拒绝访问。
-
限制用户限制特权。您可以将 Linux 用户映射到受限的 SELinux 用户，以应用安全规则。例如，将 Linux 用户映射到
user_u可防止用户运行设置的用户 ID (setuid)应用程序，如sudo和su。 - SELinux 域 增加进程和数据分割。使用域来定义哪些进程可以访问特定的文件和目录。例如，入侵 Samba 服务器的攻击者无法使用它访问由其他进程（如 MariaDB 数据库）使用的文件。
-
SELinux 可缓解配置错误。攻击者可以利用域名系统(DNS)区域传送来注入错误信息。如果您在 RHEL 上运行 Berkeley Internet Name Domain (BIND)作为 DNS 服务器，且没有限制区域传送，默认的 SELinux 策略会阻止
命名守护进程和其他进程使用区传输来更新区文件 [1]. -
SELinux 缓解了路径遍历攻击。攻击者可以利用 Apache Web 服务器漏洞，使用特殊元素（如
../）来访问文件系统。如果您在 enforcing 模式下运行 SELinux，策略会阻止httpd进程访问未授权的文件。 -
SELinux 可防止在非 SMAP 平台上利用内核 NULL pointer dereferences。攻击者可以利用
mmap功能中的一个漏洞将任意代码放在空页面(CVE-2019-9213)中。如果您以 enforcing 模式运行 SELinux，策略会阻止此类攻击。 -
SELinux 可防止 *PTRACE_TRACEME exploitsReact，您可以使用
deny_ptrace布尔值来保护您的系统不受 PTRACE_TRACEME 漏洞(CVE-2019-13272)的影响。这可防止攻击者获得 root 权限。 -
SELinux 会阻止 NFS 错误配置。您可以使用
nfs_export_all_rw和nfs_export_all_ro布尔值来防止网络文件系统(NFS)错误配置，如意外共享/home目录。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}