1.3. SELinux 示例
以下示例演示了 SELinux 如何提高安全性：
- 默认操作为 deny（拒绝）。如果 SELinux 策略规则不存在允许访问（如允许进程打开一个文件），则拒绝访问。
-
SELinux 可以限制 Linux 用户。SELinux 策略中包括很多受限制的 SELinux 用户。可将 Linux 用户映射到受限制的 SELinux 用户，以便利用其使用的安全规则和机制。例如，将 Linux 用户映射到 SELinux
user_u用户，这会导致 Linux 用户无法运行，除非有其他配置的用户 ID(setuid)应用程序，如sudo和su。 - 增加进程和数据的分离。SELinux 域（domain）的概念允许定义哪些进程可以访问某些文件和目录。例如：在运行 SELinux 时，除非有其他配置，攻击者将无法侵入 Samba 服务器，然后使用 Samba 服务器作为攻击向量读取和写入其它进程使用的文件（如 MariaDB 数据库）。
-
SELinux 可帮助缓解配置错误带来的破坏。在区传输（zone transfer）过程中，不同的 DNS 服务器通常会在彼此间复制信息。攻击者可以利用区传输来更新 DNS 服务器使其包括错误的信息。当在 Red Hat Enterprise Linux 中使用 BIND（Berkeley Internet Name Domain）作为 DNS 服务器运行时，即使管理员没有限制哪些服务器可执行区传输，默认的 SELinux 策略也会阻止区文件 [1] 通过 BIND
named守护进程本身或其它进程，使用区传输。 -
如果没有 SELinux，攻击者可以利用漏洞在 Apache Web 服务器上路径遍历，并使用特殊元素（如
../）访问存储在文件系统中的文件和目录。如果攻击者尝试对使用了强制模式运行 SELinux 的服务器进行攻击，SELinux 会拒绝对httpd进程不能访问的文件的访问。虽然 SELinux 无法完全阻止这型的攻击，但它可以有效地缓解它。 -
使用强制（enforcing）模式的 SELinux 可以成功防止利用 kernel NULL pointer dereference operators on non-SMAP platforms (CVE-2019-9213) 安全漏洞进行攻击。攻击者可以利用
mmap功能中的一个漏洞（不检查 null 页面的映射）将任意代码放在本页中。 -
deny_ptraceSELinux boolean 和使用 enforcing 模式的 SELinux 的系统可以防止利用 PTRACE_TRACEME 安全漏洞 (CVE-2019-13272) 进行的攻击。这种配置可以防止攻击者获得root特权。 -
nfs_export_all_rw和nfs_export_all_roSELinux 布尔值提供了一个易于使用的工具，以防止错误配置网络文件系统 (NFS)，如意外地共享了/home目录。
其他资源
- SELinux as a security pillar of an operating system - Real-world benefits and examples 知识库文章
- 使用 Ansible 的 SELinux 强化 知识库文章
- 使用 Ansible playbook 进行 SELinux 强化的 selinux-playbooks Github 存储库
