Selinux Permissive詳解

一、Selinux Permissive的基本概念

Selinux Permissive指的是Selinux的一種狀態，即安全標籤與策略的實際執行狀態僅記錄在日誌文件中，不會對系統進行攔截、限制，只會對不符合安全策略的操作進行記錄和警告。這種模式主要用於調試，即調試期間可以記錄安全問題，而不影響程序正常運行。實際上，Permissive可以通過日誌輸出方便地發現與Selinux策略不符合的應用操作，從而修復。

二、Selinux Permissive的使用場景

Selinux Permissive的主要使用場景如下：

– 進行調試

當我們需要排除一些安全策略錯誤，或嘗試確定哪些Selinux規則應該被添加到我們的策略中時，可以使用Permissive模式進行調試。

– 安全審計

激活Selinux Permissive模式，可以生成詳細的日誌數據，這些數據可以用於審計。一旦您擁有日誌，您就可以對系統的活動進行詳細的分析，評估系統的安全狀態。

– 策略編寫

Permissive模式對於開發人員來說非常有用，因為它使開發人員能夠在開發期間快速檢查安全策略和規則，並根據需要進行修改。

三、如何將Selinux設置為Permissive模式

在絕大多數情況下，你不需要手動將你的Selinux設置為Permissive模式。當你需要在運行中的應用中開啟Permissive模式，可以使用一個命令，如下所示：

    # setenforce 0

這條命令會將Selinux設置為Permissive模式，同時會生成相關的日誌信息。請注意，在此模式下，系統將繼續執行上述的不符合策略規則的操作，但是要注意對這些操作進行記錄和警告。

四、如何從Permissive模式返回到Enforcing模式

一旦我們確認了Selinux的配置和規則之後，通常會將其切換回Enforcing模式。這樣可以保證我們的系統符合我們的安全策略，以便防止網路攻擊和防止意外的系統故障。

要將Selinux返回到Enforcing模式，可以使用以下命令：

    # setenforce 1 

這將把系統設置回Enforcing模式，並每次啟動時都將其設置為Enforcing模式。

五、如何配置Selinux Permissive模式

在Selinux Permissive模式下，我們可以通過以下方法來安排選定的對象或者進程來遵循Permissive模式的狀態：

– 手動配置

我們可以通過編輯/etc/selinux/config文件來需夏系統上Selinux Permissive模式是否開啟。在這個文件中，可以設置兩個備選值：enforced或者permissive。必須重啟系統才能裝載任何新的Selinux策略。如果您不希望重啟系統，則可以使用setenforce命令手動更改Selinux策略。

– 配置單個類別或對象

如果我們不希望某些Selinux策略規則遵循強制執行，可以對這些規則進行修改以遵循Permissive模式。

    # audit2allow -a -M mypolicy
    # semodule -i mypolicy.pp 

以上命令將Selinux策略轉儲到mypolicy.te文件中並生成了mypolicy.pp文件。在這個文件中，我們可以將促使策略遵循Permissive模式的值打開。最後，使用semodule -i命令將這個文件導入到系統中。

六、 Selinux Permissive模式的注意事項

要記住，當應用程序出於Permissive模式時，Selinux在日誌中記錄了不符合策略規則的操作，但不會阻止這些操作。這意味著使用Permissive模式時，系統具有較弱的安全性。除此之外，Selinux使用Permissive模式會增加系統漏洞的風險。因此，為了更好的系統安全性，不要過度使用Permissive模式。