Linux服务器安

                                            

Linux服务器安全配置指南：SELinux与AppArmor实战详解


    
在当今企业级Linux服务器环境中，SELinux和AppArmor作为两大主流强制访问控制(MAC)系统，已成为系统管理员必备的安全配置技能。本文将深入剖析两者的配置方法、适用场景及最佳实践，助您打造固若金汤的服务器环境。



    
一、SELinux深度配置指南
    
    
1.1 SELinux基础概念
    
SELinux(Security-Enhanced Linux)由美国国家安全局开发，采用"默认拒绝"原则，通过类型强制(TE)、基于角色的访问控制(RBAC)和多级安全(MLS)三大机制实现细粒度访问控制。
    
    

        
查看SELinux状态：
        
# sestatus
# getenforce
    
    
    
1.2 实战配置步骤
    

        
安装必要工具包：
            
# yum install policycoreutils policycoreutils-python setools setroubleshoot
        
        
配置文件上下文：
            
# semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?"
# restorecon -Rv /web
        
        
端口标签管理：
            
# semanage port -a -t http_port_t -p tcp 8080
        
    
    
    

        
专家建议：
        
生产环境中建议保持SELinux处于enforcing模式，通过audit2allow工具分析并生成自定义策略模块：
        
# grep AVC /var/log/audit/audit.log | audit2allow -M mypolicy
# semodule -i mypolicy.pp
    



    
二、AppArmor专业配置方案
    
    
2.1 AppArmor核心优势
    
AppArmor采用路径为基础的访问控制模式，配置更直观，特别适合Debian/Ubuntu系列发行版，通过配置文件定义应用程序的访问权限。
    
    

        

            

                
操作
                
命令
            
            

                
查看状态
                
# apparmor_status
            
            

                
强制模式
                
# aa-enforce /etc/apparmor.d/usr.sbin.nginx
            
        
    
    
    
2.2 策略开发流程
    

        
使用aa-genprof生成初始配置：
            
# aa-genprof /usr/sbin/nginx
        
        
手动编辑配置文件：
            
/etc/apparmor.d/usr.sbin.nginx
        
        
加载新策略：
            
# apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx
        
    



    
三、SELinux与AppArmor选型指南
    
    

        
3.1 技术对比
        

            
学习曲线：AppArmor配置更简单，SELinux概念更复杂
            
控制粒度：SELinux提供更细粒度的RBAC控制
            
发行版支持：SELinux是RHEL/CentOS默认，AppArmor是Ubuntu/Debian默认
        
        
        
3.2 选择建议
        

            
Web服务器集群推荐使用AppArmor
            
金融级安全要求首选SELinux
            
混合环境可考虑同时部署
        
    



    
四、安全加固最佳实践
    

        
定期审查安全策略：
# sealert -a /var/log/audit/audit.log
        
建立变更管理流程，所有策略修改需记录
        
与防火墙规则形成纵深防御体系
        
关键配置文件设置不可变属性：
# chattr +i /etc/apparmor.d/usr.sbin.nginx
    
    
    
通过本文介绍的SELinux和AppArmor配置方法，您已经掌握了Linux服务器最强大的两道安全防线。建议根据实际业务需求选择合适的方案，并持续监控系统日志，及时调整安全策略。