Linux系统安全

Linux系统安全加固指南：深度配置SELinux与AppArmor

在当今的数字化时代，Linux系统作为服务器和关键基础设施的核心，其安全性至关重要。在众多安全机制中，SELinux（Security-Enhanced Linux）和AppArmor（Application Armor）是两大主流的强制访问控制（MAC）系统，它们为Linux提供了超越传统权限模型的细粒度安全保护。本文将深入探讨如何有效配置这两大工具，为您的系统构筑坚实防线。

一、SELinux与AppArmor：核心理念与选择

SELinux最初由美国国家安全局开发，采用基于标签的策略模型。系统中的每个进程、文件、目录和端口都被赋予一个安全标签（上下文）。策略规则则定义了哪些标签的进程可以访问哪些标签的资源。其特点是强制性强、控制粒度极细，但配置相对复杂。

AppArmor则采用基于路径的配置文件模型。它为特定的应用程序创建安全配置文件，明确规定该程序可以读、写或执行的系统资源路径。其理念是“默认拒绝”，学习曲线相对平缓，更易于管理和实施。

如何选择？ RHEL、CentOS、Fedora等Red Hat系发行版通常预装并默认启用SELinux。而Debian、Ubuntu、SUSE等则更倾向于集成AppArmor。选择哪一款往往取决于您的发行版和具体的安全需求。

二、SELinux详细配置实战

1. 核心状态管理

查看状态：使用 sestatus 或 getenforce 命令。状态分为 Enforcing（强制模式）、Permissive（宽容模式，仅记录不阻止）和 Disabled（禁用）。
临时切换模式：setenforce 1 设置为强制模式，setenforce 0 设置为宽容模式。
永久修改：编辑 /etc/selinux/config 文件，修改 SELINUX= 值为 enforcing, permissive 或 disabled。

2. 上下文管理与修复

SELinux的运作核心是安全上下文。使用 ls -Z 查看文件上下文，ps -Z 查看进程上下文。

修复常见问题：当文件上下文不正确导致服务无法访问时，可使用：
1. restorecon -Rv /path/to/directory 恢复文件默认上下文。
2. 使用 chcon 命令手动更改上下文，例如 chcon -t httpd_sys_content_t /var/www/html/index.html。
自定义策略模块：对于复杂需求，可通过审计日志生成自定义模块。首先在宽容模式下复现问题，查看 /var/log/audit/audit.log，然后使用 audit2allow 生成模块并安装：
grep "avc" /var/log/audit/audit.log | audit2allow -M mypolicy semodule -i mypolicy.pp

3. 布尔值调优

SELinux提供了大量布尔值开关，可以快速调整策略行为，而无需深入编写复杂规则。

查看所有布尔值：getsebool -a
查询特定布尔值：getsebool httpd_can_network_connect
设置布尔值（临时）：setsebool httpd_can_network_connect on
设置布尔值（永久）：setsebool -P httpd_can_network_connect on

三、AppArmor详细配置实战

1. 状态管理与基本操作

查看状态：aa-status 命令可以显示AppArmor是否启用以及已加载的配置文件。
启停服务：systemctl start apparmor， systemctl enable apparmor。
配置文件位置：主配置文件位于 /etc/apparmor.d/。

2. 配置模式与策略生成

配置文件头部定义了模式：

/usr/sbin/nginx flags=(complain) { ... } ：投诉模式，违规行为被记录但允许。
/usr/sbin/nginx flags=(enforce) { ... } ：强制模式，严格执行策略。
使用工具生成配置：aa-genprof 和 aa-logprof 是强大的辅助工具。
1. 首先将目标程序设为投诉模式：aa-complain /usr/sbin/nginx。
2. 运行 aa-genprof /usr/sbin/nginx，然后正常使用该程序的所有功能。
3. 运行 aa-logprof，工具会分析日志并交互式地引导您创建或完善配置文件。
4. 最后，将配置设为强制模式：aa-enforce /usr/sbin/nginx。

3. 编写与理解配置文件

一个简单的AppArmor配置文件示例如下：

# /etc/apparmor.d/usr.sbin.nginx
#include 

/usr/sbin/nginx flags=(enforce) {
  #include 
  #include 

  # 允许读取自身二进制文件
  /usr/sbin/nginx mr,

  # 允许访问网站文件
  /var/www/html/** r,

  # 允许访问日志文件
  /var/log/nginx/* rw,

  # 允许网络访问
  network inet tcp,
  network inet udp,

  # 允许绑定到80和443端口
  capability net_bind_service,
}

规则语法直观，如 r（读）、w（写）、x（执行）、m（内存映射）等。

四、最佳实践与故障排除

通用建议：

循序渐进：先在宽容/投诉模式下运行，通过日志分析完善策略，再切换到强制模式。
善用日志：SELinux日志主要看 /var/log/audit/audit.log 和 /var/log/messages；AppArmor日志看 /var/log/syslog 或 /var/log/kern.log。使用 dmesg | grep -i apparmor 或 dmesg | grep -i selinux 快速查看内核信息。
最小权限原则：只为应用程序授予其正常运行所必需的最小权限。
定期审计与更新：随着应用更新，安全需求也会变化，定期复审和更新策略至关重要。

常见故障排除命令：

SELinux：sealert -a /var/log/audit/audit.log （需要安装setroubleshoot）可提供更易读的分析建议。
AppArmor：aa-notify 命令可以提示近期发生的策略违规。

配置SELinux或AppArmor并非一劳永逸，而是一个持续的安全管理过程。理解其工作原理，结合系统日志和实用工具，您将能有效驾驭这两大安全利器，显著提升Linux系统面对未知威胁的防御能力，为您的数据和业务提供更深层次的安全保障。

如何配置Linux系统的SELinux或AppArmor？