SELinux需求分析

chenxiaoping020

回復(fù) 40# kiongf


    恩，好的，謝謝咯！

bi_baodi

回復(fù) 1# chenxiaoping020


    15年新人回復(fù)，看到這個(gè)帖子真的是倍感親切啊。還有沒(méi)有在搞SELinux的，出來(lái)交流一下啊。linux內(nèi)核編譯之后是不是不會(huì)有SELinux的策略文件�。浚ㄐ氯�，請(qǐng)見(jiàn)諒）

kiongf

回復(fù) 42# bi_baodi


不會(huì)有。你編譯內(nèi)核只是將selinux配置啟動(dòng)，如果你不在重啟之前將selinux更改為permissive模式或者加載新的策略配置文件，系統(tǒng)上的進(jìn)程都是沒(méi)有權(quán)限的。
你可以從selinux官網(wǎng)上下一個(gè)target模式的selinux策略包進(jìn)行更改。

   

beyondfly

一年前的老帖子又被頂起來(lái)了

bi_baodi

en,謝謝。看一段時(shí)間感覺(jué)SELinux真的太復(fù)雜了。請(qǐng)問(wèn)對(duì)于Linux里面限制程序運(yùn)行的問(wèn)題有沒(méi)有什么指教呢？回復(fù) 43# kiongf


   

kiongf

回復(fù) 45# bi_baodi


     在CentOS這些發(fā)行版本上，你可以新增一個(gè)策略模塊，編寫(xiě)策略規(guī)則(標(biāo)記指定的程序?yàn)橐粋�(gè)指定的類型，再授權(quán)給特定的域)。一般而言對(duì)于不需要的權(quán)限，不分配就可以了。
     發(fā)型版本使用的Reference Policy里面使用了模塊化思想，你在模塊不能直接使用不在該模塊定義的域和類型(比如a.te定義了root_t域, 你在b.te不能直接allow root_t **必須使用a.if提供的接口。
     寫(xiě)完然后再加載到已有的策略庫(kù)就可以了。

     嵌入式的話，你可以下一個(gè)Reference Policy的策略源碼，按你的需求重新修改策略。

bi_baodi

非常感謝！
很受用回復(fù) 46# kiongf


   

zhunxun

老師在策略模塊編寫(xiě)方面有沒(méi)有好的帖子或者書(shū)籍，網(wǎng)上各種查還是不知道怎么編寫(xiě)回復(fù) 8# kiongf


   

zhunxun

哥們又沒(méi)有selinux的源代碼？？？？？求分享回復(fù) 10# kiongf


   

kiongf

回復(fù) 49# zhunxun


    https://github.com/TresysTechnology/refpolicy