selinux与systemd

selinux :
service enhanced linux 安全增强的Linux 

软件的安全性

选择安全系数较高的系统
提高现有系统的安全性 

计算机的安全等级
D  最低的安全级别,提供最少的安全防护,系统访问无限制。DOS   
C  访问控制的权限,能够实现可控的安全防护,个人账户管理,审计和资源隔离 Unix Linux windowNT
B  支持多级安全,通过硬件对安全数据进行保护
A  最高级别,提供验证设计,要求数据从生产到传输都能够实现状态跟踪

访问控制:
基本要素:
主体:主动的实体,用户、服务、进程等 
客体: 被动的实体,包括数据、文件等 
规则:主体对客体访问的策略集合 
基本类型:
DAC访问控制:自主访问控制
通过权限列表(访问控制列表)来限定特定主体对特定客体可以执行什么操作。
特点:
1、每个主体都拥有一个用户名或组来获取操作权限
2、每个客体都拥有一个限定主体对其访问的访问控制列表
3、访问时,基于访问控制列表检查主体用户标示以实现授权或拒绝。

进程的访问权限
进程拥有超过其本该拥有的权限
管理员的访问权限 
管理员拥有超过其本该有用的权限
普通用户的访问权限

MAC访问控制:强制访问控制

特点:
1、主体被分配一个安全等级 机密
2、客体被分配一个安全等级 绝密
3、访问时,对主体和客体的安全级别进行对比,最终获得授权或拒绝。

sandbox 沙箱 虚拟化技术 

折中方案:将部分服务或进程纳入到MAC的访问控制范围即可。

阿里云盾 
ECS

对跨网络访问的服务或进程启用MAC访问控制机制

selinux:
配置文件:/etc/sysconfig/selinux /etc/selinux/config
工作模式:
strict   严格模式 ,每个进程都会受到Selinux的控制 
targeted  宽松模式,仅对部分进程启用selinux的控制
启动状态:
enforcing 强制开启 
permissive  警告级别,不阻止访问,但会记录日志 
disabled  禁用

临时启动:
getenforce 查看当前SELinux状态
setenforce 0|1 
0 关闭SELinux
1 启动SELinux 

格式:
subjcet  operation  object 

subject: 进程
object: 进程  文件
operation:操作 
open  close  read  write  chown  chmod 

生效条件:
1、SELinux是否生效,取决于subject和object是否处于同一个操作空间
2、操作类型必须满足条件 

安全标签:
用户:角色:类型

查看与配置:
查看文件安全标签(安全上下文):ls -lZ
查看进程安全标签:ps auxZ

修改安全标签:
chcon 修改安全标签
-u 用户
-r 角色
-t 类型(域)
-R 递归
restorecon  还原安全标签
-R 递归 
修改布尔值
添加/删除进程或服务本身开启的功能模块 

getsebool 模块名称
-a 查看所有布尔值

setsebool 模块名称 on/off 
-P 将修改结果保存进本地磁盘 
日志文件:

/var/log/audit/audit.log

systemd 
1、启动流程:
POST -> BIOS -> MBR bootloader -> kernel 临时根 -> 根文件系统 -> init 

能够管理、控制init进程的模块,就是init系统 
能够让系统在用户预定义的级别下运行 

shell  
x-window 

设备管理器:
sysvinit : CentOS 5
第一个广泛应用的init系统 
简单、稳定:
只需要编写服务的启动脚本
设置启动顺序时,通过连接即可完成
执行效率较高,需要时间较长
对新的Linux特性 支持不够好  
 
upstart:  CentOS 6 
启动速度大大提高 
反向兼容sysvinit  
设计更先进 

systemd:  CentOS 7 
替代了所有的sysvinit的功能,并且添加更多的功能。
极大提高了启动速度 
标准化管理 
按需激活进程 
分配套接字,但不启动服务
系统状态快照 

systemd配置:
核心:unit 

常见unit类型:
service类型  服务类型  
扩展名.service 
定义系统服务
socket类型  套接字类型 
扩展名.socket 
标示进程间通信时使用到的socket文件 
device类型  设备类型
扩展名.device 
定义内核能够识别的设备
mount类型  挂载点类型 
扩展名.mount 
定义文件系统的默认挂载点
cgroup 控制组 实现内核资源合理分配的机制
automount类型  自动挂载类型 
扩展名.automount 
定义文件系统自动挂载点设备 
target类型 启动目标类型 
扩展名.target  用来模拟实现“运行级别”
snapshot类型 快照类型
扩展名.snapshot 
用来管理系统快照
swap类型 交换分区类型 
扩展名.swap 
用来管理和定义交换分区
path类型 监视文件类型 
扩展名.path 
用来定义文件系统的某一文件或目录 
timer 任务计划
slice  资源控制
scope  外部进程 

关键特性:
1、基于socket的激活机制 
2、基于bus的激活机制 
若总线上存在对某一服务的访问,可以基于该请求,将设备激活
3、基于device的激活机制
当接入新设备时,激活device unit、mount unit、automount unit
首先创建设备文件,再自动挂载到某挂载点,若挂载点不存在,则自动创建 。
4、基于PATH的激活机制 
5、系统快照
能够将各个unit的状态信息保存至持久存储设备中 
6、向后兼容 sysvinit 
/etc/init.d/服务脚本 也能够通过 systemd 启动 

不兼容的特性:
1、systemctl的命令是固定不变的 
2、若服务不是通过systemctl启动的,那么systemctl无法与之通信

管理系统服务:
1、命令
service -> systemctl 
2、启动服务
service NAME start -> systemctl start NAME.service
3、关闭服务
service NAME stop -> systemctl stop NAME.service
4、重启 
service NAME restart -> systemctl restart NAME.service 
5、查看状态
service NAME status -> systemctl status NAME.service
6、条件式重启
若服务已启动,则重启;若服务未启动,则放弃操作
systemctl try-restart NAME.service 
7、重载或重启
systemctl reload-or-restart 
重新加载未成功,则重新启动 
8、重载或条件式重启
systemctl reload-or-try-restart NAME.service 
9、查看服务的当前的激活状态
systemctl is-active NAME.service
服务启动则返回active;服务未启动则返回unknown 
10、查看所有已激活的服务 
systemctl list-units 
11、查看所有服务
systemctl list-units -a 
12、查看服务是否开机自启:
chkconfig –list 
systemctl is-enabled NAME.service
13、是否禁止用户设置服务开机启动状态 
systemctl mask NAME.service 
systemctl unmask NAME.service 

管理target unit 
1、设置运行级别
0 -> runlevel0.target poweroff.target 
1 -> runlevel1.target multi-user.target 
2 -> runlevel2.target multi-user.target
3 -> runlevel3.target multi-user.target
  4 -> runlevel4.target multi-user.target
5 -> runlevel5.target graphical.target
6 -> runlevel6.target reboot.target 
2、查看当前运行级别 
runlevel 
systemctl list-units -type target 
3、切换运行级别
init N
systemctl isolate NAME.target  
4、查看默认运行级别 
systemctl get-default 
5、修改默认运行级别 
systemctl set-default NAME.target 
6、切换救援模式 
systemctl rescue

其它相关命令:
关机:systemctl halt.target 
挂起:systemctl suspend 
快照:systemctl hibernate

配置文件:
【unit】 
description  unit的基本描述信息 
after 与before作用相反 。  
【service】
type 定义启动脚本的类型 
simple 默认值,定义execstart选项指定的程序是主程序
forking  定义execstart选项调用的某一子进程做主程序。 
notify  进程在收到notify函数的通知时再启动 。

【install】  
wantedby 运行依赖的模式  弱依赖
requiredby 运行依赖的模式

原创文章,作者:yaobinbin,如若转载,请注明出处:http://www.178linux.com/76703

(1)
上一篇 2017-05-22 18:37
下一篇 2017-05-22 19:03

相关推荐

  • 网络班26期-第1周课程作业

    1、描述计算机的组成及其功能? (1)CPU:计算机的大脑,计算机的运算,命令的控制功能,寄存器及缓存都由CPU功能承担; (2)内存:RAM,随机访问存储器,计算机的另一个核心功能,系统指令存放及运行的基础。 (3)输入设备:人工给计算机下指令的设备,例如鼠标,键盘等; (4)输出设备:计算机输出人工输入的执行命令的结果;例如,音响,显示屏等; …

    Linux干货 2017-01-10
  • 8.5_Linux文本处理工具和grep之正则表达式的使用

    Linux文本处理工具使用 文件查看工具的使用 cat 命令的使用  此命令一般用于查看文件内容比较多 NAME        cat – concatenate files and print on the&…

    Linux干货 2016-08-08
  • btrfs 文件系统

    简介   Btrfs((B-tree,ButterFS ,Better FS通常念成Butter FS),由Oracle于2007年宣布并进行中的COW(copy-on-write式)文件系统。继ext3/4文件系统之后linux又有了比较强大的文件系统(btrfs文件系统),btrfs文件系统不仅可以将ex…

    Linux干货 2016-02-19
  • 马哥教育网络班22期+第1周课程练习 忍者乱太郎喻成

    1.计算机组成:  根据冯诺依曼的计算机结构分为四大块:控制器,运算器, 存储器,输入输出设备 控制器:对其他的组件进行控制 运算器:用于处理计算工作,不控制输入和输出 储存器:用于暂时或长期存储数据 输入输出:与外界进行交互 个人延伸: 我的理解这是一个在计算机研发之前的一个理论假象, 相对现在真实的计算机体系,这个分类会比较模糊。 运算器:cp…

    Linux干货 2016-08-15
  • Bash学习基础知识一“命令”

    Bash 学习基础知识 目录 一、Shell是个啥? 二、BASH的命令     2.1 命令的语法格式     2.2 什么是命令     2.4 命令的类型     …

    Linux干货 2015-04-03
  • 文件查找作业

    1、查找/var目录下属主为root,且属组为mail的所有文件 [root@wzc ~]# find /var/ -user root -a -group mail /var/spool/mail /var/spool/mail/root 2、查找/var目录下不属于root、…

    Linux干货 2016-08-15