SELinux (Secure-Enhance Linux，https://en.wikipedia.org/wiki/Security-Enhanced_Linux)，為 Linux 核心內的強制存取控制(MSA)的實現，已最小權限原則為基礎的安全模組，CentOS4版本便已經預設內建。SELinux主要為美國國安局(NSA)所開發，詳細資訊可參考https://www.nsa.gov/what-we-do/research/selinux/，就不再各位高手高手高高手面前贅述。我們主要直接進入SELinux的操作設定，而非不想面對的如其他說法：先 關 閉 它，如此反而造成系統的安全性疏漏。
首先，我們必須先利用 yum 下載 SELinux的 管理工具 policycoreutils，與錯誤紀錄工具 setromubleshooting，如圖5-3-1，使用 yum install policycoreutils-* ：
(圖5-3-1)
因SELinux管理工具為 Python 所撰寫，在使用之前，先檢視是否有更改系統預設 Python版本有改變 ( 如CentOS6預設為Python2.6，有些操作者可能自行換了 Python2.7，故要修改python 路徑)，若改變Python 預設環境，會造成管理工具的執行錯誤，故需逐一變更管理工具所引用的 Python環境，或修改 /bin/python 或 /usr/bin/python 之版本。在 CentOS6下，SELinux 的設定檔置於 /etc/selinux/config。我們先用指令 getsebool，來獲得 SELinux 現有的預設設定。亦可以用 semanage boolean -l ，來看到每個boolean的說明，如圖5-3-2 至 圖5-3-6。semodule -l 可查看各政策模組的版本。以下條件都是由不同模組來提供他們是否開啟的boolean參數，若要更改永久設定，可使用指令 setsebool -P，如更改可開放個人home資料夾下作為httpd網站，則除設定網站 httpd 伺服器的 config外，還要注意設定selinux policy 為
setsebool -P httpd_home_dirs on
或
setsebool -P httpd_home_dirs=1 httpd_home_dirs=1 ftp_home_dir=1 #同時設定多筆參數。
圖5-3-2可以看到現在設定狀況與預設值為何，後面亦有設定值可以控制的範圍說明。
(圖5-3-2)
(圖5-3-3)
以下我們逐條說明 圖5-3-3 可以控制的模組：
prefix abrt_ 系列，abrt 為自動錯誤報告工具，可協助開發者提供匿名錯誤回報。https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/deployment_guide/ch-abrt
abrt_annon_write - 讓 abrt 以匿名寫入
abrt_handle_event - 讓 abrt 處理報告事件
prefix allow_ 模組：
allow_console_login - 允許利用console終端機登入文字界面
allow_cvs_read_shadow - 允許 版本控制軟體 cvs 可以讀取shadow 備份檔
prefix allow_daemons_ 模組 ：
allow_daemon_dump_core - 允許 核心包裹服務啟用，可用來追蹤核心錯誤
allow_daemon_use_tcp_wrapper - 允許 tcp warpper的服務，如前面篇章提到的/etc/hosts.allow 與 /etc/hosts.deny 的設定
allow_daemon_use_tty - 允許 可登入多終端機 tty 之服務。
allow_daemons_fd_use - fd (file descripter, 如 stdin stdout stderr)
allow_execheap - 允許未受限制的執行檔，執行自己的heap記憶體。(https://www.gribblelab.org/CBootCamp/7_Memory_Stack_vs_Heap.html)
allow_execmem - 允許未受限制執行檔將自己的heap設定為可執行與寫入。
allow_execmod -允許為標示 textrel_shlib_t 的未受限制執行檔使用內容重定位的程式庫。
allow_execstack - 允許未受限制執行檔將自己的stack記憶體設為可執行。
prefix allow_ftpd_：
allow_ftpd_anon_write - ftpd 可以上傳到 public_content_rw_t policy 的目錄(用 ls -lZ 可看policy)
allow_ftpd_full_access - 允許 ftp可全權存取系統檔案
allow_ftpd_use_cifs - 允許ftp可存取 cifs(samba) 網路磁碟格式
allow_ftpd_use_nfs - 允許ftp可存取 nfs 網路磁碟格式
allow_gssd_read_tmp - 允許general security service daemon 讀取 tmp 資料夾
allow_guest_exec_content - 允許guest 權限可執行內容(https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security-enhanced_linux/sect-security-enhanced_linux-working_with_selinux-mounting_file_systems)
allow_httpd_anon_write - 允許 httpd 可上傳到 public_content_rw_t，有時網路程式不能上傳要考慮此原因。
allow_httpd_mod_auth_ntlm_winbind - 允許httpd使用 mod_auth_ntlm_winbind 模組(windows ntlm 認證)
allow_httpd_mod_auth_pam - 允許 httpd 使用mod_auth_pam的模組
allow_httpd_sys_script_anon_write - 允許 httpd 可以使用 scripts 寫入 public_content_rw_t 的目錄
allow_java_execstack - 防止 java 記憶體 stack型態攻擊(off)
allow_kerberos - kerberos (https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/managing_smart_cards/using_kerberos)
allow_mount_anyfile - 允許掛載任何檔案
allow_maplyer_execstack - 允許mplayer將自己執行檔內的記憶體stack設為可執行
allow_nsplugin_execmem -
allow_polyinstantiation - 啟用 polyinstatiation 支援(https://www.ibm.com/developerworks/library/l-polyinstantiation/index.html)
allow_postfix_local_write_mail_spool - 允許postfix可寫入mail spool，才可正常收發信
allow_ptrace - 允許 sysadm_t policy 針對應用程式使用 ptrace
allow_rsync_anon_write - 允許rsync可以寫入 public_content_rw_t 的目錄
allow_saslauthd_read_shadow - 允許 saslauthd 可以讀取 /etc/shadow 帳密檔
allow_smbd_anon_write - 允許 samba 將檔案寫入 public_content_rw_t 的目錄，samba設定後要注意
allow_ssh_keysign - 允許 ssh 使用 ssh-keysign login
allow_staff_exec_content - 允許 staff_r 可以執行檔案內容(selinux各角色權限可參考https://selinuxproject.org/page/RefpolicyBasicRoleCreation)
allow_sysadm_exec_content - 允許 sysadm_r 可以執行檔案內容
allow_unconfined_nsplugin_transition -
allow_user_exec_content - 允許 user_r 可以執行檔案內容
allow_user_mysql_connect - 允許user_r可以連線mysql
allow_user_postgresql_connect - 允許user_r可以連線postgresql
allow_write_xshm - 允許可寫入 x 分享記憶體
allow_xguest_exec_content - xguest_r 可以執行檔案內容
allow_xserver_execmem -
(圖5-3-3)
接著列出常用 policy
allow_ypbind - 允許 Name Information System 的 ypbind 常駐執行
allow_zebra_write_config - https://www.gnu.org/software/zebra/，現為quagga
antivirus_ 模組
antivirus_can_scan_system -
antivirus_use_jit -
ftp_home_dir - ftp 伺服器軟體可以使用 /home
ftpd_use_passive_mode - 若躲在防火牆下之ftp 伺服器，請開啟此 policy
(圖5-3-4)
(圖5-3-5)
(圖5-3-6)
若需開放非預設的連接埠，需使用 semanage，可先使用指令 semanage port -l 來先得知已開啟的埠名：
(圖5-3-7)
(圖5-3-8)
(圖5-3-9)
(圖5-3-10)
(圖5-3-11)
(圖5-3-12)
(圖5-3-13)
其他詳細資訊可參考https://wiki.centos.org/TipsAndTricks/SelinuxBooleans與 https://wiki.centos.org/HowTos/SELinux。
未完，待續
To be continued...
首先，我們必須先利用 yum 下載 SELinux的 管理工具 policycoreutils，與錯誤紀錄工具 setromubleshooting，如圖5-3-1，使用 yum install policycoreutils-* ：
(圖5-3-1)
因SELinux管理工具為 Python 所撰寫，在使用之前，先檢視是否有更改系統預設 Python版本有改變 ( 如CentOS6預設為Python2.6，有些操作者可能自行換了 Python2.7，故要修改python 路徑)，若改變Python 預設環境，會造成管理工具的執行錯誤，故需逐一變更管理工具所引用的 Python環境，或修改 /bin/python 或 /usr/bin/python 之版本。在 CentOS6下，SELinux 的設定檔置於 /etc/selinux/config。我們先用指令 getsebool，來獲得 SELinux 現有的預設設定。亦可以用 semanage boolean -l ，來看到每個boolean的說明，如圖5-3-2 至 圖5-3-6。semodule -l 可查看各政策模組的版本。以下條件都是由不同模組來提供他們是否開啟的boolean參數，若要更改永久設定，可使用指令 setsebool -P，如更改可開放個人home資料夾下作為httpd網站，則除設定網站 httpd 伺服器的 config外，還要注意設定selinux policy 為
setsebool -P httpd_home_dirs on
或
setsebool -P httpd_home_dirs=1 httpd_home_dirs=1 ftp_home_dir=1 #同時設定多筆參數。
圖5-3-2可以看到現在設定狀況與預設值為何，後面亦有設定值可以控制的範圍說明。
(圖5-3-2)
(圖5-3-3)
以下我們逐條說明 圖5-3-3 可以控制的模組：
prefix abrt_ 系列，abrt 為自動錯誤報告工具，可協助開發者提供匿名錯誤回報。https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/deployment_guide/ch-abrt
abrt_annon_write - 讓 abrt 以匿名寫入
abrt_handle_event - 讓 abrt 處理報告事件
prefix allow_ 模組：
allow_console_login - 允許利用console終端機登入文字界面
allow_cvs_read_shadow - 允許 版本控制軟體 cvs 可以讀取shadow 備份檔
prefix allow_daemons_ 模組 ：
allow_daemon_dump_core - 允許 核心包裹服務啟用，可用來追蹤核心錯誤
allow_daemon_use_tcp_wrapper - 允許 tcp warpper的服務，如前面篇章提到的/etc/hosts.allow 與 /etc/hosts.deny 的設定
allow_daemon_use_tty - 允許 可登入多終端機 tty 之服務。
allow_daemons_fd_use - fd (file descripter, 如 stdin stdout stderr)
allow_execheap - 允許未受限制的執行檔，執行自己的heap記憶體。(https://www.gribblelab.org/CBootCamp/7_Memory_Stack_vs_Heap.html)
allow_execmem - 允許未受限制執行檔將自己的heap設定為可執行與寫入。
allow_execmod -允許為標示 textrel_shlib_t 的未受限制執行檔使用內容重定位的程式庫。
allow_execstack - 允許未受限制執行檔將自己的stack記憶體設為可執行。
prefix allow_ftpd_：
allow_ftpd_anon_write - ftpd 可以上傳到 public_content_rw_t policy 的目錄(用 ls -lZ 可看policy)
allow_ftpd_full_access - 允許 ftp可全權存取系統檔案
allow_ftpd_use_cifs - 允許ftp可存取 cifs(samba) 網路磁碟格式
allow_ftpd_use_nfs - 允許ftp可存取 nfs 網路磁碟格式
allow_gssd_read_tmp - 允許general security service daemon 讀取 tmp 資料夾
allow_guest_exec_content - 允許guest 權限可執行內容(https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security-enhanced_linux/sect-security-enhanced_linux-working_with_selinux-mounting_file_systems)
allow_httpd_anon_write - 允許 httpd 可上傳到 public_content_rw_t，有時網路程式不能上傳要考慮此原因。
allow_httpd_mod_auth_ntlm_winbind - 允許httpd使用 mod_auth_ntlm_winbind 模組(windows ntlm 認證)
allow_httpd_mod_auth_pam - 允許 httpd 使用mod_auth_pam的模組
allow_httpd_sys_script_anon_write - 允許 httpd 可以使用 scripts 寫入 public_content_rw_t 的目錄
allow_java_execstack - 防止 java 記憶體 stack型態攻擊(off)
allow_kerberos - kerberos (https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/managing_smart_cards/using_kerberos)
allow_mount_anyfile - 允許掛載任何檔案
allow_maplyer_execstack - 允許mplayer將自己執行檔內的記憶體stack設為可執行
allow_nsplugin_execmem -
allow_polyinstantiation - 啟用 polyinstatiation 支援(https://www.ibm.com/developerworks/library/l-polyinstantiation/index.html)
allow_postfix_local_write_mail_spool - 允許postfix可寫入mail spool，才可正常收發信
allow_ptrace - 允許 sysadm_t policy 針對應用程式使用 ptrace
allow_rsync_anon_write - 允許rsync可以寫入 public_content_rw_t 的目錄
allow_saslauthd_read_shadow - 允許 saslauthd 可以讀取 /etc/shadow 帳密檔
allow_smbd_anon_write - 允許 samba 將檔案寫入 public_content_rw_t 的目錄，samba設定後要注意
allow_ssh_keysign - 允許 ssh 使用 ssh-keysign login
allow_staff_exec_content - 允許 staff_r 可以執行檔案內容(selinux各角色權限可參考https://selinuxproject.org/page/RefpolicyBasicRoleCreation)
allow_sysadm_exec_content - 允許 sysadm_r 可以執行檔案內容
allow_unconfined_nsplugin_transition -
allow_user_exec_content - 允許 user_r 可以執行檔案內容
allow_user_mysql_connect - 允許user_r可以連線mysql
allow_user_postgresql_connect - 允許user_r可以連線postgresql
allow_write_xshm - 允許可寫入 x 分享記憶體
allow_xguest_exec_content - xguest_r 可以執行檔案內容
allow_xserver_execmem -
(圖5-3-3)
接著列出常用 policy
allow_ypbind - 允許 Name Information System 的 ypbind 常駐執行
allow_zebra_write_config - https://www.gnu.org/software/zebra/，現為quagga
antivirus_ 模組
antivirus_can_scan_system -
antivirus_use_jit -
ftp_home_dir - ftp 伺服器軟體可以使用 /home
ftpd_use_passive_mode - 若躲在防火牆下之ftp 伺服器，請開啟此 policy
(圖5-3-4)
(圖5-3-5)
(圖5-3-6)
若需開放非預設的連接埠，需使用 semanage，可先使用指令 semanage port -l 來先得知已開啟的埠名：
(圖5-3-7)
(圖5-3-8)
(圖5-3-9)
(圖5-3-10)
(圖5-3-11)
(圖5-3-12)
(圖5-3-13)
其他詳細資訊可參考https://wiki.centos.org/TipsAndTricks/SelinuxBooleans與 https://wiki.centos.org/HowTos/SELinux。
未完，待續
To be continued...