shrik3 ·

{SeLinux, 强制访问控制 (MAC), Linux安全模块 (LSM), 自主访问控制 (DAC), AppArmor}

💡 原文英文，约400词，阅读约需2分钟。

📝

内容提要

Linux安全主要依赖自主访问控制（DAC），但对恶意软件的保护有限。强制访问控制（MAC）通过安全规则检查程序操作。SeLinux和AppArmor是两种MAC实现，前者复杂且依赖支持的文件系统，后者使用白名单进行权限管理，允许基于应用的限制。Ubuntu和SUSE默认使用AppArmor，而RHEL则使用SeLinux。

🎯

关键要点

Linux安全主要依赖自主访问控制（DAC），对恶意软件的保护有限。
强制访问控制（MAC）通过安全规则检查程序操作。
SeLinux实现了MAC，拦截安全相关的访问操作并根据规则决定是否允许。
SeLinux被认为非常复杂，且依赖于支持的文件系统。
AppArmor使用白名单来确定权限，允许基于应用的限制。
Ubuntu和SUSE默认使用AppArmor，而RHEL则使用SeLinux。

🔎

延伸解读

自主访问控制的局限性

传统的Linux安全依赖自主访问控制（DAC），但这种方式对恶意软件的防护能力有限。用户身份和文件所有权决定了访问权限，恶意软件可以利用用户的权限进行破坏。因此，仅依靠DAC无法有效防止安全威胁，尤其是在用户权限较高的情况下。

强制访问控制的优势

强制访问控制（MAC）通过安全规则对程序操作进行检查，提供了比DAC更强的安全性。SeLinux和AppArmor是两种MAC实现，前者复杂且依赖于特定的文件系统，而后者则通过白名单进行权限管理，适合应用程序的细粒度控制。选择合适的MAC实现可以显著提升系统的安全性。

SeLinux与AppArmor的比较

SeLinux和AppArmor各有优缺点。SeLinux提供更全面的安全控制，但其复杂性和对文件系统的依赖使得配置和管理变得困难。相比之下，AppArmor的白名单机制更易于理解和使用，适合快速部署和管理。用户在选择时应考虑自身的技术能力和安全需求。

❓

延伸问答

Linux的安全机制主要依赖于什么？

Linux的安全主要依赖自主访问控制（DAC）。

强制访问控制（MAC）是如何工作的？

强制访问控制（MAC）通过安全规则检查程序的每一个操作，决定是否允许该操作。

SeLinux和AppArmor有什么区别？

SeLinux复杂且依赖支持的文件系统，而AppArmor使用白名单进行权限管理，允许基于应用的限制。

哪些Linux发行版默认使用AppArmor？

Ubuntu和SUSE默认使用AppArmor。

SeLinux的主要功能是什么？

SeLinux实现了MAC，拦截安全相关的访问操作并根据规则决定是否允许。

使用SeLinux需要注意什么？

使用SeLinux需要注意其复杂性和对支持文件系统的依赖。

🏷️