使用 SELinux 保护系统安全

Linux 世界中，很少有事物能像 SELinux 这样引发如此强烈的反响，SELinux 是 Linux 的安全增强功能。在 LinuxCon 大会上，Susan Lauber 希望缓和这种反应，并向人们展示光明的一面。在她的演讲 SELinux——一切都与标签有关 中，Lauber 将教授 SELinux 的基础知识，并阐述为什么它是在您的系统上必须运行的。

在本次访谈中，她将向我们透露更多信息。

您是如何开始提供 SELinux 培训的？

从我早期从事 PC 支持和系统管理工作开始，我就对计算的安全方面产生了兴趣。一旦我开始教授各种网络操作系统，这种兴趣就变得更加强烈。我甚至撰写了关于在操作系统级别强制访问控制必要性的硕士论文。那已经是 9 年前的事了！作为一名红帽认证讲师，我抓住了机会学习和教授他们所有的安全方向课程，包括 SELinux 管理和策略编写课程。

尽管 SELinux 有诸多好处，但在许多人眼中，它的声誉却不佳。除了 着色书 之外，如何才能推广 SELinux 呢？

许多人害怕他们不了解的事物。提供越来越多关于 SELinux 如何配置以及如何保护系统（即使使用默认的开箱即用设置）的示例，可以让更多管理员有信心保持 SELinux 处于强制模式。此外，许多管理员在早期使用 SELinux 时留下了不好的印象。他们应该再试一次！如今，随附的“targeted”策略适用于很多人。不需要编写复杂的策略，并且有大量的工具可以帮助进行简单的策略修改。大多数更改实际上可以使用管理工具进行，甚至可以集中管理。从安全管理方面来看，值得注意的是，即使使用默认的 targeted 策略，将 SELinux 置于强制模式也阻止了许多漏洞造成的损害。我将提供一些红帽安全博客文章的链接，详细说明 SELinux 如何在最近和非常公开的零日漏洞中减轻了损害。

开发人员可以做些什么来确保他们的软件不会成为系统上 SELinux 被关闭的原因？

软件开发人员需要从早期设计阶段就考虑安全性。并非所有人都会按照预期或设想的方式使用软件。遵循跨平台建议，例如验证输入、在必要时进行身份验证以及不要过于开放文件权限，也将有助于您的应用程序在 SELinux 处于强制模式下工作。

我记得当各种工具包首次出现以创建手机 Android 应用时，新的开发人员会简单地选中所有框，以允许他们可能在未来的某个时间想要做的任何事情。我仍然不认为我的纸牌游戏需要访问我的联系人列表！

即使是默认的 SELinux 策略也会允许有意义的事情。如果我的应用程序正在创建 Web 内容，我所需要做的就是确保生成的内容应用了 httpd_sys_content 标签。另一方面，如果我的应用程序尝试读取和发布 /etc/shadow 文件的内容，那么我希望 SELinux 阻止该请求。

如果应用程序仅读取和写入其拥有的文件，即使应用程序在非受限模式下运行，SELinux 也应该允许默认策略。现在有许多 SELinux 策略编写工具可以帮助为您的应用程序创建策略，但您很可能可以使用现有的策略模块，只需进行少量修改或无需修改。

您最喜欢参与开源项目的哪个部分？

毫无疑问，是社区。作为一名巡回培训师，我的大部分社交生活都是虚拟的，而开源社区是 24/7 全天候开放的。我可以贡献一点点，也可以深入研究特定主题。总有新的东西可以学习和探索。新想法来自世界各地，创新发生在一天 24 小时的任何时间。如果我没有新的技术内容的脑细胞，我总能找到关于地区性烈性苹果酒或我选择的任何文化的音乐的信息。

您今年 LinuxCon 大会上不容错过的会议有哪些？

如果您对容器和安全性有任何兴趣，请查看 Dan Walsh 的两个演讲。他是一位出色的演讲者，我引用的着色书的作者，以及 the SELinux 专家。我在红帽峰会上听过这两场演讲，它们都很棒。

Rikki Endsley 将重复她在 OSCON 上的 Willie Nelson 演讲。我听说了很棒的事情，我计划这次赶上那场演讲。

我的首要技术重点是关于任何与安全管理相关的演讲，但除此之外，我对 Atomic Host、Kubernetes 和 Apache Hadoop 也感兴趣。有一个关于“静态大数据安全”的演讲，我希望能够赶上，我也会在西雅图参加 Linux 安全峰会的第一天。

本文是 LinuxCon、CloudOpen 和 ContainerCon 北美 2015 的 演讲者访谈系列 的一部分。 LinuxCon 北美 是一个“开发人员、系统管理员、架构师和各级技术人才聚集在一起，进行教育、协作和问题解决，以进一步推动 Linux 平台的活动”。