SELinux旅程Part2-啟動SELinux

SELinux（全名 Security-Enhanced Linux）其主要用意在於加強 Linux 主機安全性，尤其是應用在 Linux 作為各類型伺服器時，限制各類型 daemon（也就是服務）只能夠存取她自己該存取的檔案，遇到服務欲存取她不應存取的檔案與目錄時，此時 SELinux 就會阻擋住這些存取動作，這也就是開啟 SELinux 功能會保護 Linux Server 安全，就算是遇到程式安全性導致站台被攻擊時，所造成的損傷能夠降低許多的主因。

暫時開啟/關閉SELinux，但是前提是SELinux status是enabled的狀態下： # setenforce 1 --> 開啟 # setenforce 0 -->關閉 重新開機後會恢復原設定 更改SELinux設定檔： # vi /etc/sysconfig/selinux 內容有一個參數是SELINUX=enforcing -->表示強制執行 如果改為 SELINUX=disabled --> 表示關閉

圖1來自官方手冊，The SELinux Notebook 4th Edition，展示了整個 SELinux 的系統架構，我們接下來會分三部分，核心空間、使用者空間、SELinux 政策與 SELinux 設定檔，分享開啟 SELinux 防護所需的要件，了解內部運作後，對於使用以及除錯上一定會有所幫助。

在之前我們在修改ssh連接埠時，我們有提到過SELinux，那麼SELinux是做什麼用的呢？ 其實他就是一個Linux中的安全模組，當我們使用自定義的連接埠時，就需要告訴這個安全機制我們要允許這個連接埠的設定，不是遭到破解或是使用到錯誤的設定。

預設的 SELinux 設定檔為 /etc/selinux/config，但是，我們也可以在開機階段，在 Linux 核心強迫開啟或關閉 SELinux 的。 所以，要觀察 SELinux 的初始設定，可能得要觀察兩個地方呢！

SELinux 的全名為 Security Enhanced Linux，顧名思義就是為 Linux 提供了更進一步的安全防護。 在 Linux 中，一個檔案或資料夾能不能查看或是刪除，我們常用 user、group 與讀寫、執行的權限來作最基本的安全管控，而 SELinux 我們可以把它當作一套附加的安全機制，有別於傳統 user group 的管理， 它是針對系統中的物件，例如：資料夾、檔案、process、port，加上一層專有的安全條文來規範什麼可以做什麼不能做。