【文章內(nèi)容簡介】 wx directory$ getfacl omitheader directoryuser::rwxuser:alice:rwxgroup::rxmask::rwxother::$ ls ld directorydrwxrwx+ 1 bob users 0 joulu 1 15:10 directory 強制訪問控制強制訪問控制(MAC)是一個安全系統(tǒng)，在這個安全系統(tǒng)中，主體的訪問或者對某個對象的操作根據(jù)策略規(guī)則嚴格被操作系統(tǒng)進行了限制。主體通常是進程，而對象可以是文件、目錄、共享內(nèi)存、端口、設(shè)備等。主體和對象都分配了安全屬性。當一個主體訪問一個對象時，內(nèi)核會對這些屬性進行檢查，并根據(jù)認證規(guī)則（策略）決定是否允許訪問。MAC系統(tǒng)的策略由安全策略管理員控制。與自主訪問控制不同，普通用戶不能對其進行設(shè)置，不能對所擁有對象的訪問規(guī)則進行自行設(shè)置。MAC系統(tǒng)為整個系統(tǒng)提供了一個全局加強的安全策略。 Linux系統(tǒng)上應(yīng)安裝強制訪問控制系統(tǒng)作為應(yīng)急的安全訪問控制手段說明：Linux系統(tǒng)上應(yīng)該安裝強制控制系統(tǒng)，當應(yīng)用系統(tǒng)所依賴的組件存在漏洞時，MAC作為應(yīng)急的安全訪問控制手段被打開，以便應(yīng)用系統(tǒng)的服務(wù)在特定情況下可以不被中斷，同時保證系統(tǒng)安全。當前強制訪問控制系統(tǒng)使用比較廣泛的是AppArmor和SELinux兩種，Apparmor比SELinux使用更簡單，配置較容易，但安全性和靈活度上沒有SELinux高，然而SELinux配置較復(fù)雜。SELinux與Apparmor最大的區(qū)別在于Apparmor使用文件名（路徑名）作為安全標簽，而SELinux使用文件的inode作為安全標簽。下表是Apparmor與SELinux更詳細的對比。ApparmorSELinux安全類型l 路徑名基于系統(tǒng)不需要標記或重新標記文件系統(tǒng)l 當增量開發(fā)配置文件，不用修改其它配置文件，只要引用配置文件路徑名。l 路徑名很容易理解和審核l 為所有文件、進程打標簽l 標簽標識溝通的渠道，因此增加新的配置文件可能需要修改現(xiàn)有的配置文件劃分溝通渠道，增加策略制定難度l 并非所有應(yīng)用程序保留的標簽影響l 可自動化l 易整合l 難維護易用性l 策略語言易使用、易修改、易審計l 集成GUI/Console工具集l 可用性是首要目標l 復(fù)雜的策略語言l 難管理的規(guī)則l 缺少集成工具鑒于上述對比，如果對系統(tǒng)安全性要求不嚴格的情況，推薦優(yōu)先選用Apparmor。此條目需滿足以下要求：252。 系統(tǒng)中需安裝Apparmor或SELinux一種強制訪問控制系統(tǒng)，可以不啟用。此條目對以下情況不做強制要求：252。 對系統(tǒng)不內(nèi)統(tǒng)版本較低不支持安裝或安裝后對系統(tǒng)應(yīng)用有影響的可以不強制安裝。實施指導(dǎo)：參考設(shè)計樣例中的《SELinux應(yīng)用指南》、《SELinux進程隔離方案指導(dǎo)書》3 記錄和審計1 監(jiān)測、記錄和審計 啟用inotify監(jiān)控機制，以文件系統(tǒng)事件進行安全監(jiān)控說明：Inotify 是基于inode級別的文件系統(tǒng)監(jiān)控技術(shù),是一種強大的、細粒度的、異步的機制，它滿足各種各樣的文件監(jiān)控需要，可用于對文件系統(tǒng)進行安全監(jiān)控，提高系統(tǒng)安全性。l Inotify 不需要對被監(jiān)視的目標打開文件描述符，而且如果被監(jiān)視目標在可移動介質(zhì)上，那么在 umount 該介質(zhì)上的文件系統(tǒng)后，被監(jiān)視目標對應(yīng)的 watch 將被自動刪除，并且會產(chǎn)生一個 umount 事件。 l Inotify 既可以監(jiān)視文件，也可以監(jiān)視目錄。 l Inotify 使用系統(tǒng)調(diào)用而非 SIGIO 來通知文件系統(tǒng)事件。 l Inotify 使用文件描述符作為接口，因而可以使用通常的文件 I/O 操作select 和 poll 來監(jiān)視文件系統(tǒng)的變化。 此條目需滿足以下要求：252。 開啟inotify功能，對文件系統(tǒng)事件進行監(jiān)控。/bin /etc此條目對以下情況不做強制要求：252。 對系統(tǒng)性能有嚴格要求，啟用相關(guān)功能影響產(chǎn)品交付的，不做強制要求。實施指導(dǎo)：l 確定內(nèi)核是否支持inotify查看/proc/sys/fs/inotify/目錄是否存在，從kernel ，Inotify正式并入內(nèi)核。 ls /proc/sys/fs/inotify/max_queued_events max_user_instances max_user_watches其中inotify目錄下的三個文件對應(yīng)inotify 的默認內(nèi)核參數(shù)/proc/sys/fs/inotify/max_queued_events 默認值: 16384 該文件中的值為調(diào)用inotify_init時分配給inotify instance中可排隊的event的數(shù)目的最大值，超出這個值的事件被丟棄，但會觸發(fā)IN_Q_OVERFLOW事件。/proc/sys/fs/inotify/max_user_instances 默認值: 128 指定了每一個real user ID可創(chuàng)建的inotify instatnces的數(shù)量上限。/proc/sys/fs/inotify/max_user_watches 默認值: 8192 指定了每個inotify instance相關(guān)聯(lián)的watches的上限。注意: max_queued_events 是 Inotify 管理的隊列的最大長度，文件系統(tǒng)變化越頻繁，這個值就應(yīng)該越大。如果在日志中看到Event Queue Overflow，說明max_queued_events太小需要調(diào)整參數(shù)后再次使用. l 安裝inotify工具在Linux下使用inotify需要安裝inotifytools工具包，其中有兩個主要的工具程序inotifywait和inotifywatch。其中，inotifywait執(zhí)行阻塞，等待 inotify 事件，可以監(jiān)控任何一組文件和目錄，或監(jiān)控整個目錄樹（目錄、子目錄、子目錄的子目錄等等）。Inotifywatch程序用于收集關(guān)于被監(jiān)視的文件系統(tǒng)的統(tǒng)計數(shù)據(jù)，包括每個 inotify 事件發(fā)生多少次。l 使用 inotify工具示例腳本：!/bin/bash inotifywait mrq timefmt 39。%d/%m/%y %H:%M39。 format 39。%T %w%f %e39。 event modify,delete,create,attrib /home/admin | while read date time file event do case $event in MODIFY|CREATE|MOVE|MODIFY,ISDIR|CREATE,ISDIR|MODIFY,ISDIR) echo $event39。39。$file 。 MOVED_FROM|MOVED_FROM,ISDIR|DELETE|DELETE,ISDIR) echo $event39。39。$file 。 esac done在示例腳本中，僅對部分文件系統(tǒng)事件進行了監(jiān)控，以下為inotify可以監(jiān)控的文件系統(tǒng)事件：IN_ACCESS : 即文件被訪問 IN_MODIFY : 文件被 write IN_ATTRIB : 文件屬性被修改，如 chmod、chown、touch 等 IN_CLOSE_WRITE : 可寫文件被 close IN_CLOSE_NOWRITE : 不可寫文件被 close IN_OPEN : 文件被open IN_MOVED_FROM : 文件被移走,如 mv IN_MOVED_TO : 文件被移來，如 mv、cp IN_CREATE : 創(chuàng)建新文件 IN_DELETE : 文件被刪除，如 rm IN_DELETE_SELF : 自刪除，即一個可執(zhí)行文件在執(zhí)行時刪除自己 IN_MOVE_SELF : 自移動，即一個可執(zhí)行文件在執(zhí)行時移動自己 IN_UNMOUNT : 宿主文件系統(tǒng)被 umount IN_CLOSE : 文件被關(guān)閉，等同于(IN_CLOSE_WRITE | IN_CLOSE_NOWRITE) IN_MOVE : 文件被移動，等同于(IN_MOVED_FROM | IN_MOVED_TO) 使用Auditd組件對系統(tǒng)中的重要目錄或文件進行審計說明:Auditd程序是Linux審計框架的用戶空間組件， Auditd組件提供了auditctl、ausearch、aureport三個程序完成審計和查看日志功能。配置審計規(guī)則是通過auditctl程序完成的，該程序啟動時從/etc/audit/。后臺程序本身可以通過設(shè)置/etc/audit/ 文件來進行定制。其他兩個組件分別是audispd和 autrace。Audispd用于給其他應(yīng)用發(fā)送事件通知，而autrace則通過與strace類似的方式對系統(tǒng)調(diào)用進行追蹤。系統(tǒng)中一些文件是非常重要的，是不可以輕意修改的，對于這類文件使用Auditd程序?qū)ζ溥M行審計是非常有必要的。此條目需滿足以下要求：252。 /etc/passwd、 /etc/shadow系統(tǒng)文件應(yīng)進行審計。252。 密鑰文件應(yīng)進行審計。實施指導(dǎo) ：如何審計對特定文件的訪問：root auditctl DNo rulesroot auditctl w /etc/shadow k fk_shadow2root su bob$ exitexitroot ausearch k fk_shadow2timeTue Dec 9 13:13:03 2014type=CONFIG_CHANGE msg=audit(:1756): auid=1000 ses=1 op=add rule key=fk_shadow2 list=4 res=1timeTue Dec 9 13:13:13 2014type=PATH msg=audit(:1758): item=0 name=/etc/shadow inode=382852 dev=08:02 mode=0100640 ouid=0 ogid=15 rdev=00:00type=CWD msg=audit(:1758): cwd=/home/bob/Desktoptype=SYSCALL msg=audit(:1758): arch=c000003e syscall=2 success=yes exit=3 a0=7f526ad5d076 a1=80000 a2=1b6 a3=7f526ad5cfe9 items=1 ppid=4561 pid=4730 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts2 ses=1 m=su exe=/bin/su key=fk_shadow2以上實現(xiàn)的基礎(chǔ)就是使用auditctl D命令來檢測所有的審計規(guī)則，然后使用auditctl –w添加一條規(guī)則。需要監(jiān)控的文件是/etc/shadow，而且為了方便搜索，審計日志應(yīng)為該事件添加一個fk_shadow2標簽。然后root用戶使用su bob命令切換到用戶bob并使用exit迅速退出bob的shell。為獲取密碼信息，執(zhí)行Su命令使系統(tǒng)訪問/etc/shadow 文件。列表顯示了兩條表項，其中一條用于設(shè)置規(guī)則，另一條用于/bin/su 命令。4 認證 口令和賬號 使用shadow套件對系統(tǒng)賬號口令進行分離保護說明：Shadow 套件是密碼和用戶賬號管理的程序和庫模塊的集合。目前主流的Linux用戶認證依賴兩個文件：/etc/passwd 和 /etc/shadow文件。而在一些舊的LINUX系統(tǒng)或某些被過度裁剪的發(fā)行版本中，在/etc/passwd 中同時保存了系統(tǒng)中所有的用戶，帳號和密碼哈希值。但是，密碼哈希值被普通用戶讀取是不安全的，需將密碼哈希值與帳號信息保存在不同的文件里，使用shadow套件可以達到此目標，shadow套件可以將用戶帳號與密碼哈希值進行有效隔離。shadow文件中除了保存有密碼哈希值，還保存了密碼有效期以及何時可以修改密碼等信息。為保護系統(tǒng)安全，需要確保shadow文件只允許root賬號有讀寫權(quán)限。實施指導(dǎo)：1) 備份系統(tǒng)原始命令Shadow Suite會替換系統(tǒng)內(nèi)部分命令，在安裝前需對這部分命令進行備份：/bin/su /bin/login /usr/bin/passwd /usr/bin/newgrp /usr/bin/chfn /usr/bin/chsh /usr/bin/id 2) 下載安裝Shadow Suite tar xzvf cd /usr/src/shadowYYMMDD cp Makefile cp make all make install3) 使用pwconv分離出passwd和shadow文件 cd /etc /usr/sbin/pwconv4) Pwconv輸出的分離文件名稱為npasswd和nshadow，需重命名復(fù)制到/etc目錄中使用，在復(fù)制前應(yīng)對原passwd文件進行備份。 cd /etc cp passwd ~passwd chmod 600 ~passwd mv npasswd passwd mv nshadow shadow5) 確保passwd和shadow文件的權(quán)限正確，如：chown passwdchown shadowchmo