SELinux增强CentOS系统安全性的核心机制与实践
SELinux（Security-Enhanced Linux）是CentOS系统内置的强制访问控制（MAC）安全模块，通过内核级策略限制进程、用户对系统资源的访问，弥补传统自主访问控制（DAC）的不足，显著提升系统抗攻击能力。其增强安全性的关键路径如下：
SELinux摒弃了传统Linux依赖用户/组权限的DAC模型，采用“用户-角色-类型”（User-Role-Type, URT）三元组的MAC机制。每个文件、进程、端口均被赋予唯一的安全上下文（格式：user:role:type:sensitivity，如httpd_sys_content_t），SELinux仅允许符合策略的访问请求（如httpd_t进程只能读取httpd_sys_content_t类型的文件）。即使攻击者通过漏洞获取进程权限，也无法突破SELinux策略访问未授权资源（例如：Apache进程无法篡改/etc/shadow文件，即使该文件权限为777）。
安全上下文是SELinux实现访问控制的基础，通过以下命令实现精准管理：
ls -Z（文件/目录）、ps -Z（进程）、netstat -Z（端口）查看关联的安全上下文；chcon命令临时调整（如chcon -t httpd_sys_content_t /var/www/html/newfile.html），适用于测试场景；restorecon命令恢复默认上下文（基于/etc/selinux/targeted/contexts/files中的策略），如restorecon -Rv /var/www/html；semanage fcontext命令添加自定义策略（如semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/html/uploads(/.*)?"），再通过restorecon应用，确保重启后上下文不变。通过/etc/selinux/config文件永久设置SELinux模式，或setenforce命令临时调整：
/var/log/audit/audit.log；selinux=0禁用）。SELinux策略中的布尔值（Boolean）是可开关的策略选项，用于控制特定功能的访问权限（如是否允许Web服务器访问用户家目录）。通过以下命令管理布尔值：
getsebool -a（如httpd_enable_homedirs控制Apache是否可访问/home目录）；setsebool命令临时调整（如setsebool httpd_enable_homedirs 1），-P选项持久化修改（如setsebool -P httpd_enable_homedirs 1），确保重启后生效。SELinux日志是排查安全问题的关键，通过ausearch、aureport工具分析/var/log/audit/audit.log，识别未授权访问尝试（如“avc: denied”开头的日志条目）。结合audit2why（分析日志原因）、audit2allow（生成自定义策略模块）工具，快速定位问题并调整策略（如某应用需要访问/tmp目录，可通过audit2allow -a生成策略，再通过semodule -i安装）。
SELinux可控制进程监听的端口类型，通过semanage port命令管理端口上下文：
semanage port -l（如http_port_t默认允许80、443端口）；semanage port -a -t http_port_t -p tcp 8080（允许Apache监听8080端口）；semanage port -d -t http_port_t -p tcp 8080。确保进程仅能使用策略允许的端口，防止非法端口监听。通过上述配置，SELinux为CentOS系统构建了“多层防御”体系：强制访问控制限制进程权限、安全上下文精准匹配资源、日志审计追踪异常行为、布尔值与端口管理适配业务需求，有效防范未授权访问、恶意软件扩散、提权攻击等安全威胁。需注意的是，配置SELinux时应优先使用targeted策略（默认），避免mls策略的复杂性；修改策略前备份配置文件（如/etc/selinux/config），防止误操作导致系统无法启动。
