Selinux Permissive详解

一、Selinux Permissive的基本概念

Selinux Permissive指的是Selinux的一种状态，即安全标签与策略的实际执行状态仅记录在日志文件中，不会对系统进行拦截、限制，只会对不符合安全策略的操作进行记录和警告。这种模式主要用于调试，即调试期间可以记录安全问题，而不影响程序正常运行。实际上，Permissive可以通过日志输出方便地发现与Selinux策略不符合的应用操作，从而修复。

二、Selinux Permissive的使用场景

- 进行调试

当我们需要排除一些安全策略错误，或尝试确定哪些Selinux规则应该被添加到我们的策略中时，可以使用Permissive模式进行调试。

- 安全审计

激活Selinux Permissive模式，可以生成详细的日志数据，这些数据可以用于审计。一旦您拥有日志，您就可以对系统的活动进行详细的分析，评估系统的安全状态。

- 策略编写

Permissive模式对于开发人员来说非常有用，因为它使开发人员能够在开发期间快速检查安全策略和规则，并根据需要进行修改。

三、如何将Selinux设置为Permissive模式

在绝大多数情况下，你不需要手动将你的Selinux设置为Permissive模式。当你需要在运行中的应用中开启Permissive模式，可以使用一个命令，如下所示：

    # setenforce 0

这条命令会将Selinux设置为Permissive模式，同时会生成相关的日志信息。请注意，在此模式下，系统将继续执行上述的不符合策略规则的操作，但是要注意对这些操作进行记录和警告。

四、如何从Permissive模式返回到Enforcing模式

一旦我们确认了Selinux的配置和规则之后，通常会将其切换回Enforcing模式。这样可以保证我们的系统符合我们的安全策略，以便防止网络攻击和防止意外的系统故障。

要将Selinux返回到Enforcing模式，可以使用以下命令：

    # setenforce 1 

这将把系统设置回Enforcing模式，并每次启动时都将其设置为Enforcing模式。

五、如何配置Selinux Permissive模式

在Selinux Permissive模式下，我们可以通过以下方法来安排选定的对象或者进程来遵循Permissive模式的状态：

- 手动配置

我们可以通过编辑/etc/selinux/config文件来需夏系统上Selinux Permissive模式是否开启。在这个文件中，可以设置两个备选值：enforced或者permissive。必须重启系统才能装载任何新的Selinux策略。如果您不希望重启系统，则可以使用setenforce命令手动更改Selinux策略。

- 配置单个类别或对象

如果我们不希望某些Selinux策略规则遵循强制执行，可以对这些规则进行修改以遵循Permissive模式。

    # audit2allow -a -M mypolicy
    # semodule -i mypolicy.pp 

以上命令将Selinux策略转储到mypolicy.te文件中并生成了mypolicy.pp文件。在这个文件中，我们可以将促使策略遵循Permissive模式的值打开。最后，使用semodule -i命令将这个文件导入到系统中。

六、 Selinux Permissive模式的注意事项

要记住，当应用程序出于Permissive模式时，Selinux在日志中记录了不符合策略规则的操作，但不会阻止这些操作。这意味着使用Permissive模式时，系统具有较弱的安全性。除此之外，Selinux使用Permissive模式会增加系统漏洞的风险。因此，为了更好的系统安全性，不要过度使用Permissive模式。