银河麒麟系统安全机制-KYSEC

男娘i 2022-09-07 09:50 1447阅读 0赞

麒麟系统为什么称为国内最安全的Linux系统？秘密就在于KYSEC，麒麟系统安全机制。一般情况下Linux下默认的接入控制是DAC，其特点是资源的拥有者可以对他进行任何操作(读、写、执行)。当一个进程准备操作资源时，Linux内核会比较进程和资源的UID和GID，如果权限允许，就可以进行相应的操作。这种方式在实际使用中往往会带来一些问题，如果一个进程是以root的身份运行的，也就是他能对系统的任何资源进行操作，而且不被限制。假如我们的软件存在漏洞呢？这往往是一个灾难性的问题。因此，就引出了另外一种安全接入控制机制MAC。默认情况下，MAC不允许任何访问，组织可以开发任意数量的策略规则指定允许什么，从而避免很多攻击。MAC强制访问控制有三种实现方式：Apparmor、SELinux、kysec。

一、Apparmor

Apparmor是内核模块的一个安全框架，使用文件名作为安全标签。系统管理员通过将每个程序与一个安全配置文件关联，从而限制程序的功能。通过配置文件，你可以指定程序可以读、写或者运行哪些文件，是否可以打开网络端口等。

Apparmor是Ubuntu的默认选择。

二、SELinux

SELinux是美国国家安全局(NSA)对于强制访问控制的实现，是Linux历史上最杰出的系统安全子系统。通过给系统所有用户、进程、文件分别赋予一个安全标记，通过安全策略规则来实施安全控制；只有安全策略允许的操作才能执行成功，安全策略禁止或者没有定制安全策略的操作则执行失败。

三、KYSEC

KYSEC是基于kysec安全标记对执行程序、脚本文件、共享库、内核模块进行保护的一种安全机制。除了系统默认集成的执行程序、脚本文件、共享库、内核模块，任何外来的该4种文件，如拷贝、移动、下载、重新编译生成等，都必须添加到麒麟安全管理工具的相应白名单列表中，才能执行调用。会对白名单列表中的文件进行保护，保护文件不被修改、移动、删除。

1、安全模式

KYSEC有三种安全模式：

强制模式(Normal)：出现违规操作时，不止会审计记录该操作，还会阻止该操作的运行；警告模式(Warning)：出现违规操作时，会弹出麒麟安全授权认证框进行授权；软模式(Softmode)：出现违规操作时，只会审计记录该操作，而不会阻止该操作的运行。

2、使用介绍

1、查看当前kysec的相关安全状态

getstatus

显示结果如下：

![a929e39f4f276c841d07d2a4cec1648a.png][]

第一行Kysec status表示当前Kysec状态为normal；  
第二行exec control表示当前执行控制功能状态为警告；  
第三行net control表示当前网络控制功能状态为警告；  
第四行file protect表示当前文件保护功能为开；  
第五行kmod protect表示当前内核模块保护状态为开；  
第六行three protect表示当前三权分立状态为关；  
第七行process protect表示当前进程保护功能为开。

只有当相应功能的状态为开(on)时，其所控制的功能配置才能生效。

2、修改当前Kysec的相关安全状态

# 设置Kysec安全状态为软/强制模式；
    sudo setstatus softmode/normal 
     
    # 关闭执行控制功能状态：
    sudo setstatus -f exectl off
    
    # 开启执行控制功能状态：
    sudo setstatus -f exectl on
    
    # 关闭内核模块保护功能
    sudo setstatus -f kmod off
    
    # 关闭文件保护功能
    sudo setstatus -f fpro off

3、查看Kysec安全标记

kysec_get /usr/sbin/kysec_get

显示结果如下：

![8901cfd46d3530273e0f76f678998c42.png][]

标记说明如下：

![cb8ab5f2d4468419517233664816e290.png][]

4、配置Kysec安全标记

kysec_set [-r] -n exectl/protect/userid -v 标记符号 file

设置文件或目录的kysec安全标记；exectl对应执行控制标记，protect对应文件保护标记，userid对应文件身份标记；(strict安全模式时，只有secadm可以执行)

例子：

sudo kysec_set -n exectl -v original /tmp/ls

参考链接：[https://zhuanlan.zhihu.com/p/349663329][https_zhuanlan.zhihu.com_p_349663329]

[a929e39f4f276c841d07d2a4cec1648a.png]: /images/20220829/960780b7fa2744f4baef29ccfe763894.png
[8901cfd46d3530273e0f76f678998c42.png]: /images/20220829/1eb6ea6064b340f590f8934aa51ecf76.png
[cb8ab5f2d4468419517233664816e290.png]: /images/20220829/a8c127562dbd4190b7f543d5ee9e28b7.png
[https_zhuanlan.zhihu.com_p_349663329]: https://zhuanlan.zhihu.com/p/349663329