Политика SELinux

Политика SELinux — скомпилированный набор правил, по которым подсистема Security-Enhanced Linux принимает решения о доступе. Она связывает процессы и объекты файловой системы, сокеты, порты и другие ресурсы с контекстами безопасности, содержащими типы и иные атрибуты. Правила определяют, какие домены могут выполнять операции над объектами определённых типов. Политика также может содержать определения пользователей SELinux, ролей, уровней MLS/MCS, сопоставления меток файлов и переходов доменов. В режиме enforcing запрещённые действия блокируются ядром и обычно фиксируются в журнале аудита. Политика SELinux применяется на Linux-системах, где требуется изолировать службы и ограничивать последствия компрометации процесса. При внедрении важны корректная маркировка объектов, настройка локальных модулей и анализ AVC-отказов, а не простое отключение SELinux. От DAC-разрешений Unix политика SELinux отличается тем, что проверяется дополнительно к правам владельца, группы и ACL. Type Enforcement является центральной, но не единственной частью политики SELinux: сама политика может включать также ролевые и многоуровневые правила.