Targeted policy

Targeted policy — модель политики SELinux, ограничивающая правилами mandatory access control прежде всего процессы, для которых определены защищённые домены. Обычные пользовательские процессы и службы, для которых не определён отдельный защищённый домен, могут выполняться в unconfined-доменах, например unconfined_t или unconfined_service_t, и подпадают под менее строгие ограничения SELinux. При проверке SELinux доступ определяется правилами политики, в том числе разрешениями между типами процессов и объектов: например, домен веб-сервера получает доступ лишь к разрешённым типам файлов, портов и сокетов. Эффективность зависит от корректной маркировки объектов, загруженных модулей политики и режима enforcing; в permissive нарушения лишь регистрируются. Targeted policy подходит для серверов общего назначения, где нужно ограничить наиболее рискованные сетевые службы при умеренной сложности сопровождения. При закупке и внедрении следует учитывать необходимость поддержки SELinux-контекстов в образах ОС, ПО и процедурах автоматизации. Она отличается от MLS policy, которая вводит уровни секретности и правила доминирования для субъектов и данных. Targeted policy также не является DAC: традиционные права Unix остаются действующими, но SELinux добавляет независимую проверку доступа.