| SELinux是Security Enhanced Linux的缩写，采用Flask体系增强Linux访问控制，如下图所示。SELinux安全体系由策略和实施组成，策略封装在安全服务器中，实施由对象管理器具体执行。
|
|
|
|
|
|
|
| SELinux的安全服务器采取混合的安全策略，主要包括类型实施（Type Enforcement）、基于角色的访问控制（Role-Based Access Control）和可选的多级别安全性（Optional Multilevel Security）。SELinux通过设置标记和安全策略规则实施Linux系统的强制访问控制。其中，SELinux系统定义用户对应相应角色，每个主体都有一个域（domain），每个客体都有一个类型（type）。SELinux的安全策略以规则形式表达。格式如下：
|
|
|
|
|
|
|
|
|
| 该规则的表示含义是：允许具有passwd_t域类型的进程读取、写入和创建具有shadow_t类型的文件，其目的是passwd程序以passwd_t类型运行，从而可以更改密码文件（/etc/shadow）。
|
|
|
| SELinux的强制访问控制有利于减缓网络攻击影响。假如将Apache进程标记为httpd_t，并将Apache内容标记为httpd_sys_content_t和httpd_sys_content_rw_t，而将信用卡数据存储在标记为mysqld_data_t的MySQL数据库中。当Apache进程被黑客入侵，虽然黑客可以控制httpd_t进程，并被允许读取httpd_sys_content_t文件并写入httpd_sys_content_rw_t。但是，Apache进程不允许黑客读取信用卡数据mysqld_data_t。
|
|
|
