8、安全防护/17、尚硅谷-Linux云计算-安全- SeLinux/58、尚硅谷-Linux云计算-安全防御 - SeLinux前世今生

大家好。欢迎大家继续收看上硅谷的Linux云计算视频。我是万老师。这张呢，我们会学习我们的s news。相信大家对他也不是那么陌生了，对吧，毕竟毕竟我们在配这些基础环境的时候经常强调他，对吧。那接下来呢，我们会分为这么三个篇章去给大家去讲解。第一个。Six的前世今生。第二个安全上下文，第三个。它的相关的布尔值设置。那首先我们先看第一个，也就是SX的前世今生。那首先呢，我们先问大家第一个问题，就是我们的操作系统安全吗？那只要是讲操作系统的话，基本上我们都会拿windownus和我们的Linux去对比，对吧？那很多人在心里的概念肯定就是嗯，Linus安全稳定可靠对吧？那这都是我们当时在对linu的这么一个评价，或者是他的一个呃，书立的标立的关键字。

那其实呢，不仅是稳定，还是可靠，对于Linux来说是肯定能够达成的。因为它的系统本身的bug非常之少。但是安全其实它跟Windows是一致的。我这句话说出来以后，大家可能在心里会产生一些疑问，对吧？嗯，怎么可能动不动就会有一些Windows的攻击事件出现，那linus基本上没听过对吧？原因是什么呢？首先Windows，我们这里如果排除Windows server的话，服务器端的话，也就是WIN7 win10和叉P。WIN7等等对吧，好像这种操作系统一般面向的都是一些民用的。也就意味着可能有大部分的都是在电脑小白手里。他们对安全的意识本来就比较差，这个也比较好理解，对吧，随便给他一个链接，说他有钱，他就能点进去。

那被攻击的，被攻击的。频率肯定会更高。其次他面向的既然是一个普通用户的话，容易上当的几率高的话，那对于一些。恶意代码的开发者，比如是一些木马的开发者，他主要目的就是为了盈利对吧。当然去攻击这一部分人。而另一边，对于Linux操作系统来说，大部分使用的都是专业的，我不能说100%对吧，但大部分的情况下都是专业的。那他的攻击手段有效的次数就会更低。其实人群也没有这么庞大。所以从攻击者的角度来看的话，他选择的就是Windows去作为攻击平台。我们不能说Windows差，对吧，只能说他被盯上了，你可以这样理解。这个跟我们的操作系统本身是没有任何相关性的。那因为这样的问题存在呢？所以呢，我们会发现可能对很多的印象都是Windows动不动蓝屏，系统不稳定等等，我们只能说明他们的侧重点不一样，Windows还是一个非常优秀的操作系统，尤其是在桌面端，为什么会蓝屏呢？你可以想象一下。

你的鼠标随便的点击会在底层执行大量的代码，而Linux大部分的情况下，我们都会使用我们的字符界面。他们干的事情就不一样。我并，我并不是为我们的Windows洗白，而是这是真心话。那我们再考虑它的安全性，其实如果两两个操作系统什么都不开启的话，不开启任何什么360啊这些乱七八糟东西。我们就讲它的内核。对于内核，内核也是一套我们的真正的软件，对吧，这个很好理解，内核也是软件啊，只不过是一个超大型的软件，仅此而已。对软件有一套安全评级。它的平均是从D开始。由D向A1去进步。也就自左向右的。

越向右，它的安全性级别越高。那对于Windows来说和我们的Linux来说，它的安全性评级都是在CR级别，都是在CR，所以从我们的内核的安全评级角度考虑的话，它都是安全性都是一致的。就是想给大家解决的第一个故障点，或者是第一个心里的有一个错误的点。就是他俩其实安全性也是一致的，不要说Linux到底有多安全。那既然是这样的话，我们就会想一些问题去把它解决了，对吧。那我们先想一下。对于古代来说。对于古代来说，我们要想去解决一些皇宫的问题，对吧，那里面可能住的都是一些皇帝，他们觉得住这里不安全怎么办？就像我们现在的操作系统，他觉得现在他不安全怎么办？在外面修了一圈护城河，对吧，护城河，那如果他觉得还不安全，再修一圈护城河再不安全再修一圈，那只要有人半夜偷摸的过来对吧，那刚浮出水面，这上面的一些监控人员是不是直接拿剑屁股一个爆头是不是就是了？

这是不是就可能加固我们的安全性啊，这个很好理解对吧。那对零六是不是其实也是一样的。对，Linux也是一样的。那零六是内核既然不安全，或B6是内核既然不安全的话，我们怎么办呢？给它加固。那加固的手段有很多种。但是呢，当时呢，没有太多的加固手段，是因为有一个人提出了一个口号，这个呢，我们也不陌生，叫丹尼斯里奇对吧。他是我们的C语言之父，对吧？他发表了这么一篇文章，关于unix的安全，首先面对的事实是UN的开发者并没有考虑安全问题，单单这一点就会引发大量的漏洞。这个其实对于我们来说也比较容易理解。还记得我们当时说。当时的口号开发的操作系统，口号是我们的什么多用户，实时高效。

这三者之间并没有包含所谓的安全性关系。所以从开发的这个软件的角度考虑的话。刚开始开发就没有考虑安全性，那何谈安全性之说呢？更别说我们的Linux是一个类，用你的操作系统，它俩可以理解为是同一类的，对吧。那所以自从丹尼斯里奇写了这么一篇文章以后，开发了开展了这么一次安全性的运动。那就会有大量的软件出来去干这件事情，有哪些呢？基本上分为这么四类。第一类，Ipboss。也就是我们的防火墙对吧，IP bos。第二类，TCP webs。TCP webs。TCBBS还记得在哪里出现的吗？ETC下的啊。内host内和host law还记得吧？只要我们的一些TCP的应用程序链接了我们lab web库的话，那就可以通过TCP web时去拒绝它的用户访问。

SL access ctrl历史的对吧，访问控制列表。它是在我们应用程序上去做了这么一个访问控制。I see。前面三个其实我们在之前的课程中我们都已经见过了，对吧，那news呢，是我们今天要讲的内容。这个东西呢，是我们如果对它做一个评价的话，可以这样去理解，它是我们现今为止人类能够想到的最安全的防御控制的手段。最安全之一对吧，当然也是之一了，那当然其实我的个人心目中对他的评价应该是第一的。你就可以想象到它到底有多安全。但是它的安全性也带来了一堆的问题。比如配置较为复杂。较为麻烦。举个例子，比如像我们之前的什么open，它都会有对应的对应的项目组，未来is去开发对应的软件包，自动化的配置S。

那比如我的学生还是比较多的，其中有个学生在中国银行。数据中心工作。那这个可以理解为是我们整个中国。较高一批档次的这么一个工作场所，对安全系统把控来说是较高档一次了。那他们呢，数据中心内部呢，依然没有开启SX。你说为什么不开啊？难道是他不好吗？其实不是不好，而是他真的太费事了，我们学完以后，你就知道他为什么我我们会对他评价说费事或者是麻烦这么一些关键字了。但他也是最优秀的，对吧，好。那这个东西的诞生呢，是归功于NASA的，也就是美国安全局。又是这个东西对吧，它开发出来的，它里面的一个，呃，博士开发出来的这么一个。软件。当这个软件要建立在一定的。逻型基础之上，逻辑基础之上的，那这个逻辑呢，我们把它叫做强制访问控制。

有这么一套规则体系。当主体主体访问客体的时候，必须要经过规则库，并且要满足防篡改、无旁路、可验证的这么一个三个特点。那这个怎么去理解呢？说什么是主体呢？比如我一个进程。我要去访问一个文件，或者是要一个数据。那它相当于这个进程呢，就是主体，谁是客体，那个文件就是客体。在我们的传统操作系统下，它叫任意访问控制。任意访问控制。何为任意呢？你只要满足RWX3的权限对应的关系，你就能做对应的事情。比如你要满足啊能读，对于文件来说，能读满，满足W可写，满足X可执行。

那如果我们开启了强制访问控制呢？什么是强制访问控制？我们现在的这套规则体系就是强制访问控制，需要大家注意一下。如果开启了强制访问控制以后。你说我的权限是777，那也没用。我们依然要去经过规则库判断你的这个主体跟客体之间有没有关系。允不允许你发问？并且这个规则户要求的是防篡改，你不能访问不了，你就把它给改了，对吧，无旁路。你不能说你经过这个规则库啊，不允许你访问，就绕一条路过来肯定不行，对吧，可验证留下对应的。日志数据记录。这就是我们所谓的强制法控制的这么一个。关系模型。那它最终诞生出来的软件呢，叫SX。I Linux，他在我们Linux里面也经历了一定的。呃，发展历程吧，在2.2版本的时候，它是一个外部模块，需要我们手动加载，在2.4的时候，它直接写到内核中的一个模块了，成为一个模块了，在2.6直接成为我们的Linux发行版本的模块了。

内核模块了。也就意味着在2.06的时候，它已经完全进入到我们的Linux内核内部了。类似于我们的net filter，对吧，已经成为我们的内核的一部分了。那你从这里也可以看出来他到底有多优秀，对吧？能成为内核的一部分，这里面的软件可没有一个是吃白饭的，能理解我的意思吧？那到底怎么去理解这个所谓的强制访问控制或者是news呢？那这里面有几幅漫画能够比较好的去说明一下我们的news的原理。这里有两个不同的。种族，一个是cat，一个是猫，一个是dog，狗，对吧？那当然上面写的是我们的trap，也就是我们的竞争类型。那这里呢，还有一个叫对象类型。有猫粮和狗粮。

猫去吃猫粮。这里allow允许对吧，狗吃狗粮允许。这就是我们正常时，正常时候访问的没问题。那如果有一天狗去吃猫粮。那内河流会站出来把他给拽住。那如果猫吃狗粮，同理。不允许他。这个其实就是我们所谓的强制访问控制，或叫类型强制。也就意味着我的访问者和我们的被访问者，也就主体和客体之间是存在一定联系的，并且定义的这个联系是允许的，并不是拒绝。需要大家注意一下。那除此以外呢？这叫类型强制，我们还有多类型强制，有两种不同的配置方案。多类型强，这它会更细一点。我们会发现类型强制只要是同一个物种就可以，它不管你是狗一还是狗二，猫一还是猫二，你只要是狗都能吃狗粮，只要是猫都能吃猫粮。那如果到了我们的多类型强制的话。同一个种族都不行，都是狗对吧，一个是非一个port。

那飞豆去吃飞豆的狗粮可以，飞豆去吃泡的狗粮不允许。这就是我们所谓的多类型强制防护控制。那其实我们讲了这么多，无外乎就想给大家灌输一个，灌输一个知识点，或者灌输一类知识点。第一个。第一个Linux。它的安全性并不比Windows高。那如果想加强它的Windows安全性怎么办？进行我们的。四层安全防御控制的配置。进行试试安装防御的配置。那IC6呢，又是我们今天要主要讲的对吧，那IC主要呢，就是通过我们这么一个。逻辑关系就达到了这么一个访问控制主体课题以及规则库。那这节课呢，就是我们先给大家去讲解的一些news的相关的一些内容。

那下节课我们继续。