在企業級伺服器與雲端基礎設施中，強化作業系統層級的安全性是抵禦潛在威脅的關鍵防線。SELinux（Security-Enhanced Linux）作為內建於 Linux 核心的強制存取控制（MAC）框架，提供了比傳統自主存取控制（DAC）更嚴謹的權限管理模型。然而，僅啟用 SELinux 並不足以發揮其潛力。有效的安全策略有賴於管理者對其運作模式與策略類型的深刻理解。從選擇 enforcing 或 permissive 模式以平衡安全性與系統穩定性，到根據應用場景挑選 targeted 或 mls 策略，每個配置決策都直接影響系統的防護能力。本文旨在系統性梳理 SELinux 的核心配置方法與管理實務，協助技術人員建立穩固的系統安全基礎。

策略應用與考量

在實際部署 SELinux 時，選擇正確的策略類型是首要步驟。這需要深入評估組織的業務需求、面臨的安全威脅以及現有的 IT 基礎設施。

例如，對於一個提供多種網路服務的伺服器，目標策略提供了良好的平衡點，能夠有效保護關鍵服務的同時，不至於過度限制系統的靈活性。如果組織處理的資訊涉及高度敏感的機密等級，那麼 MLS 策略將是更為合適的選擇，儘管其配置和管理相對複雜。而對於資源極度有限的嵌入式設備，最小策略則能以較低的系統開銷提供基本的安全保障。

理解這些策略類型的差異，並結合實際應用場景進行權衡，是成功應用 SELinux 的關鍵。這不僅僅是技術的選擇，更是對組織安全策略的具體實踐。

!define DISABLE_LINK !define PLANTUML_FORMAT svg !theme none

強化系統安全性的策略框架：SELinux 的配置與管理

在現代資訊安全架構中，系統安全性的強化扮演著至關重要的角色。其中，SELinux（Security-Enhanced Linux）作為一種強制存取控制（MAC）機制，為 Linux 作業系統提供了額外的安全層級。儘管 SELinux 預設已具備基本配置，能夠直接啟用其安全功能，但為了滿足特定系統的嚴格安全需求，進行客製化配置與管理是不可或缺的。

核心配置與模式設定

SELinux 的主要配置集中於 /etc/selinux 目錄下，其中 /etc/selinux/config 文件是進行模式與策略類型設定的核心。此文件定義了 SELinux 的運行狀態與安全策略的適用範圍。

SELinux 模式選項：

• enforcing (強制執行)：在此模式下，SELinux 安全策略被嚴格執行，任何違反策略的行為都會被阻止。
• permissive (寬容模式)：SELinux 在此模式下會記錄違反策略的行為，但不會實際阻止，主要用於偵錯與策略開發。
• disabled (禁用)：SELinux 功能完全關閉，系統將不受其安全機制的約束。

SELinux 策略類型選項：

• targeted (目標導向)：僅保護系統中預設的特定服務與程序，是目前最常見的策略類型。
• minimum (最小化)：對目標導向策略進行修改，僅保護部分選定的程序。
• mls (多層安全)：提供更嚴謹的多層安全保護，適用於對資訊敏感度極高的環境。

運作模式的檢視與調整

要了解 SELinux 當前的運行模式，可透過 getenforce 指令進行查詢。若要同時檢視當前模式與配置文件中設定的模式，sestatus 指令則能提供更詳盡的資訊，包含 SELinux 的啟用狀態、掛載點、根目錄、載入的策略名稱、當前模式、配置文件模式、MLS 狀態、deny_unknown 狀態、記憶體保護檢查狀態以及最大核心策略版本。

@startuml
!define DISABLE_LINK
!define PLANTUML_FORMAT svg
!theme _none_

skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 16
skinparam minClassWidth 100

rectangle "系統核心" {
  component "SELinux 模組" as SELinux
  SELinux -- "核心策略引擎" : 執行
  SELinux -- "安全上下文管理" : 管理
}

rectangle "使用者空間" {
  component "系統服務" as Services
  component "應用程式" as Apps
}

SELinux -- Services : 應用策略
SELinux -- Apps : 應用策略

rectangle "配置管理" {
  file "/etc/selinux/config" as ConfigFile
  ConfigFile -- SELinux : 設定模式與類型
}

rectangle "診斷工具" {
  component "getenforce" as GetEnforce
  component "sestatus" as Sestatus
  component "setenforce" as SetEnforce

  GetEnforce -- SELinux : 查詢模式
  Sestatus -- SELinux : 查詢狀態與模式
  SetEnforce -- SELinux : 變更模式 (非禁用)
}

ConfigFile : SELINUX=enforcing\nSELINUXTYPE=targeted

GetEnforce --> "顯示當前模式"
Sestatus --> "顯示詳細狀態"
SetEnforce --> "即時調整模式"

@enduml

看圖說話：

此圖示描繪了 SELinux 在 Linux 系統中的核心架構與管理流程。系統核心中的 SELinux 模組是安全策略的執行者，它與核心策略引擎協同工作，並負責管理文件的安全上下文。使用者空間的系統服務與應用程式都受到 SELinux 策略的約束。配置管理層面，/etc/selinux/config 文件是關鍵，它定義了 SELinux 的運行模式（如 enforcing、permissive）與策略類型（如 targeted）。診斷工具如 getenforce 和 sestatus 用於查詢當前狀態，而 setenforce 指令則允許即時調整運行模式，但無法直接禁用 SELinux。這種架構確保了系統安全性的層層遞進與彈性管理。

模式即時調整與持久化

setenforce 指令能夠即時變更 SELinux 的運行模式。例如，將模式從 enforcing 變更為 permissive，可透過 setenforce 0 指令完成。然而，需要注意的是，setenforce 的變更僅是暫時性的，僅影響當前運行階段。當系統重新啟動後，SELinux 的運行模式將會恢復至 /etc/selinux/config 文件中所設定的值。因此，若要永久性地改變 SELinux 的模式，必須修改該配置文件，然後重新啟動系統。

從禁用模式切換至啟用模式的注意事項

從 disabled 模式切換至 enforcing 或 permissive 模式時，系統在重新啟動後會自動觸發檔案系統的重新標記（relabeling）過程。此過程旨在檢查並修正所有文件的安全上下文，確保其符合新模式下的策略要求。對於檔案數量龐大的系統，這個重新標記過程可能需要相當長的時間，期間系統可能會顯示「*** Warning – SELinux targeted policy relabel is required.」的提示訊息。因此，在進行此類轉換時，應預留足夠的時間，並謹慎操作。

!theme none !define DISABLE_LINK !define PLANTUML_FORMAT svg

強化系統安全性的 SELinux 核心機制

掌握 SELinux 的運作模式與策略配置

SELinux（Security-Enhanced Linux）作為 Linux 核心安全模組（LSM）的一環，提供了一套強大的強制存取控制（MAC）機制，用以提升系統的安全性。其核心在於定義並執行嚴謹的存取規則，確保系統資源僅能被授權的主體（Subject）以允許的方式存取客體（Object）。理解 SELinux 的運作模式與策略配置，是有效管理系統安全性的關鍵第一步。

SELinux 的運作模式主要分為三種：disabled、enforcing 及 permissive。當系統處於 disabled 模式時，SELinux 的所有功能均被停用，系統安全控制回歸傳統的自主存取控制（DAC）。enforcing 模式是 SELinux 的預設且最為嚴謹的模式，在此模式下，SELinux 會積極地記錄並阻擋任何違反安全策略的存取嘗試。相對地，permissive 模式雖然仍會記錄違反策略的行為，但並不會實際阻擋這些存取，這使得它成為一個極佳的除錯與策略調校工具。系統管理員可以透過修改 /etc/selinux/config 檔案中的 SELINUX= 參數來切換這些模式。

模式切換的策略考量

在實際應用中，模式的選擇需基於系統的穩定性與安全需求。對於已部署且運行穩定的生產環境，直接啟用 enforcing 模式可能引發預期外的服務中斷，此時可先將 SELinux 設定為 permissive 模式，透過觀察系統日誌（如 audit.log）來識別並修正潛在的策略衝突。一旦策略調校完成，再將模式切換至 enforcing，以達到最高的安全防護。

策略類型的選擇與影響

除了運作模式，SELinux 的策略類型（Policy Type）更是決定了其安全控制的細緻程度與範圍。主要的策略類型包括 targeted、minimum 與 mls。targeted 策略是目前最常見的預設類型，它僅針對特定、已知的潛在威脅目標進行保護，例如網路服務 daemon。minimum 策略則是在 targeted 的基礎上，進一步精簡了被保護的處理程序範圍。而 mls（Multi-Level Security）策略則提供了更為嚴謹的多層級安全模型，適用於需要高度機密性與嚴格存取分級的環境。

選擇不同的策略類型，意味著系統將套用不同的存取規則集合。例如，若要啟用 mls 或 minimum 策略，必須確保系統已安裝相應的策略套件。通常，可以使用套件管理工具（如 yum 或 apt）來檢查與安裝這些套件，例如執行 yum list selinux-policy-mls 或 sudo apt-cache policy selinux-policy-minimum。策略類型的變更同樣需要透過編輯 /etc/selinux/config 檔案中的 SELINUXTYPE= 參數來完成，並在系統重新啟動後生效。

@startuml
!define DISABLE_LINK
!define PLANTUML_FORMAT svg
!theme _none_

skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 16
skinparam minClassWidth 100

rectangle "系統核心" {
  rectangle "SELinux 模組" as SELinux {
    rectangle "運作模式" as Mode {
      state "Disabled" as Disabled
      state "Permissive" as Permissive
      state "Enforcing" as Enforcing
    }
    rectangle "策略類型" as PolicyType {
      state "Targeted" as Targeted
      state "Minimum" as Minimum
      state "MLS" as MLS
    }
  }
  rectangle "核心安全策略" as CorePolicy
  rectangle "存取控制引擎" as AccessControlEngine
}

SELinux --> CorePolicy : 設定
CorePolicy --> AccessControlEngine : 執行規則
AccessControlEngine --> "系統資源" : 監控與控制

Mode --> SELinux : 影響運作狀態
PolicyType --> SELinux : 定義安全範圍

Disabled --> Enforcing : 模式切換
Permissive --> Enforcing : 模式切換
Enforcing --> Permissive : 模式切換

Targeted --> PolicyType : 策略選擇
Minimum --> PolicyType : 策略選擇
MLS --> PolicyType : 策略選擇

@enduml

看圖說話：

此圖示描繪了 SELinux 在 Linux 系統中的核心架構與運作關聯。系統核心透過 SELinux 模組來實現其強大的安全控制功能。SELinux 模組包含兩個關鍵的配置維度：運作模式（Mode）與策略類型（Policy Type）。運作模式決定了 SELinux 是完全停用、僅記錄違規行為（Permissive），還是積極阻擋違規行為（Enforcing）。策略類型則定義了 SELinux 的安全控制範圍，例如僅保護特定目標（Targeted）、保護範圍更小（Minimum），或是實現嚴謹的多層級安全（MLS）。這些模式與策略的設定，共同構成了 SELinux 的核心安全策略，並由存取控制引擎來實際執行，監控與控制對系統資源的存取。圖中顯示了不同模式與策略之間的切換與選擇關係，以及 SELinux 如何與系統資源互動。

好的，這是一篇為您的SELinux技術文章撰寫的「玄貓風格」結論。

結論：從技術配置到治理智慧的躍升

縱觀SELinux的部署策略，其核心不僅是技術指令的選擇，更是一場關於系統韌性與營運彈性的深度權衡。許多管理者常陷入 enforcing 與 disabled 的二元迷思，卻忽略了 permissive 模式所提供的寶貴緩衝區；這不僅是技術偵錯的空間，更是從實際營運數據中提煉安全策略的修煉場。從寬容到強制，這個過程反映的並非單純的權限收緊，而是基於實證、逐步建立系統信任邊界的成熟治理思維。

展望未來，隨著基礎設施即代碼（IaC）與自動化維運的普及，靜態的安全配置將難以應對動態威脅。能夠將SELinux策略管理融入自動化流程，實現安全策略的持續整合與交付，將成為衡量資深技術領導者前瞻視野的關鍵指標。

玄貓認為，精通SELinux不僅是技術能力的展現，更是管理者在風險與效率之間尋求動態平衡的策略智慧體現。將其視為持續優化的治理框架，而非一次性設定的工具，方能真正實現深度安全。