VIP20

本课程属于：016-系统应用定制与模块边界 移动端与Android应用开发 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

SELinux策略编写与沙箱隔离指南

共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

SELinux基础架构与安全上下文

了解SELinux三种模式 · 上下文格式 · type/role/user含义

SELinux基础架构

安装与启用SELinux

配置/etc/selinux/con… · 设置enforcing/permis… · 使用setenforce

核心策略源文件结构

下载reference policy · 解包 · 理解te/m4/if/conf目录

核心策略源文件结…reference

编写第一个本地策略模块

使用checkmodule · semodule_package构建… · 编译加载并验证生效

编写第一个本地策…checkmodule

类型强制规则（TE规则）

allow/neverallow/t… · 属性与别名 · 编写简单示例

TE类型强制规则

文件上下文与标签分配

使用semanage fcontex… · restorecon · matchpathcon

文件上下文标签分配

布尔值与策略开关

使用getsebool/setseb… · semanage boolean · 布尔值在策略中的定义

布尔值策略开关

SELinux用户与角色映射

semanage user/role · 登录用户到SELinux用户映射 · 多级安全策略基础

多级别安全（MLS）策略配置

定义敏感度 · 范畴 · 编写MLS规则

MLS多级别安全

策略调试工具与日志分析

avc审计日志格式 · ausearch · audit2why

策略调试工具日志分析

编写允许策略与白名单

分析域违规 · 生成最低权限策略 · 手动优化allow规则

编写允许策略白名单

强制策略测试与单元验证

使用seinfo · sesearch查询策略 · test本地模块

强制策略测试单元验证

沙箱隔离原理与工具介绍

sandbox命令 · seccomp · Linux namespace

沙箱隔离原理工具介绍

使用sandbox命令运行隔离应用

命令参数 · 文件系统限制 · 网络隔离

自定义沙箱策略模块

为沙箱应用编写专用域 · 限制文件/网络/设备访问权限

自定义沙箱策略模…为沙箱应用编写专…

沙箱中的X11与图形隔离

限制X server访问 · 沙箱内图形程序配置 · policy for wayland

沙箱中的临时文件与/tmp隔离

使用tmpfs · private /tmp · 策略内管理临时文件上下文

网络沙箱与防火墙集成

利用iptables/nftable… · SELinux网络上下文 · 沙箱内网络限制

网络沙箱防火墙集成

沙箱日志与审计集成

配置auditd · 过滤沙箱相关事件 · 设置告警规则

沙箱日志审计集成

策略优化与性能调优

减少不必要的权限 · 使用permissive domai… · 调整缓存

策略优化性能调优

策略部署与升级流程

打包策略模块 · 远程分发 · 滚动升级

策略部署升级流程

常见错误排查与修复

策略加载失败 · 文件标签不正确 · 域切换失败

常见错误排查修复

安全审计与合规检查脚本

编写脚本检查策略风险 · 扫描不安全的allow规则 · 生成报告

安全审计合规检查脚本

SELinux策略与systemd集成

为systemd服务定义安全上下文 · 使用ExecStartPost设置标…

多域沙箱应用实战

同时运行多个沙箱应用 · 隔离域间通信 · 使用unix socket控制

多域沙箱应用实战同时运行多个沙箱…

策略模块单元测试框架

编写CUnit或shell测试 · 使用checkmodule验证 · CI集成

策略模块单元测试…CUnit

SELinux+沙箱实战案例

Web服务器沙箱 · 数据库沙箱 · 用户程序沙箱

SELinux+沙箱实战案例

总结与最佳实践

策略编写规范 · 沙箱设计原则 · 常见陷阱

最佳实践策略编写规范

容器环境中的SELinux

容器环境中的SELinux · 核心概念 · 实践要点

SELinux容器环境

为容器编写SELinux策略

定义容器类型 · 编写允许规则 · 测试容器内进程隔离

SELinux为容器编写