如何借助SELinux强制访问控制策略阻断非法系统调用链路

SELinux不拦截系统调用链路，而是在LSM钩子点对每次操作基于安全上下文标签与策略规则独立裁决；其防护效果源于进程域限制、资源类型隔离、禁止跨域提权及能力约束等静态策略设计。

SELinux 本身不直接拦截或阻断“系统调用链路”（如 execve → openat → mmap 等内核调用序列），它不工作在系统调用层面做动态链路追踪。它的强制访问控制（MAC）是基于**安全上下文标签匹配策略规则**的静态决策机制，核心动作发生在内核 LSM（Linux Security Module）钩子点上——比如进程尝试打开文件、绑定端口、执行程序时，SELinux 根据该进程的域（domain）类型与目标资源的类型（type）是否被策略允许，当场放行或拒绝。

关键原理：不是链路检测，而是单次操作裁决

SELinux 不分析“调用链”，而是对每一次受控操作独立判断：

• 当一个进程（如 httpd_t）试图 execve 一个二进制文件，SELinux 检查该文件是否标记为 httpd_exec_t，且策略中存在 allow httpd_t httpd_exec_t : file execute 规则；
• 当同一进程后续 openat("/etc/shadow")，SELinux 检查该文件是否为 shadow_t 类型，并检查是否有 allow httpd_t shadow_t : file read ——通常没有，于是拒绝；
• 整个过程无状态关联，“execve 是否合法”与“后续 open 是否合法”完全独立，不存在“因前序调用而影响后序权限”的链式逻辑。

真正能阻断非法行为的方式是类型隔离与最小授权

所谓“阻断非法系统调用链路”，实际效果来自以下策略设计：

• 进程域严格限定：Web 服务进程运行在 httpd_t 域，该域只被允许读取 httpd_sys_content_t 文件、监听 http_port_t 端口、执行 httpd_exec_t 二进制，无法访问 user_home_t、admin_home_t 或 ssh_key_t 等敏感类型；
• 文件/端口打标精准：/etc/passwd 标为 passwd_file_t，/root/.ssh/id_rsa 标为 ssh_key_t，这些类型默认不被任何非特权域（如 httpd_t、mysqld_t）读取；
• 禁止跨域继承与提升：策略中禁用 allow httpd_t self : process transition（除非显式允许），防止通过 execve 切换到更高权限域（如 staff_t 或 sysadm_t）；
• 限制 capability 使用：即使进程有 CAP_SYS_ADMIN，SELinux 仍可拒绝其对 security_t 类型对象的操作（如修改 SELinux 状态），形成能力与策略的双重约束。

辅助手段增强调用边界控制

若需更细粒度干预系统调用行为，SELinux 需配合其他机制：

• 结合 seccomp-bpf：在进程启动时加载 seccomp 过滤器，直接禁止 execve、ptrace、open_by_handle_at 等高危系统调用——这属于用户态策略，SELinux 不参与，但两者可共存；
• 启用 deny_unknown（谨慎使用）：在策略中设置 deny_unknown=1，使所有未明确定义类型的客体默认拒绝访问，缩小隐式放行面；
• 审计异常调用链：用 auditctl 监控 execve + openat 组合事件，再通过 ausearch 提取可疑模式，人工补充 neverallow 规则（如 neverallow httpd_t { file_dir_type }: dir search），从策略源头封堵路径遍历类行为。

典型误操作与规避建议

常见错误做法会削弱实际防护效果：

• 把所有文件都 chcon -t bin_t ——破坏类型隔离，导致任意进程都可能执行任意二进制；
• 全局开启 setsebool allow_ftp_anon_write=on ——绕过类型约束，使匿名 FTP 可写入 public_content_t 目录，形成提权跳板；
• 仅依赖 permissive 模式收集日志却不生成针对性策略 ——等于放弃 MAC 的强制性，只剩日志记录功能。