SELinux策略开发与权限审查全解析
1. 访问权限审查
在进行系统安全管理时，正确审查访问权限至关重要。以下是审查访问权限的具体方法和工作原理：
-审查方法
1. 验证与SELinux无关的文件权限。
2. 验证对资源的直接访问，例如私钥的读取权限。
3. 查看哪些用户或应用程序有权操作SELinux策略。
4. 检查被授予对文件系统和原始设备直接访问权限的用户和域。
5. 确定何时可以直接访问内存。
6. 审查哪些人可以更新认证文件。
7. 分析哪些人可以启动系统。
-工作原理
审查访问权限是一个漫长的过程。仅仅查看文件所有权（用户和组）以及文件权限来确定谁能够实际读取或修改文件是不够的。还需要检查特权委托工具，如sudo（通过sudoers文件或LDAP服务器中的sudo配置），以及setuid应用程序访问、备份文件访问等。
SELinux提供的强制访问控制中，检查策略的访问权限是评估的重要部分，sesearch应用程序可以辅助完成这一任务。
-直接访问检查：要检查直接访问，需要查询访问权限（如资源的写入权限）以及重新标记权限。例如：
~# sesearch -t lvm_etc_t -c file -p write -ACST Found 6 semantic av rules: allow sysadm_t non_auth_file_type