第 18 章 强制访问控制

几乎所有标签策略模块配置的方面都可以使用基本系统工具来完成。这些命令提供了一个简单的界面，用于对象或主体的配置，或者用于配置的操作和验证。

所有的配置都可以使用 setfmac 来完成， setfmac 用于在系统对象上设置 MAC 标签，而 setpmac 用于在系统主体上设置标签。例如，要在 test 上将 biba MAC 标签设置为 high，可以使用以下命令：

如果配置成功，将返回无错误的提示。常见的错误是 Permission denied，通常发生在对受限对象设置或修改标签时。其他情况可能导致不同的失败。例如，文件可能不是尝试重新标记对象的用户拥有的，对象可能不存在，或者对象可能是只读的。强制策略将不允许进程重新标记文件，可能是因为文件的属性、进程的属性或建议的新标签值的属性。例如，如果以低完整性运行的用户尝试更改高完整性文件的标签，或者以低完整性运行的用户尝试将低完整性文件的标签更改为高完整性标签，这些操作将失败。

系统管理员可以使用 setpmac 命令通过为调用的进程分配不同的标签来覆盖策略模块的设置：

对于当前正在运行的进程，例如 sendmail ，通常使用 getpmac 命令。该命令使用进程 ID（PID）代替命令名称。如果用户尝试操作不在其访问权限范围内的文件，根据加载的策略模块的规则，将显示 操作不允许（Operation not permitted） 的错误。

一些支持标签功能的 FreeBSD 策略模块提供了三个预定义标签：low、equal 和 high，其中：

这些策略模块包括 mac_biba(4)、mac_mls(4) 和 mac_lomac(4)。每个预定义标签都建立了不同的信息流指令。请参考模块的手册页面以确定通用标签配置的特性。

Biba 和 MLS 策略模块支持一个数字标签，可以设置为指示精确的层次控制级别。这个数字级别用于将信息分区或分类到不同的分类组中，只允许访问该组或更高级别的组。例如：

可以解释为 “Biba 策略标签/等级 10：隔间 2，3 和 6：（等级 5 …​ ）”

在这个例子中，第一等级被认为是具有有效隔间的有效等级，第二等级是低等级，最后一个是高等级。在大多数配置中，这样细粒度的设置是不需要的，因为它们被认为是高级配置。

系统对象只有当前等级和隔间。系统主体反映了系统中可用权限的范围，以及网络接口，它们用于访问控制。

在一个主体和对象对中，等级和隔间被用来构建一种被称为“优势”的关系，其中主体优势于对象，对象优势于主体，两者互不优势，或者两者互相优势。当两个标签相等时，会出现“两者互相优势”的情况。由于 Biba 的信息流特性，用户对一组可能对应于项目的隔间拥有权限，但对象也有一组隔间。用户可能需要使用 su 或 setpmac 来对其权限进行子集化，以便从受限制的隔间中访问对象。

用户需要具有标签，以便他们的文件和进程能够与系统上定义的安全策略正确交互。这是通过在 /etc/login.conf 中使用登录类进行配置的。每个使用标签的策略模块都会实现用户类设置。

要设置用户类的默认标签，该标签将由 MAC 强制执行，请添加一个 label 条目。下面显示了一个包含每个策略模块的示例 label 条目。请注意，在实际配置中，管理员永远不会启用每个策略模块。建议在实施任何配置之前先阅读本章的其余部分。

用户无法修改默认值，但他们可以在登录后更改标签，但必须符合策略的限制。上面的示例告诉 Biba 策略，进程的最小完整性为 5，最大完整性为 15，默认有效标签为 10。进程将在 10 上运行，直到它选择更改标签，可能是由于用户使用 setpmac，该操作将受到 Biba 配置范围的限制。

对于 login.conf 的任何更改，必须使用 cap_mkdb 重新构建登录类能力数据库。

许多网站拥有大量用户，需要多个不同的用户类别。这需要进行深入的规划，因为这可能变得难以管理。

可以在网络接口上设置标签来帮助控制数据在网络中的流动。使用网络接口标签的策略与对象相关的策略的功能相同。例如，在 Biba 中设置为高级别的用户将不被允许访问标签为 低（low） 的网络接口。

在设置网络接口的 MAC 标签时，可以通过 ifconfig 传递 maclabel 参数：

这个示例将在 bge0 接口上设置 biba/equal 的 MAC 标签。当使用类似于 biba/high(low-high) 的设置时，应该将整个标签用引号括起来，以防止返回错误。

每个支持标签的策略模块都有一个可调节项，可以用来禁用网络接口上的 MAC 标签。将标签设置为 equal 将产生类似的效果。请查看 sysctl 的输出、策略手册页面以及本章节中的其他信息，以获取有关这些可调节项的更多信息。

模块名称：mac_seeotheruids.ko

内核配置行：options MAC_SEEOTHERUIDS

启动选项：mac_seeotheruids_load ="YES"

mac_seeotheruids(4) 模块扩展了 security.bsd.see_other_uids 和 security.bsd.see_other_gids sysctl 可调整参数。该选项在配置之前不需要设置任何标签，并且可以与其他模块透明地协同工作。

加载模块后，可以使用以下 sysctl 可调整项来控制其功能：

模块名称：mac_bsdextended.ko

内核配置行：options MAC_BSDEXTENDED

启动选项：mac_bsdextended_load ="YES"

mac_bsdextended(4) 模块实施了一个文件系统防火墙。它为标准文件系统权限模型提供了扩展，允许管理员创建类似防火墙的规则集来保护文件系统层次结构中的文件、实用程序和目录。当尝试访问文件系统对象时，将迭代规则列表，直到找到匹配的规则或到达末尾为止。可以使用 security.mac.bsdextended.firstmatch_enabled 来更改此行为。与 FreeBSD 中的其他防火墙模块类似，可以使用 rc.conf(5) 变量在系统启动时创建和读取包含访问控制规则的文件。

规则列表可以使用 ugidfw(8) 输入，其语法类似于 ipfw(8)。通过使用 libugidfw(3) 库中的函数，可以编写更多的工具。

在加载了 mac_bsdextended(4) 模块之后，可以使用以下命令列出当前的规则配置：

默认情况下，没有定义任何规则，所有内容都是完全可访问的。要创建一个规则，阻止用户的所有访问，但不影响 root 用户：

虽然这个规则很容易实现，但它是一个非常糟糕的想法，因为它会阻止所有用户发出任何命令。一个更现实的例子是阻止 user1 访问 user2 的主目录，包括目录列表。

可以使用 not uid user2 来代替 user1，以便为所有用户强制相同的访问限制。然而，这些规则对 root 用户无效。

模块名称：mac_ifoff.ko

内核配置行：options MAC_IFOFF

启动选项：mac_ifoff_load ="YES"

mac_ifoff(4) 模块用于动态禁用网络接口，并防止在系统启动期间启用网络接口。它不使用标签，也不依赖于任何其他 MAC 模块。

大部分该模块的控制是通过这些 sysctl 可调参数进行的：

mac_ifoff(4) 的最常见用途之一是在启动序列期间不允许网络流量的环境中进行网络监控。另一个用途是编写一个脚本，使用类似 security/aide 的应用程序，在受保护的目录中发现新文件或更改文件时自动阻止网络流量。

模块名称：mac_portacl.ko

内核配置行：MAC_PORTACL

引导选项：mac_portacl_load ="YES"

mac_portacl(4) 模块用于限制绑定到本地 TCP 和 UDP 端口，使非 root 用户能够绑定到指定的特权端口（低于 1024）。

一旦加载，该模块将在所有套接字上启用 MAC 策略。以下可调整项可用：

默认情况下，只有以 root 身份运行的特权进程才能使用小于 1024 的端口。要允许非特权进程绑定到小于 1024 的端口，可以按照以下方式设置 mac_portacl(4) 中的可调整参数：

为了防止 root 用户受到此策略的影响，请将 security.mac.portacl.suser_exempt 设置为非零值。

为了允许 UID 为 80 的 www 用户在不需要 root 权限的情况下绑定到端口 80：

下面的示例允许具有 UID 为 1001 的用户绑定到 TCP 端口 110（POP3）和 995（POP3s）：

模块名称：mac_partition.ko

内核配置行：options MAC_PARTITION

启动选项：mac_partition_load ="YES"

mac_partition(4) 策略根据进程的 MAC 标签将其分配到特定的“分区”中。大部分该策略的配置都是使用 setpmac(8) 完成的。该策略有一个可调整的 sysctl 参数。

当启用此策略时，用户只能查看他们自己的进程以及其所在分区的其他进程，但不允许使用超出该分区范围的实用工具。例如，属于 不安全（insecure） 类别的用户将无法访问 top 以及许多其他需要生成进程的命令。

这个例子将 top 添加到 insecure 类别中的用户标签集合中。所有由 insecure 类别中的用户生成的进程都将保持在 partition/13 标签中。

该命令显示分区标签和进程列表：

该命令显示另一个用户的进程分区标签以及该用户当前正在运行的进程：

模块名称：mac_mls.ko

内核配置行：options MAC_MLS

启动选项：mac_mls_load ="YES"

mac_mls(4) 策略通过执行严格的信息流策略来控制系统中主体和对象之间的访问。

在 MLS 环境中，每个主体或对象的标签中都设置了一个“许可（clearance）”级别，以及隔间。由于这些许可级别可以达到几千以上的数字，彻底配置每个主体或对象将是一项艰巨的任务。为了减轻这种管理负担，该策略中包括了三个标签： mls/low，mls/equal 和 mls/high，其中：

MLS 提供以下功能：

以下是可用的 sysctl 可调整参数：

要操作 MLS 标签，请使用 setfmac(8)。要为对象分配一个标签：

获取文件 test 的 MLS 标签：

另一种方法是在 /etc/ 目录下创建一个主策略文件，该文件指定了 MLS 策略信息，并将该文件提供给 setfmac 命令。

当使用 MLS 策略模块时，管理员计划控制敏感信息的流动。默认的 block read up block write down 将所有内容设置为低状态。所有内容都是可访问的，管理员会逐渐增加信息的机密性。

除了三种基本的标签选项之外，管理员还可以根据需要将用户和组进行分组，以阻止它们之间的信息流动。使用描述性词语，如 机密、秘密 和 绝密 来查看清除级别的信息可能更容易。一些管理员根据项目级别创建不同的组。无论分类方法如何，都必须在实施限制性政策之前制定一个经过深思熟虑的计划。

MLS 策略模块的一些示例情况包括电子商务网站服务器、存储关键公司信息的文件服务器和金融机构环境。

模块名称：mac_biba.ko

内核配置行：options MAC_BIBA

启动选项：mac_biba_load ="YES"

mac_biba(4) 模块加载了 MAC Biba 策略。该策略与 MLS 策略类似，但信息流动规则略有不同。这是为了防止敏感信息的向下流动，而 MLS 策略则防止敏感信息的向上流动。

在 Biba 环境中，每个主体或对象都会设置一个“完整性（integrity）”标签。这些标签由层次等级和非层次组成。随着等级的提升，完整性也会提高。

支持的标签有 biba/low、biba/equal 和 biba/high，其中：

Biba 提供：

以下可调整项可用于操作 Biba 策略：

要访问系统对象上的 Biba 策略设置，请使用 setfmac 和 getfmac 命令：

完整性与敏感性不同，用于确保信息不被不受信任的方进行篡改。这包括主体和对象之间传递的信息。它确保用户只能修改或访问他们被明确授权的信息。 mac_biba(4) 安全策略模块允许管理员配置用户可以查看和调用哪些文件和程序，同时确保这些程序和文件对该用户是可信的。

在初始规划阶段，管理员必须准备好将用户分成等级、级别和领域。一旦启用了该策略模块，系统将默认为高级别，并由管理员配置用户的不同等级和级别。与使用许可级别不同，一个好的规划方法可以包括主题。例如，只允许开发人员对源代码仓库、源代码编译器和其他开发工具进行修改访问。其他用户将被分组到其他类别，如测试人员、设计师或最终用户，并且只允许读取访问权限。

较低完整性的主体无法向较高完整性的主体写入，而较高完整性的主体无法列出或读取较低完整性的对象。将标签设置为最低等级可能会使主体无法访问。此安全策略模块的一些潜在环境包括受限的 Web 服务器、开发和测试机器以及源代码存储库。较少有用的实现可能是个人工作站、用作路由器的机器或网络防火墙。

模块名称：mac_lomac.ko

内核配置行：options MAC_LOMAC

启动选项：mac_lomac_load ="YES"

与 MAC Biba 策略不同， mac_lomac(4) 策略允许在降低完整性级别以不破坏任何完整性规则的情况下访问较低完整性对象。

低水位完整性策略与 Biba 几乎完全相同，唯一的区别是使用浮动标签来支持通过辅助等级隔离主体。这个辅助等级隔离采用 [auxgrade] 的形式。当分配一个带有辅助等级的策略时，使用语法 lomac/10[2]，其中 2 是辅助等级。

该策略依赖于对所有系统对象进行普遍标记的完整性标签，允许主体从低完整性对象读取，并通过 [auxgrade] 将主体的标签降级，以防止将来对高完整性对象进行写入。与 Biba 相比，该策略可能提供更高的兼容性，并且需要较少的初始配置。

与 Biba 和 MLS 策略类似，setfmac 和 setpmac 用于给系统对象打上标签：

辅助等级 low 是仅由 MACLOMAC 策略提供的一个特性。

在 /etc/login.conf 中添加以下用户类别，开始该过程：

然后，在默认用户类部分添加以下行：

保存修改并执行以下命令以重建数据库：

使用以下命令将 root 用户设置为默认类：

所有不是 root 的用户帐户现在都需要一个登录类。否则，用户将被拒绝访问常用命令。下面的 sh 脚本应该能解决问题：

接下来，将 nagios 和 www 账户添加到不安全类别中：

现在应该创建一个上下文文件，路径为 /etc/policy.contexts 。

该策略通过对信息流动设置限制来强制执行安全性。在这个特定的配置中，包括 root 在内的用户不应该被允许访问 Nagios 。 Nagios 的配置文件和进程将完全自包含或被隔离。

在对每个文件系统运行 setfsmac 之后，将读取此文件。此示例设置了根文件系统的策略：

接下来，将这些编辑添加到主要部分的 /etc/mac.conf 中：

要完成配置，请将以下行添加到 /boot/loader.conf 中：

将以下行添加到存储在 /etc/rc.conf 中的网络卡配置中。如果主要网络配置是通过 DHCP 完成的，则可能需要在每次系统启动后手动配置此项：

首先，确保在系统初始化和重启时不会启动 Web 服务器和 Nagios 。确保 root 无法访问 Nagios 配置目录中的任何文件。如果 root 可以列出 .filename/var/spool/nagios 的内容，则表示出现了问题。相反，应返回“权限被拒绝（permission denied）”错误。

如果一切正常，现在可以启动 Nagios、Apache 和 Sendmail：

请仔细检查以确保一切正常运行。如果不正常，请检查日志文件以查找错误信息。如果需要，使用 sysctl(8) 命令禁用 mac_biba(4) 安全策略模块，然后尝试按照通常的方式重新启动所有内容。