SELinux, hay Security-Enhanced Linux, là một phần của kernel bảo mật Linux đóng vai trò như một tác nhân bảo vệ (protective agent) trên server. Trong kernel Linux, SELinux dựa vào kiểm soát truy cập bắt buộc (Mandatory Access Controls – MAC) hạn chế người dùng tuân theo quy tắc và chính sách do quản trị viên hệ thống đặt ra. MAC là mức độ kiểm soát truy cập cao hơn so với kiểm soát truy cập tùy ý tiêu chuẩn (Discretionary Access Control – DAC), và ngăn chặn vi phạm bảo mật trong hệ thống bằng cách chỉ xử lý các file cần thiết mà admin phê duyệt trước.
SELinux ban đầu được phát hành như một sự cộng tác giữa Red Hat và Cơ quan An ninh Quốc gia (National Security Agency). SELinux nhận cập nhật và bổ sung định kỳ khi các bản phân phối Linux mới được phát hành. Kernel SELinux tách biệt chính sách và quyết định bên trong kernel để phân phối mức độ bảo vệ và ngăn chặn vi phạm bảo mật toàn diện (total security breach).
SELinux hoạt động dưới mô hình least-privilege (đặc quyền tối thiểu). SELinux chỉ cấp quyền truy cập nếu quản trị viên viết một chính sách cụ thể để làm như vậy.
Các chế độ SELinux
Có ba chế độ của SELinux: Enforcing (Thực thi), Permissive (Cho phép) và Disabled (Vô hiệu).
- Chế độ Enforcing là chế độ mặc định khi cài đặt SELinux. Nó sẽ thực thi chính sách trên hệ thống, từ chối truy cập và ghi log hành động.
- Chế độ Permissive là chế độ phổ biến nhất để troubleshoot (khắc phục sự cố) SELinux. Ở chế độ này, SELinux bật nhưng không thực thi chính sách bảo mật. Cũng có nghĩa là hành động sẽ dẫn đến cảnh báo và log cho quản trị viên hệ thống.
- Chế độ Disabled nghĩa là SELinux bị tắt và chính sách bảo mật không bảo vệ server.