操作系统有两类访问控制:自主访问控制(DAC)和强制访问控制(MAC).标准Linux安全是一种DAC,SELinux为Linux增加了一个灵活的和可配置的的MAC. 进程启动时所拥有的权限就是运行此进程的用户权限,一个进程能访问哪些文件取决于该文件的主.组和其他权限,这就是DAC 如一个用户运行了进程,运行此进程需要若干个文件,但该进程具有的权限是与该用户的权限一致,即该进程能访问此用户能够访问的所有文件.Linux自身是无法限定某个进程只能访问其运行需要的指定文件,因此MAC,就是不让进程在

一个程序被加载到内存当中运行,在内存内的那个数据就被称为进程(process).进程是操作系统上非常重要的概念,所有系统上面跑的数据都会以进程的类型存在.系统进程有哪些状态?不同状态会如何影响系统的运行?进程之间是否可以互相管控?   16.1 什么是进程 process 在Linux系统当中:触发任何一个事件时,系统都会将他定义成为一个进程,并且给这个进程一个ID,称为 PID 同时依据触发这个进程的用户与相关属性关系,给予这个PID一组有效的权限设置,此后,这个PID能够在系统上面进行的操作

http://www.bitscn.com/os/linux/200904/158771.html 安全 Linux 容器实现指南 轻量级容器 又称作 Virtual Private Servers (VPS) 或 Jails,它们是经常用于限制不可信应用程序或用户的工具.但是最近构造的轻量级容器没有提供充分的安全保证.使用 SELinux 或 Smack 策略增强这些容器之后,就可以在 Linux中实现更加安全的容器.本文介绍如何创建受 Linux 安全模块保护的更加安全的容器.SELinux

在新的基于RHEL一般都自带了selinux,多数情况下我们把selinux禁用了,事实上既然RHEL要集成它,必然有他的优点和长处,我们通过下文来了解selinux,也许你会喜欢用上它. 英文原文来自www.RedHat.comby Russell Coker翻译:胡智江主要内容介绍:SELinux概览:SELinux深入研究:Fedora中策略的实现:Fedora的缺省SELinux策略:更多关于SELinux的资料:关于作者和译者: 介绍:当今世界,无处不在高速互联网连接.如备有无线接入点

h2:first-child, body>h1:first-child, body>h1:first-child+h2, body>h3:first-child, body>h4:first-child, body>h5:first-child, body>h6:first-child { margin-top: 0; padding-top: 0; } a:first-child h1, a:first-child h2, a:first-child h3, a:fi

一.SELinux SElinux的前身是NSA(美国国家安全局)发起的一个项目.它的目的是将系统加固到可以达到军方级别. 为什么NSA选择Linux呢? 在目前市面上大多数操作系统都是商用闭源的,只有Linux是开源的,这样修改并加入这项功能就方便许多,而且没有版权纠纷.所以,现在selinux就成为了Linux内核的一部分. 在了解selinux之间,我们需要知道DAC和CS的概念,它们是linux系统本身的安全机制. DAC:自主访问控制 每一个用户为了能够实现和其他用户共享文件,在使用A

安全.坚固.遵从性.策略是末世中系统管理员的四骑士.除了我们的日常任务之外 —— 监控.备份.实施.调优.更新等等 —— 我们还需要负责我们的系统安全.即使这些系统是第三方提供商告诉我们该禁用增强安全性的系统.这看起来像<碟中碟>中 Ethan Hunt 的工作一样. 面对这种窘境,一些系统管理员决定去服用蓝色小药丸,因为他们认为他们永远也不会知道如生命.宇宙.以及其它一些大问题的答案.而我们都知道,它的答案就是这个 42. 按<银河系漫游指南>的精神,这里是关于在你的系统上管理和

一.基础 1)访问模型 Linux原有访问模型:自主访问控制 DAC 安全隐患: 进程所能访问资源的范围 为用户所能访问的资源范围 后门: rootkit程序 进程被胁持: 基于进程作为跳板,就有了进程属主的权限 root 普通用户--> 查看其他文件 --> 找到漏洞,提权操作 SELinux:Secure Enhanced Linux 工作于Linux内核中 SELinux访问模型: 强制访问机制 MAC 类似sandbox机制:进程启动在一个沙箱内部, 为进程运行,启用一个专用的沙箱 s

在 Linux 系统中一切皆文件,资源也属于某种文件.用户在访问文件的时候,系统对权限(读.写 .执行)进行检查.只要用户对文件有足够的权限,就可以任意操作资源.root 用户对所有资源拥有所有权限,是个危险的存在.每年都会看到某职员一不小心把系统"干趴下"的新闻.这种权限管理的主体是用户,被称为 Discretionary Access Control ,DAC ,自主访问控制. DAC 机制下,程序直接继承用户的权限.用户有权限,则用户启动的程序就有权限,恶意程序也有了发挥空间.D

section标签  <section>标签,定义文档中的节.比如章节.页眉.页脚或文档中的其它部分.一般用于成节的内容,会在文档流中开始一个新的节.它用来表现普通的文档内容或应用区块,通常由内容及其标题组成.但section元素标签并非一个普通的容器元素,它表示一段专题性的内容,一般会带有标题. article标签  <article>是一个特殊的section标签,它比section具有更明确的语义,它代表一个独立的.完整的相关内容块,可独立于页面其它内容使用.例如一篇完整的论

“平安的祝福 + 原创作品转载请注明出处 + <Linux内核分析>MOOC课程http://mooc.study.163.com/course/USTC-1000029000 ” 进程在创建它的时刻开始存活.在Linux系统中,这通常是fork()系统的结果,该系统调用通过复制一个现有的进程来创建一个全新的进程.只有在创建init进程时,是通过代码实现数据结构的填充.调用fork()的进程称为父进程,新生的进程称为子进程.在系统调用结束时,在返回点这个相同位置上,父进程恢复执行,子进程开始执

实现chrome扩展启动本地进程 - 补充 标签: chrome扩展启动本地程序访问本地磁盘 2014-10-17 11:42 6753人阅读 评论(17) 收藏 举报  分类: Chrome Plugin 版权声明:本文为博主原创文章,未经博主允许不得转载. 示例 主要包含如下部分 com.google.chrome.demo-win.json native_cmd.bat manifest.json popup.html popup.js   功能简介:    实现一个扩展,用户点击一个按钮

1. CFS如何选择最合适的进程 每个调度器类sched_class都必须提供一个pick_next_task函数用以在就绪队列中选择一个最优的进程来等待调度, 而我们的CFS调度器类中, 选择下一个将要运行的进程由pick_next_task_fair函数来完成 之前我们在将主调度器的时候, 主调度器schedule函数在进程调度抢占时, 会通过__schedule函数调用全局pick_next_task选择一个最优的进程, 在pick_next_task中我们就按照优先级依次调用不同调度器类

Selinux是[security-Enhanced Linux]的简称,是美国国家安全局[NSA]和[SCC]开发的Linux的一个扩张强制访问控制安全模块. 因为企业的业务平台的服务器上存储着大量的商务机密,个人资料,个人资料它直接关系到个人隐私问题.特别是政府的网站,作为信息公开的平台,它的安全就更显得重要了.这些连接到互联网的服务器,不可避免的要收到来自世界各地的各种猥亵.最坏的时候我们的服务器被入侵,主页文件被替换,机密文件被盗走.除了来自外部的威胁,内部人员的不法访问,攻击也是不可忽

点击windows左下窗口图标按钮.   输入cmd   输入netstat -ano后回车.   左边箭头指向端口号,右边箭头指向为这个端口号对应的进程号pid,我们记下pid号   我们以2001端口为例,找到pid为13520,输入 tasklist|findstr 13520后回车,我们可以看到这个进程.   右键点击最底部空白处,选择[启动任务管理器]   切换到[进程]标签页   找到pid列对应的pid号.   右键点击Pid对应的进程号后点击[结束进程]   再次点击[结束进程]

[Linux开发]如何查看Linux kernel的内置模块驱动列表和进程ID 标签:[Linux开发] 命令: cat /lib/modules/$(uname -r)/modules.builtin 列举出的列表如下: kernel/kernel/configs.ko kernel/fs/binfmt_misc.ko kernel/fs/binfmt_script.ko kernel/fs/mbcache.ko kernel/fs/cramfs/cramfs.ko kernel/fs/ext

主题进程介绍 一进程相关概念 内核的功用:进程管理.文件系统.网络功能.内存管理.驱动程序.安全功能等 在操作系统上会运行多个应用程序,应用程序分配多大的内存都由内核实现 程序文件 程序和进程的关系 程序是静态文件,进程是动态的 程序如果没有运行那么只是磁盘上的一个文件,只有双击的时候才会在系统上运行,并且操作系统会分配内存空间 在内存里面运行,也就是进程. 而进程会占用CPU和内存空间,运行中的程序的一个副本,因为程序可以开启多个进程. 有些程序是可以运行多个副本的 为了对进程区分,每个进程都

百篇博客系列篇.本篇为: v47.xx 鸿蒙内核源码分析(进程回收篇) | 临终前如何向老祖宗托孤 | 51.c.h .o 进程管理相关篇为: v02.xx 鸿蒙内核源码分析(进程管理篇) | 谁在管理内核资源 | 51.c.h .o v24.xx 鸿蒙内核源码分析(进程概念篇) | 进程在管理哪些资源 | 51.c.h .o v45.xx 鸿蒙内核源码分析(Fork篇) | 一次调用,两次返回 | 51.c.h .o v46.xx 鸿蒙内核源码分析(特殊进程篇) | 龙生龙凤生凤老鼠生儿会打洞

docker解决了云计算环境难于分发并且管理复杂,而用KVM.Xen等虚拟化又浪费系统资源的问题.Docker最初是基于lxc构建了容器引擎,为了提供跨平台支持,后又专门开发了libcontainer来抽象容器引擎.但无论是libcontainer还是lxc,其底层所依赖的内核特性都是相同的.我们来看看docker都使用了技术来实现容器引擎的. 命名空间 Docker使用了pid.network.ipc.美mnt.uts等命名空间来隔离网络.文件系统.进程等资源.注意,由于Linux并不是nam