Linux下默认的接入控制是DAC，其特点是资源的拥有者可以对他进行任何操作（读、写、执行）。当一个进程准备操作资源时，Linux内核会比较进程和资源的UID和GID，如果权限允许，就可以进行相应的操作。这种方式在实际使用中往往会带来一些问题，如果一个进程是以root的身份运行的，也就是他能对系统的任何资源进行操作，而且不被限制。从而引出了另外一种安全接入控制机制MAC。默认情况下，MAC不允许任何访问，组织可以开发任意数量的策略规则指定允许什么，从而避免很多攻击。
MAC强制访问控制有三种实现方式：Apparmor、SELinux、kysec。
一、Apparmor
Apparmor是内核模块的一个安全框架，使用文件名作为安全标签。系统管理员通过将每个程序与一个安全配置文件关联，从而限制程序的功能。通过配置文件，你可以指定程序可以读、写或者运行哪些文件，是否可以打开网络端口等。Apparmor是Ubuntu的默认选择。
二、SELinux
SELinux是美国国家安全局（NSA）对于强制访问控制的实现，是Linux历史上最杰出的系统安全子系统。通过给系统所有用户、进程、文件分别赋予一个安全标记，通过安全策略规则来实施安全控制；只有安全策略允许的操作才能执行成功，安全策略禁止或者没有定制安全策略的操作则执行失败。
三、KYSEC (麒麟系统安全机制)
麒麟系统为什么称为国内最安全的Linux系统？秘密就在于KYSEC，麒麟系统安全机制。
KYSEC是基于kysec安全标记对执行程序、脚本文件、共享库、内核模块进行保护的一种安全机制。除了系统默认集成的执行程序、脚本文件、共享库、内核模块，任何外来的该4种文件，如拷贝、移动、下载、重新编译生成等，都必须添加到麒麟安全管理工具的相应白名单列表中，才能执行调用。会对白名单列表中的文件进行保护，保护文件不被修改、移动、删除。
1.安全模式
KYSEC有三种安全模式：
- 强制模式（Normal）：出现违规操作时，不止会审计记录该操作，还会阻止该操作的运行；
- 警告模式（Warning）：出现违规操作时，会弹出麒麟安全授权认证框进行授权；
- 软模式（Softmode）：出现违规操作时，只会审计记录该操作，而不会阻止该操作的运行。
2.使用
| 命令 | 功能 | 对应界面 | |
|---|---|---|---|
| getstatus | 查看当前kysec的相关安全状态 |  第一行Kysec status表示当前Kysec状态为normal； 第二行exec control表示当前执行控制功能状态为警告； 第三行net control表示当前网络控制功能状态为警告； 第四行file protect表示当前文件保护功能为开； 第五行kmod protect表示当前内核模块保护状态为开； 第六行three protect表示当前三权分立状态为关； 第七行process protect表示当前进程保护功能为开。 |
|
| sudo setstatus disable | 临时关闭kysec | ||
| sudo setstatus disable -p | 永久关闭kysec | ||
| sudo setstatus enable | 启动kysec | ||
| sudo setstatus softmode/normal | 设置Kysec安全状态为软/强制模式 | ||
| sudo setstatus -f exectl off | 关闭执行控制功能状态 | ||
| sudo setstatus -f exectl on | 开启执行控制功能状态 | ||
| sudo setstatus -f kmod off | 关闭内核模块保护功能 | ||
| sudo setstatus -f fpro off | 关闭文件保护功能 | ||
| sudo setstatus softmode | 设置kysec状态为softmode | ||
| sudo setstatus -f netctl off -p 后面的-p参数是永久生效 {off / enforcing / warning}可选 |
网络保护 –> 应用联网控制 |  |
|
3.查看Kysec安全标记：
kysec_get /usr/sbin/kysec_get
标记说明如下：
4.配置Kysec安全标记
kysec_set [-r] -n exectl/protect/userid -v 标记符号 file
设置文件或目录的kysec安全标记；exectl对应执行控制标记，protect对应文件保护标记，userid对应文件身份标记；（strict安全模式时，只有secadm可以执行）,例：sudo kysec_set -n exectl -v original /tmp/ls