强制访问控制（MAC）通过安全标签与多级安全策略实现严格数据保护，是防范内部越权与敏感信息泄露的关键技术。与自主访问控制（DAC）不同，MAC由系统强制实施，用户无法自行覆盖规则。本文将基于实际部署场景（如Linux SELinux、Bell-LaPadula模型），详解MAC原理、安全标签结构、策略配置步骤及常见误区。
为什么需要MAC：从实际困境出发
某金融机构出现数据泄露：一个普通运维人员通过修改文件权限，读取了核心交易数据库的备份文件。DAC允许文件所有者随意授权，而root用户拥有至高权限——这是传统Unix权限模型的致命缺陷。MAC通过为每个主体（进程）和客体（文件、设备）分配安全标签，由系统内核强制裁决访问，即使root用户也无法绕过策略。例如，SELinux在CentOS 7中默认启用，但多数管理员仅关闭了它——直到遭遇审计失败。
安全标签的结构与分配机制
安全标签是MAC的核心元数据。以SELinux为例，标签格式为 user:role:type:level（如 system_u:object_r:etc_t:s0）。每个字段定义了主体或客体的安全属性：user（SELinux用户）、role（角色）、type（类型——最常用）、level（多级安全级别）。配置步骤：1) 确认系统是否支持：getenforce 返回 Enforcing 则启用；2) 查看文件标签：ls -Z；3) 临时修改标签：chcon -t httpd_sys_content_t /var/www/html/index.html。注意：chcon仅用于测试，生产环境应使用 semanage fcontext 写入策略。常见误区：直接 chcon 重启后失效，因为文件系统未映射持久策略。
多级安全策略的实战配置
多级安全（MLS）基于Bell-LaPadula模型，强调“不上读、不下写”。在SELinux中启用MLS策略：1) 安装策略包：yum install selinux-policy-mls；2) 编辑 /etc/selinux/config 设置 SELINUXTYPE=mls；3) 重启系统。此时系统所有文件需重新打标签：touch /.autorelabel; reboot。配置示例：限制Web服务器只能读取公开级别（s0）文件，不可访问机密级别（s1）。在策略文件中定义分类：s0-公开，s1-机密，s2-绝密。Web服务器类型 httpd_t 默认分配 s0。若需访问 s1 文件，需修改类型和类别：semanage permissive -a httpd_t 或编写自定义策略模块。限制条件：MLS易导致业务中断，比如邮件服务器无法写入用户目录（目录标签 s0，邮件守护进程标签 s1）。需逐项审计并调整标签。
判断MAC策略是否生效的三种方法
部署后必须验证。方法一：查看审计日志 grep AVC /var/log/audit/audit.log，观察被拒绝的访问。方法二：使用 sesearch 检查类型可访问性：sesearch -s httpd_t -t etc_t -c file -p read。方法三：执行实际测试，如以受限用户运行 id -Z 确认上下文。注意：非根用户若修改自己的安全标签会导致异常，系统会拒绝 newrole -r sysadm_r 若未授权。
常见误区与陷阱
误区一：认为MAC能完全替代DAC。实际上MAC和DAC共存，DAC检查在前。即使MAC允许，DAC仍可能拒绝。误区二：盲目关闭SELinux。某公司因关闭SELinux后应用运行正常，但后续被入侵导致数据泄露——审计失败。正确做法是生成策略允许日志：semodule -B 编译宽松模式，逐步收紧。误区三：忽略标签持久化。使用 restorecon 前需确认默认策略正确。陷阱：在MLS环境中，cp 命令会保留源文件标签，若复制到更高级别目录，可能因“不上写”规则被拒绝。
总结：从理论到落地的关键步骤
实现强制访问控制（MAC）需要系统规划：1) 明确安全目标（如防止越权读取、限制进程权限）；2) 选择模型（类型强制如SELinux，或多级安全MLS）；3) 评估现有应用兼容性，编写例外策略；4) 在生产服务器上逐步启用（Permissive→Enforcing）。始终备份策略并监控日志。善用 audit2allow 工具生成允许模块，避免手工编写错漏。
参考资料
延伸阅读