在Linux系统安全实践中，SELinux（Security-Enhanced Linux）作为强制访问控制（MAC）机制的核心组件，其策略状态和运行模式的监控至关重要。本文将通过sestatus命令详解如何快速检查SELinux策略状态和模式。
SELinux状态检查
首先，使用sestatus命令可以快速获取当前系统中SELinux的整体状态信息：
sestatus
输出示例：
SELinux status: enabled
SELinuxfs mount: /sys/fs/selinux
SELinux root directory: /etc/selinux
Loaded policy name: targeted
Current mode: enforcing
Mode from config file: enforcing
实战配置案例
在生产环境中，我们通常需要确保SELinux处于强制模式（enforcing）以提供最佳安全防护。假设某服务器环境中的SELinux模式异常切换为permissive模式：
- 检查当前状态：
sestatus | grep "Current mode"
- 修改配置文件：
# 编辑SELinux配置文件
sudo vim /etc/selinux/config
# 将SELINUx_MODE=permissive修改为enforcing
- 重启系统或重新加载策略：
sudo reboot
# 或者（如果不想重启）
sudo setenforce 1
模式说明
- Enforcing模式：SELinux强制执行安全策略，拒绝违规操作
- Permissive模式：仅记录违规行为而不实际阻止
- Disabled模式：完全禁用SELinux功能
通过定期使用sestatus命令，系统管理员可以有效监控SELinux策略状态，确保系统安全防护体系的完整性和有效性。
附加建议
为避免意外切换，建议在脚本中加入状态检查：
if [[ $(sestatus | grep "Current mode" | awk '{print $3}') != "enforcing" ]]; then
echo "警告：SELinux不在强制模式"
fi
讨论