Targetedポリシー

targetedポリシーでは、システム上で攻撃対象となる可能性が最も高い限られた数のプロセスに、アクセス制御を適用します。ターゲット・プロセスは、攻撃者が悪用する可能性のあるファイルへのアクセスを制限する、制限されたドメインと呼ばれる独自のSELinuxドメインで実行されます。ターゲット・プロセスが制限されたドメイン外のリソースにアクセスを試みていることが検出された場合、SELinuxはこれらのリソースへのアクセスを拒否して、拒否を記録します。制限されたドメインでは、特定のサービスのみが実行されます。例として、httpd、named、sshdなど、ネットワーク上でクライアント・リクエストをリスニングするサービス、およびpasswdなど、ユーザーのかわりにタスクを実行するためにrootとして実行されるプロセスがあげられます。多くのユーザー・プロセスを含め、その他のプロセスは、DACルールのみが適用される制限されないドメインで実行されます。制限されていないプロセスが攻撃によって危険にさらされた場合、SELinuxはシステム・リソースおよびデータへのアクセスを防ぐことはできません。

次の表に、SELinuxドメインの例を示します。

ドメイン	説明
init_t	systemd
httpd_t	HTTPデーモン・スレッド
kernel_t	カーネル・スレッド
syslogd_t	journaldおよびrsyslogdロギング・デーモン
unconfined_t	Oracle Linuxユーザーによって起動されるプロセスは制限されていないドメインで実行されます