强制访问控制框架（MAC 框架）

• 模块名称：mac_seeotheruids.ko
• 内核配置行：options MAC_SEEOTHERUIDS
• 引导选项：mac_seeotheruids_load="YES"

mac_seeotheruids(4) 模块提供独立的 sysctl 可调参数树 security.mac.seeotheruids.*

其功能类似于 security.bsd.see_other_uids 和 security.bsd.see_other_gids

此选项无需事先设置标签，并可与其他模块透明协同工作

加载模块后可用以下 sysctl 可调参数控制功能：

• security.mac.seeotheruids.enabled 启用模块并实施默认设置，拒绝用户查看其他用户拥有的进程和套接字
• security.mac.seeotheruids.suser_privileged 设非零值时，允许超级用户（root）查看所有用户的进程和套接字
• security.mac.seeotheruids.specificgid_enabled 允许指定组豁免于此策略
  • 使用 security.mac.seeotheruids.specificgid=XXX 可调参数设置，将 XXX 替换为数字组 ID
• security.mac.seeotheruids.primarygroup_enabled 用于豁免特定主组。被豁免组中的用户可互相查看进程和套接字

• 模块名称：mac_bsdextended.ko
• 内核配置行：options MAC_BSDEXTENDED
• 引导选项：mac_bsdextended_load="YES"

mac_bsdextended(4) 模块实施文件系统防火墙，为标准文件系统权限模型提供扩展，允许管理员创建类防火墙规则集保护文件系统层次结构中的文件、实用程序和目录。访问文件系统客体时遍历规则列表，直到找到匹配规则或到达末尾

此行为可用 security.mac.bsdextended.firstmatch_enabled 更改

与 FreeBSD 其他防火墙模块类似，可创建包含访问控制规则的文件，并由系统在引导时使用 rc.conf(5) 变量读取

规则列表可用 ugidfw(8) 输入，语法类似 ipfw(8)。更多工具可用 libugidfw(3) 库函数编写。加载 mac_bsdextended(4) 模块后可用以下命令查看当前规则配置：

$ ugidfw list
0 slots, 0 rules

默认无规则定义，所有内容完全可访问。创建一条规则阻止所有用户访问但不影响 root：

$ ugidfw add subject not uid root new object not uid root mode n

此规则虽简单，却是极为不当的做法：阻止所有用户执行任何命令，可能导致系统完全不可用

仅作为反面示例展示，切勿在生产环境中使用

更实际的示例是阻止 user1 对 user2 主目录的一切访问（包含目录列表）：

$ ugidfw set 2 subject uid user1 object uid user2 mode n
$ ugidfw set 3 subject uid user1 object gid user2 mode n

可改用 not uid user2 替代 user1，对所有用户强制执行相同访问限制。但 root 不受此规则影响

使用此模块应格外谨慎，不当使用可能阻止对文件系统部分的访问

• 模块名称：mac_ddb.ko
• 内核配置行：options MAC_DDB
• 引导选项：mac_ddb_load="YES"

mac_ddb(4) 策略模块限制 内核调试器 ddb(4) 命令提示符下可用的命令子集。允许的命令仅限于不允许涉及任意内存的读写操作的命令，防止提取系统机密，同时保留足够调试功能以诊断内核 panic

例如允许 trace 或 show registers，不允许 show buffer addr

所有以 DB_CMD_MEMSAFE 标志声明的调试器命令均允许。该策略还提供验证函数，根据用户参数有条件地允许部分额外命令。

• 加载后 mac_ddb 还确保仅可执行 ddb(4) 调试器后端，不可执行 gdb(4)
• 此策略不使用标签

• 模块名称：mac_do.ko
• 内核配置行：options MAC_DO
• 引导选项：mac_do_load="YES"

mac_do(4) 策略模块允许非特权用户按管理员配置规则 更改进程凭据 （用户 ID 和组 ID），支持按 jail 独立配置。

• 该策略通过 /usr/bin/mdo 可执行文件生效

  详情参阅 mdo(1)
  

• 规则以 from>to 格式的字符串指定，每条规则包含 from 部分（匹配当前凭据）和 to 部分（目标凭据），多条规则以分号 ; 分隔

以下 sysctl 可调参数可用：

• security.mac.do.enabled 启用或禁用 mac_do 策略（默认：1）
• security.mac.do.rules 凭据规则列表，各 jail 独立配置

mac_do 支持按 jail 配置规则。各 jail 必须在 /usr/bin/mdo 路径安装 mdo(1)。jail 参数包含 mac.do（enable/disable/inherit）和 mac.do.rules

与传统 setuid 方式不同，mac_do 不依赖 setuid 程序决定凭据变更是否可接受

由内核按管理员配置规则决策，从而避免 setuid 程序漏洞的安全风险

• 模块名称：mac_ifoff.ko
• 内核配置行：options MAC_IFOFF
• 引导选项：mac_ifoff_load="YES"

mac_ifoff(4) 模块用于 动态禁用 网络接口 ，防止网络接口在系统引导期间启动。它不使用标签，不依赖任何其他 MAC 模块。

此模块主要控制通过以下 sysctl 可调参数执行：

• security.mac.ifoff.lo_enabled 启用或禁用环回接口 lo(4) 上所有流量
• security.mac.ifoff.bpfrecv_enabled 启用或禁用伯克利包过滤器接口 bpf(4) 上所有流量
• security.mac.ifoff.other_enabled 启用或禁用所有其他接口上的流量

mac_ifoff(4) 最常见的用途之一是在引导期间禁止网络流量的环境中进行网络监控

另一用途是编写脚本，使用 security/aide 等应用程序在受保护目录中发现新文件或更改文件时自动阻止网络流量

• 模块名称：mac_ipacl.ko
• 内核配置行：options MAC_IPACL
• 引导选项：mac_ipacl_load="YES"

mac_ipacl(4) 策略允许主机用 sysctl(8) 接口 限制 VNET(9) jail 设置 IPv4 和 IPv6 地址的能力。默认策略强制执行时拒绝 jail 的所有 IP 地址

以下 sysctl 可调参数可用：

• security.mac.ipacl.ipv4 对 IPv4 地址强制执行 mac_ipacl（默认：1）
• security.mac.ipacl.ipv6 对 IPv6 地址强制执行 mac_ipacl（默认：1）
• security.mac.ipacl.rules IP 地址访问控制列表，格式为 jid,allow,interface,addr_family,IP_addr/prefix[@jid,…]
  • 其中 allow 为 1 表示允许、0 表示拒绝
  • interface 留空表示匹配所有接口
  • addr_family 为 AF_INET 或 AF_INET6
  • prefix 为 -1 表示单个 IP，非负值表示子网

多条规则适用于同一 IP 地址时，列表中后定义的规则决定最终结果

• 模块名称：mac_portacl.ko
• 内核配置行：options MAC_PORTACL
• 引导选项：mac_portacl_load="YES"

mac_portacl(4) 模块用于 限制 本地 TCP 和 UDP 端口绑定 ，使非 root 用户可绑定 1024 以下指定特权端口

加载后此模块在所有套接字上启用 MAC 策略。提供以下可调参数：

• security.mac.portacl.enabled 完全启用或禁用此策略
• security.mac.portacl.port_high 设置 mac_portacl(4) 保护的最高端口号
• security.mac.portacl.suser_exempt 设非零值时将 root 豁免于此策略
• security.mac.portacl.autoport_exempt 设非零值（默认）时允许应用程序用端口 0 自动分配，绕过规则检查
• security.mac.portacl.rules 以文本字符串指定策略，格式 rule[,rule,…] ，按需包含任意数量规则
  • 每条格式 idtype:id: protocol:port
    • idtype 应为 uid 或 gid
    • protocol 可为 tcp 或 udp
    • port 是允许指定用户或组绑定的端口号
    • 用户 ID、组 ID 和端口参数仅用数值

默认情形下 1024 以下端口仅可由 root 身份运行的特权进程使用。使 mac_portacl(4) 允许非特权进程绑定 1024 以下端口，按如下设置：

$ sysctl security.mac.portacl.port_high=1023
$ sysctl net.inet.ip.portrange.reservedlow=0
$ sysctl net.inet.ip.portrange.reservedhigh=0

将 net.inet.ip.portrange.reservedlow 和 net.inet.ip.portrange.reservedhigh 均设为 0

会彻底移除内核级特权端口保护机制，使原本仅 root 可绑定的 1-1023 端口不再受任何内核限制

此配置的含义是：用 mac_portacl 的规则层保护完全替代传统 UNIX 特权端口保护。

若 mac_portacl 模块因任何原因未加载、被禁用（security.mac.portacl.enabled=0）或规则配置不正确

则系统将回退为 所有用户均可绑定任意端口 的状态

这包括 SSH（22）、HTTP（80）、HTTPS（443）等关键服务端口，可能导致服务劫持或权限提升攻击

务必确保 mac_portacl 始终可靠加载且规则完备

避免 root 受此策略影响，将 security.mac.portacl.suser_exempt 设非零值：

$ sysctl security.mac.portacl.suser_exempt=1

允许 UID 80 的 www 用户绑定端口 80 而无需 root 权限：

$ sysctl security.mac.portacl.rules=uid:80:tcp:80

下例允许 UID 1001 用户绑定 TCP 端口 110（POP3）和 995（POP3s）：

$ sysctl security.mac.portacl.rules=uid:1001:tcp:110,uid:1001:tcp:995

• 模块名称：mac_ntpd.ko
• 内核配置行：options MAC_NTPD
• 引导选项：mac_ntpd_load="YES"

mac_ntpd(4) 策略模块允许 ntpd(8) 以非 root 用户身份运行，授予 UID 123（ntpd 用户）运行的进程以下特权：

ntpd(8) 使用 -u <user>[:group] 启动时，先以 root 权限初始化再降权切换至指定用户。此策略确保降权后 ntpd 仍能执行时间同步所需特权操作。以下 sysctl 可调参数可用：

• security.mac.ntpd.enabled 启用 mac_ntpd 策略（默认：1）
• security.mac.ntpd.uid ntpd 用户数字 UID（默认：123）

• 模块名称：mac_partition.ko
• 内核配置行：options MAC_PARTITION
• 引导选项：mac_partition_load="YES"

mac_partition(4) 策略按进程 MAC 标签将进程放入特定“分区”。此策略大部分配置用 setpmac(8) 完成。sysctl 可调参数：

• security.mac.partition.enabled 启用 MAC 进程分区强制执行

  启用此策略后用户仅可查看自身进程及分区内其他进程，不得使用超出分区范围的实用程序
  
  例如 insecure 类用户不得访问 top 及许多需要生成进程的命令
  

此示例将 top 添加至 insecure 类用户标签集。insecure 类所有进程保持在 partition/13 标签内：

$ setpmac partition/13 top

显示分区标签和进程列表：

$ ps Zax

显示另一用户进程的分区标签及该用户当前运行进程：

$ ps -ZU trhodes

除非加载 mac_seeotheruids(4)，否则用户可见 root 标签中进程

• 模块名称：mac_priority.ko
• 内核配置行：options MAC_PRIORITY
• 引导选项：mac_priority_load="YES"

mac_priority(4) 策略模块按 group(5) 组成员身份授予调度优先级特权

• realtime 组（GID 47）用户或进程允许以实时调度优先级运行线程和进程。realtime 策略授予内核特权：
  • PRIV_SCHED_RTPRIO: 实时优先级
  • PRIV_SCHED_SETPOLICY: 设置调度策略
• idletime 组（GID 48）用户或进程允许以空闲调度优先级运行 。idletime 策略授予内核特权：
  • PRIV_SCHED_IDPRIO: 空闲优先级

启用 realtime 后特权用户可用 rtprio(1) 以实时优先级启动进程；启用 idletime 后可用 idprio(1) 以空闲优先级启动。应用程序可通过 rtprio(2) 系统调用调整优先级。以下 sysctl 可调参数可用：

• security.mac.priority.realtime 启用 realtime 策略（默认：1）
• security.mac.priority.realtime_gid realtime 组数字 GID（默认：47）
• security.mac.priority.idletime 启用 idletime 策略（默认：1）
• security.mac.priority.idletime_gid idletime 组数字 GID（默认：48）

• 模块名称：mac_mls.ko
• 内核配置行：options MAC_MLS
• 引导选项：mac_mls_load="YES"

mac_mls(4) 策略实施严格的信息流控制，管理系统中主体与客体之间的访问

MLS 环境中，各主体或客体的标签包含 许可 clearance 级别及区间。许可级别可达数千之多，逐一配置每个主体或客体工作量极大。为降低管理负担，此策略内置三种标签：mls/low、mls/equal 和 mls/high：

• mls/low 标签: 代表低许可级别，不可访问更高级信息，且阻止更高级客体向更低级写入或传递信息
• mls/equal 标签: 适用于需豁免策略的客体
• mls/high: 为最高许可级别。分配此标签的客体支配系统中所有其他客体，但信息不可泄漏至更低级别客体

MLS 提供：

• 分层安全级别，附带一组非层次类别
• 固定规则“不上读、不下写 no read up, no write down ” :
  • 主体可读取同级或更低级客体，不可读取更高级客体
  • 同理，主体可写入同级或更高级客体，不可写入更低级客体
• 保密性（防止数据不当泄漏）
• 支持同一系统中并行处理多个敏感性级别数据而不会在机密与保密之间泄漏信息的设计基础

以下 sysctl 可调参数可用：

• security.mac.mls.enabled 启用或禁用 MLS 策略
• security.mac.mls.ptys_equal 创建时将全部 pty(4) 设备标记为 mls/equal
• security.mac.mls.revocation_enabled 标签变更为更低等级后撤销对客体的访问
• security.mac.mls.max_compartments 设定系统允许的最大区间级别数

管理 MLS 标签用 setfmac(8) 。为客体分配标签：

$ setfmac mls/5 test

获取文件 test 的 MLS 标签：

$ getfmac test

也可在 /etc/ 路径中创建主策略文件，指定 MLS 策略信息后交由 setfmac 处理

使用 MLS 策略模块时，管理员需规划敏感信息流动

默认 block read up block write down 将所有对象设为低级别

所有内容均可访问，管理员逐步提升信息机密性

除三种基本标签之外，管理员可按需对用户和组分组以阻断信息往来

• 采用描述性词汇（如 Confidential、Secret 和 Top Secret）查看许可级别信息或更直观

• 部分管理员按项目级别建立不同分组

  不论分类方法如何，施行限制性策略前均需要周密规划
  

MLS 策略模块的典型应用场景包含电子商务 Web 服务器、存放关键公司信息的文件服务器及金融机构环境

• 模块名称：mac_biba.ko
• 内核配置行：options MAC_BIBA
• 引导选项：mac_biba_load="YES"

mac_biba(4) 模块加载 MAC Biba 策略。此策略与 MLS 策略类似，但信息流规则恰好相反：Biba 阻止敏感信息向下流动，而 MLS 阻止敏感信息向上流动

Biba 环境中，各主体或客体设置“完整性”标签。标签由层次等级和非层次组件组成。等级越高，完整性越高。支持的标签为 biba/low、biba/equal 和 biba/high：

• biba/low: 为客体或主体可拥有的最低完整性。对客体或主体设置此标签后，其不可写入 biba/high 标签的客体或主体，但读访问不受限制
• biba/equal: 仅用于需豁免策略的客体

• biba/high: 允许写入更低标签的客体，但不可读取更低标签的客体

  建议对影响系统整体完整性的客体分配此标签
  

Biba 提供：

• 分层完整性级别，附带一组非层次完整性类别
• 固定规则“不上写、不下读 no write up, no read down ”，与 MLS 相反
  • 主体可写入同级或更低级客体，不可写入更高级客体
  • 同理，主体可读取同级或更高级客体，不可读取更低级客体
• 完整性保障（防止数据不当篡改）
• 基于完整性级别而非 MLS 的敏感性级别

以下可调参数用于控制 Biba 策略：

• security.mac.biba.enabled 启用或禁用 Biba 策略强制执行
• security.mac.biba.ptys_equal 在 pty(4) 设备上禁用 Biba 策略
• security.mac.biba.revocation_enabled 标签变更为支配主体的标签后撤销对客体的访问

访问系统客体上的 Biba 策略设置用 setfmac 和 getfmac：

$ setfmac biba/low test

$ getfmac test
test: biba/low

完整性（有别于敏感性）用于保证信息不受不可信方控制，包含主体与客体之间传递的信息。它确保用户仅可修改或访问明确授权其访问的信息

mac_biba(4) 安全策略模块允许管理员配置用户可以查看及调用哪些文件和程序

同时确保这些程序和文件对该用户可信

初始规划阶段，管理员需要将用户划分到等级、级别和区域中。启用此策略模块后，系统默认设为高标签，由管理员为不同用户配置不同等级和级别

良好的规划方法可按主题而非许可级别划分

例如，仅允许开发人员对源代码仓库、源代码编译程序及其他开发实用程序拥有修改权限

其他用户（如测试人员、设计人员或最终用户）仅允许读访问

较低完整性主体不可向较高完整性主体写入；较高完整性主体不可列出或读取较低完整性客体。将标签设为尽可能低的等级后，客体可能对主体不可访问

此安全策略模块的适用环境包含受限 Web 服务器、开发与测试计算机及源代码仓库

不太适用的场景包含个人工作站、路由器或网络防火墙

• 模块名称：mac_lomac.ko
• 内核配置行：options MAC_LOMAC
• 引导选项：mac_lomac_load="YES"

与 MAC Biba 策略不同，mac_lomac(4) 允许访问较低完整性客体，但前提是不破坏完整性规则，且必须在降低自身完整性级别之后

• Low-watermark 完整性策略的工作方式与 Biba 基本一致，区别在于使用了浮动标签：通过辅助等级区间支持主体降级
• 辅助区间格式为 [auxgrade]
  • 分配带辅助等级的策略时语法为 lomac/10[2] ，其中 2 是辅助等级

此策略依赖对所有系统客体普遍标记完整性标签

允许主体从低完整性客体读取后降低主体标签，利用 [auxgrade] 阻止后续对高完整性客体的写入

相比 Biba，此策略兼容性更高、初始配置需求更少

与 Biba 和 MLS 策略相同，使用 setfmac 和 setpmac 在系统客体上放置标签：

$ setfmac lomac/high[low] /usr/home/trhodes

$ getfmac /usr/home/trhodes

辅助等级 low 是 LOMAC 策略独有的功能