LSM不是替代PAM或Kerberos，而是作为内核级守门人协同上层认证服务，通过拦截凭证读取、进程提权等关键行为，实现从用户空间到内核空间的闭环控制。
直接在内核层加固身份认证服务，关键不是“加功能”，而是让认证路径更可控、更难绕过。LSM（Linux Security Modules）框架本身不提供认证逻辑，但它能拦截和约束认证过程中的关键内核行为——比如凭证读取、进程提权、系统调用跳转等。真正起作用的是把LSM策略与上层认证服务（如PAM、SSHD）联动起来，形成从用户空间到内核空间的闭环控制。
明确LSM在认证链中的定位
LSM不是替代PAM或Kerberos，而是给它们加一道“内核级守门人”。例如：
- 当sshd调用
getpwnam()查用户信息时，LSM可检查该调用是否来自合法的sshd进程，而非被LD_PRELOAD劫持的伪造调用； - 当PAM模块尝试修改
cred结构体（如提升euid）时，LSM可依据安全上下文判断该操作是否符合预设策略； - 当某个业务服务（如Java网关）通过
setuid()切换身份时，LSM可拒绝非白名单进程的此类调用。
选择并配置适配业务场景的LSM模块
不同模块侧重点不同，需按业务特征选型：
-
SELinux：适合强策略管控环境，例如金融后台要求“认证服务只能访问指定socket、不能fork子进程、禁止加载非签名模块”。需编写
te策略文件，定义auth_service_t域及其允许的capability和file_perms； -
AppArmor：更适合容器化或微服务场景，策略以路径为中心。可限制认证服务二进制仅能读
/etc/shadow、写/var/log/auth.log，且禁止执行/tmp/下任意文件； -
Landlock（5.13+）：轻量级无特权沙箱，适合临时提权的认证组件（如sudo wrapper）。可为特定进程设置只读
/etc/passwd、禁止网络连接，无需root权限即可启用。
与PAM协同实现纵深认证防护
PAM负责“谁可以登录”，LSM负责“登录后能做什么”。二者结合才能堵住常见绕过路径：
- 禁用
LD_PRELOAD类劫持：在LSM中拦截prctl(PR_SET_MM)和memfd_create()，防止运行时注入； - 约束动态链接行为：通过
security_bprm_check()钩子，拒绝加载未签名或路径不在/usr/lib/security/下的PAM模块； - 隔离认证进程内存：启用
CONFIG_STRICT_KERNEL_RWX，确保PAM模块代码段不可写，防ROP攻击篡改验证逻辑。
避免典型误用陷阱
LSM不是万能开关，配置不当反而引入风险：
- 不要关闭
ptrace钩子来“防调试”——这会破坏gdb、systemd-coredump等运维工具，应改为限制仅允许父进程trace子进程； - 避免在策略中硬编码PID或路径，改用
security_getprocattr()动态获取进程标签，适配容器或K8s环境； - 上线前必须用
auditctl -a always,exit -F arch=b64 -S execve监控策略拒绝日志，确认无误判导致认证服务崩溃。
本质是把认证服务的“信任边界”从用户空间上推到内核空间，让攻击者即使拿到普通用户shell，也难以干扰认证流程本身。不复杂但容易忽略。
