selinux

#============= debuggerd ==============
allow debuggerd unlabeled:filesystem getattr;

#============= system ==============
allow system zygote:process sigkill;

#============= untrusted_app ==============
allow untrusted_app system_data_file:dir { remove_name create add_name };
allow untrusted_app system_data_file:file { create unlink };
allow untrusted_app unlabeled:dir remove_name;
allow untrusted_app unlabeled:file { write ioctl read create unlink open };

#============= zygote ==============
allow zygote self:capability chown;
allow zygote unlabeled:dir { search getattr setattr mounton };

policy core tool을 깔면

audit2allow를 쓸 수 있는데

dmesg | audit2allow

를 하게되면 위와 같이 나온다.

poilcy 파일까지 만들려면 -M 옵션을 줘야 한다.

장점은 강력하다는 것
단점은 너무 강력하다는 것.

selinux 퐈이팅.