软件漏洞通常分为代码实现漏洞和逻辑设计漏洞。代码实现漏洞通常是开发人员代码编写方式的缺陷而产生的漏洞，常见的包括缓冲区溢出、格式化字符串、内存越界访问、资源释放重用等；另一类则是逻辑设计漏洞，它在架构或流程设计上就存在的固有缺陷，较为常见的例如安全机制可旁路，导致密码检查、权限验证等机制被轻易绕过。而越庞大越复杂的系统中越容易产生这两类漏洞。操作系统就是这样一类极其庞大而复杂的软件系统。

　　虽然操作系统漏洞常常难以完全避免，然而某个漏洞一旦被发现，开发厂商都会在第一时间发布安全更新对问题进行修复。以这次勒索病毒为例，针对被利用的SMB服务漏洞，事实上早在一个月前微软就公布了漏洞警告和补丁，提供了安全更新，那些开启自动更新及时修复了漏洞的用户，他们可以用省下的三个比特币吃着火锅唱着歌，完全不用担心麻匪。

　　所以请划重点：操作系统安全更新非常重要，不论个人用户、企业用户还是系统管理员，不论服务器，桌面还是移动终端，不论Windows，Linux还是MacOS，都应该尽可能及时地从操作系统厂商处获取安全更新。

　　其次，杀毒软件也可以起到一定的安全增强的作用，多数杀毒软件可以借助病毒库对已有病毒的特征进行分析比对，一旦发现用户即将运行的程序中含有病毒或恶意程序，会及时提醒用户，甚至自动清除。因此，杀毒软件可以在很大程度上防御已知的、以被动方式入侵系统的病毒。

　　那么，积极地安全更新、安装杀毒软件就可以解决所有病毒威胁了么？很不幸，事实并非如此。安全更新和杀毒软件之于病毒威胁正如强身健体之于疾病隐患，可以大幅降低几率，却难以完全避免。为什么？这要从零日（0-day)漏洞说起。

　　零日漏洞，听起来就很霸气的一个名字，仿佛给人一种世界末日的感觉。它并不是指具体的某个或某类漏洞，而是指被黑客发现后立刻用来发起攻击的漏洞，这些漏洞尚未公开，用户不知道，软件厂商也不了解，应对时间为零。所以，这类漏洞没有检测工具，没有修复方法，传统被动升级防御、病毒特征比对的方式毫无用处，一旦被用来发起攻击，普通系统是毫无招架能力的。那么有没有可以防御零日漏洞的安全的操作系统呢？

　　 安全的操作系统与SELinux

　　一提到安全的操作系统，总会涌现出很多真知灼见，最脍炙人口的莫过于：“所有操作系统都有漏洞，所以没有绝对安全的操作系统；所以Windows也好，Linux也好，MacOS也好，都一样不安全。”

　　说的好有道理，我竟无言以对，因为前半句是对本文前半部分的总结，理论正确，逻辑自洽，没什么可黑的。后半句的逻辑却似乎有点烧脑，如果它成立的话，我们不妨试着推广一下，比如：“任何物质都是有毒性的，没有什么是绝对无毒的。纰霜吃了会中毒，水喝多了也会中毒，所以砒霜和水一样不安全。”

　　毒理学有句名言：一切谈毒性不谈剂量的行为都是耍流氓。同样，任何谈操作系统安全不谈体系架构的行为也是耍流氓。所以面对这种耍流氓的行为，接下来我们要严肃的谈一谈操作系统的安全体系架构。

　　多年前，永恒之蓝的始作蛹者NSA为了防御自家系统，开发了一套安全框架，多年后这套框架通过开源组织进入了Linux内核，这就是SELinux。作为造成这次世界性灾难的幕后大boss，NSA为自己定制的SELinux又是怎样的一套防具呢？

　　SELinux全称Security Enhanced Linux，是针对Linux的全面安全增强，相比一般的发现漏洞-修复漏洞这种被动挨打的模式，SELinux具备主动防御能力，可以抵御包括零日漏洞在内的多种攻击。那么SELinux是如何做到的呢？

　　访问控制是操作系统安全体系中的最核心最关键的机制，它决定了系统中什么样的资源可以被哪些用户以什么样的方式来访问，也就是说普通用户能做什么，入侵者能做什么，应用软件能做什么，恶意软件能做什么，都是访问控制系统决定的。SELinux的核心访问机制是强制访问控制，又叫MAC(别想多了，不是苹果电脑，也不是网卡地址，是Mandatory Access Control)，SELinux的安全特性是建立在MAC基础之上的。那么MAC何得何能，堪负如此重任？