Non ho avuto molte idee su dove sia stato usato SELinux e cosa salvi dagli aggressori. Ho visitato il sito web SELinux e ho letto le informazioni di base ma ancora non ne ho idea di SELinux. Per il sistema Linux che fornisce la shell SSH, il front-end Apache, l'applicazione Web basata sui ruoli, MySQL DB, memcached, quasi tutti i sistemi sono protetti da password, quindi perché abbiamo bisogno di SELinux?
Risposte:
È possibile visualizzare SELinux come un firewall per le chiamate di sistema : una politica per ogni applicazione specifica cosa è ragionevole fare per l'applicazione: il server dei nomi può ascoltare sulla porta 53, lavorare con alcuni file di zona in una particolare directory, inviare syslog, .. ., ma non ha senso provare a lavorare con i file in / home, ad esempio. L'applicazione di SELinux di una tale politica significa che sarà molto più difficile per una debolezza nel server dei nomi diffondersi ad altre parti del sistema.
Trovo che SELinux offra un vero valore di sicurezza. Ma mentre è certamente diventato più facile lavorare con gli anni, purtroppo è ancora un sistema piuttosto complesso. La cosa buona è che potresti facilmente disattivarlo per alcuni servizi, senza doverlo disattivare per l'intero sistema. Troppi amministratori (junior?) Girano SELinux su tutta la linea, non appena si imbattono nel minimo problema con un servizio - invece di spegnerlo selettivamente per il servizio che causa problemi.
man -k selinuxè un buon punto di partenza. In genere, ci sono * _disable_trans sebools che possono essere impostati per disabilitare SELinux su particolari servizi.
Non tutti i problemi di sicurezza possono essere previsti in anticipo. Se un utente malintenzionato riesce a sfruttare una debolezza, ad esempio in un modulo httpd di terze parti, ha accesso agli stessi file in esecuzione dall'utente httpd. SELinux limita ulteriormente ciò limitandoli ad azioni e contesti di file a cui il loro dominio SELinux ha accesso.
Queste domande precedenti potrebbero essere informative:
e
Esempio di sicurezza SELinux nella vita reale?
e
Penso che il termine controllo dell'accesso obbligatorio riassuma abbastanza bene. SELinux ti offre un sistema più sicuro attraverso un kernel più sicuro, in gran parte a causa di un'implementazione MAC.
SELinux fa un buon lavoro nell'esporre la pura complessità di un intero sistema Linux.
Un aspetto interessante della sicurezza è la domanda "che cosa sta facendo?"
Bene, se funziona potresti non saperlo mai. Se stai eseguendo un server web ed è appena rimasto attivo, potresti non sapere che un paio di exploit sono stati persino tentati contro il tuo sistema.
Per quanto riguarda le società private, non lo so. Se hanno bisogno dell'integrità che SELinux mette sul tavolo, allora dovrebbero.
Per quanto riguarda il governo, ci sono fonti pubbliche (elenco di progetti governativi e simili) che sembrano indicare che il MAC viene utilizzato, e forse abbastanza pesantemente. I sistemi governativi, a seconda della distribuzione e delle informazioni in possesso di un sistema, devono soddisfare determinati criteri prima di essere utilizzati.
Alla fine la sicurezza è davvero la gestione del rischio e la scelta del giusto livello di impegno.
Anche la sicurezza è uno sforzo continuo, non qualcosa che si accende.