SELinuxの状態はどうですか？代替手段はありますか？
それぞれが専用のタスクを実行している仮想マシンの束があります。1つはデータベースをホストし、もう1つは特定のテクノロジーを使用するWebサーバー、もう1つは異なるスタックを使用するWebサーバーなどです。
私はSELinuxを、それらのマシンの1つからの侵入の伝播を防ぐ手段として考えました。ハッカーがWebサーバーでエクスプロイトを見つけた場合、ハッカーが/etc/shadowファイルを読み取ったり、NFSに接続したりできるようにしたくありません。
残念ながら、私はDebianを使用していますが、これはSELinuxをあまりサポートしていないようです。私は30分試してみましたが、インストール時に多くの問題が発生しました 欠落しているselinux-policy-defaultを含む 、DebianとSELinuxはうまく連携していないことを伝える6のリソースが見つかりました。
技術的には、CentOSへの移行を妨げるものは何もないため、私の問題は、発生した問題を解決するために何をすべきかではありません。
私の質問はむしろこれです。 Debianはサーバーで最も人気のあるディストリビューションの1つであり、おそらく私のものよりもはるかに敏感な環境で使用されているため、SELinuxを完全に動作するように「修正」するインセンティブが誰にもないようで、これはしませんそもそもSELinuxはそれほど人気がないことを示していますか？
それが実際に人気がない場合、より一般的な選択肢は何ですか？
それとも、SELinuxの重要性を過大評価していて、ファイアウォールとファイルの権限を正しく構成するだけで十分でしょうか？
SELinuxは、必須アクセス制御（MAC）および 役割ベースのアクセス制御（RBAC） の概念に基づいて、より詳細なアクセス許可システムを提供します。通常の随意アクセス制御（POSIXアクセス権）やLinux機能よりもはるかに柔軟で機能的ですが、実際に正しく構成および管理するには多くの労力が必要です。
Debianについて具体的に質問したので、カーネルセキュリティモジュールでもある AppArmor を指摘します。これは、（私の経験では）DebianおよびUbuntuでより頻繁に使用されています。私はSELinuxとAppArmorの両方を構成しましたが、AppArmorのポリシーが理解しやすくなっています。
とは言え、どちらも、多数のユーザーが単一のホストを使用する（つまり、シェルのログインアカウントを持っている）か、単一のサーバーから多くのサービスを実行するのが「通常」の時代に開発されました。現在、分離は、各サーバー（通常はVM）で単一のサービスを実行するか、他のサンドボックステクノロジーを使用することで、より一般的に実現されています。
SELinuxとAppArmorはどちらも学習曲線が急であり、設定を誤ると、それらが役に立たなくなるか、サービスの正当な使用が妨げられます。 SELinuxを無効にする方法を説明しているインターネット上のアドバイスの量よりも、それほど一般的ではないことを理解する必要はありません。
共有ホスティングや、単一の（仮想）サーバー上で複数のユーザーが動作する他の構成を実行しているのでない限り、パッチ管理やネットワーク分離など、他のスペースにセキュリティ対策を施します。
SELinuxはよく書かれた安定したソフトウェアです。しかしながら：
- 実際には何もしません。そのためにはポリシーが必要です。
- SELinuxは、新しいオペレーティングシステムのアクセス許可モデルを提供するように設計されていますが、すでにかなり高度なセキュリティシステムを備えていたLinuxに組み込まれているため、2（以上）になっています。
- おそらく、ソフトウェアを追加するたびにポリシーを変更する必要があるでしょう。そのため、明確に定義されたポリシーに基づいて設計されていないディストリビューションを使用しないことを強くお勧めします（つまり、Redhatと派生物は町で唯一のゲームです）。
- 悲しいことに、RedHatポリシーでさえ十分に文書化されていません
私見、SELinuxがシステムのセキュリティを実際に改善しているという実証的な証拠はありません-それは箱から出して多くのものを壊すので、構成と維持に多くの努力が必要です 他の場所で費やす方が良い 。
私はSELinuxを、それらのマシンの1つからの侵入の伝播を防ぐ手段として考えました。ハッカーがWebサーバーでエクスプロイトを見つけた場合、彼が/ etc/shadowファイルを読み取ったり、NFSに接続したりできるようにしたくありません。
Webサーバーの悪用を想定して、攻撃者が/ etc/shadowを読み取ることができる場合、従来のツールでサーバーを構成するのに多くの時間を費やす必要があります-セキュリティはvery壊れており、SELinuxはそれを修正しません。