SELinux no mundo real

Question

Através da minha (curta) experiência de trabalho até hoje, ganhei um pouco de conhecimento de como o SELinux funciona, do ponto de vista da implementação e como administrá-lo.

Pessoalmente, tenho vários escrúpulos com o SELinux, tal como parece ser excessivamente complicado em muitos aspectos, a ponto de a segurança parecer ser muito difícil de raciocinar. Então, eu gostaria de saber o quão quente é a indústria para o SELinux.

Você emprega o SELinux em um dos seus servidores de produção? Se sim, que tipo de sucesso você tem? Não divulgar detalhes seriamente, mas você trabalha para uma organização que está envolvida com o governo, (DoD / DoJ, contratante de defesa, etc)? Existem empresas não governamentais que acham isso útil?

    

Answer 1

O SELinux faz um bom trabalho ao expor a enorme complexidade de todo um sistema Linux. Os modernos sistemas Fedora e RHEL recebem muita atenção [do SELinux] e para a maior parte você não saberá se o SELinux está "rodando" (não é um deamon que é principalmente hooks no kernel juntamente com uma política de segurança para tomada de decisão) .

Um aspecto interessante (por vezes frustrante) da segurança é a questão "o que está fazendo?" ou "está funcionando?" Bem, se está funcionando, você pode nunca saber. Se você estiver executando um servidor da Web e ele estiver apenas funcionando, talvez você não saiba que alguns exploits foram tentados em seu sistema.

Quanto ao Governo, existem fontes públicas (listagem de projetos governamentais e similares) que parecem indicar que o MAC (Controle de Acesso Obrigatório, por exemplo, o SELinux) está sendo usado e é possível que seja muito difícil. Os sistemas governamentais, dependendo da implantação e das informações que um sistema detém, precisam atender a determinados critérios antes de serem usados.

Quanto às empresas privadas, não sei. Se eles precisam da integridade que o SELinux traz para a mesa, então eles deveriam.

No final, segurança é realmente gerenciamento de risco e escolha o nível certo de esforço. Também segurança é um esforço contínuo, não algo que você simplesmente liga "on"

    

Answer 2

Muitas lojas que eu conheço gostariam de usar o SELinux, mas não são capazes. Muitos fornecedores que criam seus produtos para o RHEL, por exemplo, exigem explicitamente que o SELinux seja desligado. Enquanto juntas como a Oracle não suportam adequadamente o SELinux, eu não vejo isso decolando, exceto em servidores web (nos quais eu sempre deixo em !) O SELinux não é mais complicado. Se você olhar para RHEL4 e RHEL5 e comparar o quão complicado é o SELinux em ambos, a diferença é enorme. Se você comparar o Fedora 11 ao RHEL5, a diferença é enorme novamente. Grandes avanços são feitos, mas enquanto caras como a Oracle acharem que o SELinux não vale a pena ser suportado, você continuará vendo muitas pessoas desligando-o.

    

Answer 3

Você não precisa personalizar o SELinux e escrever seus próprios perfis se quiser apenas fornecer uma camada adicional de segurança em torno de muitos servidores e deamons conhecidos. A configuração padrão em algumas distribuições Linux boas aumentará o nível de segurança do seu sistema no caso de um serviço estar sendo atacado com uma exploração funcional.