Antes de entrarmos em soluções, algumas palavras sobre os padrões de segurança da sua empresa. Simplificando, eles são muito difíceis de trabalhar e tão desatualizados que são quase irrelevantes.
É óbvio por que é difícil trabalhar com eles, então não vou falar mais sobre isso.
Quanto a estar desatualizado, é claro que eles não levam em conta as tecnologias modernas, como virtualização, recursos de Linux, containers, SELinux, etc., que ajudam a resolver os mesmos problemas de segurança em muito mais elegantes e utilizáveis maneiras.
A título de exemplo, vincular o httpd a uma porta alta e redirecionar o tráfego para ele com iptables, em vez de simplesmente deixá-lo vincular e descartar privilégios, como faz por padrão, faz fronteira com a paranóia e não lhe dá praticamente nada. Isso também complica o uso do SELinux com o httpd, já que esse tipo de configuração não foi planejado com o design da política httpd SELinux.
Da mesma forma, apenas exigir que os pacotes empilhem em /opt ou /usr/local você não ganha nada, já que o RPM já mantém a separação que você precisa independentemente de onde os pacotes são instalados (a menos que o pacote seja quebrado, o que pode ser o caso com pacotes de fornecedores de terceiros, mas isso se recusaria a instalar) e perderia a conformidade com os padrões, possivelmente tornando inúteis as políticas relevantes do SELinux e criando um pesadelo de manutenção. As Coleções de Software da Red Hat são projetadas nessa linha e, embora tenha alguns problemas de usabilidade, construir seus próprios pacotes por esse design pode ser uma medida provisória enquanto você trabalha com os problemas reais.
Nessa linha, como você quase certamente tem um grande número de aplicativos, criando uma nuvem privada com o OpenStack provavelmente será sua melhor aposta a curto e médio prazo. Eles usariam os hosts do RHEL 7 e rodariam o RHEL 7, 6 e talvez até 5 convidados, já que você provavelmente tem muitos dos que ainda estão vivos e funcionando. Também lhe daria uma plataforma para experimentar com segurança novos aplicativos e sistemas operacionais, além de alocar recursos mais facilmente por unidade de negócios, departamento, etc.
Se a virtualização for muito pesada para algumas coisas, mova-a para contêineres (por exemplo, LXC / Docker no RHEL 7 ). Eles são muito mais leves e podem ser removidos para praticamente nada além do próprio pacote de aplicativos e isolados com seus próprios namespaces de sistema de arquivos, rede e uid / gid, eliminando-os de qualquer outro contêiner, exceto por meio do que você abrir no respectivos firewalls. A adição do SELinux a máquinas virtuais KVM ou contêineres do Linux fornece uma segunda camada de proteção e pode ser ativada com um clique.
Além disso, sua empresa está cheia de desenvolvedores que o amarão para sempre se você começar a oferecer o OpenStack e / ou o Docker.
Em suma, é hora de avaliar as distribuições modernas do Linux e os recursos que elas fornecem e reavaliar todas as práticas de segurança à luz desses recursos.
Com relação ao licenciamento, a Red Hat agora oferece licenças de virtualização ilimitadas, permitindo que você execute VMs / contêineres RHEL ilimitados e, claro, há também o CentOS que substituirá o RHEL em 99,9% do tempo. Então não há desculpas lá.