主页 / server / 问题 / 47922
Accepted
Jeremy Powell
Asked: 2009-07-30 23:52:43 +0800 CST

现实世界中的 SELinux

  • 772

通过我迄今为止的（短暂的）工作经验，我从实现的角度以及如何管理它获得了相当多的关于 SELinux 工作原理的知识。

我个人对 SELinux 有几个疑虑，例如它在许多方面似乎过于复杂，以至于安全性似乎很难推理。所以，我想知道这个行业对 SELinux 有多热情。

您是否在其中一台生产服务器上使用 SELinux？如果是这样，你有什么样的成功？没有认真泄露细节，但您是否为与政府有关的组织工作（DoD/DoJ、国防承包商等）？有没有觉得这很有用的非政府公司？

linux security selinux

3 个回答

  1. Best Answer

    SELinux 在暴露整个 Linux 系统的复杂性方面做得很好。现代 Fedora 和 RHEL 系统获得了很多 [SELinux] 关注，并且在大多数情况下，您不会知道 SELinux 正在“运行”（它不是一个守护进程，它主要是内核中的钩子以及用于决策的安全策略） .

    安全性的一个有趣（有时令人沮丧）方面是“它在做什么？”这个问题。或“它工作吗？”。好吧，如果它有效，您可能永远都不知道。如果您正在运行一个 Web 服务器并且它一直处于运行状态，那么您可能不知道甚至针对您的系统尝试了几个漏洞利用。

    至于政府，有一些公共资源（政府项目清单等）似乎表明 MAC（强制访问控制，即 SELinux）正在被使用，并且可能相当多。政府系统，取决于部署和系统保存的信息，在使用之前必须满足某些标准。

    至于民营企业，我不知道。如果他们需要 SELinux 带来的完整性，那么他们应该这样做。

    归根结底，安全实际上是风险管理和选择正确的工作水平。此外，安全性是一项持续的努力，而不是您仅仅“打开”的东西

    • 3

  2. 我所知道的很多商店都想使用 SELinux，但无法使用。例如，许多为 RHEL 构建产品的供应商明确要求关闭 SELinux。只要像 Oracle 这样的关节不能正确支持 SELinux，我认为它不会大受欢迎，除了在 Web 服务器上（我总是在上面打开它！）SELinux 不再那么复杂了。如果您查看 RHEL4 和 RHEL5 并比较 SELinux 在两者上的复杂程度，差异是巨大的。如果将 Fedora 11 与 RHEL5 进行比较，差异又是巨大的。取得了长足的进步，但只要像甲骨文这样的人认为 SELinux 不值得支持，你就会看到很多人将其关闭。

    • 3

  3. 如果您只想为许多知名服务器和守护进程提供额外的安全层，则不必自定义 SELinux 并编写自己的配置文件。一些优秀的 Linux 发行版中的默认配置将提高系统的安全级别，以防服务受到有效利用的攻击。

    • 1

相关问题