Плохо ли запускать SELinux и AppArmor одновременно?
Моя корпоративная политика гласит, что блоки Linux должны быть защищены с помощью SELinux (чтобы аудитор безопасности мог установить флажок «да, мы чрезвычайно защищены!» Для каждого сервера). Я надеялся воспользоваться потрясающей по умолчанию безопасностью AppArmor в Ubuntu. Разумно ли запускать и Apparmor, и SELinux? (Если так, может ли эта плохая идея быть смягчена некоторыми улучшениями apparmor и / или selinux?)
2 ответа
Ядро Linux предоставляет интерфейс Модуль безопасности Linux , из которых SELinux и AppArmor являются реализациями. (Другие включают TOMOYO, Smack, ...) Этот интерфейс в настоящее время разработан, чтобы позволить работать только одному LSM одновременно. Невозможно запустить два одновременно, поэтому вы должны выбрать один. Время от времени ведутся дискуссии о том, как «сложить» несколько LSM, но это еще не сделано.
Я бы не стал использовать оба.
И SELinux, и AppArmor делают одно и то же: ограничивают доступ к файлам и папкам только для приложений, которым действительно нужен доступ.
Но и то, и другое. реализовать эту идею разными способами.
- SELinux прикрепляет метку к каждому файлу в вашей файловой системе и ограничивает доступ приложения к определенным меткам.
Например: Apache может использовать только файлы и папки, явно обозначенные как веб-файлы, а другие приложения не могут. - AppArmor выполняет то же самое без использования ярлыков, он просто использует пути к файлам.
(Это очень-очень базовое объяснение того, как работают SELinux и AppArmor.)
Если бы вы использовали оба, они, вероятно, мешали бы друг другу, и я действительно не вижу необходимости или преимущества в использовании обоих.