SELinux so với AppArmor so với grsecurance [đã đóng]

Đã đóng cửa . Câu hỏi này cần được tập trung hơn . Nó hiện không chấp nhận câu trả lời.

Bạn muốn cải thiện câu hỏi này? Cập nhật câu hỏi để nó chỉ tập trung vào một vấn đề bằng cách chỉnh sửa bài đăng này .

Đóng cửa 2 năm trước .

Tôi phải thiết lập một máy chủ phải an toàn nhất có thể. Bạn sẽ sử dụng cải tiến bảo mật nào và tại sao, SELinux, AppArmor hoặc grsecurance? Bạn có thể cho tôi một số lời khuyên, gợi ý, ưu / nhược điểm cho ba người đó không?

AFAIK:

SELinux: mạnh nhất nhưng phức tạp nhất
AppArmor: cấu hình / quản lý đơn giản hơn so với SELinux
grsecurance: cấu hình đơn giản do đào tạo tự động, nhiều tính năng hơn là chỉ kiểm soát truy cập

linux security hardening

Một "máy chủ" để cung cấp loại dịch vụ nào? Để khán giả, trong môi trường nào? Điều gì tạo nên "an toàn" cho bạn trong bối cảnh này? Nhiều thông tin hơn sẽ là cần thiết để cung cấp một câu trả lời hữu ích. Chẳng hạn, một máy chủ Thời gian IP thuần túy có thể rất an toàn - tất cả phần sụn ROM, thiết bị vô tuyến, nguồn pin tự động có sạc tự động. Nhưng đó có lẽ không phải là một câu trả lời hữu ích cho bạn. Vậy, loại dịch vụ nào? Internet rộng, doanh nghiệp rộng, nhóm làm việc đáng tin cậy, mạng điểm-điểm chuyên dụng, vv? Là sẵn sàng cao là một nhu cầu? Độ tin cậy? Toàn vẹn dữ liệu? Kiểm soát truy cập? Cho

— mpez0

Câu trả lời:

Tôi đã thực hiện rất nhiều nghiên cứu trong lĩnh vực này. Tôi thậm chí đã khai thác các quy tắc của AppArmor cho MySQL . AppArmor là hình thức yếu nhất của quá trình phân tách. Thuộc tính mà tôi khai thác là tất cả các quy trình đều có đặc quyền ghi vào một số thư mục giống như /tmp/. Điều tuyệt vời ở AppArmor là nó phá vỡ một số khai thác mà không theo cách của người dùng / quản trị viên. Tuy nhiên, AppArmor có một số lỗi cơ bản sẽ không được khắc phục sớm.

SELinux rất an toàn, nó cũng rất khó chịu. Không giống như AppAmoror, hầu hết các ứng dụng hợp pháp sẽ không chạy cho đến khi Selinux được cấu hình lại. Thông thường, điều này dẫn đến việc quản trị viên cấu hình sai Selinux hoặc vô hiệu hóa tất cả cùng nhau.

grsecurance là một gói công cụ rất lớn. Thứ tôi thích nhất là chroot tăng cường của grsecuenty. Điều này thậm chí còn an toàn hơn sau đó là SELinux, mặc dù phải mất một số kỹ năng và một chút thời gian để thiết lập một nhà tù chroot, nơi mà Selinux và AppAprmor "chỉ hoạt động".

Có một hệ thống thứ 4, một Máy ảo. Các lỗ hổng đã được tìm thấy trong các môi trường VM có thể cho phép kẻ tấn công "thoát ra". Tuy nhiên, VM có sự phân tách thậm chí còn lớn hơn một chroot becuase trong VM mà bạn đang chia sẻ ít tài nguyên hơn giữa các quy trình. Các tài nguyên có sẵn cho VM là ảo và có thể có ít hoặc không có sự chồng chéo giữa các VM khác. Điều này cũng liên quan đến <buzzword>" điện toán đám mây " </buzzword>. Trong môi trường đám mây, bạn có thể có sự tách biệt rất rõ ràng giữa cơ sở dữ liệu và ứng dụng web, điều này rất quan trọng đối với bảo mật. Cũng có thể 1 khai thác có thể sở hữu toàn bộ đám mây và tất cả VM đang chạy trên nó.

— Tân binh
nguồn

thay vì <buzzword>thẻ bạn chỉ có thể viết "mông của tôi", mọi người sẽ biết ý của bạn là gì;)

— Daniel Dinnyes

Theo VM, ý bạn là Xen, KVM hay LXC / Docker? Ngoài ra, xin vui lòng tham khảo đánh giá của bạn.

— Daniel Dinnyes

@Daniel Dinnyes không có tài liệu tham khảo nào ở đây, đây là ý kiến cá nhân của một hacker tấn công các ứng dụng hiện đại được bảo vệ bằng các kỹ thuật giảm thiểu này - điều tuyệt vời là không có gì là hoàn hảo.

— Rook

@Daniel Dinnyes Nếu bạn quan tâm đến các trường hợp sử dụng sai, hãy bắt đầu với các trường hợp sử dụng dự định. Cài đặt các bản phân phối sử dụng các công nghệ này và triển khai các ứng dụng trên chúng. Đọc về việc triển khai và định cấu hình các hệ thống bảo mật này và sau đó tìm kiếm các điểm yếu.

— Rook

@Daniel Dinnyes nhìn vào CVE được ban hành và đặc biệt là bất kỳ khai thác công khai nào cho mỗi nền tảng. Gần đây có một đường vòng TỰ TIN thực sự tốt được tìm thấy: mining-db.com/Exloits/40419

— Rook

Cá nhân, tôi sẽ sử dụng SELinux vì cuối cùng tôi sẽ nhắm mục tiêu một số hương vị của RHEL, thứ này được thiết lập ngoài hộp cho hầu hết các phần. Ngoài ra còn có một bộ bảo trì đáp ứng tại Red Hat và rất nhiều tài liệu rất hay về cách cấu hình SELinux. Liên kết hữu ích dưới đây.

— Thần kinh
nguồn

vâng nhưng yum và selinux rất phiền phức.

— Rook

Tôi thấy CLI của yum trực quan hơn đáng kể so với apt. SELinux gây phiền nhiễu khi bạn cố gắng đi theo cách riêng của mình với các ứng dụng không có chứng khoán, nhưng tôi chưa bao giờ gặp sự cố với công cụ chứng khoán ngoài việc cần bật một số sebool để bật chức năng không mặc định (ví dụ: Hãy để các tập lệnh httpd php kết nối vào cơ sở dữ liệu)

— Ophidian