Bietet SELinux genügend zusätzliche Sicherheit, um den Aufwand für das Lernen / Einrichten zu lohnen?

Ich habe kürzlich Fedora 14 auf meinem Heim-PC installiert und verschiedene Server-bezogene Funktionen wie Apache, MySQL, FTP, VPN, SSH usw. eingerichtet. Ich bin sehr schnell auf eine Barriere gestoßen, die sich anfühlte, als ich SELinux entdeckte Ich hatte noch nie davon gehört. Nach einigen Recherchen schien es, als ob die meisten Leute der Meinung wären, dass man es einfach deaktivieren und nicht mit dem Ärger fertig werden sollte. Persönlich, wenn es wirklich mehr Sicherheit gibt, bin ich nicht dagegen, mit den Kopfschmerzen des Lernens, wie man es richtig einrichtet, umzugehen. Irgendwann habe ich vor, mein Netzwerk zu öffnen, damit auf diesen PC remote zugegriffen werden kann, aber ich möchte dies erst tun, wenn ich mir sicher bin, dass er sicher ist (mehr oder weniger). Wenn Sie es eingerichtet und in Betrieb genommen haben, glauben Sie, dass es die Zeit und den Aufwand wert war? Ist es wirklich sicherer? Wenn Sie sich gegen die Verwendung entschieden haben, war diese Entscheidung auf eine Untersuchung gestützt, die auch in meiner Situation erwägenswert ist?

linux security selinux

— Kenneth
quelle

Denken Sie bitte daran, dass eine gute Sicherheits-Denkweise darin besteht, dass die Implementierung von Sicherheit nicht teurer sein sollte als der Wert dessen, was sie schützt. Wenn Ihre Zeit 50 US-Dollar pro Stunde wert ist und Sie 8 Stunden brauchen, um SELinux zu implementieren, dauert die Reparatur durchschnittlich nur 1 Stunde, und vielleicht 50 US-Dollar, um ein Gerät zu ersetzen ... (ich denke, so ein Router), ist dies nicht der Fall die Kosten für die Implementierung von SELinux wert. Wenn Ihre Daten jedoch unersetzlich sind und kein Kompromiss Millionen kosten würde, die Implementierung jedoch 100.000 Euro erfordern würde, lohnt es sich.

— Xenoterracide

Antworten:

SELinux verbesserte die lokale Sicherheit, indem es die Isolierung zwischen Prozessen verbesserte und differenziertere Sicherheitsrichtlinien bereitstellte.

Bei Computern mit mehreren Benutzern kann dies aufgrund der flexibleren Richtlinien nützlich sein und die Barrieren zwischen den Benutzern erhöhen, um den Schutz vor böswilligen lokalen Benutzern zu erhöhen.

Bei Servern kann SELinux die Auswirkungen einer Sicherheitsanfälligkeit auf einen Server verringern. In Fällen, in denen der Angreifer möglicherweise lokale Benutzer- oder Root-Rechte erlangen kann, kann er mit SELinux möglicherweise nur einen bestimmten Dienst deaktivieren.

Für den typischen Heimgebrauch, bei dem Sie der einzige Benutzer sind und nach der Authentifizierung alles remote abrufen möchten, erhalten Sie von SELinux keine Sicherheit.

— Gilles 'SO - hör auf böse zu sein'
quelle

Aber wenn ich vorhabe, daraus einen Server zu machen, bei dem sich andere mit ihren eigenen Anmeldeinformationen remote anmelden können, kann ich möglicherweise trotzdem von einer korrekten Einrichtung profitieren? Das ist nicht in den unmittelbaren Plänen, könnte aber irgendwann sein ...

— Kenneth

@Kenneth: Je mehr Dienste Sie ausführen und je mehr Benutzer Sie haben, desto mehr Sicherheit kann SELinux bieten. Im Extremfall eines Einzelplatzrechners mit nur ssh ist SELinux nutzlos. Darüber hinaus ist es nützlich, aber es ist eine große Investition. Denken Sie immer daran, dass ein schlecht verstandenes Sicherheitstool eine Gefahr darstellt, da Sie möglicherweise ein falsches Sicherheitsgefühl entwickeln, wenn Sie sich zu sehr mit seinen Fähigkeiten einverstanden fühlen und das Risiko besteht, dass Sie es falsch konfigurieren und eine Sicherheitslücke einführen.

— Gilles 'SO - hör auf, böse zu sein'

@Kenneth - der Vorteil des Lernens ist, dass, wenn Sie es im Zorn brauchen, Sie bereits eine Menge seiner Schwächen gelernt haben ... und es hat ein paar :-)

— Rory Alsop

SELinux kann starke Vorteile für den Heimgebrauch haben. Ich werde später näher darauf eingehen.

— Mattdm

SELinux kann brillante Aufgaben ausführen, beispielsweise Sandboxing-Anwendungen.

— wzzrd

Das Problem mit SELinux für Nicht-IT-Mitarbeiter wie mich ist, dass es sich nicht als Ursache für Berechtigungsprobleme identifiziert - mit anderen Worten, die Fehler, die Sie erhalten, sind nicht von anderen häufigen Fehlern zu unterscheiden, und SELinux ist der letzte Ort, an dem Sie nachsehen oder suchen für die Sie öffentlich Antworten erhalten können. Dies ist die schlechteste Art von IMO-Merkmal.

http://jermdemo.blogspot.com/2011/10/selinux-for-enhanced-headaches.html

— Jeremy Leipzig
quelle