现实生活中的SELinux安全示例？

11

任何人都可以举一个现实的例子来说明SELinux在何处保存了安全性培根？（或AppArmour，如果您愿意的话）。如果不是您自己的，是否指向具有可靠经验的人？

不是实验室测试，不是白皮书，不是最佳实践，也不是CERT咨询，而是一个真实的例子，例如audit2，为什么显示出真正的黑客尝试已停止？

（如果没有示例，请在评论中保留评论，而不是“答案”。）

谢谢！

linux security selinux

— 卡玛什
source

这个问题中有一个条件很难回答。问题是，当系统不受到威胁时，它们不会成为新闻。他们只有在受到威胁时才会发布新闻。因此，有许多关于CentOS遭到破坏的新闻，这些新闻之所以受到破坏，恰恰是因为他们的管理员禁用了SELinux，因为他们不想费心学习如何配置和维护它。如果他们没有禁用SELinux，就不会受到损害。

— 朱利诺

谢谢，但我所寻求的不是新闻，而是实际的个人经历。

— kmarsh

5

这样如何从罗素焦化？这是一个现实生活中的例子，因为他已经邀请所有人作为root进入他的机器。乍一看，我认为这很疯狂，但随后您意识到SELinux的强大功能使root毫无用处。

以下是他网站上的一些现实生活示例。

— 凯索苏
source

1

有趣。在第一个链接中，他放弃了root用户访问权限，但是（我猜）他用SELinux锁定了root用户通常可以执行的大多数操作。虽然这是一台真正的计算机，但它只能以与真人秀节目相同的方式获得真实生活的资格。这样有多少SysAdmins可以设置一台计算机？第二个链接是我正在寻找的更多内容。我看看他们。谢谢！

— kmarsh

4

SELinux并不一定要受到黑客的保护。这是关于记录和执行有关系统行为的策略。它是工具箱中有价值的工具，但需要熟练使用的技巧。

一个如何拯救您的现实生活示例如下：

FTP守护程序中的漏洞允许匿名用户获得root特权。攻击者利用此漏洞访问用户主目录并窃取SSH私钥，其中某些私钥没有密码。

如果将SELinux配置为禁止“允许ftp服务读取和写入用户主目录中的文件”策略，则利用不会成功，并且将记录违反策略的情况。

— duffbeer703
source

2

那不是现实生活中的例子，而是现实生活中的例子。这是一个假设的现实生活示例。OP并没有要求。

— 尔根·艾哈德

3

这是SELinux在其跟踪中停止的攻击的详细记录，其中包括日志详细信息和所使用的取证技术的说明。我在Linux Journal上发表了这篇文章：

http://www.linuxjournal.com/article/9176

这是一开始的摘录：

如果您操作连接Internet的服务器，最终您将有可能必须成功应对攻击。去年，我发现尽管测试Web服务器（目标箱）上有多层防御措施，但攻击者还是成功利用了利用漏洞的成功尝试，从而获得了访问权限。该服务器正在运行Red Hat Enterprise Linux 4（RHEL 4）和Mambo内容管理系统。它具有多种防御措施，包括安全性增强的Linux（SELinux）。SELinux阻止了攻击者执行攻击的第二阶段，可能阻止了根本的损害。

本文介绍了入侵响应的案例研究，解释了我是如何发现入侵的，如何识别攻击的步骤，如何从攻击中恢复以及从系统安全中学到的教训。出于隐私原因，我更改了计算机名称和IP地址。

— 默默无闻的人
source