質問: linuxボックスを強化するために何を使用しますか? apparmor、selinux、grsecurity、smack、chroot? デスクトップマシンとしてlinuxに戻る予定です。より安全にしたいと思います。そして、いくつかの強化テクニックを試してください。特に、自分のサーバーを取得する予定があるためです。 何が良い、健全な硬化戦略になるでしょうか? apparmor、selinux、smack、chrootなど、どのツールを使用すればよいですか? 1つのツールのみを使用する必要があります。アーマー、または上記の組み合わせ? これらのツールにはどのような長所/短所がありますか?他にありますか? セキュリティ(改善)の比率に対する適切な構成はどれですか? デスクトップ環境でどちらを使用したいですか?サーバー環境のどれか。 非常に多くの質問。
回答: apparmourは通常、selinuxよりも単純であると考えられています。 selinuxは非常に複雑であり、軍事用途でも使用できますが、apparmourの方が単純です。 selinuxはiノードレベルで動作します(つまり、制限はaclまたはunixのアクセス許可と同じ方法で適用されます)一方で、apparmourはパスレベルで適用されます(つまり、パスに基づいてアクセスを指定するため、パスが変更されても適用されない場合があります。 )。 apparmourはサブプロセス(mod_phpのみなど)を保護することもできますが、それが実際にどのように使用されているかについては、どうやら懐疑的です。 apparmourはメインラインカーネル(-mm iircにあります)への道を見つけるようです。smackについてはあまり知りませんが、説明からselinuxを簡略化したように見えます。ご覧になりたい方はrsbacもあります。chrootの使用範囲は限られているため、デスクトップ環境ではあまり使用されないと思います(dnsデーモンのように、システム全体のアクセスからデーモンを分離するために使用できます)。確かに、pax、-fstack-protectorなどの「一般的な」強化を適用することは価値があります。ディストリビューションがapparmour/selinuxをサポートする場合に使用できるchrootを使用できます。 selinuxはセキュリティの高い領域(システムの制御がはるかに優れている)に適し、apparmourは単純な強化に適していると思います。一般的に、安全性の高い場所で作業しない限り、未使用のサービスをオフにしたり、定期的に更新したりすることを除いて、汎用デスクトップをあまり強化する必要はありません。とにかくセキュリティを確保したい場合は、ディストリビューションがサポートしているものを使用します。それらの多くが効果的であるためには、アプリケーションのサポート(属性をサポートするためのコンパイルツール、書かれたルールなど)が必要なので、ディストリビューションがサポートしているものを使用することをお勧めします。