Forum Debian Users Gang

bryn1u · 2015-09-11 09:31:45

Witam,

Kiedys napisalem temat, ktory zostal zamkniety ze wzgledu na offtop https://forum.dug.net.pl/viewtopic.php?pid=284936
Ciezko jest mi cokolwiek znalezc na ten temat, stad moje pytanie odnosnie uprzedniego tematu. Czy uzywajac centosa w korpo, wszyscy uzywaja Selinux'a ? czy czesc adminow go po prostu wylacza, jezeli tak to jaki jest sens uzywania centosa ? (nie mam na mysli RH). Czy rzeczywiscie selinux jest az tak zly w konfiguracji. Czytalem rozne tematy i z tego co widze ma sporo opcji, ktorymi da sie zarzadzac przykladowo dla noexec /home i /tmp:

Kod:

allow_execheap --> off
allow_execmem --> on
allow_execmod --> on
allow_execstack --> on

Kod:

/usr/sbin/setsebool -P allow_user_exec_content off # ustawienie odpowiedniej flagi
semanage login -a -s user_u %nazwa_grupy # wszyscy czlonkowie grupy nazwa_grypy są w domenie user_u

Niestety trzeba duzo grzebac w dokumentacji, zeby sie dogrzebac. To co udalo mi sie znalez na jakims forum to to, ze spora czesc adminow musi poswiecic sporo czasu, zeby dojsc do roznych sensownych rozwiazac z selinuxem, czesc idzie na reke i po prostu go wylacza selinuxa. Dlatego mam mieszane uczucia i nie wiem czy sie w to "bawic"

Z gory dziekuje,
Pozdrawiam,

Ostatnio edytowany przez bryn1u (2015-09-11 09:44:00)

uzytkownikubunt · 2015-09-11 13:54:42

2218

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:23:52)

ethanak · 2015-09-11 14:03:39

zainstaluj sobie centosa i odpal jakąś najprostszą usługę (typu apache) zapominając wyłączyć selinuxa, wbudowanego firewalla i jeszcze paru uszczęśliwiających drobiazgów).
odpowiesz sobie sam na pytanie.

thomsson · 2015-09-11 15:48:28

Selinux jest dość wkurzającą rzeczą w konfiguracji (dość to dość malo powiedziane :p) i zasadniczo można go wdrażać, ale jest to spory ból odwłoka, ja się jak dotąd nie spotkałem z tym używanym normalnie, ale młodym dopiero liznąłem tego biznesu wiec jeszcze pewnie wszystko przede mną :>

W każdym razie jeśli usiadlby nad tym jakiś doświadczony team, to z pomocą takich narzędzi jak puppet można by się pokusić nawet o wdrożenie czegoś takiego nawet na dużą skale (i w zasadzie tam by się to sprawdziło, raczej do lampa który ma za zadanie sprzedawanie biletów do zoo nie miałoby to sensu :)

Pozdro

Jacekalex · 2015-09-11 18:10:42

Selinux to jest zabawka dla Korpo.

Np RH czy Novell mogą trzymać armię inżynierów do serwisowania SELinuxa, a potem trzepać miliony za Commercial Support i szkolenia.

Jeśli natomiast chcesz na Debianie czy Gentoo używać Selinuxa, to więcej jest certolenia z błędami w politykach, niż ta robota warta, zwłaszcza, że niektóre programy się wywalają przez SELinuxa bez choćby przecinka w logach i trzeba potem zasuwać z debuggerem i pisać łatki.

Na Gentoo miałem takiej jaja z GDM i Nautilusem.

Oczywiście dla kogoś, kto skończył 6 stopni szkolenia RH, i zapłacił za to górę kasy, SELinux jest poważnym źródłem dochodów, a punkt widzenia zależy od punktu siedzenia.
Tylko taki człowiek potem zawsze namawia do RH jak członek jakiejś sekty religijnej, bo na innych Linuxach zabawa z SELinuxem może się skończyć różnie i jest to dosyć nieprzewidywalny i niezbyt stabilny element.

Dlatego SELinux można znaleźć w RH, Fedorze i CentOS'ie, miał się także pojawić w SUSE (zamiast Apparmora, na supporcie do Apparmora nie dało się dużo zarobić).

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2015-09-11 18:13:44)

Forum Debian Users Gang

Ogłoszenie

#1 2015-09-11 09:31:45

bryn1u - Użytkownik

SELinux w korporacjach fakt czy mit ?

Kod:

Kod:

#2 2015-09-11 13:54:42

uzytkownikubunt - Zbanowany

Re: SELinux w korporacjach fakt czy mit ?

#3 2015-09-11 14:03:39

ethanak - Użytkownik

Re: SELinux w korporacjach fakt czy mit ?

#4 2015-09-11 15:48:28

thomsson - Dyskutant

Re: SELinux w korporacjach fakt czy mit ?

#5 2015-09-11 18:10:42

Jacekalex - Podobno człowiek...;)

Re: SELinux w korporacjach fakt czy mit ?

Stopka forum