SELinux 대 AppArmor 대 grsecurity [폐쇄]

폐쇄되었습니다 . 이 질문은 더 집중되어야 합니다. 현재 답변을받지 않습니다.

이 질문을 개선하고 싶습니까? 이 게시물 을 편집 하여 한 가지 문제에만 집중할 수 있도록 질문을 업데이트하십시오 .

휴일 2 년 전 .

가능한 한 안전한 서버를 설정해야합니다. SELinux, AppArmor 또는 grsecurity 중 어떤 보안 강화 기능을 사용합니까? 이 세 가지에 대한 몇 가지 팁, 힌트, 장단점을 알려주시겠습니까?

AFAIK :

SELinux : 가장 강력하지만 가장 복잡한
AppArmor : SELinux보다 간단한 구성 / 관리
grsecurity : 자동 교육으로 인한 간단한 구성, 액세스 제어 이상의 기능

linux security hardening

어떤 종류의 서비스를 제공하는 "서버"? 어떤 환경에서 어떤 청중에게? 이 맥락에서 "안전한"것은 무엇입니까? 유용한 답변을 제공하려면 더 많은 정보가 필요합니다. 예를 들어, 순수한 IP Time-of-Day 서버는 모든 ROM 펌웨어, 무선 imput, 자동 충전 기능이있는 자체 내장 배터리 전원으로 매우 안전 할 수 있습니다. 그러나 그것은 아마도 당신에게 유용한 대답이 아닙니다. 그래서 어떤 종류의 서비스입니까? 인터넷, 전사, 신뢰할 수있는 업무 팀, 전용 지점 간 네트워킹 등? 고 가용성이 필요합니까? 신뢰할 수 있음? 데이터 무결성? 액세스 제어? 주기

— mpez0

답변:

나는이 분야에서 많은 연구를 해왔다. 심지어 MySQL에 대한 AppArmor의 규칙 세트를 악용했습니다 . AppArmor는 가장 약한 형태의 프로세스 분리입니다. 내가 악용하는 속성은 모든 프로세스에 같은 같은 디렉토리 중 일부에 대한 쓰기 권한이 있다는 것 /tmp/입니다. AppArmor의 장점은 사용자 / 관리자 방식으로 침입하지 않고 일부 악용을 차단한다는 것입니다. 그러나 AppArmor에는 조만간 수정되지 않을 몇 가지 근본적인 결함이 있습니다.

SELinux는 매우 안전하고 매우 성가시다. AppAmoror와 달리 SELinux가 재구성 될 때까지 대부분의 합법적 인 응용 프로그램은 실행되지 않습니다. 대부분의 경우 관리자가 SELinux를 잘못 구성하거나 함께 비활성화 할 수 있습니다.

grsecurity는 매우 큰 도구 패키지입니다. 내가 가장 좋아하는 것은 grsecuirty의 향상된 chroot입니다. SELinux와 AppAprmor가 "정상 작동"하는 chroot jail을 설정하는 데 약간의 기술과 시간이 필요하지만 SELinux보다 훨씬 안전합니다.

네 번째 시스템 인 가상 머신이 있습니다. VM 환경에서 공격자가 "브레이크"할 수있는 취약점이 발견되었습니다. 그러나 VM은 프로세스간에 적은 리소스를 공유하는 VM에서 chroot becuase보다 훨씬 더 분리되어 있습니다. VM에 사용 가능한 리소스는 가상이며 다른 VM간에 겹치지 않을 수도 있습니다 . 이는 <buzzword>" 클라우드 컴퓨팅 " 과도 관련이 있습니다 </buzzword>. 클라우드 환경에서는 데이터베이스와 웹 애플리케이션을 매우 명확하게 분리 할 수 있으며 이는 보안에 중요합니다. 또한 1 개의 익스플로잇이 전체 클라우드와 모든 VM을 실행하고있을 수 있습니다.

— 사기꾼
소스

<buzzword>태그 대신 "나의 엉덩이"라고 쓸 수 있습니다. 모두가 무슨 뜻인지 알 것입니다.)

— Daniel Dinnyes

VM이란 Xen, KVM 또는 LXC / Docker를 의미합니까? 또한 평가를 참조하십시오.

— Daniel Dinnyes

@Daniel Dinnyes 여기에는 참고 문헌이 없습니다. 이러한 완화 기술로 보호되는 현대적인 응용 프로그램을 공격하는 해커로서의 개인적인 의견입니다.

— Rook

@Daniel Dinnyes 오용 사례에 관심이 있다면 의도 된 사용 사례부터 시작하십시오. 이러한 기술을 사용하는 배포판을 설치하고 그 위에 앱을 배포하십시오. 이러한 보안 시스템의 배포 및 구성에 대해 읽고 약점을 찾으십시오.

— Rook

@Daniel Dinnyes는 발행 된 CVE, 특히 각 플랫폼에 대한 공개 익스플로잇을 살펴 봅니다. 최근에 발견 된 SELinux 우회가 정말 좋았습니다. exploit-db.com/exploits/40419

— Rook

개인적으로, 나는 SELinux를 사용할 것입니다. 왜냐하면 대부분 RHEL의 맛을 목표로하기 때문입니다. Red Hat에는 반응 형 관리자가 있으며 SELinux 구성에 대한 많은 훌륭한 문서가 있습니다. 아래의 유용한 링크.

— 뱀
소스

예,하지만 yum과 selinux는 정말 귀찮습니다.

— 루크

yum의 CLI가 apt보다 훨씬 직관적이라는 것을 알았습니다. 비 재고 앱으로 자신의 길을 가고자 할 때 SELinux는 성가신 일이지만 기본 기능이 아닌 기능을 활성화하기 위해 일부 sebool을 켜야하는 것 이상으로 주식에 문제가 없었습니다 (예 : httpd php scripts connect)

— Ophidian