现实生活中的SELinux安全示例?

任何人都可以给出一个SELinux保存安全培根的真实例子吗? (或者AppArmour如果你愿意的话)。 如果不是你自己的,指向一个有可信经验的人?

不是一个实验室testing,不是一个白皮书,不是一个最佳实践,不是一个CERT咨询,而是一个真实的例子,就像audit2why显示一个真正的黑客攻击的尝试已经停止了。

(如果你没有例子,请留下评论而不是答案。)

谢谢!

来自罗素·科克呢? 这是一个真实的例子,因为他已经邀请所有人在他的机器上作为根。 乍看之下,我认为这是坚果,但后来你意识到SELinux的根源有点无用。

以下是他的网站的一些真实的例子 。

SELinux不一定是关于防范黑客的; 这是关于如何logging和执行一个系统的行为的政策。 这是工具箱中的一个有价值的工具,但需要技巧才能使用。

它是如何拯救你的真实生活的例子是这样的:

FTP守护进程中的漏洞允许匿名用户获得root权限。 攻击者使用该漏洞访问用户主目录并窃取SSH私钥,其中一些没有密码。


如果SELinuxconfiguration为禁止“允许FTP服务读取和写入用户主目录中的文件”策略,则攻击将不会成功,并且会logging策略违规。

以下是对SELinux在其轨道上停止的攻击的详细logging,以及日志详细信息和所使用的取证技术的解释。 我在Linux Journal上发表了这篇文章:

http://www.linuxjournal.com/article/9176

这是从一开始的摘录:

如果您使用互联网连接的服务器,您最终可能不得不面对成功的攻击。 去年,我发现,尽pipe在testingWeb服务器(targetbox)上已经有了多层次的防御措施,但是攻击者已经设法利用这个漏洞获得访问权。 该服务器运行红帽企业Linux 4(RHEL 4)和Mambo内容pipe理系统。 它有多个防御措施,包括安全增强Linux(SELinux)。 SELinux阻止攻击者执行攻击的第二阶段,可能阻止根本的妥协。

本文介绍入侵响应的案例研究,解释我如何发现入侵,我采取了哪些步骤来确定漏洞,如何从攻击中恢复过来,以及我在系统安全方面学到了哪些经验教训。 出于保密原因,我更改了机器名称和IP地址。