Forum Debian Users Gang

bryn1u · 2015-09-11 09:31:45

Witam,

Kiedys napisalem temat, ktory zostal zamkniety ze wzgledu na offtop https://forum.dug.net.pl/viewtopic.php?pid=284936
Ciezko jest mi cokolwiek znalezc na ten temat, stad moje pytanie odnosnie uprzedniego tematu. Czy uzywajac centosa w korpo, wszyscy uzywaja Selinux'a ? czy czesc adminow go po prostu wylacza, jezeli tak to jaki jest sens uzywania centosa ? (nie mam na mysli RH). Czy rzeczywiscie selinux jest az tak zly w konfiguracji. Czytalem rozne tematy i z tego co widze ma sporo opcji, ktorymi da sie zarzadzac przykladowo dla noexec /home i /tmp:

Kod:

allow_execheap --> off
allow_execmem --> on
allow_execmod --> on
allow_execstack --> on

Kod:

/usr/sbin/setsebool -P allow_user_exec_content off # ustawienie odpowiedniej flagi
semanage login -a -s user_u %nazwa_grupy # wszyscy czlonkowie grupy nazwa_grypy są w domenie user_u

Niestety trzeba duzo grzebac w dokumentacji, zeby sie dogrzebac. To co udalo mi sie znalez na jakims forum to to, ze spora czesc adminow musi poswiecic sporo czasu, zeby dojsc do roznych sensownych rozwiazac z selinuxem, czesc idzie na reke i po prostu go wylacza selinuxa. Dlatego mam mieszane uczucia i nie wiem czy sie w to "bawic"

Z gory dziekuje,
Pozdrawiam,

Ostatnio edytowany przez bryn1u (2015-09-11 09:44:00)

uzytkownikubunt · 2015-09-11 13:54:42

2218

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:23:52)

ethanak · 2015-09-11 14:03:39

zainstaluj sobie centosa i odpal jakąś najprostszą usługę (typu apache) zapominając wyłączyć selinuxa, wbudowanego firewalla i jeszcze paru uszczęśliwiających drobiazgów).
odpowiesz sobie sam na pytanie.

thomsson · 2015-09-11 15:48:28

Selinux jest dość wkurzającą rzeczą w konfiguracji (dość to dość malo powiedziane :p) i zasadniczo można go wdrażać, ale jest to spory ból odwłoka, ja się jak dotąd nie spotkałem z tym używanym normalnie, ale młodym dopiero liznąłem tego biznesu wiec jeszcze pewnie wszystko przede mną :>

W każdym razie jeśli usiadlby nad tym jakiś doświadczony team, to z pomocą takich narzędzi jak puppet można by się pokusić nawet o wdrożenie czegoś takiego nawet na dużą skale (i w zasadzie tam by się to sprawdziło, raczej do lampa który ma za zadanie sprzedawanie biletów do zoo nie miałoby to sensu :)

Pozdro

Jacekalex · 2015-09-11 18:10:42

Selinux to jest zabawka dla Korpo.

Np RH czy Novell mogą trzymać armię inżynierów do serwisowania SELinuxa, a potem trzepać miliony za Commercial Support i szkolenia.

Jeśli natomiast chcesz na Debianie czy Gentoo używać Selinuxa, to więcej jest certolenia z błędami w politykach, niż ta robota warta, zwłaszcza, że niektóre programy się wywalają przez SELinuxa bez choćby przecinka w logach i trzeba potem zasuwać z debuggerem i pisać łatki.

Na Gentoo miałem takiej jaja z GDM i Nautilusem.

Oczywiście dla kogoś, kto skończył 6 stopni szkolenia RH, i zapłacił za to górę kasy, SELinux jest poważnym źródłem dochodów, a punkt widzenia zależy od punktu siedzenia.
Tylko taki człowiek potem zawsze namawia do RH jak członek jakiejś sekty religijnej, bo na innych Linuxach zabawa z SELinuxem może się skończyć różnie i jest to dosyć nieprzewidywalny i niezbyt stabilny element.

Dlatego SELinux można znaleźć w RH, Fedorze i CentOS'ie, miał się także pojawić w SUSE (zamiast Apparmora, na supporcie do Apparmora nie dało się dużo zarobić).

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2015-09-11 18:13:44)

Time (s)	Query
0.00017	SET CHARSET latin2
0.00011	SET NAMES latin2
0.00238	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='18.224.44.100' WHERE u.id=1
0.00169	UPDATE punbb_online SET logged=1716115440 WHERE ident='18.224.44.100'
0.00053	SELECT * FROM punbb_online WHERE logged<1716115140
0.00119	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=27711 AND t.moved_to IS NULL
0.00006	SELECT search_for, replace_with FROM punbb_censoring
0.00360	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=27711 ORDER BY p.id LIMIT 0,25
0.01063	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=27711
Total query time: 0.02036 s

Forum Debian Users Gang

Ogłoszenie

#1 2015-09-11 09:31:45

bryn1u - Użytkownik

SELinux w korporacjach fakt czy mit ?

Kod:

Kod:

#2 2015-09-11 13:54:42

uzytkownikubunt - Zbanowany

Re: SELinux w korporacjach fakt czy mit ?

#3 2015-09-11 14:03:39

ethanak - Użytkownik

Re: SELinux w korporacjach fakt czy mit ?

#4 2015-09-11 15:48:28

thomsson - Dyskutant

Re: SELinux w korporacjach fakt czy mit ?

#5 2015-09-11 18:10:42

Jacekalex - Podobno człowiek...;)

Re: SELinux w korporacjach fakt czy mit ?

Stopka forum

Informacje debugowania