Обязательный контроль доступа в облачных вычислениях

Современная система Linux очень безопасна, со встроенной защитой от вирусных атак и другими важными функциями безопасности. Однако в современном мире удаленного доступа и международной электронной коммерции ставки высоки, и некоторые ИТ-директора и сетевые менеджеры хотят знать, смогут ли они сделать свои системы Linux еще безопаснее. Другой вариант добавления еще одного уровня безопасности в вашу среду Linux — это интеграция обязательного контроля доступа (MAC).
www.linode.com/docs/security/

Обязательный контроль доступа — это концепция, выросшая из многоуровневых систем безопасности, используемых для хранения военных секретов и другой конфиденциальной информации. Лучший способ понять MAC — это рассмотреть, чем он отличается от традиционных систем дискреционного контроля доступа (DAC) на основе Unix, используемых в стандартных средах Linux.

Традиционная система Linux назначает ресурсу права чтения / записи / выполнения и позволяет владельцу или администратору предоставлять доступ пользователям и группам. Суперпользователь (часто называемый «пользователем root») имеет полный контроль над системой и может получить доступ или предоставить доступ к любому ресурсу. Если все ведут себя хорошо и никто не ошибается, это гибко, легко для понимания и очень безопасно. Но что, если владелец ресурса непреднамеренно предоставит доступ тому, у кого он не должен быть? Или, что еще более важно, что, если учетная запись пользователя будет скомпрометирована, и злоумышленник воспользуется гибкостью, встроенной в систему DAC, для повышения привилегий?

Наличие всемогущей учетной записи «root» — еще одна особенность, несовместимая с принципами детализации безопасности, используемыми в организациях с высоким уровнем безопасности. В высокозащищенных средах обычно назначаются роли системным администраторам на основе точных обязанностей. Обязательный контроль доступа позволяет создавать политики, которые предоставляют пользователям минимально необходимые привилегии и предотвращают изменения и повышение привилегий. Все в ИТ имеет свою цену, поэтому, прежде чем переходить на систему обязательного контроля доступа, убедитесь, что это то, что вам нужно. Потеря гибкости может увеличить накладные расходы и усложнить бизнес-процессы, иногда вынуждая административное вмешательство выполнять то, что в противном случае было бы обычной задачей.

Двумя наиболее популярными инструментами для принудительного контроля доступа в Linux являются SELinux и AppArmor. Дистрибутивы на основе Red Hat, такие как CentOS 7 и CentOS 8, предварительно настроены для SELinux. Ubuntu и openSUSE используют AppArmor; однако разработчики всегда могут удалить AppArmor и настроить SELinux, если вы более привыкли к нему или считаете, что он лучше подходит для вашей среды. AppArmor и SELinux имеют форму модулей ядра Linux и могут быть настроены для работы в большинстве основных систем Linux, хотя степень технической поддержки может варьироваться.

В целом AppArmor проще настраивать и использовать; однако, хотя AppArmor очень безопасен — и значительно безопаснее, чем работа без обязательной инфраструктуры контроля доступа, — SELinux обеспечивает более глубокий и универсальный уровень защиты. AppArmor предназначен для защиты файлов и других ресурсов; однако он не предлагает эквивалентной защиты для процессов. Кроме того, поскольку AppArmor ссылается на ресурсы по пути, злоумышленник, который уже находится в системе, теоретически может сыграть некоторые трюки с жесткими ссылками, которые были бы невозможны при использовании SELinux на основе inode.
www.redhat.com/en/topics/linux/what-is-selinux
wiki.ubuntu.com/AppArmor

SELinux был первоначально разработан на основе исследований Агентства национальной безопасности (NSA), разведывательного агентства национального уровня Министерства обороны США. Он предлагает более надежный подход к контролю доступа. Однако, поскольку его сложнее настраивать и работать, можно ожидать, что это потребует дополнительного времени на настройку и более длительного обучения ИТ-персонала.

Командная поддержка дает множество преимуществ MAC, которые могут проложить путь к осознанию важности безопасности, которое ощущается во всей структуре компании.