Czy to zły pomysł na jednoczesne uruchamianie SELinux i AppArmor?

Moja polityka korporacyjna mówi, że skrzynki Linux muszą być zabezpieczone przy pomocy SELinux (aby audytor bezpieczeństwa mógł zaznaczyć pole wyboru „tak, jesteśmy wyjątkowo bezpieczni!” Dla każdego serwera). Miałem nadzieję, że skorzystam z niesamowitego domyślnego bezpieczeństwa Ubuntu AppArmor. Czy nierozsądne jest uruchamianie zarówno Apparmor, jak i SELinux? (Jeśli tak, czy ten zły pomysł można złagodzić za pomocą drobnych ulepszeń apparmor i / lub selinux?)

Jądro Linux zapewnia interfejs Linux Security Module , którego implementacjami są SELinux i AppArmor. (Inne obejmują TOMOYO, Smack, ...) Ten interfejs jest obecnie zaprojektowany tak, aby umożliwić działanie tylko jednego LSM na raz. Nie ma możliwości uruchomienia dwóch jednocześnie, więc musisz wybrać jedną. Od czasu do czasu dyskutowano na temat „układania” wielu LSM, ale nie zostało to jeszcze zrobione.

Nie użyłbym obu.

Zarówno SELinux, jak i AppArmor robią to samo: ograniczają dostęp do plików i folderów tylko do aplikacji, które naprawdę potrzebują dostępu.

Ale oba wdrażają ten pomysł na bardzo różne sposoby.

• SELinux dołącza etykietę do każdego pliku w systemie plików i ogranicza dostęp aplikacji do określonych etykiet.
  Na przykład: Apache może używać plików i folderów wyraźnie oznaczonych jako pliki internetowe, a inne aplikacje nie.
• AppArmor dokonuje tego samego bez użycia etykiet, po prostu używa ścieżek plików.

(Jest to bardzo podstawowe wyjaśnienie działania SELinux i AppArmor.)

Jeśli użyjesz ich obu, prawdopodobnie będą się wzajemnie na siebie nawzajem i naprawdę nie widzę potrzeby ani korzyści z używania obu.