同时运行 SELinux 和 AppArmor 是不是一个坏主意？

Question

我的公司政策规定 Linux 机器必须使用 SELinux 进行保护（以便安全审核员可以检查每个服务器的“是的，我们非常安全！”复选框）。我曾希望利用 Ubuntu 令人敬畏的默认 AppArmor 安全性。同时运行 Apparmor 和 SELinux 是不明智的吗？（如果是这样，这个坏主意可以通过一些 apparmor 和/或 selinux 调整来缓解吗？）

Answer 1

Linux Kernel 提供了Linux Security Module接口，SELinux 和 AppArmor 都是其中的实现。（其他包括 TOMOYO、Smack 等）当前设计此接口时一次只允许一个 LSM 运行。没有办法同时运行两个，所以你必须选择一个。不时有关于如何“堆叠”多个 LSM 的讨论，但这还没有完成。

Answer 2

我不会两者都用。

SELinux 和 AppArmor 都做同样的基本事情：将文件和文件夹的访问权限限制在真正需要访问的应用程序中。

但是两者都以非常不同的方式实现了这个想法。

• SELinux 为文件系统中的每个文件附加一个标签，并将应用程序的访问权限限制为某些标签。
  例如：Apache 只能使用明确标记为 Web 文件的文件和文件夹，而其他应用程序则不能。
• AppArmor 在不使用标签的情况下完成同样的事情，它只使用文件路径。

（这是对 SELinux 和 AppArmor 如何操作的非常基本的解释。）

如果您同时使用两者，它们可能会妨碍彼此，我真的认为使用两者都没有必要或优势。