「さくらインターネット、適切なセキュリティ対策無しにサーバーを運用しているユーザーに対し対策を求める」記事へのコメント

記事中

[Anonymous Coward]

>まず最初にファイアウォールを無効にしよう
まずSELINUXを無効にしようっていうのは至る所に広がっちゃってますよね…

Re:

[Anonymous Coward]

だって「SELINUX」なるものが何なのか、さっぱり分かんないんだもんよ。。。
どうやら通貨の単位でない事は分かった。
「愛」とか「峠を攻める速度感」とか、そういった概念的なものでもないらしい。
単一のアプリケーション・ソフトウェアでもないようだ。
google兄貴に聞いてredhatのドキュメントを開いてみたら 真っ白 [redhat.com]。
既に知ってる人にとっては、SELINUXなんて

Re:記事中

[Anonymous Coward]

当方は真っ白じゃないのでブラウザ不具合っぽいけど、RHEL7のSELinuxドキュメントに新しい日本語ガイド [redhat.com]が有ります。
リンク先読まない人向けに簡単に解説すると、SELinuxは、Security-Enhanced Linuxの略で、アメリカのNSA製のLinuxのセキュリティ強化パッチ。
Windowsユーザーに解りやすく伝えるならVista以降のUAC的な物。
アプリが動かないエラーが起きた時に、めんどうだからUAC切っちゃえというバッドノウハウが蔓延したのも同じ。

SELinuxはスマホのカメラとか電話帳アクセス権限設定のような物という理解でも可。
このアプリはこの人でしか起動しないし、このファイルしか読み込めない、ネットワーク機能は動作に必要無いので使えないようにする。といった風にアプリが出来る事を色々制限できる。
上手く使えば、プログラムの不具合で管理者権限を乗っ取られても、攻撃者が実質何もできないなんて事が可能。
ただし、何でも対応できるように高機能化した代償にユーザビリティが極悪(と言い切ってよいと思う)で、初心者には意味不明な代物。
SELinuxの設定は、SELinuxの自体の理解とアプリの設計(どのファイルにアクセスするか等)やアプリの設定が絡むので、アプリ開発者とかでもない限り簡単に網羅した設定を作成できない側面もある。
設定ファイルで待ち受けポートを変更したり、一時ファイルの作成場所を変更したら、SELinuxのポリシーや設定値も弄らないといけないとか起きるしね。
ブラックボックステスト的な感じでポリシーを作れなくはないけど……

他にもWindowsのNTFSのファイルバックアップ等でも同様だけど、tarとかで何も考えずにファイルバックアップ採ると、セキュリティ設定(拡張属性)がバックアップされず、リストアしたら動かなくなる罠とかもある。

Re:

[Anonymous Coward]

そこまでやるなら、最早UNIXらしさが無いからWindowsServer使うわってのが、正直な本音で・・。