Глубокая безопасность

На третьей части ты увидел контексты SELinux, флаг -Z и переключатели setsebool. Здесь мы идём дальше: пишем свой кусок политики, шифруем диск, ловим каждое касание файла и строим брандмауэр, который держит состояние соединений.

Безопасность узла не сводится к одной команде. Это набор слоёв, и каждый закрывает свою щель. Начнём с того, чтобы свериться с готовым списком, а не выдумывать правила с нуля.

CIS Benchmarks: эталон вместо догадок

CIS Benchmark - это документ с конкретными настройками для конкретной системы: какой параметр ядра выставить, какой сервис выключить, какие права на каком файле. За документом стоит Center for Internet Security, и каждый пункт пронумерован и обоснован. Проверять руками долго, поэтому берут сканер.