🛡️ SELinux war jahrelang der Störenfried in der Administration. Das ändert sich gerade.

Mandatory Access Control, egal ob SELinux oder AppArmor, ist eine der wirksamsten zusätzlichen Sicherheitsschichten unter Linux. Trotzdem war die Reaktion vieler Admins über Jahre dieselbe: erstmal deaktivieren, dann weiterarbeiten. Verständlich, aber sicherheitstechnisch fatal.

Warum diese Schicht überhaupt zählt

Klassische DAC-Rechte (User, Gruppe, Sonstige) regeln, wer eine Datei besitzen und bearbeiten darf. MAC geht weiter: Ein Prozess bekommt nur genau die Rechte, die er für seine Aufgabe braucht, unabhängig vom Besitzer der Datei. Wird ein Webserver kompromittiert, verhindert eine saubere Policy, dass der Angreifer einfach im System herumläuft. Der Prozess bleibt in seiner Domain gefangen, selbst mit Root-Rechten im schlimmsten Fall.

Warum es trotzdem so oft ausgeschaltet wurde

AVC-Denials ohne Kontext, kryptische Fehlermeldungen, ein Blick ins Audit-Log, der eher Fragen aufwirft als beantwortet. Wer unter Zeitdruck ein Problem lösen musste, hat schnell zu "setenforce 0" gegriffen. Nachvollziehbar, aber genau das hat SELinux jahrelang den schlechten Ruf eingebracht, den es eigentlich nicht verdient hat.

Was sich durch KI-gestützte Agenten ändert

Log-Auswertung, die früher Handarbeit war, geht heute deutlich schneller. Ein Agent kann AVC-Denials aus dem Audit-Log einordnen, den betroffenen Kontext erklären, sinnvolle Policy-Ergänzungen vorschlagen und begründen, warum eine Regel notwendig ist statt sie blind mit audit2allow durchzuwinken. Der Unterschied: Man versteht, was man freigibt, statt nur den nächsten Denial verschwinden zu lassen.

Genau das war früher der Bremsklotz. Nicht das Konzept war das Problem, sondern der Aufwand, Policies sauber zu pflegen, ohne sie am Ende zu weit zu öffnen.

Was das bedeutet

Wer heute tiefer in Type Enforcement und Domain-Transitions einsteigt, tut das mit einem Werkzeug, das beim Verstehen hilft statt nur beim Abschalten. Härtung wird dadurch nicht automatisch, aber deutlich zugänglicher als noch vor ein paar Jahren.

SELinux verdient in vielen Umgebungen eine zweite Chance, gerade jetzt, wo die Einstiegshürde spürbar sinkt.

Läuft bei euch SELinux/AppArmor im Enforcing-Modus, oder eher historisch bedingt permissive bis deaktiviert?

Linux #SELinux #AppArmor #ITSecurity #Systemhaertung