Network World, США
Специалисты Агентства национальной безопасности США и разработчики свободно распространяемого ПО работают над тем, чтобы сделать инструментальные средства защиты Linux-систем более доступными и полезными
SE Linux не является еще одним дистрибутивом Linux — он представляет собой набор модификаций к ядру Linux, которые ограничивают доступ приложений к оперативной памяти, процессорам, файлам конфигурации операционной системы и другим критически важным компонентам ОС для серверов или ПК

Вопросы развития Security Enhanced Linux (SE Linux), а также его достоинства и потенциальные недостатки при реализации в корпоративном центре обработки данных обсуждались на семинаре по SE Linux, организованном во время конференции LinuxWorld Expo в начале апреля.

SE Linux не является еще одним дистрибутивом Linux, подобным тем, что предлагают компании SuSE или Red Hat. Он представляет собой набор модификаций к ядру Linux, которые ограничивают доступ приложений к оперативной памяти, процессорам, файлам конфигурации операционной системы и другим критически важным компонентам ОС для серверов или ПК. SE Linux осуществляет обязательный контроль доступа (mandatory access control, MAC), выделяя приложениям только те ресурсы, которые им необходимы. Идея заключается в том, чтобы не позволить хакерам проникнуть на сервер за счет использования изъянов в плохо спроектированном программном коде. SE Linux был создан по инициативе АНБ в 2000 году.

«Тогда он охватывал лишь небольшое подмножество всей системы Linux, — отметил Стивен Смоллей, научный сотрудник АНБ. — С тех пор многое изменилось. Когда-то у нас была монолитная политика. Сегодня же мы придерживаемся принципа модульности, давая возможность независимым разработчикам приложений создавать политики для SE Linux и поставлять их вместе со своими приложениями».

Серьезным шагом в этом направлении стала работа над SE Linux Reference Policy — свободно распространяемым проектом подготовки инструментальных средств, способных упростить создание и реализацию политик SE Linux в отношении программного обеспечения.

Смоллей отметил, что АНБ также работает над тем, чтобы дать возможность использовать SE Linux как для настольных, так и для многочисленных виртуализированных систем на базе Linux, работающих на одном компьютере.

В аппарате правительства Великобритании тестируют SE Linux для своей инфраструктуры, где используются ОС Linux и программное обеспечение IBM WebSphere. Основная цель состоит в защите архитектуры Web-сервисов для муниципальных Web-сайтов и приложений, которыми пользуются граждане.

«Мы хотели реализовать политики, которые позволяют серверам приложений взаимодействовать только с авторизованными конечными точками», — подчеркнул Марк Хокинг, технический архитектор e-Government Unit секретариата кабинета министров Великобритании.

SE Linux входит в состав Red Hat Enterprise Linux 4, а также Fedora Core 4 и недавно выпущенной системы Red Hat версии 5. Однако по умолчанию он отключен, поскольку реализованные в нем политики могут нарушить работу ряда часто используемых системных процессов и приложений. Это объясняется тем, что накладываемые им ограничения на ресурсы для приложений могут привести к тому, что приложения не смогут работать вовсе или будут работать с ошибками.

«SE Linux вмешивается во все, — заметил старший разработчик Red Hat Дениэл Уолш. — Поэтому необходимо понимать, какие действия может предпринять системный администратор, если SE Linux вызывает проблемы. Сейчас администратор может подключить и отключить SE Linux, хотя, возможно, существует и другое решение».

Уолш подтвердил, что Red Hat работает над созданием инструментальных средств, которые поддерживают модульные реализации SE Linux. Это должно упростить администраторам решение проблем, возникающих на серверах вследствие применения политик SE Linux. Данный инструментарий будет включен в состав Red Hat Enterprise Linux версии 5, которая должна быть выпущена к концу года.

Несмотря на трудности с использованием SE Linux, которые АНБ, а также Red Hat и другие разработчики свободно распространяемых решений пытаются преодолеть, сама технология может стать мощным средством защиты ИТ-инфраструктуры, созданной на основе свободно распространяемого программного обеспечения, которое далеко не всегда создается с учетом требований безопасности.