Microaula em Método CELULA • Prévia Aberta

Segurança em servidores não é um produto que se compra, mas um processo de defesa em profundidade. Se um atacante explorar uma brecha na aplicação web, o controle de acesso obrigatório (SELinux/AppArmor) impede que ele escape para o restante do sistema operacional.

1. Controle de Acesso Obrigatório (MAC): SELinux e AppArmor

Enquanto o modelo tradicional (DAC) permite que o dono dê permissões irrestritas, o MAC impõe políticas do kernel:

• SELinux (padrão em RHEL/Rocky): Cada processo e arquivo recebe um rótulo de segurança (contexto). Um processo com contexto de servidor web (httpd_t) só pode ler arquivos rotulados como httpd_sys_content_t. Mesmo que o invasor vire root dentro do processo web, o kernel bloqueia acessos fora do domínio;
• AppArmor (padrão em Debian/Ubuntu): Perfis baseados em caminhos que confinam daemons específicos;
• Auditoria Contínua com auditd: O subsistema de auditoria do kernel registra quem leu, alterou ou executou arquivos críticos (/etc/passwd, chaves privadas).

2. Criptografia em Repouso com LUKS

Criptografe volumes inteiros de dados com Linux Unified Key Setup (LUKS) para proteger dados confidenciais ...