SELinux/AppArmor, CIS benchmark e cifratura: il Linux di produzione si blinda per policy, non per fortuna.
Il Linux sicuro non è quello senza virus: è quello indurito per policy. SELinux (o AppArmor) in enforcing — il processo compromesso resta nella sua gabbia — le baseline CIS applicate e misurate (OpenSCAP), la cifratura (LUKS) sui dati, SSH ridotto all'osso, e le CVE prioritizzate per esposizione reale, non per titolo di giornale.
SELinux acceso con metodo (audit, tuning, poi enforcing): la sicurezza che non rompe l'applicazione.
OpenSCAP schedulato sul parco: il report di compliance che guida le remediation.
La CVE sul servizio esposto prima di quella sul pacchetto inerte: il patching intelligente.
sudo granulare, chiavi ruotate, sessioni tracciate: chi fa cosa, sempre scritto.
La sicurezza Linux si costruisce a strati: SELinux/AppArmor confinano i processi (il web server compromesso non legge /etc/shadow), auditd registra le syscall rilevanti (l'evidenza per il forensics), le baseline CIS/STIG si applicano e si misurano con OpenSCAP (il report di conformità generato, non dichiarato), fapolicyd fa l'allowlisting degli eseguibili, SSH si blinda (chiavi, MFA, niente root), il kernel si tara (sysctl, lockdown); il segreto è l'automazione: la baseline in Ansible, il drift misurato.
Web e API con la gabbia SELinux attiva.
Le baseline con le evidenze, generate dal processo.
L'hardening serio dopo (o meglio: prima) della lezione.