La política obligatoria añade un límite

Un mensaje de auditoría puede describir una decisión que no se aplicó.

Política, cobertura y modo

SELinux añade decisiones basadas en etiquetas de seguridad. AppArmor utiliza otro modelo de perfiles. Ambos pueden limitar aplicaciones más allá de los permisos ordinarios, pero instalar el sistema no demuestra que un proceso concreto esté confinado.

En SELinux, revisa el modo del sistema y el dominio del proceso. Un dominio puede ser permisivo aunque el sistema esté en modo enforcing. La política permisiva registra denegaciones pertinentes sin bloquear esas operaciones. Los permisos ordinarios y otros controles siguen importando.

Registro proporcionado: el archivo municipal

El archivo ficticio autoriza a su servicio web a leer páginas públicas, nunca notas privadas de donantes. La revisión contiene:

Sistema: modo enforcing.
Proceso del archivo: dominio archive_web_t, marcado como permisivo.
Permisos ordinarios: permiten leer la nota de ejemplo.
Auditoría: la política denegaría esa lectura.
Aplicación: la nota sintética proporcionada se leyó correctamente.

Supón que los registros corresponden al mismo proceso, operación y momento. Ningún otro control bloquea la lectura. La auditoría identifica una discrepancia de política, no una prevención demostrada. La excepción del dominio explica la diferencia.

Define el resultado previsto

Propón revisar la excepción y validar la política necesaria antes de aplicarla. Quitar una restricción podría ocultar la discrepancia; un cambio descuidado podría interrumpir las páginas públicas.

Tu nota de aceptación debe exigir que funcione la lectura pública aprobada y se deniegue la privada. Incluye dominio, modo efectivo y versión de política. Una denegación correcta no demuestra cobertura de todos los procesos del archivo.