SELinux
Linuxカーネルの強制アクセス制御（Security-Enhanced Linux）。NSAが開発し、2003年にマージされた。すべてのプロセスとファイルにラベルが付き、ファイル権限の内容にかかわらず、どの組み合わせが許可されるかをポリシーが決める。
通常の権限との違いは、所有者でもポリシーが許す以上の権限を与えられない点だ。そのため侵害されたウェブサーバーは、rootで動いていても/etc/shadowを読めない。httpd_tラベルにその遷移がないからである。モードはenforcing、permissive（記録するが阻止しない）、disabledの三つ。何か壊れたら無効にしろという悪名高い助言は、防御層を丸ごと捨てることになる。正しい手順は、ausearchで何が拒否されたかを調べ、audit2allowでルールを生成し、semanage fcontextでファイルのラベルを付け替えることだ。RHELとFedoraでは既定で有効。パスベースの代替がAppArmorである。