SELinux
Controle de acesso obrigatório no kernel Linux, desenvolvido pela NSA e incorporado em 2003. Todo processo e arquivo recebe um rótulo, e uma política decide quais combinações são permitidas — independentemente do que dizem as permissões do arquivo.
A diferença em relação às permissões comuns é que o dono não pode conceder mais do que a política permite. Um servidor web comprometido não consegue ler /etc/shadow mesmo rodando como root, porque o rótulo httpd_t não tem essa transição. Existem três modos: enforcing, permissive (registra mas não bloqueia) e disabled. O conselho infame de simplesmente desligar quando algo quebra descarta uma camada inteira de defesa; o caminho certo é usar ausearch para achar o que foi negado, audit2allow para gerar uma regra e semanage fcontext para rerrotular arquivos. Padrão no RHEL e no Fedora. O AppArmor é a alternativa baseada em caminhos.