Différentes couches (hiérarchisées) permettant une sécurisation d'un système GNU/Linux
- Firewall (iptables), filtrage des accès au système GNU/Linux
- Systèmes de détections d'intrusion IDS (comme snort ou bastille)
- Disposer d'un système de log bien configuré et de préférence décentralisé.
- Maîtrise et configuration correcte des services et applications à disposition sur le système afin de ne permettre que les fonctionnalités demandées et éviter des effets de bords non voulus
- Maîtrise et configuration de l'environnement GNU/Linux afin de minimiser au mieux les faiblesses du modèle DAC auquel obéit UNIX (Discretionnary Acces Control).
- Education des utilisateurs par rapport à leur sécurité et quand à la bonne utilisation d'un compte UNIX.
Les deux dernières couches :
- Renforcement du noyau par des patchs de prévention contre les attaques de type attaque de pile et dépassement de tampon. (Pax, Pie/SSP)
- Rajout au noyau de modèles de sécurités différents de DAC. -> MAC, RBAC. Modification du comportement classique du noyau visant à éviter l'exploitation de mécanismes standards Linux (chroot, /proc etc ..) (projets GRSecurity, SELinux, AppArmor ..)