Editing Sinapolis/FS Constitution (section)

== Часть III. Принуждение ==
'''Честно:''' агент с shell может обойти любой механизм, опирающийся на его добрую волю. Поэтому — предотвращение там, где границу ставит root, и обнаружение там, где нет.

{| class="wikitable"
! Правило !! Тело !! Проверка
|-
| Запись только в свою зону || ACL и права; auditd-наблюдение || <code>ausearch</code>, линтер
|-
| Секреты 0600 || <code>chmod</code> + <code>chattr +i</code> || <code>find -perm /066</code>, <code>lsattr</code>
|-
| Commons только для чтения || read-only bind mount || попытка записи → EROFS
|-
| Логи append-only и retention || <code>chattr +a</code> + logrotate + манифест || линтер retention
|-
| Лимит места на контур || XFS project quota || <code>xfs_quota -c report</code>
|-
| Демон не пишет вне списка || systemd ProtectSystem=strict + ReadWritePaths || <code>systemd-analyze security</code>
|-
| Манифест обязателен || линтер-гейт + git || <code>synapolis-lint</code>
|-
| Мёртвый контур не пишет || <code>systemctl mask</code> + отзыв ACL || EPERM при записи
|}
'''Порядок внедрения:''' линтер сначала в режиме предупреждения, в режим отказа — только после разбора первого отчёта нарушений. AppArmor — не раньше, чем данные auditd покажут реальные паттерны.