> когда доступ к файловой системе доступен для приложений, работа которых по факту никем не проверяется, файловой системе доверять нельзя. Нельзя располагать в её метаданных никакие параметры безопасности.

EVM слышал? Только рут может изменять метаданные и то не все и не всегда;)

Я метаданные верю, уровень B2 малтикса стараюсь держать!

> Capability Access Control в Linux - это шутка такая ..

Очень хорошая и необходимая вещь для уровня B3. CAP+DAC делают ненужным SUID вообще.

> Использование Linux без включенного и настроенного SELinux нельзя.

Большое заблуждение и ошибка.

Использовать Linux без настроенного DAC для дисков и оперативы нельзя, иначе не получите систему даже уровня C1, даже с включенным SELinux.

> Опять же это всё MAC. MAC зачастую оверкилл, но без него в линуксе нет безопасности.

Ложь и ересь.

Дети, запомните на всю свою жизнь, полностью безопасная ОС защищена от всех вирусов уже достигается на уровне C2. С использованием только расширенногои продвинутого DAC, без любого MAC. Если кто говорит что защищенность OS достигается  MAC - лжец ко орый хочет впарить вам овно!

Защиту OS дает DAC. MAC дает гарантии изоляции вируса и ограничение распространения в случае компроментации DAC.

Но чтобы дать гарантии изоляции и не распространения вируса в зараженной системе с помощью MAC его надо для этой цели разработать. А смузи Эксперты правила MAC пишут не для дачи гарантий изоляции, а для безопасности которую должены обеспечивать правила DAC.