Ezt én is szeretem. Egyik másik kendvencem a socket korlátozás. Például a fenti esetben, ha nincs szükség hogy az apache kliens portokat nyisson, akkor létre lehet hozni egy csoportot , mely tagjai semmifele kliens socketet nem nyithatnak. Mondjuk ha van fent egy webmail kliens, akkor már bukta. Akkor sajnos RBAC kell.
Egyébként ahogy LiRul is mondta, grsec kellemes RBAC nélkül is.