А не поговорить ли об SELinux

Привет всем!

Собственно $Subj. А именно:
1. Настраиваю на новом новом ноуте RFR-17. Ноут для личного использования. Причем не мною.
2. Имею обоснованное желание держать SELinux в enforce-режиме. Поэтому предложения об его отключении принимаются, но не рассматриваются.
3. На эту машину будет производиться закачка всякого хлама из интернета. Следовательно внимаем в п.4.
4. Ставлю под постоянный монитор (средствами inotifywayt+clamav (clamd+clamdscan), там всего пара тривиальных скриптов) домашний каталог "Загрузки".
5. Формирую для systemd соответствующий service-файл, который запускает антивирусный монитор.
6. Имею проблемы с clamd.
Суть проблем - некорректная настройка SELinux. Clamd должен читать файлы из ~/user/Загрузки, но SELinux бьет его по рукам, так как на новые, только что полученные файлы, не установлен соответствующий контекст безопасности и clamd этот файл прочитать не может никак. А как заранее его поставить, если мы ничего не знаем об файле, который скачаем завтра...

Отсюда вопрос - как настроить SELinux, чтобы в enforce режиме clamd мог анализировать скачиваемые в "Загрузки" файлы. Варианты решения:
1. Разрешить clamd смотреть (рекурсивно) на любые файлы в каталоге. Но как?
2. Перед проверкой файлов принудительно ставить на них нужные атрибуты безопасности. Но какие?
3. При проверке отключать временно SELinux (setenforce [0|1] в проверяющем скрипте). Пока сделал так, но это же криво...

Нужен совет специалиста, который настраивал SELinux для clamd.

А в sealert не предлагается решение?

Vascom написал:

А в sealert не предлагается решение?

Конечно предлагается. Настроил. Работает.