Управление доступом
Подписаться на эту рубрику по RSS
Grsecurity: Защита исполняемых файлов и сети.
Рубрика: Безопасность | Управление доступомМетки: Grsecurity | ISN | RPC
Дата: 29/06/2009 17:41:53
Защита исполняемых файлов (Executable Protection).
Enforce RLIMIT_NPROC on exec (CONFIG_GRKERNSEC_EXECVE) -Проверка лимитов ресурсов во время вызова exec
RLIMITN_PROC (настраивается через /etc/limits) дает возможность ограничить ресурсы пользователя. По умолчанию ресурсы проверяются только во время fork(). Включение этой опции позволяет производить проверку ресурсов во время вызова execve().
Dmesg Restriction (CONFIG GRKERNSEC DMESG) - Ограничение dmesg
Команда dmesg дает возможность пользователю просматривать последние записанные сообщения ядра. Включение этой опции позволяет выполнять программу dmesg только пользователю root.
Grsecurity: Аудит ядра.
Рубрика: Безопасность | Управление доступомМетки: chroot | Grsecurity | proc
Дата: 29/06/2009 17:33:58
Это меню дает возможность записывать некоторые системные вызовы (например, execve() и fork()). Нужно включить все эти опции:
Grsecurity: Защита файловой системы.
Рубрика: Безопасность | Управление доступомМетки: chroot | FIFO | Grsecurity | proc
Дата: 23/06/2009 10:26:09
Защита файловой системы (Filesystem Protection).
Как говорилось ранее, псевдофайловая система /prос предоставляет информацию о процессах, которую может употреблять хакер в своих целях. Эта опция дает возможность ограничить доступ к /proc двумя способами:
- Restrict /proc to User Only (CONFIG_GRKERNSEC_USER) - не root- пользователи не смогут просматривать /proc-информацию о процессах других пользователей, а также информацию о сети и информацию, относящуюся к ядру.
- Allow Special Group (CONFIGGRKERNSEC USERGROUP)
— создается специальная группа, которой можно просматривать /proc-информацию. GID этой группы должен быть указан в опции GID for Special Group (CONFIG_GRKERNSEC_PROC_GID).
Установка Grsecurity.
Рубрика: Безопасность | Управление доступомМетки: ACL | Grsecurity | MAC | PaX
Дата: 19/06/2009 11:49:43
В отличие от SELinux, которая направлена на одну задачу мандатного управления доступом, Grsecurity предоставляет более обширный диапазон технологий укрепления системы, частично перенесенных из мира Open-BSD. Grsecurity реализует мандатное управление доступом (MAC) через применение списков доступа ACL.
Одна из основных целей Grsecurity - сократить до минимума конфигурацию системы, потому что сложно настраиваемые системы часто настраиваются неправильно, что приводит к возникновению потенциальных «дыр» в системе безопасности. Grsecurity значительно проще в настройке и использовании, чем SELinux.
Некоторые основные функции Grsecurity:
Возможности root'a
Начиная с версии ядра 2.1, Linux разделяет всю мощь пользователя root на набор маленьких действий, называемых возможностями (capabilities). Каждая возможность представляет какой-то отдельный аспект власти пользователя root (например, CAP_CHOWN - возможность изменения владельца файла). Потому что возможности дискретны, надо предоставить процессу отдельные возможности - все или ни одной.
На данный момент Linux поддерживает 28 возможностей, 7 из которых соответствуют POSIX-стандарту. Полный список возможностей приведен в файле /usr/include/linux/capability.h. Рассмотрим самые интересные из них:
Управление доступом.
Рубрика: Безопасность | Управление доступомМетки: ACL | DAC | DTE | MAC | RBAC
Дата: 18/06/2009 15:16:51
Хотя многопользовательская природа Linux и оставшихся Unix-систем рассматривается как изрядно сильная, она все еще далека от совершенства. Самая эффективная концепция в мире компьютерной безопасности заключается в предоставлении пользователю минимальных привилегий.
Unix же не соответствует этому правилу, потому что предоставляет максимальный контроль над системой одному пользователю (root) или процессу с полномочиями root. Во многих случаях даже обычным пользователям часто предоставляются чрезмерные полномочия. Например, зачем пользователю, который зарегистрировался в системе только для чтения почты, возможность компиляции исходного кода или запуска фоновых демонов?
В некоторой степени данная проблема решается употреблением групп и SUDO. В этом случае администратор может определить для каждого пользователя действия, которые он может реализовывать с полномочиями root.