Генерирование ACL.
Создание ACL - достаточно утомительная и рутинная задача, поэтому даже для опытных пользователей Grsecurity, рекомендуется употреблять встроенный режим обучения для создания начального ACL. Процесс автоматического создания ACL был рассмотрен в предыдущей статье. Сейчас будет рассмотренно создание ACL для демона sshd.
После долгой деятельности Grsecurity в режиме обучения был получен следующий ACL:
Автоматическая генерация ACL.
Ранее было сказано, что ключевая цель (и ведущее преимущество) Grsecurity состоит в том, чтобы максимально упростить настройку системы безопасности. А тут столько разговоров о различных ACL, ролях, субъектах и объектах.
Для автоматического создания файла правил Grsecurity предоставляет режим обучения. Даже если есть охота создавать файлы правил вручную, рекомендуется употреблять режим обучения - он послужит фундаментом для собственного файла.
Роли ACL.
Одна из новейших функций Grsecurity - это RBAC, предоставляющая администратору дополнительный контроль над элементами. В этой реализации RBAC ведущим понятием представляется роль: один или более субъектов могут исполнять какую-то роль, вы можете объявить один и тот же объект несколько раз, но для различных ролей.
Роль отображается следующим образом:
Grsecurity: ACL, ограничение ресурсов.
Ограничение ресурсов.
Ограничение ресурсов процесса задается в виде:
Доступны следующие ресурсы:
- RES_AS — ограничение адресного пространства (в байтах).
- RES_CORE — максимальный размер файла core (в байтах).
- RES_CPU — максимальное процессорное время (в мс).
- RES_DATA — максимальный размер данных (в байтах).
- RES_FSIZE — максимальный размер файла (в байтах).
- RES_LOCKS — максимальное число блокировок файлов.
- RES_MEMLOCK — максимальное число блокировок памяти (в байтах).
- RES_NOFILE — максимальное число открытых файлов. Нужно помнить, что минимально допустимое число открытых файлов равно 3 — для STDOUT, STDIN и STDERR.
- RES_NPROC — максимальное число процессов.
- RES_RSS — максимальный RSS (в байтах).
- RES_STACK — максимальный размер стека (в байтах).
Grsecurity: Управление доступом с помощью ACL.
Рубрика: Безопасность -> Управление доступом
Метки: ACL | Grsecurity | PaX | SGID | SUID
Управление доступом - самый большой раздел Grsecurity, но, потому что управление доступом реализуется с помощью ACL, здесь нет опций ядра, который связанны с управлением доступом, и это при том, что ACL относится к уровню ядра.
Настройка ACL делается с помощью утилиты gradm. Применение системы RBAC необязательно, но нужно учитывать, что без ACL крекер может легко обойти некоторые функции Grsecurity.