Lidsconf
Реализация LIDS.
Метки: ACL | LIDS | Lidsconf
Дата: 10/07/2009 14:45:04
Подписаться на комментарии по RSS
Теперь, когда известно, как работает LIDS, и знакомы ее основные опции, нужно приступить к практической реализации LIDS в системе.
Нужно помнить, что написание ACL для всей системы - очень трудоемкая задача, поэтому, как и в случае с iptables, рекомендуется создать shell-сценарий, содержащий директивы lidsconf. Первой директивой будет lidsconf -Z - эта директива удаляет все ранее существующие ACL. Этот сценарий надо поместить в /etc/lids, что сделает его невидимым за пределами LFS-сессии.
ACL возможностей в LIDS.
Метки: ACL | Apache | LIDS | Lidsconf
Дата: 10/07/2009 14:14:57
Подписаться на комментарии по RSS
Возможности.
В ACL из предыдущей статье описано действие GRANT, предоставляющее возможность CAP SETUID. А возможности до этого и не рассматривались, поэтому самое время их рассмотреть.
LIDS предоставляет расширенное применение возможностей (однако, как было отмечено до этого, модуль возможностей (capability security module) нужно отключить в ядре). Кроме стандартных возможностей Linux, LIDS дает две собственные возможности:
- CAP_HIDDEN — процессы с установленной возможностью CAPHIDDEN не будут отображаться в /рrос, что позволяет скрыть процесс от программы ps, lsof и top.
- CAP_INIT_KILL — если эта возможность выключена для демона, то он не будет получать KILL-сигналы.
ACL файлов в LIDS.
Метки: ACL | LIDS | lidsadm | Lidsconf
Дата: 09/07/2009 15:20:11
Подписаться на комментарии по RSS
В LIDS есть два типа ACL:
- ACL файлов — контролирует доступ к файлам и каталогам.
- ACL возможностей — регулирует возможности исполнимых файлов.
ACL файлов.
LIDS определяет четыре режима для объектов:
- DENY - доступ к файлу запрещен. При обращении приложения (к примеру, Is или cat) к этому файлу, оно получит сообщение об ошибке "No such file or directory" (ENOET) - «Нет такого файла или каталога». Внешне будет выглядеть так, как будто файла не существует.
- READ - объект может быть открыт исключительно в режиме «только чтение», запись запрещена.
- WRITE — чтение и запись не ограничивается. LIDS не защищает этот файл.