Chinaunix首页 | 论坛 | 博客
  • 博客访问: 536904
  • 博文数量: 166
  • 博客积分: 4038
  • 博客等级: 上校
  • 技术积分: 1115
  • 用 户 组: 普通用户
  • 注册时间: 2008-01-14 23:29
文章分类

全部博文(166)

文章存档

2010年(12)

2009年(126)

2008年(28)

分类: LINUX

2009-07-08 11:32:27

作为系统管理员,我们首先要担心的问题是一个系统的安全性和稳定性,其次才是它的效能和效率。

一个系统是否安全,一般来说取决于以下几点:

  • 系统对外接口的多寡,及其安全性
  • 系统内部向外的接触能力
  • 进入系统内部后,接触系统信息的可能性

对于必须开放访问的系统来说,成熟而可靠的系统保护措施是十分重要的。而对作为各种程序运行平台的操作系统而言,系统中的各种列表,例如目录、文件、进程等,都可以成为怀有恶意的用户甚至是骇客的窥探的窗口。例如一个已经侵入系统获得普通用户权限的骇客,可以通过观察系统中的各种服务器进程和相关的配置文件,探测系统的保护机制和各种漏洞。譬如一个普通用户,如果具有执行 Apache 的权限,那他就很有可能可以通过 Apache 的编译参数、版本查找服务器的漏洞。一个很重要的原则是:把服务器上的所有用户都看成是怀有恶意的使用者,所以系统必须限制普通使用者的权限。这是一个无关道德的问题,而是一个技术问题。

对于 Windows 来说,系统的权限控制可以通过 Active Directory 来实现。但这只是对文件访问的控制,而并没有涉及系统的进程、网络接口。当然,复杂的 AD 规则当然包括对网络服务的访问,可是这只是限制的系统的接口部分,并没有从根本上解决上述问题。Linux 本身也并没有复杂的系统安全机制,一如传统的 Unix 一样,Linux 是通过普通的文件权限来保护系统,而这并不足够。

为了解决上述问题,Linux 内核有几个相关的 patch,包括由 开发的 、Brad Spengler 开发的 GRSecurity 和 RSBAC Team 开发的 。由于效能和简便性方面的原因,这里选择使用 GRSecurity。相关的比较可以看、这里这里和。

GRSecurity (grsec) 内核的安装和配置

在 kernel 网站和 grsecurity 网站分别下载内核源代码和对应版本的 grsec patch。这里以目前的最新版,kernel 2.6.17.11 以及 grsec-2.1.9为例。

解开 linux-2.6.17.11.tar.bz2 压缩包之后,就可以进行 patch 了。以下是关键命令:

然后找到你的原来的内核配置文件,并配置之。

在 make oldconfig 的时候,请根据你的需要回答Y/N。后面将会继续 make menuconfig。

grsecurity settings 1

这里要选择 Security Level。可以根据你的需求选择 Low/Medium/High/Custom。不过一般来说,我在这里是选择 Medium 的。其它选项可以根据需求配置。下面是配置 Address Space Protection:

这里可以选择这样配置,但是 Disable privileged I/O 最好取消。因为很有可能某些服务器进程要用到 ioperm/iopl 这样的系统调用。然后是 RBAC 的配置:

这里可以把 Hide kernel processes 勾上,这样当开启 RBAC 时,内核进程都会被隐藏起来。Then, 文件系统保护:

这里可以全部勾上。Then, Kernel Auditing,也可以全部勾上。图片就不提供了。

下面是可执行文件保护:

executable protection

如果系统是属于开放系统的话,可以把 Invert GID option 勾上,这样下面规定的 GID 就是 Trusted Users 的 ID,将不会收到 TPE 的限制。Network Protections,里面的内容也可以全部勾上。Sysctl support,sysctl 功能一定要打开,但是 Turn on by default 最好关闭,否则的话启动的时候设置的余地就不大了。

而至于 PaX 的设置,按照默认配置就可以了。

内核的编译和安装可以按照正常的步骤进行。不过值得一提的是,在 Ubuntu 6.06 LTS 中,需要更新 initrd 的时候,只需要使用 update-initramfs 命令就可以了。

重启后 grsec 的配置

比起 SELinux 来说,配置 grsec 并不困难。由于之前在配置内核时,已经打开了 sysctl 选项,所以我们接下来的配置只需要使用 sysctl 就可以了。我们可以打开相关需要的选项,下面是一个很简单的例子,可以写入 /etc/rc.local 中。

grsecurity sysctl

运行之后,就可以发现,世界一切都不同了:

grsecurity result

这是 grsec 的效果之一,可以保护进程信息,用户只能查看到自己的进程,也不能用 netstat 查看网络连接情况。

RBAC 的配置和应用

RBAC (Role-based Access Control) 是 grsec 其中一项很强大的功能,它可以限制系统进程的各种访问权限,包括对文件、资源、网络以及系统调用、系统的capability的访问限制。例如,可以限制系统的 web 服务器 /usr/sbin/httpd,只允许它访问 /etc/httpd,/var/www,/var/log/httpd 以及 /var/run/httpd,/tmp 这几个目录,而其它目录,可以仅对它隐藏起来以限制它的访问。更可以限制这个进程,只允许其接受入站的信息,而不允许其 connect 到其它网络服务器。这种访问策略,更有利于建立安全的系统。

RBAC 功能由两部分来实现:内核的 grsec 接口 (/dev/grsec 设备) 和用户端的 gradm 程序界面。

gradm 程序源代码,可以在 grsecurity 网站下载。必须下载与 patch 对应版本的 gradm 程序。下载之后直接 make install 就可以安装了。

以下以 /usr/sbin/sshd 为例子说明 grsec 的策略设置:

subject /usr/sbin/sshd dp {
/ h
/bin/bash x
/dev h
/dev/log rw
/dev/random r
/dev/urandom r
/dev/null rw
/dev/ptmx rw
/dev/pts rw
/dev/tty rw
/dev/tty? rw
/etc r
/etc/grsec h
/home
/lib rx
/root
/proc r
/proc/kcore h
/proc/sys h
/usr/lib rx
/usr/share/zoneinfo r
/var/log
/var/mail
/var/log/lastlog rw
/var/log/wtmp w
/var/run/sshd
/var/run/utmp rw

-CAP_ALL
+CAP_CHOWN
+CAP_SETGID
+CAP_SETUID
+CAP_SYS_CHROOT
+CAP_SYS_RESOURCE
+CAP_SYS_TTY_CONFIG
}

在这里,/ 作为默认的路径,是被完全隐藏的。这就是说,ssh server 进程只能看到标记为 r 的文件和目录。下面 CAP_* 系列的设置,可以参看 /usr/include/linux/capability.h 中的说明。

参考:RBAC 配置说明,以及 gradm 的 policy 文件。

阅读(1926) | 评论(0) | 转发(0) |
给主人留下些什么吧!~~