вопрос выбора

hardened gentoo + grsecurity rbac + pax

В большинстве систем bind давно идет в чруте.

У Патрика нет? ;)

вопрос не об этом, но тем не менее:

theserg@theserg:~$ cat /etc/rc.d/rc.bind 
#!/bin/sh
# Start/stop/restart the BIND name server daemon (named).

# Start bind.  In the past it was more secure to run BIND
# as a non-root user (for example, with '-u daemon'), but
# the modern version of BIND knows how uses to use the
# kernel's capability mechanism to drop all root privileges
# except the ability to bind() to a privileged port and set
# process resource limits, so -u should not be needed.  If
# you wish to use it anyway, chown the /var/run/named
# directory to the non-root user.
#
# You might also consider running BIND in a "chroot jail",
# a discussion of which may be found in
# /usr/doc/Linux-HOWTOs/Chroot-BIND-HOWTO.

bind_start() {
  if [ -x /usr/sbin/named ]; then
    echo "Starting BIND:  /usr/sbin/named"
    /usr/sbin/named
  fi
}
....

Ну и? Уже на всех BSD и Linux bind по умолчанию в chroot или аналогах стартует.. Может лучше изучить опции самого bind-а? НУ ограничь доступ к нему, оставь только с региональных доверенных, большего, как правило, не надо..

Если внутри chroot ты не имеешь процессов с привелегией chroot (как правило - root), то chroot (при грамотном проектировании) - достаточная защита единичных сервисов. imho, jail все-таки задумывался для других вещей.

Что касается security-патчей, я б остановился на grsecurity. rbac/rsbac предназначены для другого, да и их функционал есть в grsecurity. Впрочем, я не думаю, что rbac/selinux тут как-то поможет.

Виртуализация единичных сервисов неплоха, хотя, возможно, в случае bind - оверкил.

Кстати, а FAQ (http://ivlad.unixgods.net/lor-faq/) ты читал?

> сломали скорее всего через named, запущенный от рута (да, да, я дурак, я знаю:)

А что, разве BIND часто ломают? Если я не ошибась, последняя уязвимость в BIND, позволяющая удаленно получить root, была несколько лет назад...

да, читал, но все пугают, что из chroot выйти очень просто

я как бы не спец по взломам, просто раз уж стал разбираться - хочется выбрать самую оптимальную технологию защиты

а selinux никто не использовал? там rsbac, по умолчанию поставляется с FC4

и про linux-vserver чего никто не говорит? на сайте пишут, что это практически аналог jail

> да, читал, но все пугают, что из chroot выйти очень просто

если root внутри chroot нет, и ты там mknod всякие не даешь делать, то все не так страшно.

>А что, разве BIND часто ломают? Если я не ошибась, последняя уязвимость в BIND, позволяющая удаленно получить root, была несколько лет назад...

ломают, что bind, что sendmail, независимо от качества настройки. Я сам не ломал.

просто после появления очередной дыры не времени обновлять ПО, и так работы много. Выходит, нужно изолировать и бэкапить почаще.

> просто после появления очередной дыры не времени обновлять ПО, и так работы много.

смеялся.

сервер домашний, я ж написал

> сервер домашний, я ж написал

а... yum или apt-get в кроне ниасилил.

я подумаю... у меня slackware

> у меня slackware

а. ну ССЗБ.

я подумал. Смысла в обновлении нету, т.к. всё равно многое пересобирается вручную, например апач, php

обновление ПО - это неправильная идея, правильно - обеспечить устойчивость к взломам (при потенциально дырявом ПО), и, в случае взлома, оградить остальную систему.

буду рыть в сторону pax и grsecurity (или как там её)

однако, первый анонимус был, в общем-то, аслолютно прав

как мало на лоре значат звёзды:(

вот оно, собсно:

http://www.gentoo.org/proj/en/hardened/primer.xml

кубок с йадом этому товарищу уже поднесли?

>ломают, что bind, что sendmail, независимо от качества настройки. Я сам не ломал.

Однако же, ты не прав.. От качества и особенностей настройки многое зависит..

В данном случае, учитывая, что это домашняя машинка, а не сервер предприятия, вполне можно обойтись качественной настройкой, chroot, iptables.. Но если тебе хочется поиграть, изучить иные средства безопасности, то пожалуйста, однако, в данном случае, это не является необходимым..

ну вот на данный момент хочется разобраться с grsecurity, на будущее, так сказать

уже соорудил отдельным комп для этого, непонятно только как проверять защиту - я ж не умею ломать бинды и пр.

на ум приходит только nessus, ну и есть стандартные тесты, что с PAX/grsecurity идут

Пробовать - это всегда полезно, иначе откуда же приобретать опыт.. Вообще-то проверка систем на защищённость - это отдельная серьёзная и обьёмная тема. Можно самому стандартные тесты погонаять, возможные эксплойты поискать, воспользоваться различным тестирующим ПО или обратится к общественности за помощью в данном вопросе.

> непонятно только как проверять защиту

Выставь в интернет и объяви конкурс на взлом за пиво или другие общечеловеческие ценности.