HA-Linux: защита от админа

Хммм... Вообще админ он на то и админ... Про подобные системы вообще не слышал. ИМХО это и ненадо никому. Вполне хватает систем серии RSBAC - есть админ, а есть security officer...

Можешь поставить Linux Intrusion Detection System, и настроить должным образом. www.lids.org. На их сайте прочтешь много инфы. Скажу просто, что это патч для ядра, и в принципе ставится несложно, вот только с настройками придется помучаться...

ЛИДС неплохая система, но... Непроработанная... В деталях. :(

Это в каких деталях? На самом деле ее очень сложно настроить толково. Но зато после мучений - очень приятная система. Непроработанная - довольно странное заявление о трехлетнем проекте, который постоянно обновляется...

Конкретно - была система с кучей сервисных скриптов. На шеле, на перле, на ПХП... ЛИДС _НЕ_ позволила мне нормально это дело разрулить. Ставлю права скрипту - мне в лог валится что /usr/bin/perl нарушил права доступа. Дать перлу? Гы. Тогда нафиг вообще эти права резать? Про то что "надо еще догадаться" просьба не говорить.

Хм, интересно, с таким не сталкивался. Можно написать Xie Huagang, одному из создателей. :-) Хотя подожди. Так маловато инфы, Лидс может ругаться на перл по какому-то определенному поводу. Например перл там хочет куда-то писать. Соответственно можно ему разрешить это делать, lidsadm -A -s /usr/bin/perl -o "в то, что пишет" -j READ|WRITE|APPEND. И необязательно давать перлу писать и читать откуда угодно. Главное, подстроится под свою систему. Геморрой конечно...

Насколько я понял смысла в LIDS нет для меня, т.к важно чтобы ни один из двух админов не мог нанести вреда системе, а какой смысл если один из них админ LIDS и он может просто запретить например oracle к базам обращаться или httpd к documentroot? т.е реально задача стоит таким образом что нужно чтобы ни один человек в системе администрирования не смог загубить систему время простоя которой будет исчисляться очень дорого.

Так пусть под guest заходят :)), а пароль root'a из нескольких
частей - один админ знает одну, второй другую (начальник, уборщица, ...  :))

Так вот в том то и прикол что надо было закрыть файл с паролями к одной приблуде. Они там в открытом виде. А скрипты - перловые. Переписывать на си - я не столь крут. Долго это будет. А давать перлу права на этот файл - тогда вообще нафиг все? Любой может написать перловый скрипт и телемаркет, защита обойдена!